# EU Cloud and AI Development Act (CADA): Was Schweizer KMU über Infrastruktur-Souveränität wissen müssen

> Autor: Chris Jon Graf (KI-Stratege & CEO)
> Aktualisiert: 2026-07-20
> URL: https://ki-outsourcing.ch/ratgeber/eu-cloud-and-ai-development-act-cada-was-schweizer-kmu-uber-infrastruktur-souver

## Zusammenfassung

Der EU Cloud and AI Development Act (CADA) führt vier Souveränitätsstufen ein, die faktisch zur Beschaffungsrichtlinie für Schweizer Unternehmen mit EU-Geschäft werden. Level 1 verlangt EU-Infrastruktur, Level 2 zusätzlich Unabhängigkeit von Drittstaaten-Gesetzen wie dem US CLOUD Act, Level 3 EU-Eigentum und -Kontrolle. Rund 80 Prozent der professionellen Cloud-Ausgaben in der EU entfallen heute auf US-Anbieter – CADA adressiert diese strategische Verwundbarkeit durch harmonisierte Compliance-Bewertung ab 2028/2029, doch viele Vergabestellen fordern die Kriterien bereits jetzt.

## Warum CADA für Schweizer Unternehmen trotz Nicht-EU-Status relevant ist

Am 3. Juni 2026 veröffentlichte die Europäische Kommission den Entwurf des Cloud and AI Development Act (CADA) als Herzstück ihres Tech Sovereignty Package. Das erklärte Ziel: die Datacenter-Kapazität in der EU binnen fünf bis sieben Jahren zu verdreifachen und strategische Abhängigkeiten zu reduzieren. Die Schweiz steht formell ausserhalb der EU-Rechtsordnung, doch Schweizer KMU mit EU-Kunden, EU-Niederlassungen oder Zulieferverträgen für öffentliche Auftraggeber werden CADA-Anforderungen faktisch erfüllen müssen. Instrumente wie das JEFTA-Abkommen verlangen Gleichstellung, und Vergabestellen in Frankreich, Deutschland und den Niederlassungen beziehen die vier Souveränitätsstufen bereits jetzt in Ausschreibungen ein – lange bevor CADA nach dem Trilog-Verfahren frühestens 2027 verabschiedet wird und 12 bis 24 Monate später in Kraft tritt.

Für dich als CFO oder CTO bedeutet das: Infrastruktur-Entscheidungen, die du heute triffst, entscheiden über Compliance-Risiken und Vertragsfähigkeit von morgen. Der Wechsel zwischen Cloud- oder KI-Anbietern ist technisch aufwändig und vertraglich teuer – wer wartet, bis der Kunde Level 2 oder 3 verlangt, steht unter Zeitdruck und verliert Verhandlungsmacht.

## Die vier Souveränitätsstufen (Union Assurance Levels) im Überblick

### Level 1 – EU Location: Daten bleiben in der Union

Level 1 verlangt, dass Daten ausschliesslich in EU-Infrastruktur verarbeitet und gespeichert werden. Zusätzlich darf der Provider keiner Jurisdiktion unterliegen, die ihn verpflichtet, Software-Schwachstellen an Drittstaaten zu melden, bevor ein Exploit geschlossen ist. Diese Stufe deckt rund 70 Prozent aller öffentlichen Cloud-Verträge ab und ist für EU-Tochtergesellschaften von AWS, Microsoft Azure oder Google Cloud mit reiner Daten-Residency grundsätzlich erfüllbar.

### Level 2 – EU Location + Independence: Unabhängigkeit von Drittstaaten-Gesetzen

Level 2 verschärft die Anforderungen erheblich: Der Anbieter muss nachweisen, dass er unabhängig von Drittstaaten-Einfluss agiert, die Software-Supply-Chain transparent macht und keinen «Kill-Switch» durch fremde Sanktionsgesetze besitzt. Hier entsteht der Konflikt mit dem US CLOUD Act, der US-Unternehmen verpflichtet, auf Anordnung Daten herauszugeben – auch wenn sie in der EU gespeichert sind. Etwa 20 Prozent der Verträge fallen in diese Kategorie. [Geopolitische Abhängigkeiten von US-amerikanischer KI](https://www.ki-podcast.ch/fable-5-abschalten-usa-ki-souveraenitaet-europa-schweiz) sind kein theoretisches Risiko – CADA Level 2 adressiert genau diese Verwundbarkeit.

