CADA ist jetzt Gesetz: Was sich für Unternehmen wirklich ändert

Der Cloud and AI Development Act (CADA) ist seit dem 15. Juli 2026 im Amtsblatt der EU veröffentlicht und wird am 4. August 2026 EU-Recht. Was im März noch Vorschlag war, ist jetzt Gesetz — mit festen Fristen bis 2029.

Vom Entwurf zum Gesetz — was am 15. Juli tatsächlich passiert ist

Im März haben wir an dieser Stelle über den damaligen CADA-Entwurf geschrieben — als eines von mehreren Gesetzesvorhaben, mit denen die EU ihre digitale Abhängigkeit von wenigen großen, überwiegend außereuropäischen Cloud- und KI-Anbietern verringern will. Am 3. Juni 2026 hat die EU-Kommission den finalen Entwurf vorgelegt. Am 15. Juli 2026 wurde er im Amtsblatt veröffentlicht. Am 4. August 2026 tritt er als EU-Verordnung in Kraft — direkt, ohne dass einzelne Mitgliedstaaten ihn erst in nationales Recht übersetzen müssen.

Der Unterschied zu vorher ist nicht inhaltlich. Er ist rechtlich. Aus einer politischen Absichtserklärung ist ein Gesetz mit Datum geworden.

CADA verfolgt laut EU-Kommission drei Ziele: die europäische Rechenzentrumskapazität innerhalb von 5 bis 7 Jahren zu verdreifachen, Genehmigungsverfahren für neue Infrastruktur zu beschleunigen — und einen einheitlichen Rahmen zu schaffen, mit dem öffentliche Stellen die „Souveränität" von Cloud- und KI-Anbietern bewerten können.

Genau dieser dritte Punkt ist der, der für Unternehmen jenseits der großen Cloud-Konzerne relevant wird.

Die vier Souveränitätsstufen — was heißt das konkret?

CADA definiert vier Stufen, an denen sich öffentliche Auftraggeber künftig orientieren, wenn sie Cloud- oder KI-Dienste beschaffen:

Stufe 1 — Standort: Daten werden physisch innerhalb der EU verarbeitet und gespeichert.

Stufe 2 — Nachweis: Der Anbieter muss Unabhängigkeit von Drittstaaten belegen und seine Software-Lieferkette transparent offenlegen.

Stufe 3 — Kontrolle: Der Anbieter muss aus der EU stammen und von der EU kontrolliert werden — inklusive Kriterien wie der Staatsangehörigkeit des Personals. Die Kommission kann Anbieter aus Drittstaaten in Ausnahmefällen anerkennen.

Stufe 4 — Vollständigkeit: Volle Transparenz und Kontrolle über die gesamte Software-Lieferkette, ohne jede Einflussnahme von außerhalb der EU.

Übersetzt heißt das: Ein Standort in Frankfurt oder Amsterdam war bisher oft schon genug, um sich als „europäisch" zu bezeichnen. Ab Stufe 2 reicht das nicht mehr. Entscheidend wird, wer das Mutterunternehmen kontrolliert — und welchem Recht dieses Unternehmen unterliegt. Genau das Thema, das wir im Artikel zum CLOUD Act bereits ausführlich behandelt haben.

Der Zeitplan, den Sie kennen sollten

4. August 2026: CADA tritt formal als EU-Verordnung in Kraft.
Februar 2028: Die erste Souveränitätsstufe wird für öffentliche Vergaben verbindlich.
August 2029: Die höchste Stufe ist Pflicht.

Zwei, drei Jahre klingen nach viel Zeit. Sind sie auch — wenn man sie nutzt, statt sie verstreichen zu lassen.

Wen trifft das zuerst?

CADA richtet sich formal an Cloud-Anbieter und öffentliche Auftraggeber, nicht an jedes Unternehmen direkt. Betroffen sind zuerst diejenigen, die mit der öffentlichen Hand zu tun haben: Kommunen, Behörden, öffentlich geförderte Kliniken und Pflegeeinrichtungen, Rettungsdienste und Feuerwehren, Vereine mit öffentlichen Zuschüssen.

Für diese Gruppen wird die Frage „wo läuft Ihre Software und wer kontrolliert sie" nicht mehr freiwillig, sondern Teil der Vergabekriterien. Und wer als Zulieferer, Dienstleister oder Partner mit ihnen arbeitet, bekommt diese Frage weitergereicht.

