EU SEAL-Framework 2026: Wie souverän sind Europas neue Sovereign Clouds wirklich?

Was die Kommission am 17. April vergeben hat

Die Europäische Kommission hat am 17. April 2026 erstmals einen Cloud-Auftrag nach einem messbaren Souveränitätsraster vergeben. Vier europäische Konsortien teilen sich bis zu 180 Millionen Euro über sechs Jahre, ausgeschrieben im Oktober 2025 unter dem Cloud-III-Dynamic-Purchasing-System. Damit wird Souveränität zur quantifizierbaren Kategorie statt zum Marketingbegriff.

Hintergrund ist die strukturelle Marktverteilung: US-Hyperscaler kontrollieren rund 70 Prozent des europäischen Cloud-Geschäfts, europäische Anbieter rund 15 Prozent. Politisch ist das nicht haltbar, technisch lange Zeit nicht messbar gewesen. Mit dem Cloud Sovereignty Framework hat die Kommission ein Instrument geschaffen, das den Anspruch auf Souveränität pruefbar macht. Henna Virkkunen, Executive Vice-President für Tech Sovereignty, Security und Demokratie, führt die Initiative.

Für innobus Zielgruppe, strategische Entscheider in Mittelstand, Enterprise und öffentlicher Verwaltung, ist der Vorgang ein Wendepunkt. Wer Cloud-Beschaffungen plant, hat erstmals eine offizielle Skala zur Hand. Die übergeordnete Debatte um die digitale Souveränität Europas haben wir im Hintergrund zu Frankreichs Souveränitäts-Direktive und in der Analyse zur Lobbyarbeit um EU-Rechenzentren beleuchtet.

Das SEAL-Framework: Souveränität in fünf Stufen

Der Kern des neuen Frameworks ist die SEAL-Skala. Sie reicht von SEAL-0 (kein Souveränitätsanspruch) bis SEAL-4 (vollständige EU-Lieferkette von Chip bis Software). Behörden, regulierte Branchen und Mittelstand können damit erstmals einordnen, wieviel Kontrolle europäische Akteure über einen Cloud-Service tatsächlich haben. Die Skala ersetzt die bisherige Selbstauskunft durch eine pruefbare Bewertung.

Der Tender hat SEAL-2 als Mindestschwelle definiert. Drei der vier Konsortien lagen über dieser Schwelle, eines genau darauf. Damit beweist das Framework in seiner ersten Anwendung, dass es eine echte Differenzierung erlaubt und nicht nur Augenwischerei produziert. Die Kommission hat zugleich klar gemacht, dass SEAL-4 als Zielzustand für besonders schutzwürdige Bereiche dient, im aktuellen Tender aber kein Anbieter erreicht hat.

Die acht SOV-Objektive und ihre Gewichtung

Das Framework misst Souveränität nicht eindimensional. Acht Objektive (SOV-1 bis SOV-8) ergeben in Summe 100 Prozent und gewichten unterschiedliche Dimensionen. Die höchste Gewichtung von 20 Prozent entfällt auf die Lieferkette, weil hier die strukturelle Abhängigkeit von US-Hardware und Hyperscaler-Software am härtesten greift. Daten und KI sind als gemeinsames Objektiv mit 10 Prozent gewichtet.

Was die Objektive im Detail abdecken

• SOV-1 Strategische Souveränität (15%): EU-Eigentum, Schutz vor ausländischer Einflussnahme, Eigentümerstruktur des Anbieters.
• SOV-2 Recht und Jurisdiktion (10%): Insulation gegen extraterritoriale Gesetze, insbesondere US CLOUD Act und FISA 702.
• SOV-3 Daten und KI (10%): Datenstandort, Verschlüsselung, Schlüsselverwaltung, unabhängige KI-Services ohne Hyperscaler-Abhängigkeit.
• SOV-4 Operative Souveränität (15%): EU-Personal kann Services eigenständig betreiben, warten und im Notfall ohne Drittparteien wiederherstellen.
• SOV-5 Lieferkette (20%): Geografische Herkunft von Komponenten, Halbleitern, Software-Stacks und Lieferanten.
• SOV-6 Technologie (15%): Offene Standards, Open-Source-Verfügbarkeit, kein Vendor-Lock-in, Portabilität von Workloads.
• SOV-7 Sicherheit und Compliance (10%): EU-Zertifizierungen wie BSI C5, EUCS, unabhängige Patches, EU-basierte Security Operations.
• SOV-8 Umwelt und Nachhaltigkeit (5%): Energieeffizienz, CO2-Bilanz, Offenlegung der Verbrauchsdaten.

