Cloud-Souveränität wird Vergaberecht: Warum die Energiewirtschaft ihre Cloud-Entscheidungen für 2029 schon 2026 trifft

Das Timing-Problem

Der Cloud and AI Development Act liegt seit dem 3. Juni 2026 als Kommissionsentwurf vor (COM(2026) 502, Teil des European Technological Sovereignty Package). Er muss noch durch Parlament, Rat und Trilog. Die Kommission rechnet in ihrer Folgenabschätzung mit einem Abschluss der Verhandlungen bis Ende 2027 und einer Anwendung ab etwa 2029.

Das klingt nach einem Thema für übermorgen. Es ist eines für dieses Haushaltsjahr.

Denn die Entscheidungen, die CADA später bewerten wird, fallen in der Energiewirtschaft gerade jetzt:

• Die S/4HANA-Transformation. Wer heute über RISE-Modelle und die dahinterliegende Infrastruktur entscheidet, legt sich für zehn Jahre fest. Die Wartungsfristen für die Vorgängergeneration erzwingen die Entscheidung im Fenster 2026 bis 2028.
• Die Backends für den intelligenten Messstellenbetrieb, die mit dem Rollout aus der Projekt- in die Regelbetriebsphase wachsen.
• Marktkommunikation, Energiedatenmanagement, Abrechnung und Kundenportale, deren Ablösung in vielen Häusern gerade ausgeschrieben oder gerade vergeben wird.
• Rahmenverträge über Kollaborations- und Identitätsplattformen mit Laufzeiten von drei bis fünf Jahren plus Verlängerungsoptionen.

Rechnet man Vertragslaufzeit plus Migrationsvorlauf zurück, dann ist der letzte Entscheidungspunkt vor dem Geltungsbeginn von CADA für viele dieser Systeme bereits erreicht oder liegt im kommenden Jahr. Wer erst mit dem finalen Verordnungstext anfängt zu planen, plant gegen die eigene Vertragslage.

Was CADA verlangen soll

Kernstück des Entwurfs ist ein einheitlicher Rahmen für die EU-Souveränität von Cloud-Diensten mit vier kumulativ aufsteigenden Union Assurance Levels:

Level 1 verlangt eine Niederlassung des Anbieters in der EU, den Verbleib von Kundendaten einschließlich Metadaten und Telemetrie in der EU sowie volle Transparenz über Unterauftragnehmer. Nachweis per Selbstbewertung.

Level 2 fordert zusätzlich Infrastruktur und Personal in der EU, technischen Support ausschließlich aus der EU, eine Software-Stückliste (SBOM) und den Ausschluss der Datennutzung für das Training von KI-Systemen aus Drittstaaten. Anbieter unter Drittstaatenkontrolle können diese Stufe erreichen, müssen die Abschottung aber nachweisen.

Level 3 setzt voraus, dass Anbieter und Unterauftragnehmer nicht der Kontrolle eines Drittstaats unterliegen und das Personal die Unionsbürgerschaft besitzt. Ausnahmen nur, wenn die Kommission einem Drittstaat per Durchführungsrechtsakt ausreichende Garantien bescheinigt.

Level 4 ergänzt eine Zertifizierung auf dem Vertrauensniveau „hoch” und den Nachweis, dass kein Drittstaat effektive Kontrolle über Entwicklung, Wartung und Weiterentwicklung der eingesetzten Softwarekomponenten ausübt.

Entscheidend für die Praxis: Die Stufen 2 bis 4 sollen nicht selbst erklärt, sondern durch unabhängige Auditorganisationen geprüft und von einer nationalen zuständigen Behörde anerkannt werden. Anerkannte Dienste kommen in ein zentrales Register der Kommission. Damit endet die Phase, in der „souverän” eine Marketingaussage war.

Verbindlich wird der Rahmen über das Vergaberecht. Nach Art. 29 des Entwurfs bestimmen Mitgliedstaaten per Risikobewertung, welche öffentlichen Tätigkeiten der Aufrechterhaltung der öffentlichen Ordnung dienen. Art. 30 verpflichtet öffentliche Auftraggeber auf mindestens Level 1; für Tätigkeiten mit Public-Order-Bezug in den Sektoren der NIS2-Anhänge sind ausschließlich die Level 2, 3 oder 4 zulässig. Art. 31 eröffnet Einrichtungen nach Anhang I der NIS2-Richtlinie vergleichbare Bewertungen zunächst freiwillig — mit der Möglichkeit, dies per delegiertem Rechtsakt für Sektoren hoher Kritikalität verbindlich zu machen. Art. 32 führt den Union added value als nicht-preisliches Zuschlagskriterium ein.

