Кратко

  • Статьи 29–30 связывают допустимость облачной услуги с оценкой риска конкретной публичной деятельности и признанным уровнем гарантий. Проект предусматривает базовый уровень 1, повышенные уровни 2–4 и мотивированные исключения: это не единый максимальный порог для всех государственных закупок. Текст предложения.
  • Статья 32 требует учитывать европейский вклад в предусмотренных ею закупках инновационных облачных услуг и систем ИИ, но только как вспомогательный, не определяющий присуждение контракта критерий качества. Рекомендация Европейского экономического и социального комитета увеличить его вес пока не изменила ни предложение Комиссии, ни действующее право. Статья 32, заключение ЭЭСК.

Сначала разрешить использование, затем выбрать предложение

Допустим, две облачные услуги соответствуют уровню гарантий, установленному для публичной задачи. Обе могут использоваться для намеченной задачи. Следует ли контракт автоматически отдать компании, чья деятельность сильнее связана с европейской экономикой? В предложенной конструкции CADA положительный ответ не вытекает из самого допуска. Соответствие минимальным требованиям и сравнительная оценка заявок отвечают на разные вопросы.

Именно это различие важно в предложении акта о развитии облачных технологий и искусственного интеллекта (CADA), COM(2026) 502. Оно включает закупочные инструменты в более широкую программу развития мощностей, инноваций и автономии облачной инфраструктуры, описанную на официальной странице CADA. Однако политическая цель не превращает каждый предусмотренный инструмент в безусловную преференцию европейскому поставщику.

На 16 октября 2026 года CADA остаётся предложением регламента. В карточке Европарламента 2026/0138(COD) указан статус ожидания решения комитета. Описанные ниже требования и сроки — положения проекта, а не уже возникшие обязанности по CADA.

Кто устанавливает порог риска

Статья 29 поручает государствам-членам и институтам, органам и агентствам ЕС выявлять виды деятельности публичного сектора, которые способствуют сохранению общественного порядка и при осуществлении которых используются или будут использоваться облачные услуги. Охвачены секторы приложений I и II к директиве NIS2, а также национальная и внутренняя безопасность, управление внешними границами, оборона, правосудие и правоохранительная деятельность. Для выявленных видов деятельности определяется подходящий уровень гарантий — 2, 3 или 4.

Здесь предмет решения — не национальность поставщика и не привлекательность конкретной заявки, а последствия зависимости определённой публичной функции от облака. Оценка должна учитывать чувствительность, критичность и объём неперсональных данных; характер обработки персональных данных и риски для прав людей; угрозу неправомерного доступа со стороны третьих стран и последствия перебоев. Первую оценку предлагается провести в течение года после вступления регламента в силу, последующие — каждые два года либо при необходимости. Основания и периодичность оценки.

Полномочия распределены не симметрично. Государство проводит оценку и в течение трёх месяцев передаёт результаты Комиссии, отмечая отступления от установленной методики. Комиссия определяет методику и шаблоны посредством имплементационных актов. Если национально выбранный уровень она сочтёт неподходящим или недостаточным для защиты общественного порядка, она сможет таким актом установить необходимый уровень. Это право изменить обязательный порог, но не право выбрать победителя отдельного конкурса. Статья 29, пункты 3–5.

Вместе с тем проект не полностью проясняет, какие именно национальные органы будут проводить, координировать и утверждать эти оценки. Устранить неопределённость рекомендует Европейский инспектор по защите данных в заключении № 14/2026, пункт 47. Нельзя автоматически считать, что орган признания облачных услуг отвечает и за классификацию всех публичных функций.

Для последующего контроля поэтому нужен содержательный переход от описания деятельности к выбранному уровню: какой отказ рассматривается, кому он повредит и почему менее строгие требования недостаточны. Само слово «суверенитет» такого обоснования не заменяет. Это вывод для организации проверки, а не дополнительная формула оценки, уже закреплённая в проекте.

Признаётся услуга, а не поставщик вообще

Статья 30 применяется, когда заказчик приобретает облачные услуги исключительно для собственного использования; её действие прямо распространяется и на структуры ЕС. В пределах этой сферы для деятельности, не отнесённой к сохранению общественного порядка, предусмотрены услуги, признанные на уровне 1. Для выявленной охраняемой деятельности требуются признанные услуги уровней 2–4, причём подходящий уровень определяется оценкой по статье 29. Следовательно, отсутствие повышенного риска не означает полного отсутствия требований, а наличие публичного заказчика не означает автоматического требования уровня 4.

Само признание устроено отдельно. Для уровня 1 используется декларация соответствия с доказательствами; для малых и средних предприятий предусмотрено её прямое признание без предварительного решения национального органа. Для уровней 2–4 поставщик представляет аудиторский отчёт, положительное заключение и подтверждающие материалы. Решение принимает компетентный национальный орган с предусмотренной проверкой со стороны органов других государств; неурегулированное возражение может привести к обязательному решению Комиссии. Процедура статьи 17.

