For en almindelig privat virksomhed, der køber cloud, ændrer CADA intet i dag, fordi det er et forslag, der ikke er vedtaget. Bliver det vedtaget som foreslået, får I et offentligt register over cloudtjenester med et anerkendt suverænitetsniveau, som I kan slå op i, men efter vores læsning ingen pligt til at bruge det. Virksomheder i kritiske sektorer kan senere få pligter.
Indtil da er der intet at vente på. De regler og målestokke, I kan bruge, findes allerede.
Status pr. 8. november 2026
Cloud and AI Development Act (CADA) er Kommissionens forslag COM(2026) 502, offentliggjort 3. juni 2026. I Europa-Parlamentet behandles det i et fælles udvalg for industri og indre marked, og status er, at det afventer udvalgets beslutning. Forordningen skal efter forslaget gælde ét år efter, at den er trådt i kraft. Ingen dato kendes, fordi intet er vedtaget.
Forslaget er læst på engelsk; en dansk udgave er ikke fundet. Det, der står her, er en gengivelse og en tolkning af et forslag, der kan blive ændret. Hvordan pakken hænger sammen, står på digital-suveraenitet.dk under Tech Sovereignty Package og CADA. Her står det, en køber af infrastruktur skal vide.
Det, forslaget indfører
Fire sikringsniveauer. Art. 16 indfører en EU-ramme for suverænitet i cloud med fire niveauer. Udbydere skal opfylde dem for at levere til EU-organer og offentlige organer.
Selverklæring og revision. Niveau 1 opnås ved en offentlig selverklæring. Niveau 2, 3 og 4 kræver en uafhængig revision, som udbyderen betaler, og som gentages hvert år. Revisor må ikke have leveret andre ydelser om det reviderede i tolv måneder før og efter.
Et offentligt register. Art. 22 indfører et centralt register over anerkendte cloudtjenester, hvor også tilbagekaldelser står i fem år.
Kravene pr. niveau. Bilag II beskriver niveauerne. Niveau 1: udbyderen er etableret i EU, infrastruktur og data inklusive metadata og telemetri bliver i EU, support uden for EU kræver sporbarhed og kontrol, og der er fuld åbenhed om underleverandører. Niveau 2: også underleverandører i EU, drift og teknisk support udelukkende i EU og en liste over softwarekomponenter og afhængigheder. Niveau 3 og 4: personale skal være EU-borgere, og udbyder og underleverandører må ikke være under kontrol af et land uden for EU. For niveau 3 kan Kommissionen godkende visse lande efter forslagets regler.
Erstatning. Efter art. 24, stk. 3, kan modtagere af cloudtjenester kræve erstatning for skade ved en udbyders overtrædelse af kapitlet.
Det, forslaget siger om private virksomheder
Art. 29 og 30 gælder offentlige organer. Private virksomheder nævnes i art. 31. Virksomheder i de sektorer, der står i bilag I til NIS2-direktivet, og som ikke er offentlige, kan efter forslaget foretage lignende vurderinger. Kommissionen kan udsende vejledning og kan ved en delegeret retsakt kræve vurderinger og afbødende tiltag for private i sektorer med høj kritikalitet.
Efter vores læsning af art. 31 pålægger forslaget andre private virksomheder ingen pligt. Det er en tolkning af et forslag. Hører jeres virksomhed til en af sektorerne i NIS2-direktivets bilag I, er det et punkt at følge og et spørgsmål til advokat, når teksten er endelig.
Det, der kan ændre sig for en køber
Bliver forslaget vedtaget, kan tre ting ændre sig, også for virksomheder uden pligt:
Udbydernes dokumentation. Udbydere, der vil sælge til det offentlige, skal have et niveau anerkendt. Den revision og registreringen kan I bruge som dokumentation, selv om I ikke er forpligtet.
Et fælles sprog. Niveauerne giver et fælles sprog for, hvad en suveræn tjeneste er. Det kan gøre kravarket kortere, når det er muligt at skrive “niveau 2 eller højere”.
Certificering. Forslaget kobler de højere niveauer til en europæisk cybersikkerhedscertificering, når en sådan findes. EU’s certificering af cloudtjenester, EUCS, er ikke vedtaget. Se EUCS.
Det, der gælder uændret
Uanset CADA gælder Data Act (dataforordningen) med retten til at skifte udbyder og forbuddet mod skiftegebyrer fra 12. januar 2027. NIS2-loven gælder fortsat for de omfattede virksomheder. Og Kommissionens Cloud Sovereignty Framework fra 2025 og BSI’s C3A-kriterier kan bruges nu. Hverken registret eller anerkendte niveauer findes at spørge efter, før forslaget er vedtaget.
Brug derfor de felter, der findes i dag; se kravarket på én side og SEAL-rammen i en virksomhed.
Hvad det kræver, og hvad det koster at lade være
At følge forslaget kræver, at nogen slår status op et par gange om året og læser den endelige tekst, når den kommer. Det tager et par timer hver gang. For virksomheder i NIS2-sektorer kommer en vurdering af, om en delegeret retsakt rammer dem, oven i.
Venter I med jeres krav, til CADA er vedtaget, går der efter forslagets egen tidsplan mindst et år efter ikrafttræden, før reglerne gælder. Imens vælger I udbydere uden målestok. Posten er de valg, der træffes på udbydernes egne ord i mellemtiden, og den tid, det tager at dokumentere dem bagefter.
Det skal I lade være med
- At skrive CADA-niveauer ind som krav i dag · der findes ingen anerkendte niveauer, før forslaget er vedtaget.
- At skrive, at CADA gælder · det er et forslag pr. november 2026.
- At vente med kravarket på CADA · rammen fra 2025 og C3A kan bruges nu.
Det skal valget kunne vise
- ☐ Om jeres virksomhed hører til en sektor i NIS2-direktivets bilag I.
- ☐ En dato for, hvornår CADA’s status slås op igen.
- ☐ Et kravark, der bygger på de målestokke, der findes nu.
- ☐ Hvordan I vil bruge registret, hvis forslaget vedtages.
Kilder
- Europa-Kommissionen: forslag til Cloud and AI Development Act, COM(2026) 502 og bilag, 3. juni 2026.
- Europa-Parlamentet: Legislative Observatory, 2026/0138(COD)), læst 8. november 2026.
- Europa-Kommissionen: Cloud and AI Development Act.
Senest gennemgået: november 2026.
Næste skridt
Find ud af, om jeres virksomhed hører til en af sektorerne i NIS2-direktivets bilag I, og sæt en dato for at slå CADA’s status op igen.
Læs også: EUCS · Kræver NIS2 en europæisk cloud?
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
