CADA und das EU Tech Sovereignty Package – warum Stufe 3 deutsche Behörden 2026 zu einer Microsoft-365-Entscheidung zwingt

Am 3. Juni 2026 hat die Europäische Kommission das European Technological Sovereignty Package vorgelegt. Es bündelt vier Bausteine – den Chips Act 2.0, den Cloud and AI Development Act (CADA), eine EU-Open-Source-Strategie und die strategische Roadmap für Digitalisierung und KI im Energiesektor. CADA ist die für die deutsche Verwaltung und für KMU mit Public-Sector-Kunden folgenreichste Verordnung des Pakets, weil er erstmals ein vierstufiges Sovereignty-Rahmenwerk für die öffentliche Cloud-Beschaffung verankert. Stufe 3 verlangt europäische Eigentümerschaft des Anbieters. Stufe 3 ist die Mindeststufe für kritische öffentliche Infrastruktur.

Wir ordnen ein, was das Paket strukturell ändert, wie es mit dem CLOUD Act, DORA und NIS2 zusammenspielt und welche Schritte eine Kommunal-IT, eine Landesbehörde oder ein Schulträger jetzt setzen muss, um nicht in der nächsten Vergabe in eine CADA-Falle zu laufen.

Was am 3. Juni 2026 wirklich vorgelegt wurde

Das Sovereignty Package besteht aus mehreren Akten, die parallel laufen und sich gegenseitig referenzieren. Wichtig für die Cloud- und IT-Verantwortlichen in Behörden und KMU ist die Aufteilung:

• CADA – Cloud and AI Development Act: definiert die Sovereignty-Stufen, eine Rechtsgrundlage für die Verdreifachung europäischer Rechenzentrumskapazität bis 2030 und Beschaffungsregeln für die öffentliche Hand.
• CSA2 – Cyber Solidarity Act 2 (Vorschlag vom 20. Januar 2026): erweitert die Lieferketten-Risikobewertung, stärkt ENISA und führt Bußgelder bis sieben Prozent des weltweiten Konzernumsatzes ein.
• EUCS – European Cybersecurity Certification Scheme for Cloud Services: bleibt das technische Zertifizierungsschema. Es liefert die technische Prüfung, die eine CADA-Stufe-3-Zertifizierung zusätzlich referenziert.
• EU-Open-Source-Strategie: bekennt sich erstmals offiziell zu Open Source als strukturellem Hebel für Sovereignty. Eng verknüpft mit dem openDesk-Vertriebspartnerprogramm 2026.

CADA ist ein Vorschlag, kein geltendes Recht. Der Trilog öffnet voraussichtlich im dritten Quartal 2026, ein finaler Text ist nicht vor Ende 2027 zu erwarten. Anwendung typischerweise zwölf bis vierundzwanzig Monate nach Inkrafttreten – realistisch also 2029. Aber: Beschaffungsverträge mit fünfjähriger Laufzeit, die heute geschlossen werden, laufen in den CADA-Anwendungszeitraum hinein.

Die vier Sovereignty-Stufen im Detail

Der CADA-Vorschlag definiert vier kumulative Assurance-Level. Jede Stufe enthält die Anforderungen der darunterliegenden.

Stufe 1 – EU-Standort

Daten werden in EU-Rechenzentrum gespeichert und verarbeitet. Diese Stufe deckt Microsoft Azure mit EU Data Boundary bereits ab – mit den bekannten Schwächen rund um Diagnose-Telemetrie und Support-Zugriffe aus Drittländern.

Stufe 2 – Unabhängigkeit von Drittländern

Zusätzlich technische und organisatorische Unabhängigkeit von Drittländern und vollständige Transparenz über die Software-Lieferkette. Der Microsoft Copilot Flex Routing, der zwischen EU-Boundary und US-Datacentern hin- und herrouten kann, fällt hier durch – Analyse siehe Microsoft Copilot Flex Routing.