По статье 20 независимый аудит оплачивает поставщик. Это создаёт отношение заказчика и исполнителя, но само по себе не доказывает предвзятость проверки: проект устанавливает требования независимости и отсутствия конфликта интересов, запрещает вознаграждение, обусловленное результатом проверки. Отчёт должен раскрывать методику, проверенные аспекты, выводы и декларацию интересов; невозможность проверить отдельные вопросы также требует объяснения.

Приложения II и III показывают, почему вывески «европейское облако» недостаточно. Проверке подлежат соответствующие уровню условия контроля, инфраструктуры и программной цепочки. Среди предусмотренных доказательств — структура собственности и управленческих прав, сведения о размещении инфраструктуры, доступе персонала, составе программного обеспечения, лицензиях и зависимостях. Это позволяет проверять реальное устройство услуги, а не только адрес юридического лица.

У надзорной проверки предусмотрены свои ограничители: статья 26(4) связывает осуществление расследовательских и правоприменительных полномочий с правом быть выслушанным, доступом к материалам дела и эффективной судебной защитой. Это процессуальные гарантии для затронутых сторон, а не замена обоснованию результатов закупки.

Граница ответственности здесь принципиальна: оценка риска относится к публичной деятельности, признание — к конкретной услуге, конкурсная оценка — к предложению по конкретному контракту. Один документ не отвечает за все три решения.

Исключение требует собственного обоснования

Порог допуска не абсолютен. Пункт 4 статьи 30 разрешает исключительное и надлежащим образом обоснованное отступление от требований как базового, так и повышенных уровней. Основания — отсутствие способного исполнить предмет закупки признанного решения и адекватной альтернативы; безрезультатная аналогичная закупка в предшествующем году; несоразмерная стоимость соблюдения требований. В первом случае отсутствие альтернативы не должно быть результатом искусственного сужения условий конкурса.

Решение об отступлении принимает заказчик. Текст не устанавливает здесь общего требования предварительного разрешения Комиссии. Но предусмотренные основания не равнозначны удобству продления привычного договора, а несоразмерная стоимость — не любое превышение цены. Числового порога несоразмерности статья не задаёт. Условия исключения.

Практически проверяемое досье должно позволять восстановить, какие альтернативы изучались и почему не подошли. При ссылке на стоимость важно различать плату за услугу, расходы на перенос и последствия для непрерывности, а не подменять сравнение одной строкой бюджета. Это предлагаемый способ обосновывать решение: такой готовой калькуляции в статье нет.

Европейский инспектор по защите данных рекомендует не применять основание несоразмерной стоимости к деятельности статьи 30(3) либо подчинить его строгим условиям и документированию. Он также предлагает подробное обоснование исключений и регулярную проверку появления признанных альтернатив. Это рекомендации пунктов 59–62, а не уже добавленные обязанности.

У исключения двойной смысл. Оно способно предотвратить срыв публичной функции при нехватке подходящих предложений. Но если обоснование нельзя проверить, именно через него может исчезнуть практическое содержание общего порога. Ни наличие исключения, ни его применение сами по себе не показывают, какой из этих результатов наступит.

Дополнительные баллы не заменяют соответствие

Статья 32 действует иначе. В предусмотренных ею публичных закупках инновационных облачных услуг и систем ИИ заказчики должны включать в оценку качества неценовые критерии вклада участника в развитие европейской облачной и ИИ-экосистемы. Внутри обозначенной сферы это не свободно выбираемая возможность. Но распространить такое предписание на любую государственную покупку облака нельзя.

Четыре ограничения заданы одновременно: связь с предметом контракта; отсутствие неограниченной свободы выбора у заказчика; предварительное раскрытие в закупочных документах или извещении; вспомогательная, не определяющая присуждение контракта роль. Адресатом статьи выступают закупающие органы в смысле директивы о госзакупках, тогда как статья 30 отдельно распространяет свой режим на структуры ЕС. Сферу каждой нормы требуется устанавливать самостоятельно. Статьи 2, 30 и 32 предложения.

Оценивать предлагается укрепление технологической цепочки поставок в ЕС, использование разработанных в Союзе технологий и результатов исследований, вклад необходимых для услуги инноваций в надёжность поставок. Для критических вычислительных, сетевых компонентов и оборудования хранения учитывается европейская разработка и/или производство в максимально осуществимой степени с учётом рынка и технических требований. При невозможности такого решения текст допускает оборудование из третьих стран при условии соответствующего вклада в надёжность поставок и европейскую экосистему. Содержание критериев статьи 32(3).

Это не автоматическая надбавка за европейский паспорт компании. Иной смысл имеют и требования к собственности или контролю в системе признания. В конкурсной оценке необходимо показать, как заявленный вклад связан именно с закупаемой услугой; общая инвестиционная программа участника не становится релевантной только благодаря своему масштабу.

Существующее закупочное право даёт важную опору. Статья 67 Директивы 2014/24/ЕС связывает критерии с предметом контракта, требует возможности эффективной конкуренции и проверки представленных сведений. Она предусматривает раскрытие относительного веса критериев, а при объективной невозможности взвешивания — их порядка важности. Связь с контрактом может охватывать процесс предоставления услуги и её жизненный цикл, но не даёт заказчику неограниченного усмотрения.

