Resumen

  • Los artículos 29 y 30 de la propuesta CADA construyen una puerta de elegibilidad basada en riesgo: el nivel de garantía exigido deriva de una evaluación pública, mientras que el reconocimiento del servicio depende de un procedimiento separado de conformidad, auditoría y decisión administrativa. El artículo 32 no sustituye esa puerta: en determinadas licitaciones innovadoras de nube e IA introduce criterios cualitativos no relacionados con el precio, previamente publicados, vinculados al objeto del contrato y obligatoriamente accesorios y no determinantes.
  • La cuestión de gobernanza no es simplemente cuánto «favorece a Europa» CADA, sino quién puede excluir una opción, quién puede puntuarla, con qué pruebas y quién soporta las consecuencias. El CESE propuso el 23 de septiembre elevar sustancialmente el peso orientativo del valor añadido de la Unión, pero esa recomendación no es Derecho vigente: a 16 de octubre de 2026, el Parlamento Europeo sigue registrando 2026/0138(COD) como «Awaiting committee decision».

Superar el umbral no gana la licitación

El problema práctico puede expresarse con una pregunta sencilla. Supongamos que una administración necesita una nube para una actividad pública sensible. Un proveedor consigue que su servicio sea reconocido en el nivel de garantía que exige CADA. ¿Ha ganado con ello el contrato? No. Ha superado una condición de acceso al espacio competitivo pertinente. La comparación entre ofertas —precio, prestaciones técnicas y, cuando resulte aplicable, otros criterios de calidad— viene después. Y, en la situación inversa, una oferta que obtenga una excelente valoración por su contribución al ecosistema europeo no puede utilizar esa puntuación para borrar una falta de reconocimiento que el artículo 30 haga necesaria. Esa separación entre aptitud para entrar y mérito para ganar es la arquitectura central que se pierde cuando se leen conjuntamente los artículos 29, 30 y 32 como si establecieran una única preferencia europea.

La precisión resulta especialmente importante porque los ámbitos tampoco coinciden. El artículo 30 se aplica a poderes adjudicadores que contratan servicios de computación en nube para su uso exclusivo, y también a las entidades de la Unión en los términos que indica el propio precepto. Dentro de ese universo, las actividades públicas no identificadas como contribuyentes a la preservación del orden público quedan vinculadas al nivel 1 de garantía, mientras que las actividades identificadas mediante el artículo 29 en sectores NIS2 y en ámbitos como seguridad nacional e interior, fronteras exteriores, defensa, justicia o aplicación de la ley solo pueden recurrir, como regla, a servicios reconocidos en los niveles 2, 3 o 4. El artículo 32, en cambio, formula su obligación para procedimientos de contratación de servicios innovadores de computación en nube y sistemas de IA. No convierte por sí mismo cualquier compra pública de tecnología digital en una licitación sometida al mismo criterio industrial.

También conviene mantener una segunda distinción. La propuesta fue adoptada por la Comisión el 3 de junio de 2026 y sigue siendo una propuesta de Reglamento, COM(2026) 502, procedimiento 2026/0138(COD). A fecha de este informe, el Observatorio Legislativo del Parlamento la sitúa todavía a la espera de decisión en comisión; ITRE e IMCO son las comisiones responsables conjuntamente. Nada de lo que sigue debe leerse, por tanto, como descripción de obligaciones ya vigentes.

La puerta de los artículos 29 y 30

El artículo 29 empieza antes de la licitación individual. Obliga, en el texto propuesto, a los Estados miembros y a las entidades de la Unión a efectuar evaluaciones de riesgo a más tardar un año después de la entrada en vigor prevista y, posteriormente, cada dos años o cuando resulte necesario. Esas evaluaciones deben identificar qué actividades públicas que utilizan o utilizarán nube contribuyen a preservar el orden público en los ámbitos enumerados y asignarles el nivel de garantía 2, 3 o 4 que resulte apropiado.

No es, por tanto, una facultad general del responsable de compras de escoger libremente el umbral que prefiera para cada expediente.