### Level 3 – EU Ownership & Control: Eigentum und Governance

Level 3 verlangt EU-Eigentum und EU-Kontrolle des Providers sowie Personal- und Governance-Anforderungen – etwa EU-Bürgerschaft für kritische Mitarbeitende. Die Kommission kann Drittstaaten-Anbieter im Einzelfall anerkennen, doch die Hürde ist hoch. Diese Stufe richtet sich an sensible Workloads in Finanzdienstleistung, Gesundheitswesen oder kritischer Infrastruktur.

### Level 4 – Full Sovereignty: Vollständige Transparenz für höchst-kritische Systeme

Level 4 fordert vollständige Transparenz und Kontrolle über die Software-Supply-Chain; keine Einflussnahme durch Drittstaaten darf möglich sein. Diese Stufe ist Verteidigung, Nachrichtendiensten und höchst-kritischer Infrastruktur vorbehalten. Zusammen mit Level 3 machen diese beiden Stufen etwa 10 bis 11 Prozent der Verträge aus – doch sie setzen den Standard für die langfristige Marktentwicklung.

## Der Compliance Cascade: CADA stapelt auf AI Act, NIS2, DORA und Data Act

CADA ist kein isoliertes Regelwerk. Die Cloud Security Alliance spricht vom «Compliance Cascade»: CADA stapelt auf AI Act, NIS2, DORA und Data Act – jedes Framework verlangt eigene Assessments, mit überlappenden Beweisnachweisen. Schweizer Unternehmen, die bereits [EU AI Act Omnibus-Anforderungen für KI-Agenten und Hochrisiko-KI](/ratgeber/eu-ai-act-omnibus-2026-was-schweizer-kmu-bei-ki-agenten-und-hochrisiko-ki-jetzt-) erfüllen müssen, stehen nun vor einer zweiten Prüfebene: der Infrastruktur-Souveränität. Wer seine Cloud- und KI-Infrastruktur heute strategisch plant, kann beide Regelwerke mit einem integrierten Governance-Modell abdecken.

> **Zeitfenster schliesst sich**
>
> Viele EU-Vergabestellen verlangen CADA-Kriterien bereits jetzt in Ausschreibungen, obwohl der Act frühestens 2028/2029 verbindlich wird. Wer wartet, verliert Aufträge.

## US-Anbieter kontrollieren 80 Prozent der EU-Cloud-Ausgaben – und nun?

Die Europäische Kommission sieht die strukturelle Abhängigkeit als strategische Verwundbarkeit: US-Anbieter kontrollieren rund 80 Prozent der professionellen Cloud-Ausgaben in der EU. Lawfare Media kommentierte am 3. Juni 2026: «CADA represents a significant change in tone for the Commission, which has maintained its 'open market' credentials long after the U.S. and China abandoned them.» Industrie-Verbände wie ITIF, CCIA Europe und die Business Software Alliance kritisierten CADA als protektionistisch und diskriminierend – doch die politische Dynamik ist eindeutig.

Für Schweizer Entscheider heisst das: [Vendor-Diversifikation bei Cloud- und KI-Infrastruktur](/ratgeber/chinesische-ki-modelle-erobern-46-des-enterprise-markts-dein-schweizer-entscheid) wird vom Nice-to-have zur Compliance-Notwendigkeit. Wer heute ausschliesslich auf AWS, Azure oder Google Cloud setzt, muss für Level-2-Projekte entweder einen Exit-Plan nachweisen oder einen hybriden Stack mit EU-Anbietern wie OVHcloud, Scaleway, Mistral oder Aleph Alpha aufbauen.