Отсюда следует практическая задача: обещание европейского технологического вклада нужно переводить в проверяемую характеристику исполнения. Например, документация могла бы определить, какие компоненты действительно используются в предоставляемой услуге и какими материалами подтверждается их происхождение. Сам проект не устанавливает универсального перечня таких доказательств для каждого конкурса; разработка пригодных критериев остаётся ответственностью заказчика.

Где проходит граница решающего влияния

Два механизма могут применяться в одной закупке, но не компенсируют друг друга. При требуемом уровне 3 высокий результат по статье 32 не устраняет отсутствие необходимого признания, если не применяется предусмотренное исключение. И наоборот: соответствие статье 30 само по себе не превращает обычную облачную закупку в инновационную процедуру статьи 32. Последняя не ограничена только деятельностью по сохранению общественного порядка; покупка системы ИИ также не тождественна покупке облачной услуги. Таково следствие различающейся сферы статей 29–32.

Сложнее понять, как дополнительная оценка должна влиять на итог, оставаясь не решающей. Пункт 67 преамбулы сохраняет первенство технических и финансовых критериев исполнения и предлагает рассмотреть максимальный вес европейского вклада в 15 баллов из 120. Это необязательный ориентир преамбулы, а не установленный статьёй 32 числовой потолок.

Небольшой вес и отсутствие решающего влияния математически не тождественны: при близких предложениях даже небольшая прибавка способна изменить первое место. Проект не задаёт отдельного арифметического теста, исчерпывающе разрешающего эту ситуацию. Сопоставление ранжирования с дополнительными баллами и без них было бы полезной диагностикой для заказчика. Однако такой пересчёт — аналитический инструмент, а не прямо предписанная законом формула или готовое судебное толкование.

Именно поэтому нельзя объявить ограничение соблюдённым только потому, что критерий занимает меньшинство общей суммы. Методика должна объяснять, как сохраняется его подчинённая роль, а последующая проверка — оценивать не только название критерия, но и способ его применения.

ЭЭСК предлагает усилить влияние, а не объявляет новые правила

В заключении от 23 сентября 2026 года Европейский экономический и социальный комитет рекомендует придать европейскому вкладу значительный вес. Его конкретная поправка к пункту 67 преамбулы повышает предлагаемый необязательный максимум с 15 до 40 баллов из 120. Комитет считает, что этого достаточно для ощутимого влияния на спрос при сохранении подчинённости цене и техническим достоинствам. Обоснование и текст поправки.

Следовательно, позицию ЭЭСК неточно описывать как уже установленную квоту или отмену вспомогательной роли критерия. Это рекомендация в законодательном процессе, причём сам комитет заявляет о совместимости предлагаемого усиления со статьёй 32(2)(d). Отсюда не следует, что вопрос практического согласования весов уже решён.

Политический выбор состоит в степени воздействия закупок на развитие предложения. Более заметный вес способен усилить стимул вкладываться в нужные технологии. Одновременно заказчику потребуется убедительнее показать, что выбранное решение отвечает его публичной задаче, а не только общей промышленной цели. Эта развилка требует решения законодателей и проверяемой методики, а не расширительного прочтения консультативного заключения.

Непрерывность нельзя получить вместе со статусом

Оценка риска может затронуть уже работающую инфраструктуру. Статья 29(6) требует, если оценка обусловливает смену облачной услуги, перехода в разумный срок не более двенадцати месяцев с учётом технической осуществимости, непрерывности и переносимости данных. Пункт 9 требует рассмотреть уместность нескольких поставщиков или облаков, но не предписывает всем обязательную многооблачную архитектуру.

Признание тоже не бессрочная гарантия неизменности. Для услуг, прошедших аудит, предусмотрена ежегодная проверка сохраняющегося соответствия; проект также устанавливает уведомление о существенных изменениях и возможность отзыва. Сведения об отзыве отчёта, заключения или признания должны сохраняться в публичном реестре пять лет. Статьи 20–23. Для заказчика это означает необходимость отслеживать статус именно используемой услуги, а не хранить когда-то полученное подтверждение без обновления.

При этом статья 24(3) предусматривает требования получателей услуг о возмещении ущерба от нарушения поставщиком обязанностей соответствующей главы. Она не устанавливает автоматическую компенсацию любых расходов на миграцию, вызванную изменением публичной оценки риска. Поэтому право определить более строгий порог и обязанность обеспечить работающий переход нельзя считать одной и той же ответственностью.

Наконец, признание по CADA не заменяет правовую оценку обработки персональных данных. Европейский инспектор по защите данных допускает использование общей фактической базы для разных проверок, но подчёркивает необходимость сохранять самостоятельность юридических выводов. Заключение № 14/2026, пункты 46–52.

Проверяемость всей конструкции зависит от соединения, но не смешения документов: основания выбранного уровня, доказательств признания услуги, заранее объявленной методики и мотивировки присуждения контракта. Между ними должны прослеживаться даты, версии и ответственные органы. Только тогда можно установить, какое именно решение повлекло отказ в допуске, победу в конкурсе или необходимость переноса работающей системы.

Основные первичные источники