Kontroverse über Souveränitätsstufen EU-Souveränitätskriterien für Clouds: zu restriktiv? Zu stark?

Anbieter zum Thema

Europäische Kommission Vertretung in Berlin

Fujitsu Technology Solutions GmbH

Yorizon GmbH & Co. KG

Mit dem Cloud and AI Development Act will die EU-Kommission erstmals verbindlich definieren, wann Cloud- und KI-Dienste als souverän gelten. Verbände gehen in ihren Einschätzungen des Gesetzentwurfs stark auseinander: Die einen sehen Diskriminierung und künstliche Barrieren, andere befürchten Sovereignity Washing und fordern rigorose Kriterien.

Die Europäische Kommission hat einen viergliedrigen Plan für die Stärkung europäischer Infrastruktur-, Hardware- und Cloud-Kapazitäten vorgelegt, angeführt von einem „Cloud and AI Development Act“ (CADA). Die Reaktionen darauf waren gemischt, Verbände und Initiativen äußern sich deutlich kontroverser zu den geplanten Souveränitätskriterien für Cloud-Angebote.

CISPE: Souveränitätsskala deutlich zu lax.

Das Herzstück von CADA ist eine Souveränitätsskala, mit der öffentliche Stellen Cloud- und KI-Dienste künftig einzustufen haben. Eine Stufe 1 bedeutet lediglich, dass Daten in EU-Infrastrukturen gespeichert und verarbeitet werden. Diese Einstufung erfüllen US-Hyperscaler mit europäischen Rechenzentren regulär. Für eine Level-2-Einstufung müssen Anbieter ihre Unabhängigkeit von Drittstaaten nachweisen und ihre Software-Lieferkette (auch wenn diese nicht nur aus EU-Software besteht) transparent offenlegen. Stufe 3 verlangt EU-Eigentümerschaft und EU-Kontrolle des Anbieters. Stufe 4 schließlich setzt volle Kontrolle über den gesamten Software-Stack bei null Einfluss aus Drittstaaten voraus.

Der europäische Cloud-Infrastrukturverband CISPE (Cloud Infrastructure Services Providers in Europe) kritisiert, die Stufen 1 und 2 seien de facto keine Souveränitätsgarantien, weil nahezu jeder Anbieter die Anforderungen erfüllen könne. Damit würden Dienste dieser Stufen gleichwohl als „souverän" vermarktet, die es in Wirklichkeit nicht sind.

Zudem verlange CADA bei Beschaffungsverfahren „nicht einmal von einer öffentlichen Stelle zu prüfen, ob ein [alternativer] europäischer Dienst verfügbar ist, bevor Steuergelder an einen Anbieter fließen, der von außerhalb Europas kontrolliert wird – geschweige denn, einen solchen europäischen Anbieter auszuwählen“. Zudem lasse das Regelwerk offen, ob Unternehmen oder ganze Dienste geprüft werden sollen. Nur Letzteres sei aus Verbandssicht sinnvoll. Die Definition von Souveränität gemäß Stufe 3 hingegen sei robust.

Der gravierendste Einwand betrifft eine Klausel in Anhang II des CADA-Entwurfs. Demnach könnte ein europäischer Aggregator einen Dienst als CADA-konform mit der Stufe 2, 3 oder sogar 4 anbieten, selbst wenn ein außereuropäischer Subunternehmer die technische Infrastruktur liefert. Zwar stipuliert der Gesetzentwurf, dass der Subunternehmer keinen Zugriff auf sensible Kundendaten hat (was einen Zugriff auf europäische Daten etwa über den US CLOUD Act verhindern soll). Zugleich würden aber aus CISPE-Perspektive andere Anforderungen der Stufenskala zur europäischen Niederlassung und zum Ausschluss von Drittstaatenkontrolle potenziell ausgehebelt.

Digital SME Alliance: EU-Präferenz und Interoperabilitätsgarantien müssen hinzukommen

Die European Digital SME Alliance, eine Dachorganisation europäischer KMU-Verbände, bezeichnet das Gesetz als „Flaggschiff-Initiative“, die auch aus dieser Perspektive allerdings nicht weit genug gehe. Die Allianz fordert nicht nur eine Prüfpflicht, sondern eine explizite europäische Beschaffungspräferenz. Diese würde in Verbindung mit klaren Anforderungen an Interoperabilität von Cloud-Diensten sowie der Pflicht zur Nutzung mehrerer Anbieter bei öffentlichen Vergabeverfahren aktiv den Markt umgewichten und einen Vendor-Lock-in-Effekt reduzieren.

Ein solcher Ansatz käme insbesondere KMU zugute, die über keine Verhandlungsmacht gegenüber Hyperscalern verfügen. Marktmechanismen alleine hingegen würden angesichts eines Marktanteils europäischer Cloud-Anbieter von nur 13 Prozent zu langsam greifen.

» Gastkommentar

EU Tech Sovereignty Package: Ein wichtiges Signal, auf das verbindliches Handeln folgen muss

Ein Kommentar von Andreas Prins, Global Head of Sovereign Solutions bei SUSE

Mit dem EU Cloud and AI Development Act (CADA) und der EU Open Source Strategy hat die Europäische Kommission am vergangenen Mittwoch ihre bislang wohl ambitioniertesten Pläne zur Cloud- und KI-Souveränität vorgestellt. Für den europäischen Technologiesektor ist das Tech Sovereignty Package eine der wichtigsten politischen Initiativen seit Jahrzehnten – und das ambitionierteste Bekenntnis der EU-Kommission zu Open Source.