Der zweite Effekt ist indirekter, aber genauso real: CADA setzt einen Standard, an dem sich auch private Auftraggeber orientieren werden, lange bevor er für sie verbindlich ist. Wer heute schon zeigen kann, dass seine Infrastruktur diesen Kriterien entspricht, hat ab 2028 kein Umbauprojekt vor sich — sondern einen Wettbewerbsvorteil, den andere erst noch erarbeiten müssen.

Drei Fragen, die Sie sich jetzt stellen sollten

Wie viele Ihrer Aufträge kommen — direkt oder indirekt — von der öffentlichen Hand?
Wenn die Antwort „mehr als gedacht" lautet, wird CADA für Sie früher relevant als für andere.

Können Ihre aktuellen Software-Anbieter heute schon belegen, wo ihre Server stehen und wer den Code kontrolliert?
Wenn Sie es nicht auf Anhieb beantworten können, kann es Ihr Anbieter wahrscheinlich auch nicht.

Was passiert, wenn aus der Kann-Regel von heute 2028 eine Pflicht wird?
Ein Wechsel aus eigener Entscheidung dauert bei einem Betrieb mit 10 bis 30 Mitarbeitenden Wochen. Ein Wechsel unter Zeitdruck, mit Fristablauf im Nacken, dauert Monate — und kostet Nerven, die niemand einplant.

Was im März Prognose war, ist jetzt Fahrplan

In unserem ersten Artikel zu CADA haben wir geschrieben, dass digitale Souveränität in der EU von der Empfehlung zur Pflicht werden wird. Das war im März eine Einschätzung. Heute ist es ein Gesetzestext mit Datum im Amtsblatt.

Das ändert nichts an der Richtung — nur an der Dringlichkeit. Wer seine Infrastruktur schon heute auf eigenem, kontrollierbarem Server betreibt, muss 2028 keine Krisensitzung einberufen. Wer noch wartet, hat jetzt einen konkreten Termin, auf den er hinarbeiten kann.

Genau das ist der Gedanke hinter Tycho Platform: ein operatives Rückgrat, das auf Ihrem eigenen Server läuft, unter Ihrer Kontrolle — nicht, weil ein Gesetz es 2028 verlangt, sondern weil Sie es sich schon heute leisten können, unabhängig zu sein.

FAQ: Cloud and AI Development Act

Was ist der Cloud and AI Development Act (CADA) genau?

CADA ist eine EU-Verordnung, die die Abhängigkeit Europas von wenigen großen, meist außereuropäischen Cloud- und KI-Anbietern verringern soll. Sie führt vier Souveränitätsstufen ein, an denen sich öffentliche Auftraggeber künftig orientieren, will die Rechenzentrumskapazität in der EU innerhalb von 5–7 Jahren verdreifachen und schafft einen gemeinsamen EU-weiten Beschaffungsrahmen für Behörden.

Wann tritt CADA in Kraft?

CADA wurde am 15. Juli 2026 im Amtsblatt der EU veröffentlicht und tritt am 4. August 2026 formal in Kraft. Die erste Souveränitätsstufe wird ab Februar 2028 für öffentliche Vergaben verbindlich, die höchste Stufe ab August 2029.

Betrifft CADA auch kleine und mittlere Unternehmen direkt?

Direkt richtet sich CADA an Cloud-Anbieter und öffentliche Auftraggeber. Indirekt betrifft es jedes Unternehmen, das mit der öffentlichen Hand arbeitet, öffentlich gefördert ist, oder dessen Software-Lieferanten künftig Souveränität nachweisen müssen. Wer heute schon auf kontrollierbarer, europäischer Infrastruktur arbeitet, muss 2028 nichts umbauen.

Was sind die vier Souveränitätsstufen von CADA?

Stufe 1: Daten werden physisch in der EU verarbeitet und gespeichert. Stufe 2: Der Anbieter muss Unabhängigkeit von Drittstaaten und Transparenz über seine Software-Lieferkette nachweisen. Stufe 3: Der Anbieter muss aus der EU stammen und von der EU kontrolliert werden, inklusive Kriterien wie der Staatsangehörigkeit des Personals. Stufe 4: volle Transparenz und Kontrolle über die gesamte Software-Lieferkette, ohne jede Einflussnahme von außerhalb der EU.

Was sollte ich als Unternehmen jetzt konkret tun?

Prüfen Sie, wie viele Ihrer Aufträge direkt oder indirekt von der öffentlichen Hand kommen, wo Ihre wichtigste Software tatsächlich gehostet wird und wer den Code dahinter kontrolliert. Die Fristen bis 2028/2029 klingen lang — aber ein Wechsel unter eigener Kontrolle dauert Wochen, ein Wechsel unter Zeitdruck dauert Monate.