통과가 곧 상품은 아니다: CADA의 두 가지 조달 결정

요약

• 제안된 CADA의 제29조·제30조는 명시된 범위 내에서 공공 부문 클라우드 조달을 위한 위험 연동형 적격성 체계를 만든다. 제32조는 다른 기능을 한다.혁신클라우드 서비스와 AI 시스템에 대한 공공 조달에서 유럽 클라우드·AI 생태계에 대한 기여를 평가하는 비가격 기준을 요구하되, 그 기준이 계약과 연계되고, 제한되며, 공개되고, 낙찰에서“부수적이며 결정적이지 않아야”한다는 점을 명시적으로 요구한다.
• 따라서 가장 중요한 책임성 문제는 결정의 분리이다. 회원국과 연합 기관은 활동과 보증 필요성을 분류하고, 공급자는 적합성 증거를 구성하고, 독립 감사인은 2~4등급을 평가하며, 국가별 주관 당국은 통상적으로 인증을 부여하고, 발주 기관은 제30조 예외가 정당한지, 그리고 제32조 입찰에서 공개된 부가가치 기준을 어떻게 평가할지 결정한다. 사후 검토자는 각 단계를 그 단계의 기준대로 검증할 수 있는 기록이 필요하다.

조달 담당자는 겉보기에 단순한 상황에 직면할 수 있다. 두 개의 클라우드 제안서가 모두 해당 공공 활동에 적용되는 최소 보증 요건을 충족한다. 하나는 더 여유 있게 관문을 통과했을 수 있고, 아마도 연합 내 운영 체계에 관한 광범위한 증거를 갖고 있을 것이다. 다른 하나는 더 강한 기술 제안이나 가격을 제시할 수 있다. 세 번째 고려사항은 어느 입찰이 유럽의 클라우드·AI 생태계에 얼마나 기여하는가일 수 있다.

CADA는 이 질문들을 하나의 순위로 합치지 않는다.집행위원회 제안서 COM(2026) 502에 따르면, 보증 인증은 근본적으로 어떤 서비스가 해당 환경에서 사용되기 위해 필요한 조건을 충족하는가에 관한 것이다. 제32조의 ‘연합 부가가치’는 더 좁은 부류의 조달에 대한 낙찰 기준이다. 첫 번째 시험을 통과했다고 해서 두 번째 시험에서 낙찰받아야 한다는 뜻이 아니며, 두 번째에서 좋은 점수를 받는다고 해서 첫 번째에서의 실패를 만회해 주지 않는다.

이 구분은 CADA가 여전히제안 단계라는 점에서 더욱 중요하다. 2026년 10월 16일 기준,유럽의회의 2026/0138(COD) 절차 파일은 일반 입법 절차 하에서 이 조치를 여전히“위원회 결정 대기 중”으로 기록하고 있다. ITRE와 IMCO가 공동 담당이며, 의회는 9월 17일 위원회 회부를 발표했다. 따라서 여기서 분석된 집행위원회 텍스트는 어떤 경우에도 기존의 EU 조달 규칙으로 제시되어서는 안 된다.

집행위원회의CADA 정책 페이지는 이 제안을 유럽의 클라우드·AI 역량, 자율성, 회복력을 높이면서 시장을 파트너에게 개방적으로 유지하는 더 넓은 전략 안에 놓는다. 이 정치적 목표가 조달이 제안의 수요 측에 등장하는 이유를 설명한다. 그러나 그것은 초안 자체가 위험 평가, 인증, 예외, 낙찰 평가 사이에 그리는 법적 구분을 지워주지는 않는다.

보증 관문은 입찰자가 아니라 활동에서 시작된다

제29조는 조달보다 상류에서 시작된다. 발효 후 1년 이내, 이후 2년마다 또는 필요할 때마다 회원국과 연합 기관은 클라우드 컴퓨팅을 사용하거나 사용할 것으로 예상되는 공공 부문 활동을 평가해야 한다. 이 평가는 NIS2 지침 부록 I·II가 다루는 부문과 국가안보, 내부안보, 외부 국경 관리, 방위, 사법 및 법집행을 포함한 지정 분야에서 공공 질서 유지에 기여하는 활동을 식별한다. 이렇게 식별된 활동에 대해 평가자는 연합 보증 2, 3 또는 4등급이 적절한지 결정해야 한다.