## Konkrete Entscheidungsfragen für CFO und CTO

- Welche deiner Kunden oder Projekte fallen unter öffentliche Beschaffung oder kritische Infrastruktur in der EU?
- Kannst du heute transparent dokumentieren, wo deine Daten verarbeitet werden und wer Zugriff hat?
- Hast du einen vertraglichen Exit-Plan für den Fall, dass dein Cloud- oder KI-Provider durch Sanktionen, Übernahme oder Jurisdiktionswechsel Level-2-Anforderungen nicht mehr erfüllt?
- Wie hoch sind deine Migrationskosten und wie lange dauert ein Provider-Wechsel realistisch?
- Verfügst du über interne oder externe Expertise, um EU-Anbieter technisch und vertraglich zu bewerten?

Diese Fragen sind nicht theoretisch. [Token-Billing-Eskalation und fehlende Infrastruktur-Kontrolle](/ratgeber/ki-preisgestaltung-als-versteckte-vermogenssteuer) treiben bereits heute ungeplante Kosten, und CADA verschärft den Druck, strategische Kontrolle zurückzugewinnen.

## Schweizer Open-Source- und Confidential-Computing-Alternativen

Die Schweiz ist nicht passiver Zuschauer. Die ETH Zürich entwickelt mit [Apertus LLM eine Open-Source-Alternative mit Confidential Computing](https://www.ki-podcast.ch/apertus-llm-eth-zuerich-digitale-souveraenitaet), die Level-3- und Level-4-Anforderungen erfüllen kann. Für Schweizer KMU bedeutet das: Eine hybride Strategie aus EU-konformen Cloud-Anbietern, Schweizer Open-Source-Modellen und selektiver Nutzung von US-Hyperscalern für unkritische Workloads ist technisch machbar und wirtschaftlich sinnvoll.

> **Frühzeitig Pilotprojekte starten**
>
> Teste EU-Anbieter und Schweizer Open-Source-Stacks in unkritischen Projekten, bevor der Kunde Level 2 oder 3 verlangt. So gewinnst du Verhandlungsmacht und vermeidest Notfall-Migrationen.

## Handlungsempfehlungen: Was du jetzt tun kannst

1. Inventarisiere deine Cloud- und KI-Infrastruktur: Wo liegen Daten, wer hat Zugriff, welche Jurisdiktion gilt?
2. Bewerte bestehende Verträge: Gibt es Exit-Klauseln, Daten-Portabilität, transparente Subprocessor-Listen?
3. Führe einen Vendor-Health-Check durch: Erfüllt dein Anbieter Level 1, 2 oder 3 – und wenn nicht, welche Alternativen gibt es?
4. Definiere interne Richtlinien: Welche Workloads dürfen auf US-Infrastruktur laufen, welche verlangen EU- oder Schweizer Souveränität?
5. Baue Expertise auf: Schule dein Team oder hole externe Unterstützung für EU-Compliance und Multi-Cloud-Architektur.

**80%** — der EU-Cloud-Ausgaben entfallen auf US-Anbieter – CADA will diese strategische Abhängigkeit bis 2033 halbieren

## Fazit: Infrastruktur-Souveränität ist jetzt Führungsaufgabe

CADA ist noch Entwurf, doch die Marktdynamik ist real. Schweizer KMU, die heute [Neocloud-Alternativen und hybride Architekturen](/ratgeber/meta-baut-cloud-geschaft-was-das-fur-schweizer-unternehmen-bedeutet) prüfen, sichern sich Handlungsspielraum für morgen. Die vier Souveränitätsstufen sind nicht nur Compliance-Anforderung – sie sind Entscheidungsrahmen für strategische Unabhängigkeit, Kostensteuerung und Risikominderung. Wer wartet, bis der Kunde Level 2 verlangt, steht unter Zeitdruck. Wer jetzt handelt, gestaltet die eigene Infrastruktur-Souveränität aktiv.

