Résumé

  • Les articles 29 et 30 forment un filtre d’éligibilité fondé sur le risque et sur la reconnaissance du service : selon l’activité publique concernée, un niveau d’assurance doit être déterminé puis respecté, sous réserve de dérogations exceptionnelles et dûment justifiées. Franchir ce filtre permet d’être acheté dans le champ concerné ; cela ne détermine pas le titulaire du marché.
  • L’article 32 relève d’une logique différente : dans les marchés de services cloud innovants et de systèmes d’IA, la contribution à l’écosystème européen devient un critère qualitatif non tarifaire, lié au marché, annoncé à l’avance, encadré et expressément accessoire plutôt que décisif. L’avis du CESE du 23 septembre 2026 voudrait lui donner davantage de poids, mais la procédure 2026/0138(COD) est, au 16 octobre, toujours indiquée par le Parlement comme « Awaiting committee decision » : il s’agit donc d’un débat sur une proposition, pas d’une règle adoptée.

Le seuil d’assurance ne désigne pas le vainqueur

Le problème pratique peut se formuler simplement. Une administration doit acheter un service cloud pour une activité sensible. Deux offres satisfont le niveau d’assurance requis. Laquelle gagne ? CADA ne répond pas à cette question par son dispositif d’assurance. L’assurance élimine, dans les situations couvertes, les services qui ne franchissent pas le seuil pertinent ; elle ne classe pas les survivants. Le choix entre les offres admissibles reste un exercice d’attribution au titre du droit de la commande publique et des critères préalablement définis. Et, lorsque l’article 32 s’applique, sa « valeur ajoutée de l’Union » peut peser dans cette comparaison sans pouvoir, selon le texte proposé, devenir décisive.

L’article 29 commence en amont du marché. Les États membres et les entités de l’Union doivent identifier les activités du secteur public utilisant des services cloud qui contribuent à la préservation de l’ordre public dans les secteurs des annexes I et II de la directive NIS2 ainsi que dans des domaines expressément visés — notamment sécurité nationale et intérieure, gestion des frontières extérieures, défense, justice et application de la loi — puis déterminer pour ces activités un niveau d’assurance de l’Union approprié parmi les niveaux 2, 3 et 4.

L’évaluation doit notamment prendre en compte la sensibilité et la criticité des données et de l’activité, le risque d’accès illicite par un pays tiers et le risque ou l’impact d’une interruption du service. Elle doit aussi examiner l’opportunité d’une stratégie multifournisseur ou multicloud.

Cette architecture empêche de lire CADA comme imposant un même niveau de « souveraineté » à tous les achats cloud du secteur public. L’article 30 s’applique aux autorités contractantes qui achètent des services de cloud computing pour leur usage exclusif, ainsi qu’aux entités de l’Union dans le cadre spécifié par le texte. Pour les activités qui ne sont pas identifiées au titre de l’article 29 comme contribuant à l’ordre public, la proposition prévoit l’usage de services reconnus au niveau d’assurance 1.

Pour les activités identifiées dans les secteurs et domaines énumérés par l’article 30, le marché est limité aux services reconnus aux niveaux 2, 3 ou 4, selon l’exigence issue de l’évaluation des risques. Il ne s’agit donc ni d’une interdiction générale visant les services étrangers, ni d’une règle identique pour toute administration et tout usage cloud.

Le mot important est ici reconnu. La proposition ne laisse pas chaque acheteur inventer son propre label d’assurance au moment de l’appel d’offres. L’article 17 confie la reconnaissance à l’autorité nationale compétente de l’État membre d’établissement du fournisseur, sur la base d’un dossier de preuves. Pour les niveaux 2 à 4, ce dossier comprend notamment un rapport d’audit, une opinion d’audit positive et les éléments probants correspondants ; les autorités des autres États membres peuvent participer à une forme de revue par les pairs, et un désaccord non résolu sur la reconnaissance peut être porté devant la Commission, qui dispose alors du pouvoir de prendre une décision contraignante sur la possibilité d’accorder la reconnaissance. Celle-ci vaut ensuite à l’échelle de l’Union selon le mécanisme proposé.

L’assurance n’est pourtant pas un verrou absolu. L’article 30 prévoit une dérogation exceptionnelle et « dûment justifiée » lorsque les conditions énumérées sont satisfaites : notamment lorsqu’aucun service reconnu du dépôt central ne peut fournir l’objet du marché et qu’il n’existe pas d’alternative adéquate et raisonnable, lorsqu’une procédure comparable récente n’a produit aucune offre ou participation appropriée, ou lorsque l’exigence conduirait à un coût disproportionné. Le texte précise, pour la première hypothèse, que l’absence de solution ne doit pas résulter d’un rétrécissement artificiel des paramètres du marché.