Die Sovereignty-Washing-Debatte um S3NS

Die kontroverseste Entscheidung der Kommission ist die Aufnahme von S3NS in das Proximus-Konsortium. S3NS ist ein Joint Venture zwischen Thales (Mehrheitsgesellschafter) und Google Cloud, das Google-Technologie unter EU-Regie betreibt. Die Kommission begründet die Aufnahme damit, dass nicht-europäische Technologien innerhalb eines strikten Rahmens das Mindestniveau an Souveränität erreichen können. CISPE, der Verband mit 38 europäischen Cloud-Firmen, sieht darin ein Eigentor.

Die juristische Lage ist eindeutig. Der US CLOUD Act erlaubt US-Behörden, Daten weltweit von US-Cloud-Konzernen herauszuverlangen, auch wenn die Daten in der EU liegen. Eine Microsoft-Führungskraft hat bereits 2021 unter Eid vor dem französischen Senat eingeräumt, dass das Unternehmen nicht garantieren kann, dass französische Kundendaten von US-Anordnungen verschont bleiben. Die operative Trennung mag in der Praxis robust sein, sie hebelt die rechtliche Zugriffsmöglichkeit nicht aus.

Trotzdem ist die Entscheidung nicht ohne Argument. Die EU braucht funktionsfähige KI-Plattformen, und Mistral als europäischer Foundation-Model-Anbieter braucht skalierbare Infrastruktur, die kurzfristig nur unter Beteiligung von Hyperscaler-Technologie verfügbar ist. Wer SEAL-2 als pragmatischen Übergang versteht und perspektivisch SEAL-3 oder SEAL-4 anstrebt, kann den Schritt verteidigen. Wer ihn als Endzustand akzeptiert, hat die Souveränitätsdebatte verloren.

Deutsche und EU-Perspektive: STACKIT, Mistral und der CADA-Fahrplan

Für deutsche Entscheider sind drei Konsequenzen sofort relevant. STACKIT der Schwarz Gruppe ist als deutscher SEAL-3-Anbieter im Kreis der vier Auserwählten und damit der erste deutsche Hyperscaler-Konkurrent mit offizieller EU-Souveränitäts-Bestätigung. Das Framework wird über die Kommissionsausschreibung hinaus zur Referenz für nationale Behörden. Der Cloud and AI Development Act (CADA) wird das Framework in Gesetzesform giessen.

Was sich für deutsche Akteure jetzt ändert

• STACKIT als nationaler Champion: Die Cloud-Marke der Schwarz Gruppe hat den ersten verbindlichen SEAL-3-Nachweis und ist damit für Bundes- und Landesausschreibungen direkt anschlussfähig.
• Mistral mit europäischer Infrastruktur: 13.800 NVIDIA-GB300-GPUs in einem Pariser Cluster mit 44 Megawatt, finanziert über 830 Millionen US-Dollar von einem Konsortium aus sieben Banken um Bpifrance, BNP Paribas, Crédit Agricole und HSBC.
• SAP EU AI Cloud: Das Walldorfer Unternehmen hat im November 2025 vier Bereitstellungsmodelle angekündigt, darunter Delos Cloud für den deutschen öffentlichen Sektor. Wir haben das im Kontext zu SAP MaKo Cloud und SAP Joule 2026 ausführlich behandelt.
• Cloud and AI Development Act: Das CADA-Gesetz soll am 27. Mai 2026 vorgelegt werden, nachdem die Kommission die Veröffentlichung zweimal verschoben hat. Es soll das Framework von freiwilliger Bewertung in Pflicht überführen.
• Bundesverwaltung als Pilotmarkt: Behörden in Deutschland orientieren sich zunehmend an EU-Frameworks. Die Kill-Switch-Sorge der Lünendonk-Studie 2026 (83 Prozent der DACH-Unternehmen halten ein Szenario für realistisch) bekommt durch SEAL ein Gegenmittel.

