Digitale Souveränität der EU – Wie Open Source die Zukunft wird
Die Europäische Union macht ernst: Am 3. Juni 2026 hat die EU-Kommission ein umfassendes Gesetzespaket zur digitalen Souveränität vorgestellt. Drei von zehn US-Unternehmen kontrollieren 65 % des europäischen Cloud-Markts. Daten, die in EU-Rechenzentren von AWS, Azure oder Google gespeichert sind, unterliegen weiterhin US-amerikanischem Recht (CLOUD Act). Mit dem neuen Cloud and AI Development Act (CADA) und einer Reihe weiterer Gesetze will die EU diese Abhängigkeit brechen – und Open Source spielt dabei eine Schlüsselrolle.
Was ist der Cloud and AI Development Act (CADA)?
Der CADA ist das Herzstück des EU-Souveränitätspakets. Er verfolgt drei Hauptziele:
🔬 Forschung & Entwicklung (F&E)
Die EU fördert die Entwicklung eigener Cloud- und KI-Technologien der nächsten Generation – für Frontier AI, industrielle KI und physische KI (Robotics). Sogenannte „Grand Challenges" sollen die Forschungsanstrengungen bündeln. Nationale Cloud- und KI-Strategien der Mitgliedsstaaten sorgen für die Umsetzung vor Ort.
⚡ Kapazität & Infrastruktur
Die Rechenzentrumskapazität der EU soll innerhalb von 5–7 Jahren mindestens verdreifacht werden. Genehmigungsverfahren werden beschleunigt, der Zugang zu Energie, Grundstücken und Finanzierung verbessert. Ziel: genug Rechenleistung für KI, Cloud und datenintensive Anwendungen.
🛡️ Autonomie – Vier Stufen der Souveränität
Der CADA definiert ein EU-weites Rahmenwerk für Cloud- und KI-Souveränität mit vier Sicherheitsstufen:
- Level 1 – Datenverarbeitung in der EU (geografisch)
- Level 2 – Anbieter muss Unabhängigkeit von Drittstaaten und transparente Lieferkette nachweisen
- Level 3 – Anbieter muss sich in EU-Besitz und unter EU-Kontrolle befinden
- Level 4 – Volle Transparenz und Kontrolle über die gesamte Software-Lieferkette, keine Einflussnahme durch Drittstaaten
Öffentliche Verwaltungen müssen je nach Risikobewertung bestimmte Stufen einhalten – das fördert europäische Anbieter und Open-Source-Lösungen massiv.
Der Cyber Resilience Act (CRA) und Open Source
Der CRA (Verordnung EU 2024/2847) ist bereits in Kraft und wird ab Dezember 2027 vollständig gelten. Er verpflichtet Hersteller digitaler Produkte zu Security by Design, lebenslangem Sicherheitsupdate-Management und der Meldung von Schwachstellen innerhalb von 24 Stunden.
Für Open Source bedeutet das:
- Nicht-kommerzielle Open-Source-Projekte sind ausdrücklich ausgenommen
- Kommerzielle Nutzer (Unternehmen, die OSS in Produkte einbauen) tragen die Compliance-Verantwortung
- Die Software Bill of Materials (SBOM) wird zum Standard – jedes Unternehmen muss wissen, welche Open-Source-Komponenten in seinen Produkten stecken
- Open Source wird durch den CRA aufgewertet: Wer transparente, auditierbare Lieferketten hat, ist im Vorteil
Warum Open Source die Zukunft der digitalen Souveränität ist
Die EU setzt bewusst auf Open Source als strategisches Instrument:
- Keine Vendor-Lock-in – Offene Standards und Quellcode verhindern Abhängigkeit von einzelnen Konzernen
- Auditierbare Sicherheit – Jeder kann den Code prüfen, Hintertüren sind ausgeschlossen
- Gemeinsame Entwicklung – Europäische Forschungseinrichtungen, Behörden und Unternehmen können zusammenarbeiten, statt amerikanische Lizenzen zu kaufen
- Kosteneffizienz – Open Source senkt langfristig die Kosten für die öffentliche Verwaltung und fördert den europäischen Digitalmarkt
Werkzeuge wie OpenCode (KI-Coding-Agent) und LM Studio (lokale LLMs) sind hervorragende Beispiele: Beide sind Open Source, laufen auf eigener Infrastruktur und machen unabhängig von US-Cloud-Diensten. Wer heute auf Open Source setzt, investiert in die digitale Souveränität von morgen.
Weitere Infos
CADA – Cloud and AI Development Act: digital-strategy.ec.europa.eu
CRA – Cyber Resilience Act: digital-strategy.ec.europa.eu/en/policies/cra-summary
EU Tech Sovereignty Package: globalpolicywatch.com