Digitale Souveränität: EU-Cloud-Gesetz 2026 für KMU

Mit dem am 3. Juni 2026 vorgestellten europäischen Technologie-Souveränitätspaket ist digitale Souveränität endgültig vom Schlagwort zur konkreten Rechtsmaterie geworden. Die EU-Kommission hat ein Gesetzespaket auf den Weg gebracht, das Halbleiter, künstliche Intelligenz, Cloud-Dienste und Open Source umfasst - und das die Spielregeln für jeden verändert, der Daten in der Cloud verarbeitet. Für kleine und mittlere Unternehmen (KMU) in Leipzig und Sachsen ist das mehr als europäische Hochpolitik: Es betrifft die Frage, wem Ihre Geschäftsdaten tatsächlich gehören und wer im Ernstfall den Zugriff kontrolliert.

Der Auslöser ist eine klare Sorge, die EU-Vertreter mit dem Satz "Wir wollen sicher sein, dass niemand einen Kill-Switch hat" zusammengefasst haben. Gemeint ist das Risiko, dass eine ausländische Regierung kritische Cloud-Dienste schlicht abschalten oder auf Daten zugreifen könnte. In diesem Beitrag ordnen wir das neue Regelwerk ein und zeigen, welche praktischen Schritte für den Mittelstand sinnvoll sind.

Was hinter dem EU-Souveränitätspaket 2026 steckt

Kernstück des Pakets ist der Cloud and AI Development Act (CADA), den die Kommission am 3. Juni 2026 als Verordnungsentwurf vorgelegt hat. Ziel ist es, den Ausbau von Rechenzentren in der EU zu erleichtern und erstmals einen einheitlichen Rahmen zu schaffen, mit dem sich die Souveränität von Cloud- und KI-Diensten objektiv bewerten lässt. Hintergrund ist eine starke Marktkonzentration: Der Löwenanteil der europäischen Cloud-Workloads liegt bei wenigen US-Anbietern, was strategische Abhängigkeiten erzeugt.

Der politische Anspruch ist ehrgeizig. CADA soll nicht nur Genehmigungen für neue Rechenzentren beschleunigen und bürokratische Hürden senken, sondern auch gezielt Investitionen in europäische Cloud- und KI-Kapazitäten anschieben. Damit reiht sich das Gesetz in eine ganze Reihe von Vorhaben ein, mit denen die EU ihre technologische Abhängigkeit verringern will. Für den Mittelstand zählt vor allem die Signalwirkung: Souveränität wird zum Auswahlkriterium, nach dem Behörden, Konzerne und regulierte Branchen ihre Dienstleister bewerten - und dieser Maßstab färbt auf die gesamte Lieferkette ab.

Bemerkenswert ist die Dringlichkeit, die der Markt selbst signalisiert. In einer EuroCloud-Umfrage nennen 45 Prozent der Mitglieder Souveränität als Top-Trend Nummer eins für 2026 - noch vor künstlicher Intelligenz. Begleitet wird das durch Infrastrukturprojekte wie die Anfang Februar 2026 in München eröffnete Industrial AI Cloud der Deutschen Telekom, eine der größten KI-Infrastrukturen Europas. Solche Leuchtturmprojekte zeigen, dass leistungsfähige europäische Alternativen entstehen - und dass der Wechsel zu ihnen technisch realistisch wird.

Die vier Souveränitätsstufen verständlich erklärt

Das Herzstück von CADA ist ein EU Cloud Sovereignty Framework mit vier sogenannten Assurance-Levels. Öffentliche Stellen sollen je nach Risikobewertung die passende Stufe verlangen. Die Kriterien reichen von Kontrolle über den Dienst und die Lieferkette über den Umgang mit Daten und den Standort der Infrastruktur bis zur Cybersicherheit.

• Level 1: Grundstufe, die praktisch jeder Anbieter erfüllen muss, der den öffentlichen Sektor beliefern will.
• Level 2: Nachweis der Unabhängigkeit von Drittstaaten und Transparenz über die Software-Lieferkette.
• Level 3: Eigentum und Kontrolle aus der EU heraus, inklusive zusätzlicher Kriterien wie der Staatsangehörigkeit von Schlüsselpersonal.
• Level 4: Strengste Stufe - keine Kontrolle durch einen Drittstaat, ein europäisches Cybersicherheitszertifikat mindestens auf Stufe "hoch" und effektive Kontrolle über alle Softwarekomponenten.

Praktisch heißt das: US-Hyperscaler wie AWS, Microsoft Azure und Google Cloud werden die höchsten Stufen kaum erreichen können. Grund ist der US Cloud Act von 2018, der US-Behörden den Zugriff auf Daten amerikanischer Unternehmen erlaubt - unabhängig davon, wo diese Daten physisch liegen. Genau hier zieht die EU für sensible Verwaltungsworkloads eine Grenze.

Wichtig für das Verständnis: Die vier Stufen sind kein Werturteil über die Qualität eines Anbieters, sondern eine Risikoeinordnung. Ein Hyperscaler kann für eine öffentliche Marketing-Website völlig ausreichen, während Gesundheits-, Personal- oder Steuerdaten nach einer höheren Stufe verlangen. Auch für KMU ist diese Logik anschlussfähig: Sie müssen nicht alles auf Level 4 heben, sondern für jeden Datentyp die passende Stufe wählen. So wird aus einer abstrakten EU-Verordnung ein praktisches Raster für die eigene Cloud-Strategie.

