EU Cloud and AI Development Act (CADA): Was Schweizer KMU über Infrastruktur-Souveränität wissen müssen

Warum CADA für Schweizer Unternehmen trotz Nicht-EU-Status relevant ist

Am 3. Juni 2026 veröffentlichte die Europäische Kommission den Entwurf des Cloud and AI Development Act (CADA) als Herzstück ihres Tech Sovereignty Package. Das erklärte Ziel: die Datacenter-Kapazität in der EU binnen fünf bis sieben Jahren zu verdreifachen und strategische Abhängigkeiten zu reduzieren. Die Schweiz steht formell ausserhalb der EU-Rechtsordnung, doch Schweizer KMU mit EU-Kunden, EU-Niederlassungen oder Zulieferverträgen für öffentliche Auftraggeber werden CADA-Anforderungen faktisch erfüllen müssen. Instrumente wie das JEFTA-Abkommen verlangen Gleichstellung, und Vergabestellen in Frankreich, Deutschland und den Niederlassungen beziehen die vier Souveränitätsstufen bereits jetzt in Ausschreibungen ein – lange bevor CADA nach dem Trilog-Verfahren frühestens 2027 verabschiedet wird und 12 bis 24 Monate später in Kraft tritt.

Für dich als CFO oder CTO bedeutet das: Infrastruktur-Entscheidungen, die du heute triffst, entscheiden über Compliance-Risiken und Vertragsfähigkeit von morgen. Der Wechsel zwischen Cloud- oder KI-Anbietern ist technisch aufwändig und vertraglich teuer – wer wartet, bis der Kunde Level 2 oder 3 verlangt, steht unter Zeitdruck und verliert Verhandlungsmacht.

Die vier Souveränitätsstufen (Union Assurance Levels) im Überblick

Level 1 – EU Location: Daten bleiben in der Union

Level 1 verlangt, dass Daten ausschliesslich in EU-Infrastruktur verarbeitet und gespeichert werden. Zusätzlich darf der Provider keiner Jurisdiktion unterliegen, die ihn verpflichtet, Software-Schwachstellen an Drittstaaten zu melden, bevor ein Exploit geschlossen ist. Diese Stufe deckt rund 70 Prozent aller öffentlichen Cloud-Verträge ab und ist für EU-Tochtergesellschaften von AWS, Microsoft Azure oder Google Cloud mit reiner Daten-Residency grundsätzlich erfüllbar.

Level 2 – EU Location + Independence: Unabhängigkeit von Drittstaaten-Gesetzen

Level 2 verschärft die Anforderungen erheblich: Der Anbieter muss nachweisen, dass er unabhängig von Drittstaaten-Einfluss agiert, die Software-Supply-Chain transparent macht und keinen «Kill-Switch» durch fremde Sanktionsgesetze besitzt. Hier entsteht der Konflikt mit dem US CLOUD Act, der US-Unternehmen verpflichtet, auf Anordnung Daten herauszugeben – auch wenn sie in der EU gespeichert sind. Etwa 20 Prozent der Verträge fallen in diese Kategorie. Geopolitische Abhängigkeiten von US-amerikanischer KI sind kein theoretisches Risiko – CADA Level 2 adressiert genau diese Verwundbarkeit.

Level 3 – EU Ownership & Control: Eigentum und Governance

Level 3 verlangt EU-Eigentum und EU-Kontrolle des Providers sowie Personal- und Governance-Anforderungen – etwa EU-Bürgerschaft für kritische Mitarbeitende. Die Kommission kann Drittstaaten-Anbieter im Einzelfall anerkennen, doch die Hürde ist hoch. Diese Stufe richtet sich an sensible Workloads in Finanzdienstleistung, Gesundheitswesen oder kritischer Infrastruktur.

Level 4 – Full Sovereignty: Vollständige Transparenz für höchst-kritische Systeme

Level 4 fordert vollständige Transparenz und Kontrolle über die Software-Supply-Chain; keine Einflussnahme durch Drittstaaten darf möglich sein. Diese Stufe ist Verteidigung, Nachrichtendiensten und höchst-kritischer Infrastruktur vorbehalten. Zusammen mit Level 3 machen diese beiden Stufen etwa 10 bis 11 Prozent der Verträge aus – doch sie setzen den Standard für die langfristige Marktentwicklung.