Stufe 3 – Europäische Eigentümerschaft

Zusätzlich europäische Eigentümerschaft und Kontrolle des Anbieters. Ausnahmen für Drittland-Anbieter sind möglich, aber an strenge Bedingungen geknüpft. Diese Stufe ist die Mindeststufe für kritische öffentliche Infrastruktur – also für die elektronische Akte, OZG-Fachverfahren, Sozial- und Steuerdaten, Gesundheitsverfahren, Strafverfolgungssysteme.

Stufe 4 – Vollständige Souveränität

Zusätzlich vollständige Kontrolle über die Software-Lieferkette und nachweisbare Abwesenheit fremder Einflussnahme. Diese Stufe ist für die sensibelsten Verfahren vorgesehen – Verschlusssachen, militärisch relevante Infrastruktur, hochsensible Justizdaten.

Warum Microsoft Azure und Microsoft 365 Stufe 3 strukturell nicht erreichen

Microsoft Ireland Operations Limited ist eine Tochtergesellschaft der US-Konzernmutter Microsoft Corporation. Damit greift US-Recht – der CLOUD Act 2018, FISA 702 und Executive Order 12333 verpflichten die Mutter, Daten auf Anordnung herauszugeben, unabhängig vom Speicherort. Die juristische Bewertung haben wir nach dem letzten EuGH-Urteil im Beitrag Schrems III ausführlich beschrieben.

Konkret heißt das für die in Deutschland verbreiteten Microsoft-Lösungen:

• Microsoft 365 EU Data Boundary: erfüllt im Optimalfall Stufe 1. Telemetrie- und Support-Restzugriffe machen Stufe 2 strittig.
• Microsoft Cloud for Sovereignty: ein Aufsatz auf Azure mit zusätzlichen Kontrollen. Erreicht Teile der Stufe 2. Stufe 3 ist strukturell nicht erreichbar, weil der Anbieter US-eigentumsrechtlich nicht europäisch ist.
• Microsoft Sovereign Cloud Partner: lizenzierte Reseller, bei denen der Betrieb teilweise in europäischen Händen liegt. Hier wird die Stufe-3-Prüfung im Einzelfall davon abhängen, ob die rechtliche Kontrolle tatsächlich auf den europäischen Partner übergeht – oder ob es de facto ein Microsoft-Tenant unter anderem Namen bleibt.

Mit anderen Worten: Wer heute eine Stufe-3-Verfahrensklasse hat und auf Microsoft 365 setzt, hat ein dokumentierbares Ablöse-Datum im Beschaffungsplan stehen – spätestens zum Auslaufen der aktuellen Rahmenverträge.

Was eine deutsche Behörde im zweiten Halbjahr 2026 konkret tun muss

Der HowTo-Block oben strukturiert das in sechs Schritten, hier die Zusammenfassung mit Fokus auf den deutschen Behörden- und KMU-Kontext.

Schritt 1: Inventur mit Verfahrenszweck {#step-1}

Jeder Cloud-Vertrag wird einem Verarbeitungszweck zugeordnet. Bürokommunikation ist nicht gleich Fachverfahren ist nicht gleich Verschlusssache.

Schritt 2: Sovereignty-Lücke pro Verfahren benennen {#step-2}

Für jedes Verfahren die wahrscheinliche CADA-Stufe ermitteln. OZG-Fachverfahren, Sozialdaten, Steuerdaten, Gesundheitsdaten, Strafverfolgung fallen tendenziell in Stufe 3 oder höher.

Schritt 3: Ersatzstack technisch validieren {#step-3}

Ein europäischer Open-Source-Stack pro Stufe-3-Verfahren – openDesk, Nextcloud, Element/Matrix, Keycloak, Open-Xchange oder Mailcow. Komponentenüberblick unter /alternativen.

Schritt 4: Vergabeunterlagen auf CADA-Stufen umstellen {#step-4}

Wertungskriterien um Sovereignty-Stufe und EUCS-Zertifikat erweitern. Die Vergabekammer prüft, ob die Formulierung zulässig ist – sie ist es, weil sie auf einem objektiven, durch EU-Recht legitimierten Schema beruht.