Warum die Energiewirtschaft der Sonderfall ist

Für die meisten Adressaten europäischer Digitalregulierung trifft eine der Anknüpfungen zu. Bei einem kommunalen Energieversorger treffen drei aufeinander:

Er ist Auftraggeber im Sinne des Vergaberechts, in aller Regel als Sektorenauftraggeber für die Energieversorgung, häufig zusätzlich als öffentlicher Auftraggeber für Querschnittsfunktionen. Er ist NIS-2-Einrichtung im Anhang-I-Sektor Energie und damit sowohl Adressat des Art. 31 als auch potenzieller Adressat eines späteren delegierten Rechtsakts. Und er ist je nach Größe KRITIS-Betreiber mit den entsprechenden Nachweispflichten nach BSIG.

Diese Dreifachrolle bedeutet: Die Souveränitätsfrage kommt nicht auf einem Weg ins Haus, sondern auf dreien gleichzeitig — über die eigene Beschaffung, über die eigene Regulierung und über die Lieferkettenanforderungen der eigenen Kunden.

Hinzu kommt ein struktureller Punkt, der in der öffentlichen Debatte untergeht. Die Kommission unterscheidet in ihrer Begründung ausdrücklich zwei Risiken: die Kontrolle über Daten und die operative Autonomie — also die Frage, ob ein Dienst auch dann verfügbar bleibt, wenn ein Drittstaat einseitig entscheidet. Der zweite Punkt ist der neue. Für einen Versorger ist er auch der wichtigere, denn Verfügbarkeit ist hier kein Komfortmerkmal, sondern Versorgungssicherheit.

Dass dieses Risiko nicht theoretisch ist, hat das erste Halbjahr 2026 gezeigt. Am 12. Juni 2026 setzte ein KI-Anbieter den Zugang zu zwei seiner leistungsfähigsten Modelle aus, um Exportkontrollauflagen des US-Handelsministeriums zu entsprechen; die Auflagen wurden am 30. Juni aufgehoben, der Zugang am 1. Juli wiederhergestellt. Rund drei Wochen Ausfall eines produktiv genutzten Dienstes, ausgelöst durch eine Entscheidung, an der weder Kunde noch Vertragspartner beteiligt waren. Übertragen auf ein System, an dem Marktprozesse oder Abrechnung hängen, wäre das kein Ärgernis, sondern ein meldepflichtiger Vorfall.

Die Frage, die noch niemand beantwortet hat

Art. 29 verlangt die Bestimmung derjenigen Tätigkeiten, die der Aufrechterhaltung der öffentlichen Ordnung dienen. Daran hängt der Sprung von Level 1 zu den Stufen 2 bis 4 — und damit der Unterschied zwischen einer Selbstbewertung und einem auditierten, behördlich anerkannten Dienst.

Für ein Stadtwerk ist diese Zuordnung alles andere als offensichtlich:

• Der Netzbetrieb und die Leitstellenebene dürften unstrittig sein.
• Der grundzuständige Messstellenbetrieb ist eine gesetzlich zugewiesene Aufgabe nach MsbG. Public order oder nicht?
• Die Marktkommunikation ist reguliert und für das Funktionieren des Marktes konstitutiv, aber nicht unmittelbar versorgungskritisch.
• Abrechnung, CRM und Kundenportal wirken zunächst wie gewöhnliche Verwaltungs-IT — bis man sie im Störungsfall braucht.
• Die Identitäts- und Berechtigungsverwaltung ist für sich genommen unspektakulär und hängt doch am Zugang zu allem anderen.

Offen ist außerdem, wie der Anwendungsbereich des Art. 30 auf die deutsche Vergaberechtssystematik durchschlägt. Der Entwurf spricht von öffentlichen Auftraggebern. Ob und wie Sektorenauftraggeber nach § 100 GWB erfasst werden, ist eine Frage, die im Trilog präzisiert werden muss und für die Energiewirtschaft über die halbe Reichweite der Verordnung entscheidet.

Wer diese Zuordnungen nicht selbst vorbereitet, bekommt sie irgendwann von außen — von einer Aufsichtsbehörde, einem Rechnungsprüfungsamt oder einem Kunden mit eigenem Lieferkettenfragebogen.

Der blinde Fleck liegt nicht in der Leitwarte

Die Prozessleitebene der Energiewirtschaft ist seit Jahren durchreguliert: IT-Sicherheitskatalog nach § 11 EnWG, ISO/IEC 27019, die BSI-Vorgaben rund um Smart-Meter-Gateway und TR-03109, KRITIS-Nachweise. Dort gibt es faktisch längst ein Souveränitätsregime, auch wenn es nicht so heißt. Hyperscaler-Durchdringung: gering.

