Brüssel veröffentlicht sein erstes Souveränitäts-Zeugnis
Die Europäische Kommission vergab am 17. April 2026 die ersten Verträge im Rahmen ihres neuen Cloud-Souveränitätsrahmens, einem 180-Millionen-Euro-Beschaffungsrahmen über sechs Jahre unter dem Cloud-III-Dynamic-Purchasing-System der Kommission, das laut Berichterstattung von Help Net Security bereits im Oktober 2025 gestartet war. Mit der Vergabe führte die Kommission eine gestufte Bewertungsskala namens SEAL ein, für Sovereignty Effectiveness Assurance Level, die von SEAL-0 bis SEAL-4 reicht, wobei SEAL-0 vollständig fehlende Souveränität markiert und SEAL-4 eine vollständige EU-Lieferkette vom Chip bis zur Software verlangt.
Anbieter mussten mindestens SEAL-2 erreichen, von der Kommission als Datensouveränitäts-Stufe bezeichnet, um überhaupt für einen Vertrag infrage zu kommen. Diese Schwelle ist entscheidend, weil sie eine vage, selbst erklärte Behauptung von Souveränität durch eine konkrete Hürde ersetzt, die jeder Bieter nehmen musste, bevor Brüssel sein Angebot überhaupt prüfte, bewertet anhand von acht gewichteten Zielen zu Strategie, rechtlichem Schutz, operativer Kontrolle, Umweltverantwortung, Transparenz der Lieferkette, technologischer Offenheit, Sicherheit und Einhaltung von EU-Recht.
Vier Gewinner, zwei unterschiedliche Souveränitätsstufen
Vier Konsortien nahmen die Hürde und halten nun Verträge im Rahmen des Programms, jedes in einem anderen EU-Land verankert und jedes auf einer anderen SEAL-Stufe gelandet. Post Telecom aus Luxemburg gewann gemeinsam mit dem französischen OVHcloud und CleverCloud; das deutsche STACKIT, das dem Schwarz-Konzern gehört, zu dem auch Lidl und Kaufland zählen, gewann allein; das französische Scaleway, im Besitz von Iliad, gewann ebenfalls allein; und ein belgisch geführtes Konsortium aus Proximus, S3NS, Clarence und dem französischen KI-Unternehmen Mistral AI gewann den vierten Vertrag.
| Konsortium | Heimatland | Erreichte SEAL-Stufe |
|---|---|---|
| Post Telecom mit OVHcloud und CleverCloud | Luxemburg / Frankreich | SEAL-3 |
| STACKIT (Schwarz-Konzern) | Deutschland | SEAL-3 |
| Scaleway (Iliad) | Frankreich | SEAL-3 |
| Proximus mit S3NS, Clarence und Mistral AI | Belgien / Frankreich | SEAL-2 |
Post Telecom, STACKIT und Scaleway erreichten alle SEAL-3, die Stufe, die die Kommission als immun gegenüber Störungen einer Lieferkette außerhalb der EU definiert. Das von Proximus geführte Konsortium erreichte SEAL-2, also genau die Mindestschwelle, was widerspiegelt, dass seine technische Umgebung auf Google-Cloud-Technologie aufbaut, auch wenn jedes beteiligte Unternehmen in der Kette in der EU ansässig ist.
Eine Liste zum Kaufen heute, kein Versprechen für später
Die meiste EU-Souveränitätspolitik ist bislang auf der Ebene eines Zieldatums oder eines Strategiepapiers stehen geblieben. Dieser Rahmen unterscheidet sich davon: Er benennt vier konkrete Anbieter, nennt die Souveränitätsstufe, die jeder erreicht hat, und lässt jedes EU-Unternehmen, das gerade seine Abhängigkeit vom US-CLOUD-Act oder von einer künftigen geopolitischen Störung des Cloud-Zugangs prüft, schon jetzt von einer bewerteten, zitierbaren Liste einkaufen.
Diese Unmittelbarkeit ist hier die eigentliche Geschichte, nicht die Beschaffungsmechanik. Ein Unternehmen, das befürchtet, eine ausländische Regierung könnte sich Zugriff auf seine Clouddaten erzwingen, muss nicht länger auf ein künftiges Regelwerk warten, das ihm sagt, wer qualifiziert ist; es kann auf STACKIT, Scaleway, das von OVHcloud geführte Post-Telecom-Konsortium oder die mit Mistral AI verbundene Proximus-Gruppe zeigen und jeden Einzelnen direkt fragen, welche SEAL-Stufe er tatsächlich belegen kann.
Die Lücke zwischen SEAL-2 und SEAL-3 ist das eigentliche Beschaffungssignal
Drei der vier Gewinner erreichten SEAL-3, während einer nur SEAL-2 erreichte, und diese Grenze zog die Kommission selbst, statt sie der Marketingsprache zu überlassen. Ein Anbieter, der sich souverän nennt, behauptet damit eine ganz bestimmte Stufe auf einer fünfstufigen Skala, und die Lücke zwischen SEAL-2 und SEAL-3 markiert den Unterschied zwischen Datensouveränität und tatsächlicher Immunität gegen Störungen einer Lieferkette außerhalb der EU.
Jedes Beschaffungsteam, das einen Cloud-Vertrag abwägt, sollte diese Lücke seinem eigenen Anbieter vorlegen, ob souverän beworben oder nicht: Welche SEAL-Stufe würde er tatsächlich erreichen, und bei welchem der acht gewichteten Ziele würde er zurückbleiben. Die Kommission hat jetzt gezeigt, dass diese Frage eine konkrete, bewertbare Antwort hat, keine aus der Werbeabteilung.
Weiterlesen: Berlin lernt Souveränität, Brüssel entschied anders | Airbus' Souveränitätsdeal lässt Skywise bei AWS