Im Vergleich zur Frankreich-Direktive vom 8. April 2026, die wir in Frankreich handelt, Deutschland zögert beschrieben haben, ergänzen sich die beiden Bewegungen: Frankreich liefert die politische Forderung, die Kommission liefert das Messinstrument. Beides zusammen erhöht den Druck auf deutsche Behörden, eigene Souveränitätsstrategien aus der Schublade zu holen.

Herausforderungen und Risiken

Das Framework hat Schwächen, die deutsche Entscheider kennen müssen. CISPE und IT-Juristen kritisieren, dass die Kriterien an mehreren Stellen interpretationsoffen sind und damit großen Anbietern mit Lobbymacht in die Hände spielen. Auch der reine SEAL-Score sagt nichts über Funktionalität, Performance oder Preis aus. Eine SEAL-3-Plattform ohne passenden KI-Stack hilft einem Versicherer wenig, der Modelltraining auf eigenen Daten betreiben will.

Was Unternehmen jetzt tun sollten

Für deutsche Entscheider ist das SEAL-Framework die Chance, Souveränität in Beschaffung, Architektur und Verträgen zu verankern, ohne ideologische Debatten führen zu müssen. Die nächsten zwölf Monate entscheiden, ob das Raster zum Standard für Behörden und regulierte Branchen wird oder als reine EU-Bezugsregel marginal bleibt. Wer jetzt handelt, hat einen Verhandlungsvorteil gegenüber Anbietern.

1. SEAL-Score in Lastenheften verankern

   Bei jeder neuen Cloud-Ausschreibung mindestens SEAL-2 für Daten mit Personenbezug, SEAL-3 für kritische Infrastruktur fordern. Die Skala in RFPs als hartes Bewertungskriterium führen, nicht nur als Marketing-Frage.

2. Bestehende Verträge auf SOV-Schwerpunkte prüfen

   SOV-2 (Recht und Jurisdiktion), SOV-4 (operative Kontrolle) und SOV-5 (Lieferkette) sind die heikelsten Punkte bei laufenden Hyperscaler-Verträgen. Eine Bestandsaufnahme schafft Klarheit über die echte Souveränitätsposition.

3. KI-Workloads getrennt bewerten

   Foundation-Model-Anbieter wie Mistral, Aleph Alpha oder OpenGPT-X sind seltener SEAL-konform als reine Infrastruktur. Wer Modell und Plattform getrennt einkauft, kann Souveränität flexibler steuern.

4. Exit-Strategie dokumentieren

   57 Prozent der DACH-Unternehmen haben laut Lünendonk 2026 keinen Plan B für Hyperscaler-Ausfälle. Eine dokumentierte Exit-Strategie mit definierten Daten- und Service-Pfaden ist Voraussetzung für jeden ernsthaften Souveränitätsanspruch.

5. Verhandlungsposition gegenüber US-Anbietern nutzen

   US-Anbieter werden ihre EU-Sovereign-Angebote 2026 nachbessern, weil das Framework Druck aufbaut. Wer jetzt verhandelt, kann zusätzliche Garantien zu Schlüsselverwaltung, EU-Personal und Auditrechten verankern.

6. CADA-Vorlage am 27. Mai aktiv beobachten

   Der Cloud and AI Development Act überführt das Framework in eine verbindliche Rechtsnorm. Wer früh prüft, welche Anforderungen am eigenen Cloud-Setup andocken, hat 12 bis 18 Monate Vorlauf für Umstellungen.

Weiterführende Informationen

Häufig gestellte Fragen