Der TÜV-Verband begrüßt den Vorschlag der EU-Kommission für einen Cloud and AI Development Act (CADA). Der Vorschlag soll Europas digitale Souveränität stärken, Abhängigkeiten von außereuropäischen Technologieanbietern verringern und den Ausbau europäischer Cloud- und KI-Infrastrukturen fördern. Unter anderem sollen Rechenzentren und Rechenkapazitäten ausgebaut werden. Der Gesetzentwurf sieht außerdem vier europaweit einheitliche Stufen zur Bewertung der digitalen Souveränität von Cloud-Diensten und unabhängige Prüfungen vor.
Aus Sicht des TÜV-Verbands kann der geplante einheitliche europäische Prüfrahmen dazu beitragen, sogenanntes „Sovereignty Washing“ zu verhindern, also falsche oder irreführende Angaben von Cloud-Anbietern über ihre Unabhängigkeit von ausländischer Kontrolle. Der Verband begrüßt diesen Ansatz, fordert aber, die vorgesehenen Anforderungen und Prüfverfahren konkreter auszugestalten.
Die Vorschläge des TÜV-Verbands im Überblick:
- Unabhängige Prüforganisationen einbeziehen
Der Gesetzentwurf sieht unabhängige Prüfungen der Cloud-Souveränität vor. Der TÜV-Verband fordert, dass ausdrücklich auch qualifizierte unabhängige Prüf- und Zertifizierungsorganisationen wie die TÜV daran teilnehmen können. Voraussetzung sind nachgewiesene Unabhängigkeit, technische Fachkenntnisse und einschlägige Prüferfahrung.
- Klare Kriterien für digitale Souveränität schaffen
Die Anforderungen an digitale Souveränität müssen präzise und risikobasiert sein. Entscheidend ist nicht allein, wo ein Anbieter seinen Sitz hat oder wem er gehört, sondern auch, wer die Kontrolle über Daten und Systeme ausübt und welche technischen oder rechtlichen Abhängigkeiten bestehen. Zudem muss klar erkennbar sein, welche Cloud-Dienste unter welchen Bedingungen geprüft wurden.
- Einheitliche Prüfverfahren in Europa sicherstellen
Cloud-Dienste sollen in der gesamten EU nach vergleichbaren Maßstäben geprüft werden. Dafür braucht es einheitliche Prüfmethoden und Anforderungen an die erforderlichen Nachweise. Sensible Unternehmens- und Sicherheitsinformationen müssen geschützt werden. Um Doppelprüfungen zu vermeiden, sollen bereits durchgeführte Prüfungen berücksichtigt werden können. Die staatliche Aufsicht muss gewährleistet bleiben.
- Den Wechsel von Cloud-Anbietern und die Wiederherstellung von Diensten testen
Verträge über kritische Cloud-Dienste sollen überprüfbare Anforderungen für einen Anbieterwechsel, die Übertragung von Daten und Anwendungen sowie die Wiederherstellung und Aufrechterhaltung des Betriebs enthalten. Entsprechende Notfall- und Wechselpläne sollen praktisch getestet und gegebenenfalls unabhängig überprüft werden.
- Bestehende Zertifizierungen berücksichtigen
Bereits vorhandene Prüfungen und Zertifizierungen, etwa nach ISO 27001 oder dem BSI-C5-Kriterienkatalog, sollen bei der Bewertung berücksichtigt werden können, soweit ihre Ergebnisse relevant sind. Sie dürfen eine eigenständige Prüfung der digitalen Souveränität aber nicht automatisch ersetzen. Auch die Anforderungen anderer europäischer Digitalgesetze sollen berücksichtigt werden, um Überschneidungen zu vermeiden.
Downloads
Positionspapier: Cloud and AI Development Act (CADA) im Rahmen des EU Tech Sovereignty Package