La propuesta delimita además el material probatorio de ese juicio de riesgo. La evaluación debe considerar, como mínimo, la sensibilidad, criticidad y magnitud de los datos; los riesgos para los derechos y libertades cuando se procesan datos personales; el riesgo y el impacto sobre el orden público de un acceso a los datos por un tercer país que sea ilícito con arreglo al Derecho de la Unión; y el riesgo e impacto de una interrupción del servicio.

La Comisión tendría que fijar por actos de ejecución la metodología, plantillas y elementos que deben utilizarse, incluyendo cómo aplicar el nivel máximo de garantía a las actividades públicas más críticas. Los Estados miembros tendrían que remitirle los resultados y señalar cualquier desviación respecto de esa metodología.

Aquí aparece un primer reparto relevante de autoridad. El Estado miembro o la entidad de la Unión realiza la evaluación inicial; la Comisión define la metodología mediante actos de ejecución y conserva una facultad de corrección. Si, tras revisar una evaluación nacional, concluye que el nivel escogido no es apropiado o no atiende adecuadamente las preocupaciones de orden público, el artículo 29.5 le permitiría especificar mediante un acto de ejecución el nivel que debe aplicarse a la actividad. El mecanismo combina, por tanto, evaluación descentralizada con una salvaguardia de consistencia supranacional.

Ese nivel se convierte en consecuencia de contratación a través del artículo 30. Para las actividades que el artículo 29 no haya identificado como relevantes para la preservación del orden público, la propuesta exige utilizar servicios reconocidos en nivel 1. Para las actividades identificadas, el poder adjudicador solo podría contratar servicios reconocidos en el nivel 2, 3 o 4 correspondiente. Esto es lo que convierte la evaluación de riesgo en una puerta: una oferta técnicamente atractiva no entra en la misma competición si el servicio no posee el reconocimiento que el caso exige.

La puerta, sin embargo, no es absolutamente rígida. El artículo 30.4 prevé una derogación excepcional y debidamente justificada cuando el objeto de la licitación no pueda suministrarse mediante servicios reconocidos disponibles en el repositorio central, no exista una alternativa adecuada o razonable y esa ausencia no derive de un estrechamiento artificial de la licitación; cuando un procedimiento similar durante el año anterior no haya producido ofertas o participantes adecuados; o cuando aplicar los requisitos genere un coste desproporcionado.

La existencia de esta salida es importante para la gobernanza: en esos supuestos, el poder adjudicador recupera una decisión discrecional, pero lo hace dentro de circunstancias enumeradas y con una exigencia expresa de justificación.

El artículo 29 también asigna explícitamente una de las consecuencias operativas más difíciles. Si una nueva evaluación de riesgo exige migrar a otro servicio de nube, el Estado miembro o la entidad de la Unión tendría que efectuar la migración dentro de un período de transición razonable que no exceda doce meses, teniendo en cuenta viabilidad técnica, continuidad del servicio y portabilidad de los datos. La propuesta no dice en ese apartado que el coste económico de la migración recaiga íntegramente sobre una parte determinada; sí deja claro quién tiene la obligación pública de ejecutar la transición y qué factores debe considerar.

Además, obliga a valorar en las evaluaciones de riesgo si resulta apropiada una estrategia multiproveedor o multinube, sin convertir esa consideración en una obligación automática de adoptar tal arquitectura.

El reconocimiento no lo concede el comprador

La segunda mitad de la puerta es institucionalmente distinta de la primera. El comprador no certifica por sí mismo que un proveedor satisface el nivel requerido. Según el artículo 17, el proveedor que pretende obtener reconocimiento presenta la solicitud a la autoridad nacional competente de su Estado miembro de establecimiento. Para el nivel 1 debe aportar la declaración UE de conformidad y las pruebas necesarias; para los niveles 2, 3 y 4 debe aportar un informe de auditoría, una opinión positiva y las pruebas utilizadas en el proceso auditor.

Existe una excepción para las pymes en el nivel 1, cuya declaración de conformidad quedaría reconocida automática y directamente en todos los Estados miembros.