Schritt 5: Übergangsphase planen {#step-5}

Mindestens 18 Monate Übergang. Identity zuerst, dann Mail, dann Kollaboration. Eine Big-Bang-Migration ist auf Stufe-3-Verfahren unrealistisch.

Schritt 6: Vier-Regime-Dokumentation {#step-6}

DSGVO Art. 30, NIS2 Art. 21, BSI-IT-Grundschutz und CADA-Stufe je Verfahren in einer Datenbank. Doppelpflege ist die größte Effizienzbremse in der Verwaltungs-IT.

Begriffe – kurz definiert

• CADA: Cloud and AI Development Act, Verordnungsvorschlag der EU-Kommission vom 3. Juni 2026. Definiert ein vierstufiges Sovereignty-Rahmenwerk und Beschaffungsregeln für die öffentliche Hand sowie eine Rechtsgrundlage zur Verdreifachung der EU-Rechenzentrumskapazität bis 2030.
• Sovereignty-Stufe 3: Mindeststufe für kritische öffentliche Infrastruktur nach CADA. Verlangt europäische Eigentümerschaft und Kontrolle des Anbieters, mit eng begrenzten Drittland-Ausnahmen.
• CSA2: Cyber Solidarity Act 2. Vorschlag vom 20. Januar 2026. Erweitert die Lieferketten-Risikobewertung, stärkt ENISA, Bußgelder bis sieben Prozent des weltweiten Jahresumsatzes.
• EUCS: European Cybersecurity Certification Scheme for Cloud Services. Technisches Zertifizierungsschema, das in eine CADA-Stufe-3-Bewertung einfließt.
• EU Data Boundary: Microsofts Konstruktion zur Speicherung und Verarbeitung von EU-Kundendaten innerhalb der EU. Adressiert Stufe 1, mit Restbedenken bei Telemetrie und Support-Zugriffen.
• OZG: Onlinezugangsgesetz, deutsches Rahmengesetz zur Digitalisierung der Verwaltungsleistungen. Viele OZG-Fachverfahren fallen tendenziell in CADA-Stufe 3.

Wo europioneer ansetzt

europioneer betreibt einen europäisch souveränen Stack auf Basis von Nextcloud, Open-Xchange, Element/Matrix, Keycloak und Collabora Online – als Managed-Hosted-Service in deutschen und EU-Rechenzentren, ohne Hyperscaler-Sub-Processor. Für Behörden und KMU übernehmen wir die technische Validierung in Schritt 3 sowie die Übergangsphase nach Schritt 5 – inklusive ausschreibungsfertiger Komponentenlisten, die im Vergabeverfahren auf CADA-Sovereignty-Stufen verweisen statt auf produktspezifische Vorgaben. Pakete und Preise unter /pricing. Migrationsgespräch unter /contact.

Fazit

Der 3. Juni 2026 markiert den Punkt, an dem europäische Sovereignty von einer politischen Forderung zu einem operationalen Beschaffungskriterium wird. CADA ist noch Vorschlag. Aber jede deutsche Behörde, jeder Schulträger, jedes KMU mit Public-Sector-Geschäft, das heute einen Cloud-Rahmenvertrag mit fünf oder sieben Jahren Laufzeit unterschreibt, schließt diesen Vertrag bereits in den CADA-Anwendungszeitraum hinein. Wer jetzt das Pilotreferat auf einen europäischen Stack hebt, hat 2029 keine Migrationspanik. Wer wartet, hat sie. Hintergründe zum Gesamtkonzept – Eurostack.

CADA-Migrationsgespräch anfragen →

Verwandte Beiträge:

• CLOUD Act 2026 – die rechtliche Lage für deutsche Cloud-Kunden
• Eurostack – warum europäische digitale Souveränität konkret wird
• NIS2 und DSGVO – das Microsoft-Paradox in der deutschen Lieferkette
• BSI-IT-Grundschutz und Microsoft 365 – wo es bricht
• openDesk-Vertriebspartnerprogramm 2026 – der Souveräne Arbeitsplatz für KMU
• DORA und Microsoft 365 – Exit-Strategie für Banken 2026
• Microsoft 365 in Schulen – warum Datenschutz und Bildung kollidieren