관련 위험 요인은 실질적이다. 제29조는 비개인 데이터의 민감성, 중요성 및 규모, 개인 데이터 처리를 둘러싼 상황과 권리 위험, 제3국의 불법 접근 위험과 공공 질서 영향, 서비스 중단의 가능한 결과에 주목하도록 한다. 분석 단위는 따라서 개별적으로 고려된 입찰자의 국적이 아니라 공공 활동과 그 노출이다.

결정 권한은 분산되어 있다. 회원국과 연합 기관이 평가를 수행하지만, 집행위원회는 실행 행위를 통해 방법론, 표본 양식 및 관련 요소를 규정하게 된다. 그 방법론은 가장 중요한 공공 부문 활동에 최고 보증 등급을 사용하는 것을 다루어야 한다. 회원국은 평가 결과를 집행위원회에 보내고 실행 프레임워크에서의 이탈을 식별해야 한다. 집행위원회가 어떤 회원국이 선택한 등급이 공공 질서 우려에 부적절하거나 불충분하다고 판단하면, 필요한 등급을 규정하는 실행 행위를 채택할 수 있다.

이것이 책임성 체계가 필요로 하는 첫 번째 기록이다. 사후 검토자는이 활동이 왜 이렇게 분류되었는가, 어떤 데이터와 중단 시나리오가 고려되었는가, 어떤 방법론이 사용되었는가, 국가 판단이 어디서 그 방법론에서 벗어났는가, 그리고 집행위원회가 개입했다면 더 높은 등급이나 다른 등급이 왜 필요하다고 여겨졌는가를 재구성할 수 있어야 한다. 이러한 기록 요소들은 제안된 권한 배분의 분석적 함의이며, CADA는 그것들을 위한 단일한 준비된 “책임성 파일” 표본을 제공하지 않는다.

제30조는 이어서 위험 분류를 조달 제약으로 전환한다. 그 범위는 정확하게 유지되어야 한다. 이 조항은 발주 기관이자신의 배타적 사용을 위해 클라우드 컴퓨팅 서비스를 조달하는 경우에 적용되며, 제30조(1)에서 인용된 재정규정 조항에 따라 연합 기관으로 그 규칙을 명시적으로 확장한다. 이 범위 내에서 제29조에 따라 공공 질서에 기여하는 것으로 식별되지 않은 활동은 연합 보증 1등급으로 인증된 서비스를 사용한다. 지정 부문과 분야에서 식별된 활동에 대해서는 발주 기관이 2, 3 또는 4등급으로 인증된 서비스로 제한된다.

이것은 적격성 관문이다. 최고 등급으로 인증된 입찰자가 이긴다고 말하지 않으며, 보증 인증이 가격, 기능성 또는 기타 허용되는 낙찰 기준에 대한 발주자의 통상 평가를 대체한다고 말하지도 않는다. 인증된 서비스는 해당 활동과 관련된 임계선을 통과한 것이다. 그렇다고 계약에 대한 권리를 취득한 것은 아니다.

관문은 절대적이지도 않다. 제30조(4)는 조달 대상물을 제22조 저장소의 인증된 서비스가 공급할 수 없고 충분하거나 합리적이거나 비교 가능한 대안이 존재하지 않으며, 그 부족이 조달 파라미터를 인위적으로 좁혀 만들어진 것이 아니거나, 전년도의 유사 절차가 적합한 입찰이나 참여자를 산출하지 못했거나, 요건 적용이 과도한 비용을 수반하는 경우, 정당히 이유를 대어 예외적으로 면제할 수 있도록 허용한다.