En los niveles 2 a 4, la auditoría independiente corre a cargo del proveedor. El artículo 20 exige independencia y ausencia de determinados conflictos de interés de la organización auditora; el informe debe documentar, entre otros elementos, el alcance y metodología del examen, sus principales conclusiones, las terceras partes consultadas y una opinión positiva o negativa. Una opinión positiva no equivale por sí misma a la decisión administrativa de reconocimiento: sirve como evidencia para la autoridad competente. La propuesta exige además una revisión anual del informe y la opinión, que puede confirmarlos, actualizarlos o revocarlos.

Tampoco queda la decisión encerrada en un único Estado miembro. La autoridad evaluadora debe circular un proyecto de reconocimiento a las autoridades competentes de los demás Estados miembros para un período de revisión de sesenta días. Pueden formular objeciones razonadas o solicitudes de aclaración; si el desacuerdo persiste, el asunto puede llegar a la Comisión, cuya decisión sobre si la autoridad evaluadora puede conceder el reconocimiento sería vinculante.

Una vez reconocido, el servicio se incorpora a un repositorio central público mantenido por la Comisión y las autoridades nacionales; las revocaciones de auditorías u reconocimientos también deben publicarse allí.

Ese diseño importa porque distribuye los incentivos. El proveedor tiene interés en obtener y conservar una credencial que abre acceso a determinadas compras públicas y soporta el coste de la auditoría de los niveles superiores. El auditor produce evidencia, pero no adjudica contratos ni adopta por sí mismo el reconocimiento administrativo. La autoridad nacional decide el reconocimiento, sometida a revisión horizontal y, potencialmente, a una decisión vinculante de la Comisión. Finalmente, el poder adjudicador consulta ese estado reconocido para aplicar el filtro pertinente.

Son funciones distintas y, sobre el papel, dejan rastros documentales diferentes.

La Comisión presenta políticamente este marco como un sistema de cuatro niveles de garantía utilizado por los organismos públicos de acuerdo con sus evaluaciones de riesgo. También subraya que pretende mantener abierta a socios externos la gran mayoría del mercado y contempla, bajo condiciones, la posibilidad de reconocer proveedores sometidos al control de terceros países para el nivel 3.

El propio artículo 18 de la propuesta condiciona esa posibilidad a una decisión de la Comisión y a requisitos que incluyen protección frente a interferencias incompatibles con el Derecho de la Unión, continuidad, apertura de mercado y reciprocidad en contratación pública. El filtro de garantía, por tanto, tampoco equivale sin más a una prohibición basada exclusivamente en la nacionalidad del proveedor.

La nota del artículo 32

El artículo 32 hace otra cosa. En los procedimientos de contratación de servicios innovadores de computación en nube y sistemas de IA, obliga a incluir dentro de la evaluación cualitativa criterios de adjudicación no relacionados con el precio que permitan valorar la contribución de la oferta al desarrollo de un ecosistema europeo de nube e IA. El precepto enumera cuatro límites: esos criterios deben estar vinculados al objeto del contrato, no pueden otorgar libertad de elección irrestricta al poder adjudicador, han de estar expresamente incluidos en los documentos de contratación o en el anuncio y deben ser accesorios y no determinantes para la adjudicación.

Su contenido tampoco es un simple casillero de «proveedor europeo sí/no». La propuesta manda valorar en qué medida el licitador fortalece la cadena de suministro de tecnología digital en la Unión —incluido software o hardware diseñado o fabricado en ella—; integra tecnologías desarrolladas en la Unión, incluidos resultados de I+D financiados por programas europeos; realiza innovaciones que refuercen la seguridad del suministro y el ecosistema europeo; y utiliza, en la medida viable atendiendo al mercado y a las necesidades técnicas, componentes críticos de computación, almacenamiento y red diseñados o fabricados en la Unión o, si ello no es viable, componentes de terceros países que contribuyan a esos mismos objetivos. El objeto es puntuar una contribución vinculada a la oferta, no aplicar directamente un pasaporte empresarial.