Der Compliance Cascade: CADA stapelt auf AI Act, NIS2, DORA und Data Act

CADA ist kein isoliertes Regelwerk. Die Cloud Security Alliance spricht vom «Compliance Cascade»: CADA stapelt auf AI Act, NIS2, DORA und Data Act – jedes Framework verlangt eigene Assessments, mit überlappenden Beweisnachweisen. Schweizer Unternehmen, die bereits EU AI Act Omnibus-Anforderungen für KI-Agenten und Hochrisiko-KI erfüllen müssen, stehen nun vor einer zweiten Prüfebene: der Infrastruktur-Souveränität. Wer seine Cloud- und KI-Infrastruktur heute strategisch plant, kann beide Regelwerke mit einem integrierten Governance-Modell abdecken.

US-Anbieter kontrollieren 80 Prozent der EU-Cloud-Ausgaben – und nun?

Die Europäische Kommission sieht die strukturelle Abhängigkeit als strategische Verwundbarkeit: US-Anbieter kontrollieren rund 80 Prozent der professionellen Cloud-Ausgaben in der EU. Lawfare Media kommentierte am 3. Juni 2026: «CADA represents a significant change in tone for the Commission, which has maintained its 'open market' credentials long after the U.S. and China abandoned them.» Industrie-Verbände wie ITIF, CCIA Europe und die Business Software Alliance kritisierten CADA als protektionistisch und diskriminierend – doch die politische Dynamik ist eindeutig.

Für Schweizer Entscheider heisst das: Vendor-Diversifikation bei Cloud- und KI-Infrastruktur wird vom Nice-to-have zur Compliance-Notwendigkeit. Wer heute ausschliesslich auf AWS, Azure oder Google Cloud setzt, muss für Level-2-Projekte entweder einen Exit-Plan nachweisen oder einen hybriden Stack mit EU-Anbietern wie OVHcloud, Scaleway, Mistral oder Aleph Alpha aufbauen.

Konkrete Entscheidungsfragen für CFO und CTO

• Welche deiner Kunden oder Projekte fallen unter öffentliche Beschaffung oder kritische Infrastruktur in der EU?
• Kannst du heute transparent dokumentieren, wo deine Daten verarbeitet werden und wer Zugriff hat?
• Hast du einen vertraglichen Exit-Plan für den Fall, dass dein Cloud- oder KI-Provider durch Sanktionen, Übernahme oder Jurisdiktionswechsel Level-2-Anforderungen nicht mehr erfüllt?
• Wie hoch sind deine Migrationskosten und wie lange dauert ein Provider-Wechsel realistisch?
• Verfügst du über interne oder externe Expertise, um EU-Anbieter technisch und vertraglich zu bewerten?

Diese Fragen sind nicht theoretisch. Token-Billing-Eskalation und fehlende Infrastruktur-Kontrolle treiben bereits heute ungeplante Kosten, und CADA verschärft den Druck, strategische Kontrolle zurückzugewinnen.

Schweizer Open-Source- und Confidential-Computing-Alternativen

Die Schweiz ist nicht passiver Zuschauer. Die ETH Zürich entwickelt mit Apertus LLM eine Open-Source-Alternative mit Confidential Computing, die Level-3- und Level-4-Anforderungen erfüllen kann. Für Schweizer KMU bedeutet das: Eine hybride Strategie aus EU-konformen Cloud-Anbietern, Schweizer Open-Source-Modellen und selektiver Nutzung von US-Hyperscalern für unkritische Workloads ist technisch machbar und wirtschaftlich sinnvoll.

Handlungsempfehlungen: Was du jetzt tun kannst

1. Inventarisiere deine Cloud- und KI-Infrastruktur: Wo liegen Daten, wer hat Zugriff, welche Jurisdiktion gilt?
2. Bewerte bestehende Verträge: Gibt es Exit-Klauseln, Daten-Portabilität, transparente Subprocessor-Listen?
3. Führe einen Vendor-Health-Check durch: Erfüllt dein Anbieter Level 1, 2 oder 3 – und wenn nicht, welche Alternativen gibt es?
4. Definiere interne Richtlinien: Welche Workloads dürfen auf US-Infrastruktur laufen, welche verlangen EU- oder Schweizer Souveränität?
5. Baue Expertise auf: Schule dein Team oder hole externe Unterstützung für EU-Compliance und Multi-Cloud-Architektur.

Fazit: Infrastruktur-Souveränität ist jetzt Führungsaufgabe

CADA ist noch Entwurf, doch die Marktdynamik ist real. Schweizer KMU, die heute Neocloud-Alternativen und hybride Architekturen prüfen, sichern sich Handlungsspielraum für morgen. Die vier Souveränitätsstufen sind nicht nur Compliance-Anforderung – sie sind Entscheidungsrahmen für strategische Unabhängigkeit, Kostensteuerung und Risikominderung. Wer wartet, bis der Kunde Level 2 verlangt, steht unter Zeitdruck. Wer jetzt handelt, gestaltet die eigene Infrastruktur-Souveränität aktiv.