Was ist der EU Cloud Act?

Mit EU Cloud Act ist umgangssprachlich der Cloud and AI Development Act gemeint, kurz CADA. Es handelt sich um einen Verordnungsvorschlag der Europäischen Kommission, der am 3. Juni 2026 als Teil des Tech-Souveränitäts-Pakets vorgelegt wurde. Ziel ist es, die europäische Cloud-, KI- und Rechenzentrumsinfrastruktur zu stärken und die Abhängigkeit von großen Anbietern aus Drittstaaten zu verringern. Der Name EU Cloud Act ist also kein offizieller Gesetzestitel, sondern eine verbreitete Bezeichnung.

Was ist der Unterschied zwischen dem EU Cloud Act und dem US CLOUD Act?

Es sind zwei völlig verschiedene Gesetze mit ähnlichem Namen. Der US CLOUD Act ist ein US-Gesetz, das US-Behörden den Zugriff auf Daten von US-Unternehmen erlaubt, unabhängig davon, wo die Server stehen. Der EU Cloud Act, also der Cloud and AI Development Act, ist ein europäischer Vorschlag, der europäische Cloud-Kapazitäten fördern und Souveränität bei der öffentlichen Beschaffung verankern soll. Der eine ermöglicht Datenzugriff, der andere soll Unabhängigkeit stärken.

Betrifft der EU Cloud Act private Unternehmen im Mittelstand direkt?

Direkt richtet sich der Cloud and AI Development Act vor allem an die öffentliche Beschaffung. Öffentliche Auftraggeber sollen künftig Cloud-Dienste nach einem Souveränitätsstufensystem bewerten und mindestens eine Basisstufe verlangen. Private Mittelständler sind davon nicht unmittelbar verpflichtet. Sie spüren die Wirkung aber indirekt, etwa wenn sie als Zulieferer für den öffentlichen Sektor oder für kritische Infrastrukturen tätig sind, oder weil sich Marktstandards verschieben.

Was ist das SEAL-Stufensystem im EU Cloud Act?

Das Herzstück des Cloud and AI Development Act ist eine Souveränitätsskala mit vier Stufen. Stufe 1 verlangt lediglich, dass Daten in EU-Infrastrukturen gespeichert werden, was auch US-Hyperscaler mit europäischen Rechenzentren erfüllen. Stufe 2 fordert Unabhängigkeit von Drittstaaten und eine transparente Lieferkette. Stufe 3 verlangt einen in der EU ansässigen und kontrollierten Anbieter mit EU-Personal, was für viele globale Anbieter schwer zu erreichen ist. Stufe 4 steht für das höchste Souveränitätsniveau.

Schützt ein Serverstandort in Deutschland vor dem US CLOUD Act?

Nicht automatisch. Wenn ein Anbieter oder sein Mutterkonzern US-Recht unterliegt, kann der US CLOUD Act einen Zugriff auf Daten ermöglichen, selbst wenn diese physisch in einem deutschen Rechenzentrum liegen. Das klassische Beispiel ist ein US-Konzern, der Daten auf einem Server in Frankfurt speichert und sie dennoch nach US-Recht herausgeben muss. Entscheidend ist also nicht nur der Standort, sondern auch die Jurisdiktion und die Kontrolle über den Anbieter.

Ab wann gilt der EU Cloud Act?

Der Cloud and AI Development Act ist zunächst ein Vorschlag der Europäischen Kommission vom 3. Juni 2026. Als EU-Verordnung durchläuft er das Gesetzgebungsverfahren mit Parlament und Rat, was üblicherweise einige Zeit in Anspruch nimmt und noch Änderungen bringen kann. Ein konkretes Datum des Inkrafttretens steht damit noch nicht fest. Unternehmen sollten die Entwicklung beobachten, aber nicht auf den formalen Abschluss warten, denn die zugrunde liegenden Anforderungen zeichnen sich bereits ab.

Was bedeutet Sovereignty Washing?

Sovereignty Washing beschreibt die Kritik, dass Dienste als souverän vermarktet werden, obwohl sie es bei genauer Prüfung nicht sind. Der europäische Verband CISPE argumentiert, dass die unteren Stufen des Souveränitätssystems nahezu jeder Anbieter erfüllen könne und damit kaum echte Souveränität garantiere. Zudem kritisiert er eine Klausel, nach der außereuropäische Subunternehmer die technische Infrastruktur liefern könnten. Für Anwender heißt das, genau auf die tatsächliche Stufe und die Nachweise zu achten.

Warum ist die Abhängigkeit von US-Anbietern ein Thema?

Große Anbieter aus den USA beherrschen einen sehr großen Teil des europäischen Cloud-Marktes, nach verschiedenen Schätzungen deutlich über zwei Drittel. Diese Konzentration schafft strategische Abhängigkeiten, die inzwischen als wirtschaftliches und geopolitisches Risiko gesehen werden. Der Cloud and AI Development Act ist die Antwort der EU darauf, indem er europäische Kapazitäten fördert und Souveränität bei der Beschaffung verankert. Für den Mittelstand ist das ein Signal, Abhängigkeiten bewusst zu steuern.

Muss der Mittelstand jetzt seine Cloud-Anbieter wechseln?

Nicht überstürzt. Sinnvoll ist zunächst eine nüchterne Bestandsaufnahme, welche Daten wo liegen und welchem Recht die Anbieter unterliegen. Auf dieser Basis lässt sich je Datenklasse entscheiden, wo ein höheres Souveränitätsniveau nötig ist und wo nicht. Ein pauschaler Wechsel ist selten die beste Antwort. Klüger ist eine abgestufte Strategie, die Schutzbedarf, Kosten und Portabilität in Einklang bringt und Souveränität fest in die Softwareauswahl einbindet.

Wie hängt der EU Cloud Act mit BSI C5 und C3A zusammen?

Sie ergänzen einander. Der BSI C5 regelt die Informationssicherheit, der C3A macht Souveränität technisch prüfbar, und der Cloud and AI Development Act schafft den europäischen Rechts- und Beschaffungsrahmen darüber. Während C5 und C3A konkrete Kriterien für einzelne Cloud-Dienste liefern, wirkt der Cloud and AI Development Act auf der Ebene von Markt und Vergabe. In der Praxis lohnt es sich, die Zertifizierungskriterien und den Rechtsrahmen gemeinsam zu betrachten.