El considerando 67 añade una referencia cuantitativa que exige especial cuidado. La propuesta de la Comisión dice que el valor añadido europeo no debería decidir la adjudicación y que deben conservar primacía los criterios técnicos y financieros directamente relacionados con las prestaciones; como orientación, señala que los poderes adjudicadores podrían considerar un máximo de 15 puntos sobre 120. Ese 15/120 no aparece como un peso obligatorio en el artículo 32 y no debe presentarse como una regla jurídica automática del 12,5 %. Es una orientación de un considerando, subordinada además a la regla operativa del artículo 32.2(d).

Esto aclara una aparente paradoja. Un criterio accesorio sí puede influir en una clasificación y, en una competición estrecha, contribuir a cambiar qué oferta obtiene la mayor puntuación global. Pero el texto propuesto impide diseñarlo como factor soberano que desplace por sí mismo el núcleo técnico y económico de la adjudicación. «No determinante» no significa irrelevante; significa que el artículo 32 intenta introducir una señal de política industrial dentro de la valoración sin convertirla en la puerta de acceso ni en un poder ilimitado para preferir cualquier oferta por una etiqueta europea.

De ahí que los artículos 29–30 y 32 no puedan intercambiarse. Un servicio que incumpla el nivel de garantía exigido para una actividad cubierta no debería poder compensarlo acumulando puntos de valor añadido de la Unión. A la inversa, obtener el reconocimiento adecuado no convierte al servicio en la mejor oferta: únicamente satisface el requisito correspondiente. Y no toda compra afectada por el régimen de garantía tiene por qué entrar a la vez en el ámbito más específico del artículo 32, cuyo apartado primero habla de contratación de servicios innovadores de nube y sistemas de IA.

Quién decide y qué expediente permite revisar la decisión

Una forma útil de auditar el sistema consiste en reconstruir cuatro cadenas separadas.

La clasificación de riesgo debe poder remontarse a la evaluación del Estado miembro o entidad de la Unión: qué actividad fue identificada, qué datos y riesgos se consideraron, qué nivel se eligió, qué metodología de la Comisión se aplicó y, si hubo una desviación, cómo se explicó. Si la Comisión utilizara su facultad del artículo 29.5 para fijar otro nivel, ese acto de ejecución pasaría a ser una pieza decisiva del expediente. Sin ese rastro resulta difícil distinguir una elección proporcionada de nivel de una mera preferencia administrativa, aunque ambas produzcan el mismo resultado de exclusión.

La condición del servicio debe probarse por otra cadena: declaración de conformidad cuando corresponda, informe y opinión de auditoría para los niveles superiores, decisión de reconocimiento de la autoridad competente, posibles objeciones de otras autoridades y estado del servicio en el repositorio central. Además, la obligación del proveedor de comunicar cambios materiales y la posibilidad de actualizar o revocar auditoría y reconocimiento significan que no basta con saber que una credencial existió alguna vez; para una revisión seria importa su situación en el momento pertinente.

La derogación del artículo 30.4, cuando se utilice, requiere un tercer razonamiento: qué servicios reconocidos estaban realmente disponibles, qué alternativas se estudiaron, por qué no eran adecuadas o razonables, cómo se evitó estrechar artificialmente la licitación, qué ocurrió en el procedimiento anterior si se invoca el fracaso de una compra comparable, o por qué el coste se consideró desproporcionado. El artículo no permite tratar la excepción como sinónimo de conveniencia; exige carácter excepcional y justificación.

Por último, la puntuación del artículo 32 debe poder reconstruirse desde los documentos publicados antes de recibir las ofertas: definición del criterio, su relación con el objeto contratado, evidencias solicitadas, método y peso de valoración, y aplicación de esa misma metodología a los licitadores. La obligación de declarar expresamente el criterio y la prohibición de libertad irrestricta son precisamente las condiciones que hacen posible contrastar después la puntuación con una regla anterior, en lugar de evaluar únicamente una motivación escrita a posteriori.

Cuando resulte aplicable la Directiva 2014/24/UE de contratación pública, esa lógica se apoya además en su artículo 84: los poderes adjudicadores deben documentar el desarrollo del procedimiento y conservar documentación suficiente para justificar las decisiones adoptadas en todas sus etapas, incluidas la preparación de los documentos de contratación, las deliberaciones, la selección y la adjudicación. La Directiva establece asimismo un período mínimo de conservación de tres años desde la adjudicación.

