Mit dem europäischen Tech Sovereignty Package will die EU ihre digitale Handlungsfähigkeit stärken – mit Maßnahmen für souveräne Cloud- und KI-Infrastrukturen, den Ausbau der europäischen Halbleiterproduktion, die Förderung von Open Source und mehr Digitalisierung und KI im Energiesektor. Für den Bankensektor ist dabei vor allem der Cloud & AI Development Act (CADA) von Bedeutung. Denn auch wenn der Vorschlag zunächst auf den öffentlichen Sektor zielt, reicht seine Wirkung deutlich weiter.
CADA kann die Struktur des europäischen Cloud- und KI-Marktes spürbar verändern und damit auch für Banken zu einem strategischen Faktor werden – etwa bei Anbieterwahl, Auslagerungssteuerung, Kosten, Innovation und Resilienz.
Das gilt umso mehr, als Banken auf dieselben digitalen Infrastrukturen angewiesen sind wie öffentliche Stellen und zugleich bereits strengen Anforderungen etwa aus DORA unterliegen.
Wesentliche Inhalte
Der Vorschlag will einen EU-weiten Bewertungsrahmen für Cloud- und KI-Souveränität schaffen, den öffentliche Stellen bei der Beschaffung und Nutzung entsprechender Dienste anwenden. Für Förderbanken ist deshalb besonders relevant, wie weit der Anwendungsbereich des öffentlichen Sektors gefasst wird. Davon hängt ab, ob sie von den neuen Vorgaben unmittelbar erfasst würden.
Zugleich dürften die vorgesehenen Vertrauensgrade weit über die öffentliche Hand hinauswirken. Sie können sich zu einem faktischen Marktstandard dafür entwickeln, welche Cloud- und KI-Dienste künftig als souverän und für sensible Anwendungen geeignet gelten. Das hätte unmittelbare Folgen für Lieferketten, Vertragsbeziehungen und das verfügbare Anbieterfeld. Hinzu kommt, dass Art. 31 die Möglichkeit eröffnet, die unter CADA angelegte Systematik auch auf die Privatwirtschaft auszuweiten.
Für Banken wäre das von erheblicher Bedeutung, weil mit DORA bereits ein differenzierter Regulierungsrahmen für den Umgang mit Abhängigkeiten von IT- und Cloud-Dienstleistern besteht.
Der Vorschlag macht Open Source zu einem ausdrücklich verankerten Baustein europäischer Cloud- und AI-Souveränität, vor allem für den öffentlichen Sektor, aber nicht als ausnahmslose Verpflichtung, sondern als bevorzugte und organisatorisch unterstützte Option
Zentrale Forderungen des VÖB
Der VÖB unterstützt das Ziel, die digitale Souveränität Europas zu stärken. Damit CADA dieses Ziel wirksam und verhältnismäßig erreicht, kommt es im weiteren Gesetzgebungsprozess aus Sicht des VÖB auf eine präzise und praxistaugliche Ausgestaltung an.
Dazu gehört zunächst, Förderbanken nicht in den Anwendungsbereich von CADA einzubeziehen. Auch wenn sie öffentliche Aufgaben unterstützen und volkswirtschaftlich bedeutsam sind, sind sie nicht mit originären Staatsfunktionen wie innerer Sicherheit, Verteidigung oder Justiz gleichzusetzen. Eine pauschale Einordnung wäre daher weder sachgerecht noch verhältnismäßig.
Ebenso wichtig ist, dass die Vertrauensgrade konsequent risikobasiert ausgestaltet werden. Entscheidend sollte nicht die Herkunft eines Anbieters allein sein, sondern die konkrete Steuerbarkeit, Prüfbarkeit, Interoperabilität und die tatsächliche Möglichkeit, Anbieter zu wechseln oder Leistungen zu ersetzen. Nur ein solcher Ansatz bringt Resilienz, Wettbewerb und Innovationsfähigkeit in ein ausgewogenes Verhältnis. Für Institute und insbesondere Förderbanken ist derzeit nicht hinreichend geklärt, welche Auswirkungen die im CADA vorgesehenen Vertrauensgrade 3 und 4 auf Anwendungsfälle wie Risiko-Scoring oder Betrugsprävention hätten und ob daraus faktisch eine Bevorzugung europäischer Anbieter entstünde, obwohl Häuser in diesen Funktionen derzeit auch auf US-Anbieter zurückgreifen und europäische Alternativen vielfach erst prüfen.
CADA sollte die unterschiedlichen Ausprägungen von Open Source und ihre jeweiligen Auswirkungen auf Souveränität klarer unterscheiden. CADA sollte insbesondere ausdrücklich anerkennen, dass es von Anbietern unterstützte Enterprise-Open-Source-Lösungen gibt. Für kritische Infrastrukturen ist Open Source ohne verlässliche kommerzielle Unterstützung häufig nicht ausreichend. Banken benötigen Software mit klar geregelter Haftung, langfristiger Wartung, Sicherheitspatches, Service-Level-Agreements und professionellem Support.
Schließlich sieht der VÖB bei Art. 31 erheblichen Nachbesserungsbedarf. Die vorgesehene Öffnung in Richtung Privatwirtschaft sollte entweder gestrichen oder jedenfalls deutlich präziser, enger und verhältnismäßiger gefasst werden. Solange ein klarer, belastbarer und risikobasierter Anwendungsrahmen fehlt, würde eine Ausdehnung auf private Unternehmen vor allem Rechtsunsicherheit schaffen, zusätzliche Compliance-Kosten auslösen und die Gefahr uneinheitlicher Anwendung in den Mitgliedstaaten erhöhen.
CADA sollte daher so weiterentwickelt werden, dass europäische Souveränität gestärkt wird, ohne neue Doppelregulierung, unnötige Marktsegmentierung oder operative Unsicherheit zu erzeugen. Aus Sicht des VÖB liegt der richtige Weg in einer wirksamen, risikobasierten Steuerung – nicht in pauschaler Ausweitung oder strukturellen Ausschlüssen.
Das aktuelle VÖB-Positionspapier zum Cloud and AI Development Act finden Sie hier.