## Häufige Fragen

### Was ist der EU Cloud and AI Development Act (CADA)?

CADA ist ein EU-Gesetzesentwurf, der vier Souveränitätsstufen für Cloud- und KI-Infrastruktur definiert. Ziel ist die Reduktion strategischer Abhängigkeiten von Drittstaaten und die Verdreifachung der EU-Datacenter-Kapazität bis 2033. CADA wird frühestens 2027 verabschiedet, erste verbindliche Anwendung ab 2028/2029.

### Betrifft CADA Schweizer Unternehmen, obwohl die Schweiz nicht in der EU ist?

Ja. Schweizer KMU mit EU-Kunden, EU-Niederlassungen oder Zulieferverträgen für öffentliche Auftraggeber müssen CADA-Anforderungen faktisch erfüllen. Viele EU-Vergabestellen verlangen die Souveränitätsstufen bereits jetzt in Ausschreibungen, auch vor Inkrafttreten.

### Was ist der Unterschied zwischen CADA Level 1 und Level 2?

Level 1 verlangt EU-Infrastruktur und keine Meldepflicht von Schwachstellen an Drittstaaten. Level 2 fordert zusätzlich Unabhängigkeit von Drittstaaten-Gesetzen wie dem US CLOUD Act, transparente Software-Supply-Chain und Nachweis, dass kein «Kill-Switch» durch fremde Sanktionen existiert.

### Können US-Anbieter wie AWS, Azure oder Google Cloud CADA Level 2 erfüllen?

Schwierig. Der US CLOUD Act verpflichtet US-Unternehmen, auf Anordnung Daten herauszugeben – auch wenn sie in der EU gespeichert sind. Das widerspricht Level-2-Anforderungen. EU-Tochtergesellschaften können Level 1 erfüllen, Level 2 erfordert aber Unabhängigkeit von der US-Muttergesellschaft, die vertraglich kaum darstellbar ist.

### Welche Alternativen gibt es zu US-Hyperscalern für Level-2- und Level-3-Projekte?

EU-Anbieter wie OVHcloud, Scaleway, Mistral oder Aleph Alpha erfüllen Level 2 und teilweise Level 3. Schweizer Open-Source-Modelle wie Apertus LLM der ETH Zürich mit Confidential Computing können Level 3 und 4 adressieren. Eine hybride Strategie kombiniert diese Anbieter mit selektiver Nutzung von US-Clouds für unkritische Workloads.

### Wann muss ich als Schweizer Unternehmen mit CADA-Anforderungen rechnen?

Viele EU-Vergabestellen verlangen CADA-Kriterien bereits jetzt. Verbindlich wird CADA frühestens 2028/2029, doch wer wartet, verliert Aufträge und steht bei Kundenanforderungen unter Zeitdruck. Infrastruktur-Entscheidungen heute bestimmen Compliance-Risiken von morgen.

## Quellen

- [Cloud and AI Development Act | Shaping Europe's digital future](https://digital-strategy.ec.europa.eu/en/policies/cloud-and-ai-development-act)
- [The EU Cloud and AI Development Act | Lawfare](https://www.lawfaremedia.org/article/the-eu-cloud-and-ai-development-act)
- [EU Tech Sovereignty: Cloud Concentration Risk and the Compliance Cascade](https://labs.cloudsecurityalliance.org/research/eu-tech-sovereignty-cloud-ai-enterprise-risk-v1-0-csa-styled/)
- [The CADA Proposal Has Landed: The Work Ahead is Getting Sovereignty Right](https://news.broadcom.com/sovereign-cloud/cada-proposal-european-cloud-sovereignty-definition)
- [The EU's Cloud and AI Development Act (CADA): Towards a sovereignty-focused framework](https://www.hlc.com/en/publications/the-eus-cloud-and-ai-development-act-cada-towards-a-sovereigntyfocused-framework-for-cloud)
- [EU Formalizes Cloud and AI Development Act in June 2026 — What B2B Tech Vendors Must Know](https://www.linkedotter.com/articles/eu-cloud-ai-development-act-june-2026-b2b-vendor-data-residency)