Cloud and AI Development Act 2026: Neue EU-Regeln

Stand: Oktober 2026
Lesezeit: ca. 5 Minuten

Der von der Europäischen Kommission geplante Cloud and AI Development Act markiert einen zentralen Baustein zur Stärkung der digitalen Souveränität Europas. Der EU-Verordnungsvorschlag etabliert einen harmonisierten Rechtsrahmen für Cloud-Infrastrukturen, Rechenzentren und KI-Systeme. Er knüpft direkt an bestehende Regulierungswerke wie die NIS2-Richtlinie, den AI Act und datenschutzrechtliche Vorgaben an.

Im Zentrum der Neuregelung steht das Union Cloud Sovereignty Framework mit vier gestaffelten Assurance Levels. Für Cloud-Anbieter, Rechenzentrumsbetreiber, öffentliche Auftraggeber sowie Unternehmen aus dem KRITIS- und NIS2-Umfeld entstehen dadurch weitreichende technische, organisatorische und rechtliche Compliance-Pflichten.

Das Wichtigste zum Cloud and AI Development Act auf einen Blick

• Union Cloud Sovereignty Framework: Einführung von vier klar definierten Assurance Levels zur Bewertung von Sicherheit, Datenlokalisierung und Unabhängigkeit von Drittstaaten.

• Nachweis & Transparenz: Verpflichtung zu Self-Assessments, externen Audits durch akkreditierte Stellen sowie zur Registrierung in einem zentralen EU-Cloud-Register.

• Infrastruktur-Beschleunigung: Einrichtung von Data Centre Acceleration Zones zur Verkürzung von Planungs- und Genehmigungsverfahren für strategische Rechenzentren.

• Öffentliche Vergabe & KRITIS: Verbindliche Risikoanalysen und Vorgaben zur Mindest-Assurance-Stufe bei öffentlichen Ausschreibungen sowie für NIS2-pflichtige Organisationen.

• Open-Source-Governance: Pflicht zum Aufbau strukturierter Governance-Systeme zur Lizenz- und Sicherheitskontrolle genutzter Open-Source-Komponenten.

Der Cloud and AI Development Act im Überblick

Hintergründe & Ziele der EU-Cloud- und KI-Strategie

Die europäische Wirtschaft und Verwaltung weisen eine hohe Abhängigkeit von außereuropäischen Hyperscalern und Cloud-Infrastrukturen auf. Der Gesetzgeber sieht darin Risiken für die digitale Souveränität, die IT-Sicherheitsarchitektur und den Unterbau KI-gestützter Anwendungen im Binnenmarkt.

Ziel des Cloud and AI Development Act ist es, einheitliche technische Mindeststandards durchzusetzen, transparente Lieferketten zu schaffen und die Interoperabilität europäischer Cloud-Ökosysteme nachhaltig zu stärken.

Assurance Levels, Vergabe & Open Source: Neue Pflichten im Detail

1. Das Union Cloud Sovereignty Framework und die vier Assurance Levels

Das Framework gliedert Cloud-Dienste in vier Risikostufen. Während niedrigere Stufen grundlegende Cybersecurity-Anforderungen abdecken, verlangen höhere Assurance Levels eine strikte Datenlokalisierung innerhalb der EU, den Schutz vor extraterritorialen Datenzugriffen durch Drittstaaten sowie den Nachweis vollständiger auditierbarer Unabhängigkeit.

2. Nachweispflichten, Audits und das europäische Cloud-Register

Cloud-Anbieter müssen ihre Dienste eigenständig evaluieren (Self-Assessment) und ab definierten Niveaus durch unabhängige Prüfstellen zertifizieren lassen. Die Ergebnisse fließen in ein öffentliches EU-Register ein, das als Grundlage für die Auswahl von Dienstleistern dient.

3. Anpassungen in der öffentlichen Beschaffung und im NIS2-Umfeld

Öffentliche Auftraggeber und Organisationen im NIS2-Anwendungsbereich müssen vor dem Einsatz von Cloud-Lösungen strukturierte Risikoanalysen durchführen. Die Beschaffung kritischer IT-Dienste wird künftig an das Erreichen hoher Assurance Levels gekoppelt.

4. Vorgaben zur Open-Source-Governance und Infrastruktur

Unternehmen im Anwendungsbereich werden verpflichtet, dokumentierte Prozesse für den Einsatz von Open-Source-Software zu etablieren. Flankierend vereinfachen die Data Centre Acceleration Zones die Ansiedlung und den zügigen Bau moderner Rechenzentren.

Sanktionen, Zertifikatsverlust & Aufsichtsrecht

Bei Nichtbeachtung der Vorgaben drohen gestaffelte Sanktionen. Neben direkten Geldbußen und aufsichtsrechtlichen Anordnungen der nationalen Behören wiegt das Marktrisiko besonders schwer: Den Anbietern droht der Entzug der Zertifizierung im EU-Register sowie der Ausschluss von öffentlichen Vergabeverfahren und Aufträgen aus dem NIS2- und KRITIS-Sektor.

Handlungsbedarf für Cloud-Anbieter, IT-Dienstleister & Enterprise-Kunden

Um die Vorgaben des Cloud and AI Development Act rechtzeitig in die Unternehmensstrategie zu integrieren, sollten betroffene Akteure folgende Schritte veranlassen:

• Eigene Cloud-Produkte klassifizieren: Cloud- und IT-Anbieter sollten ihr Portfolio frühzeitig bewerten und festlegen, welche Assurance Levels angestrebt werden.

• Beschaffungs- & Vendor-Risk-Prozesse anpassen: Enterprise-Kunden und öffentliche Auftraggeber müssen ihre Kriterien bei der Cloud-Auswahl an das neue Framework und NIS2-Anforderungen angleichen.

• Open-Source-Governance aufbauen: Ein zentrales Software-Bill-of-Materials-Management (SBOM) und Prüfroutinen für Open-Source-Komponenten installieren.

Quelle