Cette soupape compte beaucoup pour l’analyse de gouvernance : l’autorité contractante n’est pas seulement chargée d’obéir au filtre ; dans les cas exceptionnels, elle reçoit aussi le pouvoir — et donc la responsabilité — de justifier pourquoi elle s’en écarte.

Le mécanisme a également une conséquence que ne possède pas l’article 32 : il peut obliger à changer de service. Lorsque l’évaluation de l’article 29 implique une migration, l’État membre ou l’entité de l’Union doit la mener dans un délai raisonnable qui ne peut excéder douze mois, en tenant compte de la faisabilité technique, de la continuité du service et de la portabilité des données. Le législateur proposé reconnaît ainsi explicitement que le classement d’assurance peut produire un coût opérationnel et un risque de transition. Le sujet qui porte cette obligation n’est ni l’auditeur du fournisseur ni la Commission : c’est l’entité publique concernée.

Cette répartition du risque explique pourquoi le filtre ne doit pas être confondu avec une note de qualité. Une décision trop faible sur le niveau d’assurance laisse davantage de services admissibles mais peut sous-traiter le risque que l’article 29 demande précisément d’évaluer. Une décision trop élevée peut réduire le choix, imposer une migration ou rendre le marché plus coûteux ; la dérogation de l’article 30 sert alors de garde-fou contre une impasse de fourniture. Ce sont des effets déductibles du fonctionnement du dispositif, non une affirmation selon laquelle l’une ou l’autre stratégie serait systématiquement préférable.

La proposition tente d’encadrer cette tension en faisant fixer par la Commission une méthodologie et des modèles d’évaluation, et en lui permettant d’intervenir par acte d’exécution lorsqu’elle juge inapproprié ou inadéquat le niveau retenu par un État membre.

Qui décide, et sur quelles preuves

CADA distribue les droits de décision plutôt que de les concentrer. L’État membre ou l’entité de l’Union qualifie d’abord le risque de l’activité au titre de l’article 29. L’autorité nationale compétente décide ensuite de la reconnaissance du service, sur preuve, dans le mécanisme de l’article 17. Un organisme d’audit indépendant examine le fournisseur pour les niveaux 2 à 4. L’autorité contractante applique le niveau requis, décide le cas échéant d’invoquer une dérogation de l’article 30 et conduit l’attribution. La Commission, enfin, détient plusieurs pouvoirs de cohérence : elle établit la méthodologie d’évaluation des risques par actes d’exécution, peut corriger un niveau national jugé inadéquat et tranche certains différends du processus de reconnaissance.

La preuve n’est pas non plus la même à chaque étage. Pour l’article 29, le dossier qui rendrait une décision révisable doit montrer comment ont été appréciés la sensibilité et la criticité de l’activité, les données concernées, le risque d’accès illicite depuis un pays tiers, le risque d’interruption et le niveau d’assurance qui en résulte. Le texte impose aux États membres de communiquer à la Commission les résultats de leurs évaluations et d’indiquer les écarts éventuels par rapport à la méthodologie adoptée par celle-ci.

Il ne suffit donc pas, dans la logique du dispositif, d’inscrire « niveau 3 » au terme d’un mémorandum : il faut pouvoir reconstituer la chaîne entre risque identifié et niveau retenu.

Pour la reconnaissance du service, la trace est plus technique. Les niveaux 2 à 4 requièrent des audits indépendants aux frais du fournisseur. La proposition exige notamment indépendance, absence de conflit d’intérêts, compétence et objectivité de l’auditeur. Le rapport doit être motivé par écrit et décrire son périmètre, sa méthode, ses constatations ainsi que l’opinion positive ou négative ; l’article 21 demande que les preuves soient pertinentes, suffisantes et fiables selon le jugement professionnel de l’auditeur.

Une revue annuelle du rapport est prévue, et les changements matériels susceptibles d’affecter l’audit ou la reconnaissance doivent être notifiés et réévalués. Le dépôt central des services reconnus et l’historique des révocations créent en outre une trace institutionnelle consultable.

Ce système donne au fournisseur une charge économique directe que l’acheteur public n’assume pas : pour les niveaux 2 à 4, le fournisseur paie son audit et doit maintenir les preuves qui soutiennent sa reconnaissance. En revanche, les conséquences de continuité liées au choix d’un niveau et à une migration retombent sur l’entité publique qui doit continuer à assurer le service. Cette séparation est utile pour comprendre les incitations : celui qui démontre sa conformité n’est pas celui qui décide du risque acceptable pour la mission publique, et aucun des deux n’est nécessairement celui qui arrête la note d’attribution du marché.