Dominiert wird der Cloud-Markt zu 70 Prozent von drei US-Unternehmen. Rund 264 Milliarden Euro kostet Europa diese Abhängigkeit jährlich. Neben fehlenden Einnahmen, die aus eigenen Cloud-Infrastrukturen generiert werden könnten, sind es vor allem die politischen Kosten, die Europa bezahlt. Ohne eigene Cloud- und KI-Infrastrukturen bleibt Souveränität eine leere Worthülse.

Der neue Gesetzesvorschlag weist daher in die richtige Richtung. „Open Source First" ist zum ersten Mal in der Geschichte der EU direkt im Gesetzestext verankert und nicht nur ein Erwägungsgrund. Dennoch bleibt der Vorschlag hinsichtlich Verbindlichkeit und Durchsetzbarkeit hinter seinen Möglichkeiten zurück.

Open Source darf nicht nur eine Beschaffungspräferenz sein, die gegen andere Kriterien wie Kosten und Funktionalität abgewogen wird. Notwendig ist eine klare verfahrensrechtliche Anforderung: Bevor öffentliche Gelder für proprietäre Software ausgegeben werden, sollen Vergabestellen dazu verpflichtet werden, zu prüfen, ob eine qualifizierte Open-Source-Lösung existiert. Dieser Prüfprozess muss dokumentiert und transparent nachvollziehbar sein. Zudem sollte die Begründungslast bei der Entscheidung liegen, die Abhängigkeit schafft – nicht bei der Entscheidung, die sie vermeidet. Gemeinsam mit über 120 anderen europäischen Open-Source-Anbietern und Unterzeichnern haben wir dies in unserem offenen Brief an die Kommission deutlich gemacht.

Open Source ist die einzige architektonische Voraussetzung, unter der europäische Souveränität real wird. Dies wiederum kann der Hebel sein, um Wachstum und Innovation in Europa voranzutreiben. Das Signal der EU-Kommission ist mit dem vorliegenden Gesetzesvorschlag gegeben – aber Struktur und verbindliches Handeln müssen folgen. Dies wird sich nun im weiteren Verlauf des Gesetzgebungsverfahrens entscheiden.

Andreas Prins

Global Head of Sovereign Solutions, SUSE

Bild: SUSE

Eco und CCIA: mangelnde Praxistauglichkeit und Abschottungsgefahr

Der globale Verband der Softwareindustrie Business Software Alliance äußert vorsichtige Kritik. „Die Kommission adressiert zu Recht Bedenken hinsichtlich Betriebskontinuität, Cybersicherheit und strategischer Abhängigkeiten". Doch schlage sie „einen falschen Weg ein“. Die Stufenskala würde den Zugang öffentlicher Institutionen in Europa zu „innovativen Cloud- und KI-Diensten einschränken“. Zudem operiere sie mit „Kriterien von Eigentümerschaft und Kontrolle statt objektiver Sicherheitsergebnisse“.

Der Branchenverband der Internetwirtschaft eco hingegen, von dessen Kritik der Datacenter-Strategie wir berichteten, legt auch in Bezug auf die Souveränitätsskala nach und warnt ganz im Gegenteil zu CISPE vor „politisch motivierte[n] Whitelists“. Souveränitätsstufen sollten besser begründet sein sowie verhältnismäßig und praxistauglich bleiben. „Entscheidend dürfen nicht pauschale Herkunftsfragen sein, sondern konkrete Anforderungen an Sicherheit, Datenschutz, Rechtsklarheit, Interoperabilität und wirtschaftliche Leistungsfähigkeit“.

Auch die internationale Computer & Communications Industry Association argumentiert in diese Richtung, ist aber nochmals schärfer in der Wortwahl. Der Verband beklagt „protektionistische Hürden“, „Diskriminierung“ und Wettbewerbsfeindlichkeit. Nicht nur öffentliche Strukturen, sondern zum Teil auch private Unternehmen könnten durch CADA gezwungen werden, „weniger kompetitive Lieferanten zu wählen, wenn ihre Anbieter der Wahl nicht unter CADA-Voraussetzungen operieren können“.

Applaus von Gaia-X

Gaia-X, der Verband zur Errichtung einer europäischen Cloud-Infrastruktur, zelebriert hingegen den Gesetzentwurf deutlich als „praktischen, vertrauenswürdigen Weg zu einer europäischen digitalen Souveränität“. Der eingeschlagene Weg stehe in vollem Einklang mit der Mission von Gaia-X. Denn „KI-Souveränität funktioniert nur, wenn Cloud, Daten und Vertrauen gemeinsam geschaffen werden“.

Die Stiftung verweist auf ihr 2025 vorgestelltes Zertifizierungssystem für die Souveränität von Cloud-Diensten als wichtigen Proof-of-Concept. Erste Cloud-Dienste hätten bereits die höchste der drei vorgeschlagenen Souveränitätsstufen erfolgreich erreicht, während CISPE zugesagt habe, bis zu 3.000 europäische Cloud-Dienste nach Gaia-X-Kriterien zu zertifizieren.

(ID:50874332)