115 Milliarden Euro über zehn Jahre rechnet die CCIA-Studie für den Cloud and AI Development Act, die EU-Kommission setzt die Obergrenze bei 18 Milliarden. Rund 80 Milliarden davon träfen private Unternehmen in Energie, Banken, Verkehr und Gesundheit, in Deutschland 396 Euro pro Arbeitskraft. Die Kommission will beruhigen, doch wer die Migrationskosten am Ende zahlt, bleibt offen.
Amerikanische Unternehmen machen etwa 80 Prozent der jährlichen professionellen Cloud-Ausgaben in der EU aus. Europäische Politiker charakterisieren diese Konzentration als strategische Verwundbarkeit und nicht bloß als Beschaffungspräferenz. Genau hier setzt der Cloud and AI Development Act an.
Der Act führt vier Assurance-Level ein. Sie eskalieren von Datenresidenz-Anforderungen (Level 1) über Lieferketten-Unabhängigkeit von Drittstaaten (Level 2) bis zu EU-ansässigem Eigentum und Kontrolle (Level 3) und vollständiger Lieferketten-Transparenz ohne jegliche Drittstaaten-Einmischung (Level 4), die als Basis für Verteidigungs-Workloads gilt. Die Europäische Kommission betont, die Anforderungen seien weniger belastend als sie scheinen: etwa 70 Prozent der öffentlichen Datenverträge fielen unter Level 1, 20 Prozent unter Level 2, weniger als 10 Prozent unter Level 3 und rund 1 Prozent, vor allem im Verteidigungsbereich, erforderten Level-4-Souveränität. Die Kommission will beruhigen, doch die Debatte ist hitzig.
Die Kostenprognosen klaffen um fast hundert Milliarden auseinander
Die von der Lobbygruppe CCIA Europe finanzierte ECIPE-Studie beziffert die Kosten des EU-Vorschlags auf 115 Milliarden Euro über zehn Jahre, mit Szenarien von 35,6 bis 233 Milliarden Euro. Die Europäische Kommission schätzte die Obergrenze selbst auf 18 Milliarden Euro. „Taxpayers and businesses will foot the bill, yet the official assessment missed 70 percent of CADA’s true impact“, sagte Mitchell Rutledge, Policy Manager bei CCIA Europe. Ich halte diese Diskrepanz für bemerkenswert. Die Studie setzt die direkten Kosten für öffentliche Haushalte auf rund 33,3 Milliarden Euro an. Migration und das Umschreiben von Software machen etwa 69 Prozent der 115 Milliarden Euro aus, höhere Cloud-Preise etwa 30 Prozent. Rund 80 Milliarden Euro würden auf private Unternehmen in Sektoren wie Energie, Banken, Verkehr und Gesundheit entfallen, basierend auf der Annahme, dass Artikel 31 ein Viertel der privaten Cloud-Ausgaben erfasst. Für Deutschland nennt die Studie 396 Euro pro Arbeitskraft. Luxemburg würde laut der Studie mit 1.711 Euro pro Arbeitskraft über zehn Jahre die höchste Last tragen, gefolgt von Dänemark mit 905 Euro, Österreich mit 900 Euro, Finnland mit 864 Euro und Irland mit 856 Euro. Die Belastung ist ungleich verteilt.
Souveränität wird priorisiert, erste Vergabe geht an Telekom und SAP
Laut einer Bitkom-Studie wünschen sich 84 Prozent der Befragten die priorisierte Umsetzung digitaler Souveränität durch die Bundesregierung. Der CADA empfiehlt, 25 Prozent der Cloud- und KI-Projekte an innovative KMU zu vergeben. Da auch in Zukunft circa 40 Prozent der IT-Ausgaben außerhalb des Bundesministeriums für Digitales und Staatsmodernisierung verwaltet werden, gilt der IT-Zustimmungsvorbehalt als zentrales Instrument. Bei der jüngsten Vergabe einer souveränen Cloud-Infrastruktur für die deutsche Verwaltung mit einem Gesamtvolumen von rund 250 Millionen Euro über vier Jahre sollten SAP und die Deutsche Telekom den Zuschlag erhalten. Aspekte der digitalen Souveränität wurden erstmals stärker gewichtet als der Preis, was den Marktzugang für finanzstarke außereuropäische Anbieter strukturell erschwert. Ein Konsortium unter Beteiligung von Google und Adesso wurde aus formalen Gründen ausgeschlossen. Ich sehe darin einen Präzedenzfall.
KRITIS-Prüfpflichten werden formalisiert, viele Fragen bleiben offen
CADA-E verweist für beschaffungsrelevante öffentliche Tätigkeiten mit Public-Order-Relevanz auf die Sektoren nach Annex I und II der NIS2-Richtlinie. Artikel 31 erlaubt privaten Einrichtungen aus Annex-I-Sektoren freiwillige Folgenabschätzungen zu geeigneten Assurance Levels. Für Einkäufer, Compliance-Abteilungen und CISOs bedeutet CADA eine deutliche Formalisierung bereits bestehender Prüfpflichten, insbesondere bei langfristigen Cloud-Migrationen, Ausschreibungen im öffentlichen Sektor, NIS2- und KRITIS-nahen Dienstleistungen sowie bestehenden Verträgen mit großen Anbietern aus Drittstaaten. Mitgliedstaaten müssen mindestens eine „data centre acceleration zone“ ausweisen, in der Datenzentrumsprojekte von gestrafften Genehmigungsverfahren, aggregierten Basisgenehmigungen und einer maximalen Genehmigungsfrist von 12 Monaten profitieren. Öffentliche Stellen müssen „Union added value“ als Nicht-Preis-Kriterium in der Vergabe von Cloud- und KI-Diensten berücksichtigen.
Offen bleibt, wie deutsche Kommunen die vier Stufen praktisch umsetzen, wer die Kosten der Migration trägt und ob der Marktzugang für US-Anbieter dauerhaft erschwert wird. Diese Fragen wird der Wandel beantworten müssen.