Le point le plus délicat est la dérogation de l’article 30. La proposition exige qu’elle soit exceptionnelle et dûment justifiée, mais elle ne transforme pas l’article lui-même en manuel exhaustif de conservation des pièces. Pour rendre cette décision contrôlable, un dossier robuste devrait donc conserver ce qui permet de vérifier le motif invoqué : interrogation du dépôt des services reconnus, analyse des alternatives raisonnables, paramètres techniques du besoin, résultat de la procédure comparable antérieure lorsqu’elle est invoquée, ou calcul expliquant le caractère disproportionné du coût.

C’est ici une prescription de bonne gouvernance déduite du mécanisme, non une liste documentaire ajoutée au texte. Lorsque la directive 2014/24/UE s’applique, son article 84 impose par ailleurs des rapports individuels sur les procédures et fournit une infrastructure plus générale de traçabilité des décisions d’achat.

Le contrôle a posteriori doit également distinguer deux métiers souvent appelés « audit ». L’auditeur des articles 20 et 21 examine le service et son fournisseur pour soutenir la reconnaissance d’assurance. Il n’a pas pour fonction de valider l’attribution du marché. L’attribution relève, selon les régimes applicables, du contrôle interne de l’acheteur, des organes de recours nationaux et des juridictions ; le cadre européen des recours en matière de marchés publics est notamment coordonné par la directive 89/665/CEE. Mélanger les deux contrôles reviendrait à demander à une preuve d’assurance technique de justifier une décision de commande publique qu’elle ne documente pas.

Le score de valeur ajoutée reste subordonné

L’article 32 change de question. Il ne demande plus : ce service est-il suffisamment assuré pour être acheté dans cette activité ? Il demande, dans les procédures visant des services de cloud computing innovants et des systèmes d’intelligence artificielle, que l’autorité contractante inclue dans l’évaluation de qualité des critères non tarifaires permettant d’apprécier la contribution du soumissionnaire au développement de l’écosystème européen du cloud et de l’IA. Son champ est donc différent de celui de l’article 30 : certains achats cloud relevant de l’article 30 peuvent ne pas être des achats « innovants » entrant dans l’article 32 ; inversement, l’article 32 vise aussi des systèmes d’IA qui ne sont pas nécessairement des achats de services cloud soumis au filtre de l’article 30.

Les critères de l’article 32 ne sont pas un blanc-seing à une préférence d’origine. Ils doivent être liés à l’objet du marché, ne pas conférer une liberté de choix illimitée, être expressément énoncés dans les documents du marché ou l’avis de marché et demeurer accessoires et non décisifs dans l’attribution. Ces contraintes reprennent en partie une logique familière du droit européen de la commande publique : la directive 2014/24 exige elle aussi que les critères d’attribution soient liés à l’objet du marché et n’accordent pas à l’autorité contractante une liberté de choix illimitée.

Ce que l’article 32 permet d’évaluer est plus concret qu’une simple étiquette « européen ». Le texte vise notamment la mesure dans laquelle l’offre renforce la chaîne d’approvisionnement technologique dans l’Union, intègre des technologies développées dans l’Union — y compris des résultats de recherche financés par l’Union —, contribue par l’innovation à la sécurité d’approvisionnement et au développement de l’écosystème européen, et recourt, dans la mesure techniquement et commercialement possible, à des matériels critiques de calcul, de stockage ou de réseau conçus ou fabriqués dans l’Union. Lorsque ce dernier objectif n’est pas réalisable, le texte envisage aussi du matériel de pays tiers qui renforce la sécurité d’approvisionnement ou l’écosystème européen. La proposition évalue donc une contribution rattachée à l’offre, pas simplement le passeport juridique du soumissionnaire.

Cette distinction devient décisive lorsqu’un marché relève à la fois des articles 30 et 32. Le bon ordre logique est alors : premièrement, vérifier que le service satisfait au niveau d’assurance requis — ou qu’une dérogation légalement justifiée est disponible ; deuxièmement, comparer les offres admissibles selon les critères d’attribution ; troisièmement, dans les marchés innovants couverts, appliquer le critère de contribution à l’écosystème européen dans les limites de l’article 32. Une excellente note au titre de l’article 32 ne peut pas réparer l’inéligibilité d’un service au regard de l’article 30. À l’inverse, une reconnaissance d’assurance ne vaut pas victoire au marché. C’est le cœur institutionnel de la proposition.