거버넌스 결과는 중대하다. 제30조 예외는 제29조 위험이 사라졌다는 판정이 아니다. 그것은 위험 프레임워크가 생성한 보증 요건에도 불구하고 특정한 조달 상황이 다르게 진행될 정당성이 있다는 발주자 측 판단이다. 따라서 그 결정에는 자체적인 증거가 필요하다. 어떤 요건이 충족될 수 없었는가, 어떤 대안이 검토되었는가, 무엇이 그것들을 부적합하게 만들었는가, 어떤 선행 절차가 실패했는가, 또는 과도한 비용이 어떻게 입증되었는가. 제안은 정당한 이유를 요구하지만 그 서면 체계를 구체적으로 명시하지는 않는다.

유럽 데이터보호감독관의 의견 14/2026은 이 구분이 왜 이미 조명을 받고 있는지 보여준다. EDPS는 제30조(3) 활동에 대한 과도비용 예외를 배제하거나 엄격히 조건화하고 문서화할 것을 권고한다. 또한 예외를 적용하는 기관이 의존하는 정확한 항목을 식별하고, 취한 조치와 구체적 증거를 문서화하고, 잔여 위험을 관리·수용하고, 주관 당국에 통지하고, 시장과 저장소를 주기적으로 재점검하도록 요구할 것을 권고한다. 이것들은입법자에 대한 권고이며, 현재의 집행위원회 제안서의 요건이 아니다.

인증 자체도 또 하나의 별도 결정이다. 제17조에 따라 연합 보증 등급을 추구하는 클라우드 공급자는 통상적으로 설립 회원국의 주관 당국에 신청한다. 1등급은 공급자의 적합성 자기평가와 EU 적합성 성명에 근거하며, 중소기업의 경우 그 성명은 국가 당국의 사전 인증 없이 연합 전역에서 자동으로 인정된다. 2~4등급은 다르다. 공급자는 독립 감사 보고서, 긍정적 감사 의견, 감사인에게 제공된 증거를 제출해야 한다.

이 구분은 흔한 분석적 지름길을 차단한다.모든 인증된 CADA 서비스가 독립 제3자 감사를 거친 것은 아니다. 2~4등급은 그러하며, 1등급은 앞서 설명한 중소기업 지름길과 함께 자기평가를 사용한다. 감사 대상 등급의 경우 공급자가 감사 비용을 지불하지만 감사인 자체는 규제 인증을 부여하지 않는다. 국가 당국은 증거를 평가하고, 다른 회원국의 주관 당국에 인증 초안을 회부하며, 이유 있는 반대를 처리한다. 당국들이 분쟁을 해결하지 못하면 그 사안은 집행위원회에 회부될 수 있으며, 집행위원회는 평가 당국이 서비스를 인증할 수 있는지에 대한 구속력 있는 결정을 내릴 수 있다.

제안은 공급자가 비용을 부담하는 감사가 만드는 명백한 인센티브 문제를 부정행위를 추정하지 않으면서 관리하려 한다. 감사 기관은 독립적이고 이해충돌이 없어야 하며, 지정된 관련 비감사 업무는 제한되고, 수수료는 감사 결과에 따라 달라질 수 없으며, 감사인은 기술적 역량, 객관성, 직업 윤리를 입증해야 한다. 보고서는 범위, 방법론, 발견 사항, 협의한 제3자, 긍정적 또는 부정적 의견을 식별하고 감사인이 검토할 수 없었던 측면을 설명해야 한다. 감사받은 서비스는 이후 연례 검토를 거친다.

인증은 기업의 “유럽 주권” 주장에 근거해서도 안 된다. 제안의부록 III는 회사 등록 자료, 사업장 및 급여 기록, 정확한 인프라와 데이터 저장 위치, 자산 대장, 네트워크 다이어그램, 배치 및 구성 기록, 인력 기록, 접근 로그, 지원 정책, 데이터 흐름 다이어그램과 같은 증거를 기술한다. 부록 III는 명시적으로 포괄적이 아니라 참고적이며, 제21조는 증거가 감사인의 전문적 판단에서 관련성, 충분성, 신뢰성을 갖추도록 요구한다.

