Digitale Souveränität und Cloud-Nutzung in Kritischen Infrastrukturen: Der EU Cloud and AI Development Act (CADA) und NIS2. Anfang Juni hat die EU-Kommission mit dem Cloud and AI Development Act (CADA) einen Entwurf vorgelegt, der ein vierstufiges System europäischer Souveränitätsanforderungen für Cloud-Dienste vorsieht:

Level 1: EU-Niederlassung, Daten in der EU und Sicherheitsanforderungen

Level 2: Vorgaben zu Drittstaatenzugriffen, Support, Personal und Lieferketten

Level 3: Starke EU-Kontrolle und Ausschluss bestimmter Drittstaaten

Level 4: Hohe Anforderungen bis zur Kontrolle zentraler Software

Noch ist offen, welche Kriterien das Gesetzgebungsverfahren überstehen. Bis zur Verabschiedung, Umsetzung und möglichen nationalen Verpflichtungen dürfte es ein mehrjähriger und komplexer Prozess werden. Die neuen Maßstäbe könnten vor Inkrafttreten Beschaffungen beeinflussen.

Denn öffentliche Auftraggeber, Aufsichtsbehörden und Konzerne könnten die Assurance Levels bereits vor einer verbindlichen Anwendung als Referenz heranziehen. Betreiber und NIS2-Einrichtungen müssten dann womöglich erklären können, warum ein bestimmtes Cloud-Modell für sensible Daten, wesentliche Prozesse und Ausfallrisiken angemessen ist.

Der Gastbetrag von Jakob Nischan ordnet CADA, den BSI-Kriterienkatalog C3A und die möglichen Folgen für regulierte Organisationen ein.