CADA trifft eine andere Ebene. Es trifft die Schicht darüber — Marktprozesse, ERP, Abrechnung, Dokumentenmanagement, Kollaboration, Identität. Genau dort ist die Durchdringung mit nicht-europäischen Plattformdiensten in den letzten Jahren am stärksten gewachsen, dort sind die Vertragsbindungen am längsten, dort ist die Migrationsfähigkeit am schlechtesten dokumentiert — und dort schaut in den meisten Häusern niemand mit dem Souveränitätsblick hin, weil das Thema mental in der Leitwarte verortet ist.

Die Branche hat den kritischsten Teil im Griff und den regulatorisch nächsten aus dem Blick.

Was heute schon belastbar ist

CADA ist ein Entwurf. Die Definitionen der vier Stufen sind der wahrscheinlichste Verhandlungsgegenstand im Trilog, und das europäische Zertifizierungsschema für Cloud-Dienste (EUCS), auf das der Entwurf an mehreren Stellen verweist, ist bis heute nicht verabschiedet — der Entwurf sieht deshalb Übergangslösungen vor. Wer heute „CADA-Konformität” verspricht, verkauft eine Wette.

Vier Schritte sind trotzdem unabhängig vom finalen Text sinnvoll, weil sie ohnehin auf NIS-2, DORA-nahe Anforderungen, den Data Act und den Cyber Resilience Act einzahlen:

1. Bestandsaufnahme mit Ausfallfrage. Welche Cloud- und SaaS-Dienste sind im Einsatz, welche Geschäftsprozesse hängen daran, und was passiert konkret, wenn dieser Dienst morgen nicht mehr erreichbar ist oder ein Drittstaat Einsicht nehmen kann? Das ist keine Souveränitätsübung, sondern Business-Impact-Analyse — und liefert nebenbei die Vorarbeit für die spätere Stufenzuordnung.

2. Vorläufige Zuordnung der Tätigkeiten. Welche Aufgaben des Hauses würden nach heutigem Verständnis als der öffentlichen Ordnung dienend gelten? Die Antwort wird sich ändern. Die Struktur der Argumentation nicht.

3. Vertragsseite prüfen. Laufzeiten, Kündigungsfristen, Ausstiegsklauseln, tatsächliche Funktionsfähigkeit von Datenexport und Portabilität. Der Data Act stärkt die Position beim Anbieterwechsel bereits heute; wer diese Rechte kennt und vertraglich abbildet, verschafft sich Spielraum, bevor eine Frist ihn erzwingt.

4. Souveränitätsanforderungen in laufende Vergaben aufnehmen, statt sie später nachzurüsten. Ein System von Beginn an auf europäischen Betrieb auszulegen kostet deutlich weniger als eine spätere Migration. Sinnvoll ist eine gestufte Formulierung: erfüllte Anforderung heute, Nachweisverpflichtung bei Inkrafttreten, Anpassungsklausel für den finalen Rechtsrahmen.

Fazit

Die entscheidende Neuerung des Entwurfs liegt nicht darin, dass bestimmte Anbieter ausgeschlossen würden. Sie liegt darin, dass Souveränität in abgestufte, auditierbare Kriterien übersetzt wird — und damit von einer politischen Haltung zu einem Nachweisgegenstand.

Für die Energiewirtschaft folgt daraus kein Umsetzungsprojekt, sondern ein Planungsauftrag mit einer unbequemen Eigenschaft: Sein Fälligkeitsdatum liegt vor dem Geltungsbeginn der Verordnung. Die Häuser, die 2029 handlungsfähig sein wollen, treffen die relevanten Architektur- und Vertragsentscheidungen im Fenster 2026 bis 2028.

Die offenen Fragen — Reichweite auf Sektorenauftraggeber, Zuordnung des grundzuständigen Messstellenbetriebs, Verhältnis zu den bestehenden EnWG- und BSI-Vorgaben — sollten in dieser Zeit nicht abgewartet, sondern adressiert werden. Auch gegenüber Verbänden und Aufsicht. Wer erst nach dem Trilog anfängt zu fragen, fragt in einen fertigen Text hinein.

regelwerker begleitet Netzbetreiber, Stadtwerke und Messstellenbetreiber bei Informationssicherheit und Compliance — hemdsärmelig, handwerklich, ohne Beraterprosa. Sie stehen im Fenster 2026 bis 2028 vor einer der genannten Architektur- oder Vertragsentscheidungen und wollen die Souveränitätsfrage strukturiert einordnen? Sprechen Sie uns an.