인증은 이후 변할 수 있다. 집행위원회는 공개 중앙 저장소를 유지하고, 감사 또는 인증 취소는 5년간 공개된 상태로 유지되며, 공급자는 감사 의견이나 인증에 영향을 줄 수 있는 중대한 변경을 통지해야 한다. 감사인과 국가 당국은 이후 각자의 발견 사항을 수정하거나 취소할지 재평가한다. 서비스 수신자는 또한 연합법과 국내법에 따라, 공급자가 관련 장의 의무를 위반하여 발생한 손해나 손실에 대해 보상을 청구할 권리를 갖는다. 그것은 정책 또는 조달 결정으로 인한 모든 마이그레이션 비용을 회수할 자동적 권리와 같은 것이 아니다.

부가가치 점수는 다르고 의도적으로 더 작은 기능을 한다

제32조는 제30조의 두 번째 단계가 아니다. 그 발동 조건은 다르게 기술되어 있다.“혁신 클라우드 컴퓨팅 서비스와 AI 시스템에 대한 공공 조달 절차.”그 절차에서 발주 기관은 입찰자의 유럽 클라우드·AI 생태계 발전 기여를 평가할 수 있는 비가격 낙찰 기준을 입찰 품질 평가의 일부로 포함해야 한다.

네 가지 제약이 즉시 따른다. 기준은 계약의 주제와 연계되어야 한다. 발주 기관에게 무제한적인 선택 자유를 주어서는 안 된다. 조달 문서 또는 계약 공고에 명시적으로 기재되어야 한다. 그리고 낙찰에서“부수적이고 결정적이어서는 안 된다.”이것들은 우연한 기술 세부사항이 아니다. 이것들이 제32조가 무제한적인 유럽 공급자 우대가 되는 것을 막는 법적 특징이다.

실질 요인 역시 기업의 국적보다 더 정밀하다. 발주자는 입찰이 연합 디지털 기술 공급망을 강화하는 정도, 연합에서 개발된 기술(EU 지원 연구 성과 포함)의 통합, 공급 안보와 유럽 생태계를 강화하는 혁신의 사용, 그리고 시장 가용성과 기술 요건이 허용하는 최대한의 범위에서 연합에서 설계되거나 제조된 핵심 컴퓨팅·저장·네트워킹 하드웨어를 사용한 서비스 제공을 평가할 수 있다. 마지막 경로가 실현 불가능한 경우 제32조는 공급 안보와 유럽 생태계에 기여하는 제3국 하드웨어를 상정한다.

이것은 두 가지 단순화를 유지할 수 없게 만든다. 첫째, 제32조는 “EU 소유 공급자가 곧 점수”로 기술되지 않았다. 평가는 지정된 기여에 관해야 하고 계약과 연계된 상태를 유지해야 한다. 둘째, 유럽이 통제하지 않는 기업이 그런 기여를 할 수 없다고 규정하지 않는다. 입찰자의 기업 지배 구조는 등급과 상황에 따라 CADA 보증 체계의 다른 곳에서 문제될 수 있지만, 제32조의 낙찰 기준은 자체적 문구를 갖는다. 제18조는 집행위원회가 연합 통제 공급자를 3등급 기준으로 감사할 수 있는 연관 제3국을 식별할 수 있는 경로를 만들어 놓고 있으며, 까다로운 조건 목록이 붙어 있다.

증거 체계도 다르다. 부록 II는 부록 II와 III의 보증 기준 범위 밖에 하드웨어가 있다고 명시하는 반면, 제32조는 부가가치 기준에서 핵심 컴퓨팅·저장·네트워킹 하드웨어의 기원을 명시적으로 언급한다. 따라서 발주자는 서비스의 보증 인증을 제32조 하드웨어 주장을 충족한다는 증명으로 단순히 제시할 수 없다. 입찰은 낙찰 기준에 적합한 증거가 필요하다.

