Die Europäische Kommission hat mit der Einführung des neuen EU Cloud Sovereignty Framework einen entscheidenden Schritt unternommen, um digitale Souveränitätsstandards für Anbieter und deren Lieferketten messbar und durchsetzbar zu gestalten. Das Rahmenwerk zielt darauf ab, die Abhängigkeit von außereuropäischen Cloud-Infrastrukturen zu verringern und klare Bewertungskriterien für Sicherheit und Datenkontrolle zu etablieren.
Umfassendes Bewertungssystem für Cloud-Anbieter
Der neue Rahmen bewertet Cloud-Dienstleister in drei zentralen Kategorien: der rechtlichen und jurisdiktionalen Souveränität, der operativen Kontrolle sowie der Daten- und KI-Souveränität. Dabei definiert das Framework acht spezifische Souveränitätsziele, die von SOV-1 bis SOV-8 reichen. Zur Einstufung der Anbieter dient ein fünfstufiges System, das sogenannte SEAL-System, welches die Stufen 0 bis 4 umfasst.
Ein wesentlicher Bestandteil der Umsetzung ist der EU-Sovereignty-Assessment-Rechner. Dieses Tool umfasst 48 Kriterien in acht Bereichen. Die Gesamtbewertung eines Anbieters folgt dabei dem Prinzip des schwächsten Glieds, was bedeutet, dass die niedrigste Einzelbewertung in einem der Bereiche maßgeblich für die Gesamteinstufung ist. Obwohl das Rahmenwerk bereits seit Ende Oktober des vergangenen Jahres in Kraft ist, gewinnt es nun durch die konkrete Anwendung in der öffentlichen Beschaffung an Bedeutung. Konforme Anbieter sollen bei Ausschreibungen der öffentlichen Hand bevorzugt behandelt werden.
Marktdruck und geopolitische Abhängigkeiten
Die Notwendigkeit für ein solches Framework unterstreichen aktuelle Branchendaten. Laut dem Bitkom Cloud Report 2026 sehen 85 % der befragten Unternehmen Deutschland als zu abhängig von US-amerikanischen Anbietern an. Zudem gaben 64 % der Befragten an, ihre IT-Strategie aufgrund der aktuellen US-Politik zu überprüfen. Dies ist besonders relevant, da US-Hyperscaler wie Microsoft, Amazon und Google derzeit rund 70 % des Marktes beherrschen.
Ein kritischer Punkt bleibt der US CLOUD Act. Der Chefjustiziar von Microsoft räumte bereits im Juni 2025 ein, dass das Unternehmen nicht garantieren könne, dass Daten europäischer Kunden vor dem Zugriff durch US-Behörden geschützt seien. Vor diesem Hintergrund gewinnen lokale Lösungen an Bedeutung. Marktforscher von Gartner beobachteten bereits im Jahr 2025, dass 61 % der CIOs in Westeuropa den Einsatz lokaler Cloud-Anbieter anstrebten.
Wer sich mit dem Thema digitaler Souveränität befasst, sollte auch die rechtlichen Rahmenbedingungen für die eigene IT-Sicherheit kennen. Dieser kostenlose Report klärt auf, welche neuen Pflichten und Cyberrisiken Unternehmer jetzt unbedingt beachten müssen. Informationen zu neuen KI-Gesetzen und Bedrohungen jetzt anfordern
Wachstum des souveränen Cloud-Marktes
Der europäische Markt für souveräne Infrastructure-as-a-Service (IaaS) verzeichnet ein signifikantes Wachstum. Experten prognostizieren einen Anstieg des Marktvolumens von 6,9 Mrd. US-Dollar im Jahr 2025 auf 12,6 Mrd. US-Dollar im Jahr 2026, was einem Zuwachs von 83 % entspricht. Etwa 60 % der westeuropäischen IT-Verantwortlichen erhöhen ihre Ausgaben bei regionalen Anbietern.
Parallel dazu greifen staatliche Akteure verstärkt ein, um die Souveränität zu wahren. In den Niederlanden stoppte ein Regierungsveto die geplante Übernahme eines lokalen Datenverwalters durch das Unternehmen Kyndryl, um den Zugriff auf die Daten von 16,5 Mio. Bürgern zu schützen. Frankreich setzt verstärkt auf Open-Source-Lösungen und ersetzt auf Behördenrechnern Windows durch Linux. Eine französische Krankenkasse migrierte bereits 80.000 Mitarbeiter von Plattformen wie Microsoft Teams, Zoom und Dropbox auf alternative Systeme.
Regulatorisches Umfeld und technologische Kooperationen
Das neue Framework fügt sich in eine Reihe bestehender Regulierungen ein. Hierzu zählen der EU Data Act, der seit September 2025 die Datenportabilität stärkt, sowie die NIS2-Richtlinie, die seit Dezember 2025 rund 30.000 Unternehmen in Deutschland zu strengen Cybersicherheitsmaßnahmen verpflichtet. Für den Finanzsektor ist zudem seit Januar 2025 die DORA-Verordnung maßgeblich.
Um die IT-Sicherheit im eigenen Unternehmen proaktiv zu stärken und gesetzliche Anforderungen ohne hohe Investitionen zu erfüllen, bietet dieses E-Book praxisnahe Hilfestellungen. Erfahren Sie, wie Sie bestehende Sicherheitslücken effizient schließen und Ihre Infrastruktur langfristig absichern. Gratis-E-Book: Praxis-Tipps für die Unternehmenssicherheit herunterladen
Um technologische Alternativen zu fördern, unterstützen Forschungsinstitute wie das Fraunhofer ISST und AISEC Unternehmen wie SAP im Projekt ApeiroRA. Ziel ist der Aufbau einer europäischen, anbieterneutralen Cloud-Edge-Infrastruktur. Die Ergebnisse dieses Projekts sollen in die Open-Source-Stiftung der Linux Foundation Europe einfließen. Für deutsche kleine und mittlere Unternehmen (KMU) bietet das concept der „Shared Sovereignty“ eine Lösung: Durch Branchen-Clouds mit geteilten Zertifizierungen und Sicherheitskonzepten können sie souveräne Infrastrukturen nutzen, ohne eigene Millionenbudgets investieren zu müssen.
