EU-Cloud-Gesetz spaltet die Verteidigungsbranche

Verteidigungsbeamte wehren sich gegen Brüssels Cloud-Vorstoß

Europäische Verteidigungsbeamte und Rüstungsunternehmen widersetzen sich öffentlich dem Cloud and AI Development Act der Europäischen Kommission, einem im Juni 2026 vorgestellten Gesetz, das öffentliche Dienste nach Sensibilität einstufen soll. Erklärtes Ziel des Gesetzes ist es, die strukturelle Abhängigkeit der Europäischen Union von amerikanischen Hyperscalern zu verringern, doch Beamte in mehreren Mitgliedstaaten argumentieren, der Zeitplan sei schneller als die Reife heimischer Alternativen.

Nur die höchste Sensibilitätsstufe würde "rein einheimische" Technologie verlangen, und nach Schätzung der Kommission selbst betrifft diese Stufe nur rund ein Prozent der öffentlichen Dienste. Verteidigungsbeamte und Auftragnehmer warnen, ein schneller Rückzug von Amazon Web Services, Microsoft Azure und Google Cloud, die zusammen rund 70 Prozent des EU-Cloud-Marktes halten, berge das Risiko minderwertiger Systeme, größerer Cyber-Lücken und schwierigerer Abstimmung mit NATO-Verbündeten. Immer wieder verweisen Beamte auf den Kampfjet F-35: Seine digitale Infrastruktur läuft eingebettet auf amerikanischen Cloud-Diensten statt als austauschbares Abonnement, genau jene Abhängigkeit, die die höchste Stufe beenden soll.

Zwei hochrangige EU-Verteidigungsbeamte und mehrere europäische Rüstungsunternehmen schätzen den amerikanischen Vorsprung bei Cloud- und KI-Verteidigungsplattformen auf acht bis zehn Jahre, eine Lücke, die sich nach ihrer Einschätzung im Zeitplan des Gesetzes nicht schließen lässt. Nicht jeder Auftragnehmer wartet ab: Airbus kündigte im Juli 2026 an, einige kritische Anwendungen von AWS zum französischen Anbieter Scaleway zu verlagern, noch vor jeder rechtlichen Pflicht dazu.

Vier Stufen, eine Spitzenstufe: Was 'rein einheimisch' wirklich verlangt

Das Cloud and AI Development Act legt vier aufsteigende Souveränitätsstufen fest, und nur die letzte verlangt einen vollständig einheimischen Stack. Stufe eins verlangt den physischen Speicherort der Daten innerhalb der EU, eine Hürde, die die meisten bestehenden Hyperscaler-Verträge bereits erfüllen. Stufe zwei fügt Unabhängigkeit von Drittstaatenrecht und transparente Lieferketten hinzu und schließt Konstellationen aus, in denen eine ausländische Regierung Datenzugriff erzwingen könnte. Stufe drei verlangt EU-Eigentum und -Kontrolle des Anbieters selbst, nicht nur seiner Rechenzentren. Stufe vier, vorbehalten den rund ein Prozent der als am sensibelsten eingestuften Dienste, verlangt vollständige Software-Transparenz und keinerlei Einfluss von Drittstaaten.

Finnlands Außenministerin Elina Valtonen formulierte die zugrunde liegende Sorge unverblümt: Helsinki bereite sich auf das Risiko vor, dass ein ausländischer Anbieter einen "Kill Switch" gegen das Land einsetzen könnte. NATO-Vizegeneralsekretär James Appathurai hielt dagegen aus Sicht der Interoperabilität und betonte, verbündete Streitkräfte müssten Gefechtsfelddaten nahtlos und schnell austauschen können, eine Anforderung, die schwieriger wird, je mehr der Cloud-Stack eines Mitgliedstaats von dem seiner Nachbarn abweicht.