이것이 관문과 점수를 섞으면 안 되는 유용한 예다. 인증 파일은 감사받은 서비스가 적용 가능한 보증 기준을 준수하는지에 답한다. 제32조 파일은 이특정 입찰이 공개된 기준 하에서 생태계에 어떻게 기여하는지에 답해야 한다. 사실적 증거의 재사용은 효율적일 수 있지만, 결론의 재사용이 반드시 정당한 것은 아니다.

기존 EU 조달법은 이 구분을 강화한다.지침 2014/24/EU는 적용되는 곳에서 이미 낙찰 기준을 객관적 평가 중심으로 구조화하고, 무제한 재량을 제약하며, 발주 기관이 낙찰 기준의 상대적 가중치를 조달 문서에 명시하도록 요구한다. 따라서 CADA의 제32조는 투명하고 검토 가능한 입찰 평가의 더 넓은 논리를 폐지하는 것이 아니라 그 안에 놓인다.

그럼에도 제안은 어려운 해석 질문을 남긴다. 전문 67은 유럽 부가가치가 낙찰을 결정해서는 안 되며, 성과와 직접 연결된 기술·재정 기준이 우선성을 유지해야 한다고 말한다. 발주 기관이 연합 부가가치에 120점 중 15점의 최대 가중치를고려할 수 있다고 시사한다. 그 수치는 전문에 있고 선택지로 제시되며, 작동하는 법정 상한이 아니다.

명목 가중치와 실제 결정력은 같은 것이 아니다. 가격과 기술적 가치에서 3점 차이로 갈라진 두 개의 적법한 입찰을 상상하라. 10점짜리 부수적 기준은 여전히 그 순서를 뒤집을 수 있다. 제32조는 “결정적이지 않음”이 연합 부가가치가 접전에서 절대 인과적으로 결과를 결정할 수 없다는 뜻인지, 아니면 더 넓게 평가 구조를 지배하거나 핵심 성과 기준을 밀어내지 말아야 한다는 뜻인지 설명하지 않는다. 조달 담당자는 입찰이 도착하기 전에 나중에 검토를 견딜 수 있는 평가 모델을 설계해야 하기 때문에, 이 모호성은 거버넌스 문제이다.

2026년 9월 23일에 채택된 유럽 경제사회위원회(EESC) 의견은 명시적으로 더 강한 수요 측 입장을 취한다. 제32조 기준에 “중대한 가중치”를 부여하고, 전문 67에 대한 제안 개정에서 예시적 배분을 15점에서120점 중 40점으로올리되 핵심 낙찰 기준에 비례하고 종속되어야 한다는 문구는 유지할 것을 권고한다. 위원회는 더 큰 가중치가 조달 결과에 더 의미 있게 영향을 주기 위한 것이라고 말한다. 이것은 입법 절차에서의 기관 권고이며, 제정된 법이 아니고 집행위원회의 작동하는 제32조의 일부도 아니다.

그 권고는 근본 문제를 해소하기보다 선명하게 만든다. 40점은 여전히 전체의 소수로 묘사될 수 있지만, 많은 순위에 영향을 줄 수 있음이 분명하다. 입법자가 제32조가 수요를 실질적으로 바꾸면서 동시에 “결정적이지 않은” 상태를 유지하길 원한다면, 비결정성이 실무에서 무엇을 뜻하는지 더 명확히 말해야 할 수 있다.

책임성 시험은 각 결정이 재구성될 수 있는가이다

따라서 CADA의 가장 중요한 거버넌스 특징은 서로 구별되는 결정 권한의 사슬일 수 있다.

사슬의 앞쪽에서 회원국과 연합 기관은 집행위원회가 정의한 방법론 하에서, 그리고 가능한 집행위원회 개입의 대상이 되면서 공공 활동을 평가하고 필요한 보증 등급을 선택한다. 증거는 위험 증거이다. 데이터 민감성, 공공 질서 결과, 제3국 접근 노출, 서비스 중단 영향이다.