Es una base particularmente relevante para comprobar si la diferencia conceptual entre puerta y puntuación se mantuvo también en el expediente real.

Continuidad, competencia y la propuesta del CESE

La arquitectura traslada consecuencias distintas a actores distintos. Los proveedores soportan, para los niveles 2 a 4, el coste directo de la auditoría y el riesgo de perder un reconocimiento si dejan de cumplir los criterios. Los poderes adjudicadores soportan las consecuencias procedimentales de un mercado en el que el conjunto de servicios elegibles puede reducirse: deben comprobar el repositorio y, si necesitan apartarse del requisito, construir la justificación prevista en el artículo 30.4. Los Estados miembros o entidades de la Unión soportan la obligación operativa de migrar cuando una evaluación de riesgo lo requiera.

Los usuarios de los servicios públicos, aunque no sean quienes adoptan esas decisiones, soportan en última instancia el riesgo operativo de una transición mal planificada; esta última afirmación es una consecuencia de gobernanza, no una asignación jurídica de responsabilidad contenida en el texto.

El efecto sobre la competencia no puede deducirse responsablemente mediante cifras de cuota de mercado que la propuesta no proporciona. Sí puede identificarse el mecanismo. Un nivel de garantía superior reduce el conjunto de servicios que pueden superar la puerta, mientras las excepciones intentan evitar que esa restricción se convierta en imposibilidad de compra o coste desproporcionado. Al mismo tiempo, un reconocimiento válido en toda la Unión puede reducir duplicaciones nacionales de evaluación.

En qué medida domina una u otra fuerza —menos proveedores aptos frente a menos fragmentación regulatoria— será una cuestión empírica que dependerá, entre otras cosas, de cuántos servicios obtengan cada nivel y de cómo funcionen las auditorías y el repositorio.

El artículo 32 introduce un incentivo diferente, posterior a la elegibilidad: una oferta puede mejorar su posición demostrando integración de tecnologías europeas, fortalecimiento de cadenas de suministro y seguridad de abastecimiento. Eso crea una razón marginal para modificar decisiones de diseño, I+D o aprovisionamiento incluso entre proveedores que ya pueden competir. Pero el texto de la Comisión mantiene expresamente esa palanca subordinada.

El Comité Económico y Social Europeo considera insuficiente esa intensidad. En su dictamen aprobado en pleno el 23 de septiembre de 2026, por 212 votos a favor, ninguno en contra y tres abstenciones, recomendó que el criterio de valor añadido de la Unión del artículo 32 tuviera un «peso significativo». Su propuesta concreta de modificación del considerando 67 sustituye la orientación de 15 puntos sobre 120 por 40 sobre 120, manteniendo la formulación de que el criterio continúe siendo proporcional y subordinado a los criterios principales. El propio CESE sostiene que ese aumento permitiría influir de manera más efectiva en las decisiones de adjudicación sin abandonar el requisito del artículo 32.2(d) de que el criterio siga siendo accesorio.

Esa posición debe leerse por lo que es: una recomendación institucional dentro del procedimiento legislativo. No ha modificado el texto de la propuesta ni ha creado una ponderación obligatoria. De hecho, el contraste entre 15 y 40 ilustra exactamente por qué conviene separar gate y score. El debate del CESE trata de cuánta influencia debe tener la puntuación cualitativa una vez que existe competencia entre ofertas, no de sustituir mediante esa puntuación el sistema de reconocimiento y niveles de garantía de los artículos 29 y 30.

A 16 de octubre de 2026, además, la forma final de todos estos mecanismos permanece abierta. El expediente oficial del Parlamento sigue en primera lectura y figura como pendiente de decisión en comisión. Por eso incluso formulaciones centrales —el ámbito de «innovative» del artículo 32, su condición accesoria, la ponderación indicativa del considerando 67, la metodología del artículo 29 o las derogaciones del artículo 30— deben analizarse como propuestas sujetas a enmienda, no como parámetros regulatorios consolidados.

Fuentes primarias esenciales