Jenseits des Streits: Ein Zwei-Geschwindigkeiten-Compliance-Problem entsteht

Der Schlagzeilenstreit dreht sich darum, wie schnell die Europäische Union ihre Cloud-Abhängigkeit verringern sollte, doch die nützlichere Frage für einen Unternehmer ist, was passiert, sobald Stufe vier tatsächlich nur für ein Prozent der Dienste gilt. Souveränität als politisches Ziel und Souveränität als operatives Risiko werden in der Debatte wie dasselbe Problem behandelt; das sind sie nicht. Das politische Ziel ist es, strukturellen Einfluss zu verringern, den eine ausländische Regierung in einer Krise über öffentliche Dienste in Europa ausüben könnte. Das operative Risiko besteht darin, dass ein erzwungener Wechsel nach festem Zeitplan, bevor heimische Alternativen eine Lücke von acht bis zehn Jahren geschlossen haben, genau jene Cyber- und Interoperabilitätsausfälle erzeugen könnte, die das Gesetz verhindern soll.

Diese Aufspaltung erzeugt ein Zwei-Geschwindigkeiten-Compliance-Problem, das neben den Souveränitätsschlagzeilen kaum Beachtung findet. Neunundneunzig Prozent der erfassten Dienste bleiben unter den Stufen eins und zwei bei weitgehend unveränderten Hyperscaler-Vereinbarungen, die meist Praktiken formalisieren, die AWS, Azure und Google Cloud bereits unterstützen. Das verbleibende eine Prozent braucht eine völlig eigenständige, viel kleinere Lieferkette heimischer Anbieter, und es ist nicht klar, ob diese Lieferkette bereits in dem Umfang und der Reife existiert, die das Gesetz voraussetzt. Auftragnehmer, die diese Spitzenstufe bedienen, von Anbietern wie Scaleway bis zu verteidigungsspezifischen Cloud-Anbietern, die heute kaum existieren, sollen gegen eine politisch gesetzte Frist hochskalieren, statt gegen eine, die ihrer eigenen Kapazität entspricht. Auftragnehmer, die alle anderen bedienen, stehen vor einer deutlich leichteren Compliance-Last, verpackt in dieselbe "Souveränitäts"-Sprache, wodurch beide Gruppen und ihre öffentlichen Auftraggeber leicht falsch einschätzen können, welche Regeln für sie tatsächlich gelten.

Worauf ein EU-verteidigungsnaher Unternehmer achten sollte

Ein Unternehmer, der an EU-Behörden oder verteidigungsnahe Auftraggeber verkauft, sollte zuerst klären, unter welche der vier Stufen die eigenen Verträge fallen werden, denn die Pflichten der Stufen eins und zwei liegen nahe an der aktuellen Praxis, während Stufe vier ein völlig anderes Geschäft ist. Fragen Sie, ob aktuelle Cloud- oder Softwareanbieter einen glaubwürdigen Weg zur Zertifizierung nach Stufe drei oder vier haben oder ob diese Arbeit noch gar nicht begonnen hat, denn ein unvorbereiteter Anbieter bei einem Vertrag der Spitzenstufe wird auch zum Problem des Käufers.

Beobachten Sie, wie einzelne Mitgliedstaaten das Gesetz umsetzen, denn gerade die östlichen und nordischen Staaten, denen NATO-Interoperabilität am wichtigsten ist, dürften auch am ehesten Ausnahmen oder langsamere Zeitpläne für verteidigungsnahe Dienste anstreben, was zusätzlich zum EU-weiten ein zweites, nationales Zwei-Geschwindigkeiten-Muster schaffen könnte. Verfolgen Sie schließlich, ob in den nächsten zwei bis drei Jahren überhaupt eine echte, rein einheimische Cloud- und KI-Lieferkette entsteht; geschieht dies nicht, droht die Ein-Prozent-Stufe zu einer Compliance-Kategorie ohne Anbieter zu werden, was selbst ein operatives Risiko darstellt.

Weiterlesen: EU bindet KI-Rechenzentren in die Netzplanung ein  |  Die Kommission ließ US-KI ihr Personal prüfen