다음은 서비스 적합성이다. 공급자가 증거 제공의 책임을 진다. 1등급에서는 자기평가하고, 2~4등급에서는 독립 감사인이 서비스를 검사하며, 이후 국가 주관 당국이 통상적으로 절차 내에 국경 간 검토를 내장한 채 인증 결정을 내린다. 증거는 서비스별이다. 설립, 운영 위치, 통제, 인력, 데이터 흐름, 소프트웨어 의존성 및 기타 부록 II/III 사실이다.

그 다음은 조달 적격성이다. 발주 기관은 서비스가 해당 활동에 요구되는 인증을 갖추고 있음을 입증하거나, 예외적으로 제30조(4)가 이탈을 허용하는 이유를 기록해야 한다. 예외를 적용하는 기관은 보증 기준을 작성하지 않았고 근본 인증 감사를 수행하지 않았을 수 있음에도 그 조달 판단을 떠안는다.

마지막으로 제32조가 적용되는 곳에서 발주 기관은 낙찰 설계와 평가 결정을 소유한다. 입찰 문서는 기준을 명시해야 하고, 발주자는 입찰별 증거를 평가하며, 기준은 부수적 상태를 유지해야 한다. 2~4등급 인증 절차와 달리 제32조는 연합 부가가치 주장을 위한 별도의 중앙 감사·인증 체계를 갖지 않는다. 이는 입찰 문서의 정밀성과 발주자의 평가 기록에 상당한 중요성을 부여한다.

따라서 강한 사후 검토 파일은 네 개의 별도 질문을 허용해야 한다.활동이 합리적으로 분류되었는가? 서비스가 요구된 등급으로 실제로 인증되었는가? 예외가 실제로 제30조(4) 범위 내에 있었는가? 낙찰이 공개된 제32조 방법론을 따랐으며 부가가치 기준이 핵심 평가를 삼키지 않았는가?이것들은 제안의 권한 배분에서 도출된 분석적 검토 시험이며, 그 밖에서 발명된 추가 법정 요건이 아니다.

연속성이 그 분리를 고집할 가장 구체적인 이유를 제공한다. 제29조 위험 평가가 다른 클라우드 서비스로의 마이그레이션을 요구하면, 제안은 회원국 또는 연합 기관이 기술적 실현 가능성, 연속성, 데이터 이동성을 고려하여 12개월을 초과하지 않는 합리적 전환 기간 내에 마이그레이션하도록 요구한다. 멀티벤더 또는 멀티클라우드 전략이 적절한지도 고려해야 한다. 텍스트는 고려를 요구하며, 모든 경우에 멀티클라우드를 의무화하지 않는다.

12개월 조항은 과도하게 확장되어서는 안 된다. 그것은 명시적으로 제29조 위험 평가에 의해 요구되는 마이그레이션에 관한 것이다. 제22조·23조는 별도로 인증의 사후 수정 또는 취소를 상정하지만, 제안은 그런 모든 취소가 자동으로 동일한 12개월 전환을 받는다고 단순히 말하지 않는다. 이 구분은 운영적으로 중요해질 수 있다. 공공 기관은 서비스의 형식적 적격성이 빠르게 바뀌더라도 계약적으로나 기술적으로 그 서비스에 의존할 수 있기 때문이다.

비용은 그 결과 여러 주체에 걸쳐 분산된다. 공급자는 더 높은 등급의 감사를 자금 조달하고 적합성 증거를 유지하며, 당국은 위험 평가와 조달 역량에 자금을 쓰고, 발주자는 전환 계획의 실무적 작업을 떠안으며, 공공 기능의 중단은 행정기관과 그에 의존하는 사람들이 경험한다. 이 어느 것도 참여자의 불성실함을 함축하지 않는다. 그것은 형식적 결정 권한을 가진 기관이 결정이 실행하기 어렵게 판명될 경우 그 하방을 모두 떠안지는 않는다는 뜻이다.

