EU-Cloud- und KI-Gesetz wird am 15. Juli im Amtsblatt verkündet
Was wirklich drin steht
Der Cloud and AI Development Act (CADA) der EU wird am 15. Juli 2026 im Amtsblatt der Europäischen Union veröffentlicht und tritt am 4. August 2026 formell in Kraft. Das Gesetz wurde am 3. Juni 2026 von der Europäischen Kommission als Teil des Tech-Sovereignty-Pakets vorgelegt und ist das bisher ambitionierteste EU-Vorhaben zur digitalen Unabhängigkeit bei Cloud-Infrastruktur und KI-Entwicklung. Kernstück ist ein vierstufiges Cloud-Souveränitäts-Framework, das Cloud-Anbieter nach Sicherheit, Eigentümerstruktur, Betriebskontrolle und Personal klassifiziert. Stufe 1 umfasst Grundanforderungen für alle öffentlichen Auftraggeber, Stufe 2 verlangt Unabhängigkeit von Drittstaaten und Transparenz über die Software-Lieferkette, Stufe 3 erfordert EU-Eigentum und Kontrolle, und Stufe 4 setzt volle Transparenz ohne Drittstaaten-Einfluss voraus. Öffentliche Auftraggeber müssen bei der Beschaffung von Cloud- und KI-Diensten künftig den 'europäischen Mehrwert' als Kriterium berücksichtigen. Zudem müssen die Mitgliedstaaten innerhalb von sechs Monaten mindestens eine 'Beschleunigungszone' für Rechenzentren ausweisen, in der Genehmigungsverfahren auf maximal zwölf Monate begrenzt werden. Die erste Stufe der Cloud-Souveränitätsanforderungen gilt ab Februar 2028, die höchste Stufe wird im August 2029 verpflichtend.
Unsere Einordnung
Die EU schafft erstmals einen verbindlichen Rahmen gegen die Abhängigkeit von US-Cloud-Anbietern bei KI-Infrastruktur. Statt eines Verbots setzt CADA auf abgestufte Anforderungen: Amazon, Google und Microsoft dürfen weiter liefern, müssen aber je nach Sicherheitsstufe mehr Transparenz und lokale Kontrolle bieten. Die Beschleunigungszonen für Rechenzentren könnten Europas chronischen Rückstand bei der Rechenkapazität verringern. Für Unternehmen bedeutet das keine sofortige Umstellung, die ersten Pflichten greifen erst ab Februar 2028. Das Gesetz ist eine strukturelle Antwort auf reale Abhängigkeiten, kein Grund zur Sorge.
Relevanz für Deutschland
Deutschland ist besonders betroffen, weil die Bundesverwaltung und viele Landesbehörden stark auf US-Cloud-Dienste angewiesen sind. Die Delos-Cloud (auf Microsoft Azure basierend) und die Bundes-Cloud-Strategie müssen nun mit dem vierstufigen Souveränitäts-Framework abgeglichen werden. Für deutsche Cloud-Anbieter wie IONOS, Open Telekom Cloud und SAP ist das Gesetz eine Chance: Sie erfüllen die höheren Souveränitätsstufen naturgemäß leichter als US-Hyperscaler. Die Beschleunigungszonen für Rechenzentren sind für Deutschland besonders relevant, da Genehmigungsverfahren hier bisher oft zwei bis drei Jahre dauern. Gleichzeitig muss Deutschland innerhalb von sechs Monaten nach Inkrafttreten mindestens eine solche Zone ausweisen, was schnelles Handeln erfordert.
Faktencheck
Die Veröffentlichung im EU-Amtsblatt am 15. Juli 2026 und das Inkrafttreten am 4. August 2026 werden von Regulations.AI und der offiziellen EU-Kommissionsseite bestätigt. Die Verabschiedung am 3. Juni 2026 als Teil des Tech-Sovereignty-Pakets ist durch die EU-Kommission dokumentiert. Das vierstufige Cloud-Souveränitäts-Framework, die Beschleunigungszonen mit 12-Monats-Genehmigungsfrist, und die Zeitlinie (Stufe 1 ab Februar 2028, Stufe 4 ab August 2029) werden übereinstimmend von Inside Global Tech, Lawfare und der HLC-Rechtsanalyse beschrieben. Die Regelung zur Berücksichtigung des 'europäischen Mehrwerts' in der öffentlichen Beschaffung stammt direkt aus dem Gesetzestext laut EU-Kommission.
Quelle
- • https://digital-strategy.ec.europa.eu/en/policies/cloud-and-ai-development-act
- • https://digital-strategy.ec.europa.eu/en/library/proposal-cloud-and-ai-development-act-cada
- • https://regulations.ai/news/eu-cloud-ai-act-prepare-july-2026-publication
- • https://www.insideglobaltech.com/2026/06/11/the-eu-cloud-and-ai-development-act-in-depth/