Europa hat vier Stufen von „souverän“ entworfen. Eine Postleitzahl bringt Sie nur auf Stufe 1.

Die Europäische Kommission hat ihren Vorschlag für den Cloud and AI Development Act am 3. Juni 2026 als COM(2026) 502 veröffentlicht. Neben Maßnahmen zur Rechenzentrumskapazität führt er einen einheitlichen EU-weiten Bewertungsrahmen für Cloud- und KI-Souveränität ein, samt einem Mechanismus, die öffentliche Beschaffung darauf auszurichten. 1

Zwei Dinge vorab, bevor jemand in Panik gerät oder feiert: Es ist ein Vorschlag und kein Gesetz, und die Konsultation dazu läuft bis zum 27. August. 2 Die Annahme ist derzeit für Ende 2027 angepeilt; danach hätten die Mitgliedstaaten ein Jahr, um zu bestimmen, welches Schutzniveau ihre eigenen Systeme brauchen, und entsprechend zu beschaffen. 3

Es bindet also so bald niemanden. Die Definition lohnt trotzdem die Lektüre, denn sie ist der erste ernsthafte Versuch, „souverän“ so aufzuschreiben, dass man einen Lieferanten daran messen könnte.

Geografie ist die Untergrenze, nicht das Ziel

Stufe 1 verlangt, dass Cloud-Dienste Daten auf EU-Infrastruktur verarbeiten und speichern, samt grundlegender Souveränitätsanforderungen. Stufe 2 ergänzt den Nachweis der Unabhängigkeit von Drittstaaten und Einblick in die Software-Lieferkette. Stufe 3 verlangt im Regelfall Eigentum und Kontrolle in der EU sowie Staatsangehörigkeitskriterien für die Personen, die den Dienst betreiben – der Vorschlag lässt allerdings einen Weg offen, bestimmte assoziierte Drittstaatsanbieter anzuerkennen. Stufe 4 verlangt vollständige Transparenz und Kontrolle über die Software-Lieferkette, ohne Einflussnahme aus Drittstaaten. 3

Lesen Sie das von unten. Wo die Racks stehen, bringt Sie auf die erste Sprosse und keinen Schritt weiter. Alles darüber handelt zunehmend davon, wem das Unternehmen gehört, wer dort arbeitet und was in der Software-Lieferkette steckt.

Wir haben am 1. Juni geschrieben, die nützliche Frage sei nie gewesen, wo die Server stehen, sondern wem eine Anordnung zugestellt werden kann, in welchem Land, und ob diese Stelle ihr nachkommen kann, ohne es Ihnen zu sagen. Die Verfasser scheinen an derselben Stelle gelandet zu sein.

Und dann schauen Sie, wo die Arbeit tatsächlich liegt. Nach der Folgenabschätzung der Kommission fallen rund 70 % der bestehenden Workloads der öffentlichen Hand in der EU unter Stufe 1 und 20 % unter Stufe 2 – bleiben 9 % auf Stufe 3 und 1 % auf Stufe 4. 4

Gestritten wird über die unteren beiden Sprossen

CISPE, der Verband europäischer Cloud-Anbieter, räumte ein, dass die Kommission ab Stufe 3 „einige belastbare Definitionen von Souveränität“ liefere. Die Kriterien der Stufen 1 und 2 nannte der Verband „verwirrend und unsinnig“, merkte an, „nahezu jeder Anbieter kann diese Anforderungen erfüllen“, und forderte, Dienste auf diesen Stufen „sollten in keiner Weise als ‚souverän' bezeichnet, ausgewiesen oder benannt werden“. 5

Legt man das neben die Verteilung, liegt das Problem offen: 90 % der Cloud der öffentlichen Hand stecken in den beiden Stufen, die das Wort nach Ansicht von CISPE gar nicht tragen sollten.

Aus der anderen Richtung nennt CCIA Europe den Vorschlag diskriminierend und warnt vor einer Fragmentierung des Marktes – mit der Begründung, die oberen Stufen schlössen Anbieter nach Hauptsitz und Unternehmensstruktur aus und nicht nach irgendeiner technischen Eigenschaft. 6

Beide Einwände können zugleich stimmen. Die Herkunft ist ein grober Ersatzindikator für das, was eigentlich interessiert – und einen schärferen, der vor einem Juristen standhält, hat bisher niemand vorgeschlagen.