EESC의 9월 의견은 관련된 기관적 위험을 지목한다. 디지털 시스템에 대한 의존이 깊어짐에 따라 공공 기능을 운영, 감독 또는 복원하는 인적·조직적 능력의 침식이다. 그것은 모니터링과 제29조 위험 평가에 기술 수용의 그 “흡수 측”을 추가할 것을 권고하며, 서비스의 상실이나 저하 이후 기관이 지원받는 기능을 수행, 검증 또는 복원할 독립적 인적 역량을 유지하는지를 포함한 고려를 권고한다. 이 역시 EESC 권고이며, 집행위원회 텍스트의 요건이 아니다.

그 생각은 중요한 책임성 구분을 제공한다.공급자 보증은 기관의 회복력이 아니다.서비스가 인증된 등급을 완전히 준수하면서도, 고객이 자신의 아키텍처, 문서화, 인력 또는 운영 지식을 그 서비스에 과도하게 의존하게 만들었을 수 있다. 반대로 발주자가 훌륭한 퇴장 역량을 유지한다고 해서, 인증받지 못한 서비스가 제30조 관문을 충족한다는 것이 입증되는 것은 아니다. 두 형태의 회복력 모두 중요하지만, 서로 다른 질문에 답한다.

제33조는 채택된다면 정책 입안자에게 일부 조달 모니터링 데이터를 제공할 것이다. 회원국은 참여 경제주체의 규모, 중소기업(SME) 참여, 중소기업에 배정되는 계약과 가치, 가능한 국경 간 중소기업 참여, 접근성 개선을 위해 취한 조치에 대해 연례 보고해야 한다. 제안은 또한 회원국의 클라우드·AI 조달의 최소 25%가 혁신 중소기업에 낙찰되어야 한다는 목표를 명시한다. 이 지표들은 참여 패턴을 드러낼 수 있다. 그것만으로 발주자들이 특정 중요 워크로드에 대해 기술적으로 대체 가능한 여러 인증 서비스를 갖고 있음을 입증할 수는 없다.

형식적 경쟁과 사용 가능한 대안 사이의 차이가 결정적이다. 많은 인증 서비스를 담은 저장소는, 실제 기술 요건을 충족하는 서비스가 하나뿐인 조달과 공존할 수 있다. 마찬가지로 좁은 적격 분야가 그 자체로 보증 관문이 부당하다는 것을 증명하지 않는다. 그것은 CADA가 의도적으로 설정한 위험 기준을 반영할 수 있다. 책임성은 더 많은 인증이 자동으로 회복력을 만들거나, 더 엄격한 자격 요건이 자동으로 경쟁을 파괴한다는 어느 쪽 가정도 하지 않고 양쪽을 모두 관찰하는 데서 요구된다.

주요 출처:EUR-Lex의 COM(2026) 502;이사회에 전달된 제안서 텍스트;부록 II–III;유럽의회 절차 2026/0138(COD);2026년 9월 23일 EESC 의견;EDPS 의견 14/2026;공공 조달 지침 2014/24/EU;COM(2026) 502 제안;2026년 9월 23일에 채택된 CADA 의견;제안서 라이브러리 기록;제안서 라이브러리 기록 — 포르투갈어;지침 89/665/EEC;지침 2014/24/EU — 포르투갈어;지침 2014/24/EU — 독일어 텍스트;일반 개인정보 보호 규정 — 독일어 텍스트;디지털 시장법 — 독일어 텍스트;디지털 서비스법 — 독일어 텍스트;데이터법 — 독일어 텍스트;COM(2026) 502 — 독일어 텍스트;지침 2014/24/EU — 영어;지침 2014/24/EU — 통합 HTML;COM(2026) 502 — 통합 HTML;COM(2026) 502 — 포르투갈어;입법 절차 2026/138;인터넷 거버넌스의 핵심에 있는 대리인 문제 — 독일어;2026년 9월 전자통신 및 정보사회 실무그룹;CADA 해설;지침 2014/24/EU — 제67조 데이터.