FREIHEIT · Digitale Souveränität
EU-Cloud-Verbot:
Was KMU ab sofort konkret tun müssen
Die EU hat am 27. Mai 2026 das weitreichendste Digitalgesetz seit der DSGVO verabschiedet. US-Cloud für Gesundheit, Finanzen und Justiz ist Geschichte. Drei Schritte, die für Ihr Unternehmen jetzt zählen.
Am 27. Mai 2026 hat die Europäische Kommission das Tech Sovereignty Package präsentiert. Die Reaktionen waren laut. Die Substanz ist leise — und deshalb gefährlicher als gedacht.
Was steht im Paket, und was nicht?
Das Paket enthält zwei Kerngesetze: den Cloud and AI Development Act (CADA) und den Chips Act 2.0. Was CADA konkret bedeutet: Öffentliche Einrichtungen in der EU dürfen für Gesundheits-, Finanz- und Justizdaten keine Cloud-Dienste von Anbietern mehr nutzen, deren Muttergesellschaft außerhalb der EU sitzt.
Das klingt nach einem Problem für Behörden. Es ist aber auch Ihr Problem.
Denn: Kliniken, Sozialträger, Gerichte und Finanzaufsichtsbehörden sind Ihre Auftraggeber, Ihre Kunden, Ihre Partner. Wenn diese Einrichtungen ihre Infrastruktur umbauen müssen, stellt sich die Frage: Mit wem arbeiten sie dabei zusammen? Mit Dienstleistern, die selbst auf US-Cloud setzen? Oder mit solchen, die digitale Unabhängigkeit schon heute als Standard leben?
Der eigentliche Kern: Der CLOUD Act ist nicht verschwunden
Lange bevor das EU-Paket stand, gab es ein anderes Gesetz — weniger bekannt, aber weitreichender: den US Clarifying Lawful Overseas Use of Data Act von 2018, kurz CLOUD Act.
Er verpflichtet Unternehmen mit US-Sitz oder US-Tochtergesellschaft, Kundendaten auf behördliche Anfrage herauszugeben. Nicht wenn sie wollen. Immer wenn verlangt. Egal auf welchem Kontinent die Daten gespeichert sind.
Ein Rechenzentrum in Frankfurt mit US-Betreiber bleibt US-Recht unterworfen. Das ist keine Theorie — das ist Gesetz.
Was Ihr Unternehmen jetzt konkret tun kann
Schritt 1: Inventur. Welche Dienste nutzen Sie täglich? Buchhaltung, Dokumentenablage, E-Mail, CRM, Projektmanagement? Wo liegt der Server? Wer ist der Mutterkonzern? Diese Fragen kosten nichts — und liefern sofort Klarheit.
Schritt 2: Risikobewertung. Nicht jede Cloud-Abhängigkeit ist gleich kritisch. Kundendaten, Gesundheitsinformationen, Finanzdaten — das sind die Bereiche, in denen eine US-Behördenanfrage Konsequenzen hätte. Werbung-Tracking-Daten: weniger relevant. Fokussieren Sie dort, wo es zählt.
Schritt 3: Geordnete Migration. Migration bedeutet nicht: alles sofort abschalten. Es bedeutet: einen Plan haben. Selbst gehostete Alternativen für Dokumentenmanagement, Prozessautomatisierung und Kommunikation existieren heute — technisch ausgereift, DSGVO-nativ, und günstiger als gedacht.
Was kommt als Nächstes?
September 2026: EU Data Act — Data by Design wird Pflicht für vernetzte Produkte. Wer Software baut oder nutzt, muss Datenzugriff von Anfang an einplanen.
2027: BSI Grundschutz++ — neue Zertifizierungspflicht für Unternehmen unter NIS-2. Wer bis dahin wartet, handelt unter Druck.
Die Regulierungswelle rollt nicht schnell. Aber sie hört nicht auf.
Ihr nächster Schritt
Sie wollen wissen, welche Ihrer Systeme wirklich betroffen sind? Wir schauen gemeinsam hin — ohne Druck, ohne Verpflichtung.
Gespräch anfragen →