Le considérant 67 éclaire, sans remplacer le dispositif normatif, la place envisagée pour ce critère : il suggère qu’une autorité pourrait envisager un maximum d’environ 15 points sur 120 pour la valeur ajoutée européenne, afin qu’elle reste proportionnée et subordonnée aux critères centraux d’attribution. Ce chiffre se trouve dans un considérant et non dans l’obligation opérationnelle de l’article 32 ; l’article lui-même pose la contrainte fonctionnelle — caractère accessoire et non décisif — sans inscrire ce plafond numérique.

C’est précisément sur ce point que le Comité économique et social européen a pris position. Son avis, adopté en séance plénière le 23 septembre 2026 par 212 voix contre zéro et trois abstentions, recommande que le critère de « valeur ajoutée de l’Union » reçoive un poids significatif. Dans son argumentaire et son amendement au considérant 67, le CESE propose de passer de 15 à 40 points sur 120, tout en affirmant que le critère resterait subordonné au prix et au mérite technique et compatible, à ses yeux, avec l’exigence de l’article 32, paragraphe 2, point d), selon laquelle il demeure accessoire.

Il faut garder la hiérarchie juridique nette. Cette proposition du CESE est une recommandation dans le processus législatif, pas la règle applicable. Elle rend néanmoins visible la tension politique que les colégislateurs devront trancher : comment faire d’un critère un levier suffisamment puissant pour infléchir les achats sans le transformer en déterminant de l’attribution ? Si seul le considérant était modifié alors que l’article 32 conservait les termes actuels, l’obligation « accessoire et non décisive » resterait le point d’ancrage du texte opératoire. Si les colégislateurs modifiaient aussi l’article 32, l’analyse devrait être refaite à partir de cette nouvelle rédaction.

Pour un réviseur, l’enjeu n’est donc pas seulement de constater qu’une pondération a été publiée. Il faut pouvoir reconstruire le raisonnement : quel aspect de l’offre satisfait quel sous-critère de l’article 32 ; quelle preuve le soumissionnaire a apportée ; comment cette preuve a été vérifiée ; comment les points ont été attribués de manière identique entre concurrents ; et quel poids ce facteur a effectivement pris dans le résultat.

Un test contrefactuel peut être utile sans prétendre constituer à lui seul une règle de droit : si le résultat du critère de valeur ajoutée de l’Union devient, en pratique, l’unique élément faisant basculer systématiquement l’attribution malgré une moindre performance sur les critères centraux, le réviseur devrait examiner de près sa compatibilité avec le caractère « ancillary and not decisive » exigé par la proposition.

Le même souci vaut pour la concurrence. Le filtre d’assurance peut mécaniquement réduire l’ensemble des services achetables pour certaines missions sensibles ; mais son objectif et ses critères ne se résument pas à la nationalité du fournisseur, et la proposition prévoit des mécanismes de reconnaissance ainsi que, dans certaines conditions, des voies concernant des fournisseurs ou situations liés à des pays tiers. De son côté, l’article 32 valorise certaines contributions à des chaînes d’approvisionnement et technologies européennes sans énoncer qu’un fournisseur européen doit gagner.

La Commission présente d’ailleurs le projet comme visant davantage d’autonomie tout en maintenant une large ouverture aux partenaires. Ce discours politique n’efface pas les effets potentiellement restrictifs des critères : il rappelle simplement que le texte proposé n’est pas une règle générale « acheter européen ».

La continuité constitue enfin le point où les deux mécanismes produisent des coûts très différents. Le seuil d’assurance peut entraîner une migration avec un horizon maximal de douze mois ; le score de l’article 32 n’ordonne aucune migration en tant que telle, mais peut déplacer les préférences d’attribution dans les marchés qu’il couvre.

À moyen terme, cette distinction influencera les architectures techniques : une entité qui anticipe le risque de devoir changer de service peut trouver davantage de valeur à la portabilité ou à une stratégie multifournisseur, tandis qu’un fournisseur qui veut accéder aux marchés sensibles aura intérêt à investir dans les éléments probants et les contrôles nécessaires au niveau de reconnaissance visé. Ce sont des réponses incitatives plausibles aux obligations proposées, non des résultats de marché déjà observés.

Au 16 octobre 2026, aucune de ces dispositions n’est encore du droit adopté sous la forme CADA. Le dossier du Parlement européen 2026/0138(COD) est une procédure législative ordinaire et son statut officiel demeure « Awaiting committee decision ». Les commissions ITRE et IMCO sont conjointement responsables ; le renvoi en commission en première lecture a été annoncé le 17 septembre. La distinction entre filtre et score est donc l’analyse de COM(2026) 502 tel que proposé, susceptible de changer au cours de la négociation parlementaire et au Conseil.

Sources primaires essentielles