„Digitale Souveränität lässt sich nicht verordnen.“

Herr Gabriel, was bedeutet „Cloud-Souveränität“ für Banken in der Praxis?

Kolja Gabriel: Für Banken bedeutet Cloud-Souveränität vor allem, jederzeit die Kontrolle über kritische Daten, Anwendungen und Geschäftsprozesse zu behalten. Entscheidend ist dabei nicht in erster Linie der Sitz eines Cloud-Anbieters, sondern die Fähigkeit, Risiken wirksam zu steuern. Wichtige Faktoren sind Verschlüsselung, Zugriffskontrollen, Multi-Cloud-Strategien und funktionierende Exit-Pläne. Souveränität bedeutet deshalb vor allem Wahlfreiheit: Banken müssen auf Grundlage ihrer individuellen Risikoabwägung selbst entscheiden können, welche Technologien und Cloud-Anbieter ihre Anforderungen an Sicherheit, Resilienz und Leistungsfähigkeit am besten erfüllen.

Was kommt durch den CADA auf Banken zu? Müssen sie künftig ihre Cloud-Anbieter stärker prüfen oder zu europäischen Anbietern wechseln?

Kolja Gabriel: Das wird sich erst im weiteren Gesetzgebungsverfahren zeigen. Der aktuelle Gesetzesvorschlag der Europäischen Kommission richtet sich zunächst vor allem an den öffentlichen Sektor. Kritisch ist jedoch die vorgesehene Öffnungsklausel, die eine spätere Ausweitung der Souveränitätsanforderungen auf weitere kritische und private Sektoren ermöglichen würde. Diese Ermächtigung sollte aus dem CADA-Vorschlag gestrichen werden. Eine solche Ausweitung des Anwendungsbereichs sollte nicht per delegiertem Rechtsakt erfolgen, sondern dem ordentlichen EU-Gesetzgebungsverfahren vorbehalten bleiben.

Für Banken besteht mit DORA bereits ein umfassender regulatorischer Rahmen für digitale operationelle Resilienz sowie für den Umgang mit IKT-Drittdienstleistern und Konzentrationsrisiken. Zusätzliche Vorgaben durch CADA würden die Gefahr von Doppelregulierung erhöhen und zusätzlichen bürokratischen Aufwand schaffen, ohne einen erkennbaren Mehrwert für die Resilienz des Finanzsektors zu bieten.

Welche Chancen eröffnet der CADA den Banken, die verstärkt KI einsetzen möchten?

Kolja Gabriel: Grundsätzlich begrüßen wir das Ziel, leistungsfähige Cloud- und KI-Infrastrukturen in Europa zu fördern. Banken investieren bereits heute intensiv in Künstliche Intelligenz, etwa in der Betrugsprävention, im Risikomanagement oder im Kundenservice. Entscheidend ist, dass der regulatorische Rahmen Innovation fördert und den Zugang zu den besten verfügbaren Technologien ermöglicht. Zusätzliche Einschränkungen bei der Wahl von Cloud- oder KI-Anbietern würden diesem Ziel entgegenstehen.

Welche Wechselwirkungen gibt es mit DORA, dem AI Act und NIS2?

Kolja Gabriel: Genau hier sehen wir den größten Handlungsbedarf. Wie bereits gesagt, existiert für Banken mit DORA bereits ein umfassender, speziell für den Finanzsektor geltender Rechtsrahmen für digitale operationelle Resilienz. DORA verfolgt ausdrücklich das Ziel, Konzentrationsrisiken durch Diversifizierung, Multi-Cloud-Strategien und Exit-Planungen zu reduzieren. Ergänzend regeln der AI Act und weitere europäische Regelwerke den Einsatz Künstlicher Intelligenz und den Umgang mit digitalen Risiken. CADA sollte diese Vorgaben sinnvoll ergänzen, aber keine unnötigen Überschneidungen schaffen. Wenn als Ergebnis der vorgesehenen Souveränitätsanforderungen nur noch wenige Cloud-Anbieter infrage kommen, würde das den Wettbewerb einschränken und Konzentrationsrisiken erhöhen, statt sie zu verringern. Um Doppelregulierung zu vermeiden, Innovation zu ermöglichen und die Resilienz des Finanzsektors zu stärken, ist eine enge Abstimmung der Regelwerke unerlässlich.

Was sind konkrete nächste Schritte für Banken im Hinblick auf CADA in den nächsten zwei bis drei Jahren?

Kolja Gabriel: Banken werden die politischen Entwicklungen aufmerksam verfolgen und gleichzeitig ihre DORA-Umsetzung konsequent fortsetzen. Wer heute über ein wirksames IKT-Risikomanagement, eine Multi-Cloud-Strategie, klare Exit-Konzepte und eine robuste Cloud-Governance verfügt, ist auch für mögliche zukünftige Anforderungen gut aufgestellt. Zusätzliche Maßnahmen lassen sich noch nicht belastbar ableiten, da sich CADA noch im Gesetzgebungsverfahren befindet.

Wie realistisch schätzen Sie die Chance auf eine wettbewerbsfähige, unabhängige europäische Cloud-Infrastruktur ein?

Kolja Gabriel: Europa sollte bei kritischen Cloud- und KI-Technologien handlungsfähig sein. Dafür brauchen wir wettbewerbsfähige europäische Angebote, die technologisch echte Alternativen darstellen und am Markt verfügbar sind. Digitale Souveränität lässt sich nicht verordnen. Der richtige Weg ist deshalb, europäische Kapazitäten zu stärken und Abhängigkeiten zu reduzieren, ohne die Wahlfreiheit der Banken einzuschränken.