Digitale Souveränität ist mehr als ein deutsches Rechenzentrum

Ein verbreiteter Irrtum verdient besondere Aufmerksamkeit: Datenresidenz ist nicht gleich Datensouveränität. Dass Ihre Daten in einem Frankfurter oder Leipziger Rechenzentrum liegen, sagt noch nichts darüber aus, wer rechtlich Zugriff nehmen kann. Entscheidend ist die strategische Fähigkeit, digitale Technologien, Daten und Prozesse selbstbestimmt zu gestalten und zu kontrollieren.

Für KMU bedeutet echte digitale Souveränität deshalb, drei Ebenen zu trennen: den physischen Speicherort, die rechtliche Kontrolle über den Betreiber und die technische Fähigkeit, Daten jederzeit migrieren zu können. Ein Anbieter, der mit dem Etikett "souveräne Cloud" wirbt, aber zu einem US-Mutterkonzern gehört, erfüllt vielleicht die Residenz, nicht aber die Souveränität.

Hilfreich ist es, sich konkrete Prüffragen zu stellen. Wem gehört das Unternehmen, das den Dienst betreibt, und welcher Rechtsordnung unterliegt es? Wer hält die Schlüssel zur Verschlüsselung - der Anbieter oder Sie selbst? Ließen sich die Daten innerhalb weniger Tage in einem offenen Format exportieren? Erst wenn Sie diese Fragen beantworten können, wissen Sie, wie souverän Ihre Cloud-Nutzung wirklich ist. Gerade im Mittelstand werden solche Punkte oft erst im Krisenfall sichtbar - etwa wenn ein Anbieter Preise drastisch erhöht oder einen Dienst einstellt.

Was KMU jetzt konkret tun sollten

Auch wenn CADA primär den öffentlichen Sektor adressiert, wirkt das Framework als Maßstab in die Breite: Wer an die öffentliche Hand liefert oder mit regulierten Kunden arbeitet, wird die Stufen schon bald in Ausschreibungen wiederfinden. Hinzu kommen das NIS2-Umsetzungsgesetz und der EU Data Act, die ohnehin Druck aufbauen.

• Erstellen Sie eine Bestandsaufnahme: Welche Daten liegen bei welchem Anbieter, und welcher Rechtsordnung unterliegt dieser?
• Klassifizieren Sie Workloads nach Schutzbedarf - nicht alles muss auf der höchsten Souveränitätsstufe liegen.
• Prüfen Sie europäische und deutsche Alternativen für besonders sensible Daten.
• Verankern Sie eine Exit-Fähigkeit vertraglich, damit ein Wechsel technisch und rechtlich möglich bleibt.

Behandeln Sie das Thema als Prozess, nicht als einmaliges Projekt. Eine sinnvolle Reihenfolge: zuerst Transparenz schaffen, dann die sensibelsten Daten zuerst absichern und zuletzt die weniger kritischen Workloads nach Bedarf migrieren. So vermeiden Sie es, in blinden Aktionismus zu verfallen und alles gleichzeitig umbauen zu wollen. Wichtig ist auch, die Verantwortung klar zu verankern - idealerweise bei einer Person, die IT-Betrieb, Datenschutz und Geschäftsleitung zusammenbringt.

Praxisbeispiel: Ein Leipziger Mittelständler ordnet seine Cloud

Nehmen wir ein typisches Szenario: Ein produzierendes Unternehmen mit 80 Beschäftigten nutzt eine US-Office-Suite, ein CRM in der Cloud und eine selbst betriebene Branchensoftware. Eine Bestandsaufnahme zeigt, dass Personal- und Konstruktionsdaten besonders schützenswert sind, während allgemeine Bürokommunikation und öffentliche Marketinginhalte unkritisch bleiben.

Die Konsequenz ist kein kompletter Anbieterwechsel, sondern eine bewusste Aufteilung. Sensible Daten wandern zu einem europäischen Anbieter mit nachweisbarer Kontrolle, weniger kritische Dienste bleiben vorerst beim gewohnten Anbieter. Gleichzeitig werden Exportwege getestet und vertraglich abgesichert. Das Ergebnis: messbar höhere Souveränität bei sensiblen Daten, ohne dass das gesamte Tagesgeschäft umgestellt werden muss. Genau diese differenzierte Herangehensweise macht digitale Souveränität für KMU bezahlbar und beherrschbar.

Fazit

Das EU-Souveränitätspaket von Juni 2026 macht aus einem Trendthema eine Planungsgröße. Die vier Assurance-Levels liefern erstmals einen klaren Maßstab, an dem sich auch der Mittelstand orientieren kann. Wer jetzt seine Datenlandschaft strukturiert, vermeidet teure Hauruck-Migrationen, wenn die Anforderungen in Ausschreibungen und Lieferketten ankommen. Souveränität ist kein Verzicht auf Komfort, sondern eine bewusste Entscheidung darüber, welche Daten welche Schutzstufe brauchen.

Sie sind unsicher, welche Souveränitätsstufe zu Ihren Workloads passt? Cryon aus Leipzig analysiert Ihre Cloud-Landschaft, klassifiziert Ihre Daten nach Schutzbedarf und entwickelt mit Ihnen eine souveräne, praxistaugliche Infrastruktur. Sprechen Sie uns an - wir bringen Klarheit in Ihre Cloud-Strategie.