EU Tech Sovereignty Package: Digitale Souveränität für Chips, Cloud und Cybersecurity

Im Juni 2026 hat die Europäische Kommission das EU Tech Sovereignty Package vorgestellt — einen kohärenten Satz von Maßnahmen für digitale Souveränität entlang des gesamten Technologie-Stacks: Chips, Cloud, Open Source, Cybersecurity und Industrie. Für IT-Leiter, CISOs, Geschäftsführungen und Beschaffung ist das mehr als Industriepolitik: Es verändert, welche Abhängigkeiten akzeptabel sind und welche Evidenz künftig in Ausschreibungen, Architekturboards und KRITIS-Programmen Standard wird.

Was das Paket umfasst

Die Kommission bündelt vier Komponenten:

1. Chips Act 2.0 — Nachfolger des European Chips Act; stärkt Fertigung, Design und Lieferkettenresilienz bei Halbleitern, reduziert strategische Abhängigkeiten von Drittstaaten.
2. Cloud and AI Development Act (CADA) — soll EU-Datacenter-Kapazität massiv ausbauen und einen EU-weiten Rahmen für Souveränitäts- und Risikobewertung bei Cloud und KI schaffen.
3. EU Open Source Strategy — behandelt Open Source als strategische Infrastruktur: Förderung, Skills, Start-ups und stärkere Nutzung in Behörden und kritischen Domänen — inklusive Cybersecurity und digitaler Identität.
4. Strategic Roadmap for Digitalisation and AI in Energy — integriert KI in Stromnetze und Energieinfrastruktur für Resilienz und Effizienz.

Das Paket ergänzt Wettbewerbs- und Wirtschaftssicherheitsinitiativen — es ist kein isoliertes Digitalgesetz, sondern eine Full-Stack-Souveränitätsagenda.

Digitale Souveränität — Definition für Entscheider

Digitale Souveränität meint in diesem Kontext: die Fähigkeit Europas, kritische Technologien ** kontrolliert** zu entwickeln, zu betreiben und bei Bedarf zu ersetzen — ohne existenzielle Abhängigkeit von einzelnen Nicht-EU-Anbietern oder undurchsichtigen Lieferketten. Das ist wirtschaftlich und sicherheitspolitisch motiviert:

• Halbleiterversorgung für Automotive, Industrieautomation und Rechenzentren,
• Cloud- und KI-Infrastruktur für Verwaltung, Gesundheit, Finanz und KRITIS,
• Software-Stack-Transparenz für Incident Response und Audit.

Das Paket verknüpft diese Ziele explizit mit bestehenden Cyber-Regimen — u. a. Cyber Resilience Act, NIS2 und der ICT Supply Chain Security Toolbox.

Chips Act 2.0 und Industrie

Europa produziert heute nur einen kleinen Anteil fortgeschrittener Halbleiter weltweit. Für Industrieunternehmen bedeutet Chips Act 2.0 langfristig:

• planbarere Versorgung für Steuerungen, Netzwerk-ASICs und Edge-AI,
• stärkere F&E- und Fertigungsinitiativen in der Union,
• engere Verzahnung mit Cloud/KI-Investitionen (CADA).

Kurzfristig bleibt Lieferketten-Risikomanagement Pflicht — siehe OT Security Lagebild und Industrial CRA/NIS2 Readiness.

Cloud, KI und CADA

CADA zielt auf deutlich mehr EU-Datacenter-Kapazität und einen einheitlichen Markt für Cloud- und KI-Dienste. Zentral ist ein Souveränitätsrahmen mit gestuften Assurance-Niveaus — relevant für:

• KRITIS-Betreiber mit Daten- und Workload-Residency-Anforderungen,
• regulierte Branchen (Finanz: ergänzend zu DORA),
• Behörden und Forschungseinrichtungen.

Unternehmen sollten Cloud-Architekturen auf Portabilität und Exit-Strategien auslegen — Souveränität ist kein Label, sondern Substituierbarkeit unter Audit.

Open Source als Strategie

Die EU Open Source Strategy geht über „gratis Software“ hinaus. Kernpunkte:

• Open Source in Cybersecurity, digitaler Identität (EUDI) und kritischen Stacks,
• Open-Source-first bei öffentlicher Cloud-/KI-Beschaffung (CADA-Bezug),
• Public money, public code für entwickelte oder bezogene Behördensoftware,
• Skills, Start-ups und Catalogues (EU OSS Catalogue) für Wiederverwendung.

Für private Unternehmen entstehen Chancen (Lieferant für souveräne Stacks) und Pflichten (Integration open-source Komponenten in CRA-SBOM-Logik — CRA-Leitlinien).

Cybersecurity im Souveränitätspaket

Cybersecurity ist Querschnitt — nicht vierte Säule, aber in allen Säulen verankert:

• sichere Chips und Supply Chains,
• souveräne Cloud für Incident Response und SOC-Daten,
• auditable Open-Source-Komponenten,
• resilienter Energiesektor als Angriffsziel.

Parallel laufen Programme wie der EU Action Plan Cybersecurity & AI (Juli 2026) — siehe unseren Artikel zum Action Plan. Souveränität ohne Security-Operability bleibt Theorie.

Handlungsempfehlungen für Unternehmen

1. Abhängigkeitsregister aktualisieren: Chips, Cloud, KI-Modelle, kritische SaaS.
2. Beschaffung: Souveränitäts- und CRA/NIS2-Klauseln vereinheitlichen — nicht widersprüchliche Excel-Matrizen.
3. Architektur: Multi-Provider- und Open-Source-Optionen dort, wo Exit-Kosten heute prohibitive sind.
4. Personal: Cloud-Security, Open-Source-Engineering und Compliance-Engineering früh binden.

Gesetzgebungsoutlook

Die legislativen Vorschläge (Chips Act 2.0, CADA) durchlaufen Parlament und Rat — finale Adoption ist für 2027 avisiert. Unternehmen sollten auf Trendrichtung planen, nicht auf finalen Wortlaut warten — ähnlich wie bei CRA 2024–2026.

Fazit

Das EU Tech Sovereignty Package macht digitale Souveränität zur industriepolitischen und sicherheitspolitischen Normalform — von Chips über Cloud und Open Source bis Cybersecurity und Energie. Wer Beschaffung, Architektur und Compliance heute verzahnt, ist vorbereitet auf Souveränitätsstufen, Open-Source-Beschaffung und resilientere Lieferketten — wer wartet, optimiert auf eine vergangene Abhängigkeitslogik.

Weiterführend: EU AI Act Einordnung, Cybersecurity Governance. Besetzung: IT Recruiting.