Cloud Sovereignty Framework: Wenn Souveränität zur messbaren Vergabegröße wird
Mit dem Cloud Sovereignty Framework macht die EU-Kommission digitale Souveränität bewertbar: acht Ziele, ein SEAL-Stufenmodell und eine erste Vergabe über 180 Millionen Euro. Was das für Beschaffung und Anbieterauswahl bedeutet.
Digitale Souveränität war lange ein Begriff für Grundsatzreden, schwer zu fassen und noch schwerer zu prüfen. Mit dem Cloud Sovereignty Framework hat die EU-Kommission daraus ein Bewertungsraster gemacht. Die im Oktober 2025 veröffentlichte Fassung (Version 1.2.1) definiert acht Souveränitätsziele und eine Methodik, mit der sich Cloud-Anbieter strukturiert einordnen lassen. Im April 2026 folgte die Praxisprobe: ein Rahmenvertrag über 180 Millionen Euro für souveräne Cloud-Dienste der EU-Institutionen, vergeben an vier europäische Anbieter.
Damit verschiebt sich die Debatte. Souveränität ist nicht mehr nur ein Versprechen im Marketing, sondern ein Kriterium, das in Ausschreibungen abgefragt und bepunktet wird.
Acht Ziele statt eines Bauchgefühls
Das Framework gruppiert Souveränität in acht Zieldimensionen: strategisch, rechtlich und jurisdiktionell, Daten und KI, operativ, Lieferkette, technologisch, Sicherheit und Compliance sowie ökologische Nachhaltigkeit. Der Reiz liegt in der Vollständigkeit. Wer nur auf den Hosting-Standort schaut, erfasst vielleicht die rechtliche Dimension, übersieht aber die Lieferkette hinter dem Betrieb oder die Frage, wer im Ernstfall die Kontrolle über den technischen Stack behält.
Erst das Zusammenspiel ergibt ein belastbares Bild. Ein Anbieter kann in Frankfurt hosten und trotzdem an einer Konzernmutter außerhalb der EU hängen, deren Jurisdiktion im Zweifel durchgreift.
SEAL macht das Ergebnis vergleichbar
Kern der Methodik ist der Sovereignty Effectiveness Assurance Level, kurz SEAL. Er bündelt die Bewertung zu Stufen, die Schwellen für unterschiedliche Souveränitätsansprüche markieren: SEAL-2 für die höchste Stufe der Datensouveränität, SEAL-3 für technologische Autonomie und SEAL-4 für vollständige Souveränität. Eine Behörde muss so nicht jedes Detail selbst gewichten, sondern kann eine Zielstufe vorgeben und Angebote daran messen.
Das ist der eigentliche Fortschritt. Eine Stufenlogik übersetzt ein diffuses Ziel in eine Anforderung, die sich ausschreiben, vergleichen und nachprüfen lässt. Für Anbieter heißt das: Souveränität wird testierbar, nicht nur behauptbar.
Warum das über die Institutionen hinaus wirkt
Die erste Vergabe betraf die EU-Institutionen selbst, mit vier europäischen Anbietern als Zuschlagsempfängern. Interessant ist aber die angekündigte Fortschreibung: Die Kommission arbeitet daran, die Bewertungsmethodik auch anderen Behörden und Mitgliedstaaten zugänglich zu machen. Sobald nationale und kommunale Vergabestellen dasselbe Raster nutzen, wird SEAL zu einer gemeinsamen Sprache für Souveränität in der öffentlichen Beschaffung.
Für Unternehmen, die an den öffentlichen Sektor liefern oder regulierte Kunden bedienen, ist das ein Frühindikator. Was heute für EU-Institutionen gilt, taucht erfahrungsgemäß bald in nachgelagerten Ausschreibungen und Lieferantenfragebögen wieder auf.
Was jetzt sinnvoll ist
Drei Fragen lohnen sich unabhängig von der nächsten Ausschreibung: In welchen der acht Dimensionen ist die eigene Cloud-Nutzung tatsächlich souverän, und wo hängt sie an einer außereuropäischen Jurisdiktion? Welche Zielstufe brauchen die eigenen Anwendungsfälle wirklich, denn nicht jede Last verlangt SEAL-4? Und lässt sich die eigene Position belegen, nicht nur behaupten?
Die Datargo-Plattform ist auf EU-Hosting in Frankfurt und Betreiberkontrolle in der EU ausgelegt, was mehrere dieser Dimensionen zugleich adressiert. Der eigentliche Punkt ist aber unabhängig vom Anbieter, nämlich Souveränität künftig entlang der acht Ziele zu prüfen statt am einzelnen Rechenzentrumsstandort.
Souveränität wird nicht länger behauptet. Sie wird bewertet.