EU-Kommission veröffentlicht Vorschlag für CADA

Am 03.06.2026 hat die Kommission einen Verordnungsvorschlag für den „Cloud and AI Development Act“ (CADA) veröffentlicht. Der CADA ist Teil des AI Continent Action Plans der Europäischen Kommission, mit dem die EU ihre globale Wettbewerbsfähigkeit und technologische Führungsrolle im Bereich der Künstlichen Intelligenz stärken möchte. Um dieses Ziel zu erreichen, hat die Kommission fünf Oberziele festgelegt, welche durch bestimmte Maßnahmen erreicht werden sollen.

Dazu zählt unter anderem der Ausbau europäischer KI- und Recheninfrastrukturen. Der CADA soll hierfür geeignete Rahmenbedingungen für Investitionen in Cloud- und Rechenzentrumskapazitäten schaffen. Der Vorschlag stellt eine Reaktion auf die Entwicklungen der letzten Jahre dar – insbesondere die erheblich gestiegene Relevanz von Cloudtechnologien sowie künstlicher Intelligenz für die Wirtschaft und die Gesellschaft. Die schnelle Entwicklung der Technologien hat mittlerweile allerdings auch eine strategische Komponente, weshalb mit dem Vorschlag auch darauf abgezielt wird, die europäische Wirtschaft, Souveränität, Resilienz und Wettbewerbsfähigkeit zu stärken.

Gerade die unzureichenden Kapazitäten an Rechenzentren und die damit verbundene Abhängigkeit von Anbietern aus Nicht-EU-Ländern werden als eine ernstzunehmende Bedrohung für die Fähigkeit der EU betrachtet, von den Umwälzungen der stattfindenden digitalen Transformation zu profitieren. So kontrollierten nach Schätzungen der Kommission allein 3 Anbieter etwa 70 % des europäischen Cloud-Marktes, während der europäische Anteil seit 2017 weiter gefallen ist. Darüber hinaus sollen Risiken reduziert werden, die sich aus der Abhängigkeit von Anbietern ergeben, die der Rechtsordnung von Drittstaaten unterliegen. Insbesondere sollen ungewollte Zugriffe auf Daten sowie externe Einflussmöglichkeiten auf den Betrieb kritischer Cloud-Dienste begrenzt werden.

Der in Planung befindliche Cloud and AI Development Act soll an dieser Stelle ansetzen und die benannten Probleme und Gefahren adressieren sowie diesen entgegenwirken. Dabei gibt es vier Kernziele:

1. die Rechenkapazität als auch die in der EU entwickelte und eingesetzte KI durch innovative sowie nachhaltige Cloud- und KI-Technologien zu erhöhen;
2. attraktive Bedingungen für den Einsatz nachhaltiger und innovativer Rechenkapazität in der gesamten Union sicherzustellen;
3. Bedenken hinsichtlich der Datensouveränität und der Betriebskontinuität von Cloud und KI anzusprechen;
4. die öffentliche Ordnung zu schützen, indem die Bereitstellung von Cloud-Computing-Diensten – insbesondere im öffentlichen Sektor – widerstandsfähiger gemacht wird.

Besonders hervorzuheben ist an dieser Stelle ein zentraler Aspekt des 3. Kernziels. Konkret ist unionsweit ein Cloud-Souveränitätsrahmen in Art. 16 des Vorschlags vorgesehen. So sollen Risiken reduziert werden, die sich aus der Abhängigkeit von Anbietern ergeben, die der Rechtsordnung von Drittstaaten unterliegen. Insbesondere sollen ungewollte Zugriffe auf Daten sowie externe Einflussmöglichkeiten auf den Betrieb kritischer Cloud-Dienste begrenzt werden. Dabei findet eine Zuordnung zu Stufen von 1 bis 4 statt. Während Stufe 1 nur grundlegende Anforderungen stellt, sieht Stufe 4 die höchsten Anforderungen vor. Die konkreten Anforderungen für die Stufen werden in Anhang II der Verordnung festgelegt. Cloud-Dienste können je nach Erfüllung dieser Anforderungen einer der Stufen zugeordnet werden.

Derzeit sind folgende Stufen im Vorschlag angelegt:

Stufe 1: Daten werden in einer Infrastruktur innerhalb der Union verarbeitet und gespeichert.

Stufe 2: Anbieter müssen ihre Unabhängigkeit von Drittstaaten sowie Transparenz hinsichtlich ihrer Software-Lieferkette nachweisen.

Stufe 3: Anbieter unterlagen nicht der Kontrolle eines Drittstaates oder von juristischen Personen in einem Drittstaat und erfüllen weitere Kriterien, beispielsweise hinsichtlich der Staatsangehörigkeit und Sicherheitsfreigaben ihrer Mitarbeiter. Die Kommission kann Anbieter aus Drittstaaten anerkennen.

Stufe 4: Anbieter verfügen über vollständige Transparenz und Kontrolle über ihre Software-Lieferkette und unterliegen keiner Einmischung durch einen Drittstaat.

Die Mitgliedstaaten und öffentliche Stellen sollen Risikoanalysen durchführen, um festzustellen, welche Stufe für bestimmte öffentliche Aufgaben oder Datenbestände erforderlich ist.

Auch wenn es sich derzeit lediglich um einen Vorschlag handelt und im weiteren Gesetzgebungsverfahren noch Änderungen zu erwarten sind, werden sowohl öffentliche Auftraggeber von Cloud- und KI-Vergaben als auch die davon betroffenen Anbieter die weitere Entwicklung aufmerksam verfolgen müssen.

Ihr Vergabeteam von BHO Legal

Telefon: +49 221 / 270 956 – 0, E-Mail: vergabe@bho-legal.com