Das Schwierige ist die Angebotsseite

Der Rechtsakt ist zugleich Industriepolitik: Die EU-Rechenzentrumskapazität soll sich binnen fünf bis sieben Jahren verdreifachen, 2 mit einem Genehmigungsverfahren von höchstens zwölf Monaten in ausgewiesenen Beschleunigungszonen. 7

Wir haben im April geschrieben, dass hier der Strom die bindende Grenze ist und nicht das Kapital. Ein Genehmigungsziel schlägt eine mehrjährige Warteschlange beim Netzanschluss – aber eine Genehmigung ist kein Umspannwerk.

Wo wir stehen, ohne Marketing

AVS ISP betreibt vier Standorte in vier Ländern: Tirana, Skopje, Amsterdam und Dublin. Genau zwei davon liegen in der EU. Wenn Sie eine öffentliche Stelle sind, die eines Tages auf Stufe 3 oder 4 beschaffen wird, sind wir nicht Ihre Antwort – und wir werden nicht so tun, als käme da ein Zertifizierungsprogramm.

Was wir haben, ist die Eigenschaft, für die die Stufen ein Ersatzindikator sind. Wir sind ein kleiner unabhängiger ISP: Die Antwort darauf, wer gezwungen werden kann und nach welchem Recht, ist kurz und überprüfbar statt ein Organigramm. Rechtlicher Zwang zählt ohnehin nur, wenn es überhaupt Daten zum Herausgeben gibt – deshalb erheben wir keine Ausweisdokumente, um Ihnen einen Server zu verkaufen, und es liegt kein Stapel davon herum. Und die Rechtsordnung wählen Sie je Maschine beim Einrichten.

Ein VPS beginnt bei 5 €/Monat, ein VDS reicht von 40 €/Monat bei 4 vCPU bis 160 €/Monat bei 16, Bare Metal beginnt bei 150 €/Monat. Wir betreiben AS210464 mit RPKI-Validierung und verkaufen BGP-Sessions ab 5 €/Monat – bringen Sie ein eigenes /24 mit, zieht Ihre Adressierung mit Ihnen um. Das Netz können Sie vorher im Looking Glass messen, ohne Konto.

Wofür eine Stufennummer steht

Lange bevor irgendetwas davon bindet, werden Einkäufer ihre Lieferanten fragen, welche Stufe sie erfüllen würden – und das Kürzel wird binnen zwei Wochen missbraucht werden. Eine Zahl auf einer Folie ist leichter zu produzieren als die Eigenschaft, für die sie steht.

Die dahinterliegenden Fragen haben sich seit Juni nicht geändert: Welche juristische Person hält Ihren Vertrag, welches Recht gilt dafür, wer kann diese Person zwingen und kann sie stillschweigend nachkommen, welche Daten existieren überhaupt zum Herausgeben – und wie lange bräuchten Sie, um zu gehen? Ein Anbieter, der das in klaren Sätzen beantwortet, sagt Ihnen in den nächsten zwei Jahren mehr, als eine Stufennummer es tut.

Und wenn Sie die letzte Frage nicht beantworten können, ist der günstigste Weg, es herauszufinden, immer noch: ein kleiner Server, in einem anderen Land, auf dem eine echte Sache läuft.

Quellen

1. Proposal for the Cloud and AI Development Act (CADA), Europäische Kommission
2. European Commission Advances New Proposal to Expand Cloud Capacity and AI Infrastructure, Hunton Andrews Kurth
3. European Commission's Proposed Cloud Sovereignty Framework Creates New Compliance Tiers, Jones Day
4. EU takes first steps to reduce reliance on US hyperscalers, Computerworld
5. Europe Takes a Tentative Step Towards Strategic Autonomy, CISPE
6. Discriminatory EU Cloud and AI Development Act Risks Severe Market Fragmentation, CCIA Europe
7. EU's cloud and AI development act gets mixed reception, Euronews