Vous êtes DSI dans un organisme allemand d’assurance maladie soumis à DORA et à la supervision de la BaFin. Votre conseil d’administration vient de vous transmettre l’annonce de la Commission européenne du paquet souveraineté tech, adopté le mardi 3 juin 2026, accompagnée d’une seule phrase : que cela signifie-t-il pour notre achat public cloud 2027 ? L’achat public porte sur 18 millions d’euros sur cinq ans. Votre CIO veut une note d’une page d’ici vendredi.

La proposition de Cloud and AI Development Act (CADA) est la partie du paquet qui touche votre achat public le plus directement. Elle classera les fournisseurs cloud en quatre niveaux de souveraineté. Le niveau le plus élevé — par la logique juridique de la proposition — n’est pas atteignable par les fournisseurs domiciliés aux États-Unis parce que le CLOUD Act crée un conflit structurel. Les données financières, judiciaires et de santé des gouvernements et organisations du secteur public devront fonctionner sur une infrastructure au plus haut niveau de souveraineté. La proposition est un règlement fondé sur l’article 114 du TFUE, qui produit un effet directement applicable sur le marché intérieur. S’il passe intact, les États membres ne peuvent en affaiblir l’application individuellement.

Il ne passera pas intact, et il ne passera pas d’ici 2027. Le trilogue prendra 18 à 24 mois. Le premier effet pratique sur votre achat public n’est pas le règlement lui-même ; c’est le langage d’achat public que les soumissionnaires avisés préparent déjà. Votre appel d’offres à 18 millions d’euros qui se clôt à l’automne 2026 sera lu par des soumissionnaires qui se positionnent pour la classification CADA qu’ils supposent arriver en 2028 ou 2029. Les réponses des soumissionnaires vous diront qui prend la future réglementation au sérieux et qui ne la prend pas.

Cet article est l’audit de ce que CADA propose, de ce que les quatre niveaux exigent réellement, de ce que votre dossier d’achat public devrait déjà supposer sur la direction du règlement, et de la question précise à laquelle la note d’une page de votre CIO doit répondre avant la clôture du tour budgétaire.

Ce que le paquet propose

Le paquet souveraineté tech contient quatre instruments. Le premier est le Cloud and AI Development Act (CADA) avec le cadre de classification de souveraineté. Le deuxième est le Chips Act 2.0, actualisant le statut de 2023 pour relever la part visée par l’UE dans la production mondiale de puces. Le troisième est une stratégie open source formalisant l’open source comme élément structurel de la politique numérique de l’UE. Le quatrième est une feuille de route stratégique pour la numérisation et l’IA dans l’énergie, présentée par le commissaire Dan Jørgensen à la tribune aux côtés de la commissaire Henna Virkkunen.

Le cadrage du paquet par Virkkunen, en conférence de presse : « We want to be sure nobody has a kill switch. » Nous voulons être sûrs que personne n’a de kill switch. Ursula von der Leyen a enveloppé la politique : « We cannot afford to depend on others for the technologies that keep our hospitals running, our energy grids stable and our services secure. » Nous ne pouvons pas nous permettre de dépendre d’autrui pour les technologies qui font tourner nos hôpitaux, stabilisent nos réseaux énergétiques et sécurisent nos services. Le cadrage politique était la souveraineté. Le cadrage d’achat public — qui est celui auquel votre appel d’offres doit répondre — est la classification, les exigences obligatoires par niveau, et la base juridique de l’article 114 du TFUE qui donne au règlement un effet directement applicable sur le marché intérieur.

La composante cloud est la plus substantielle pour les décisions d’achat public d’aujourd’hui. Le cadre à quatre niveaux du CADA est une échelle graduée de séparation structurelle vis-à-vis du contrôle hors UE : le Niveau 1 couvre des engagements minimaux de résidence des données ; le Niveau 2 établit l’indépendance opérationnelle vis-à-vis du contrôle hors UE ; le Niveau 3 exige une séparation architecturale complète des dépendances hors UE ; le Niveau 4 revendique une continuité vérifiable en conditions géopolitiques hostiles. L’exigence obligatoire de Niveau 3 pour les données financières, judiciaires et de santé du gouvernement est la partie qui affecte directement votre achat public. Les autorités nationales désignées feront appliquer.

Ce que les quatre niveaux exigent réellement, en langage opérationnel

Le texte de la proposition de la Commission décrit les niveaux en langage réglementaire. La traduction opérationnelle est ce dont votre équipe d’architecture a besoin.

Le Niveau 1 est l’engagement de résidence des données. Votre fournisseur s’engage, contractuellement, à conserver les données sur sol UE. C’est ce que revendiquent la plupart des offres actuelles de cloud souverain européen — Microsoft Azure Sovereign Cloud, AWS European Sovereign Cloud, Google Cloud Sovereign — et ce que la plupart de ces offres livrent. Le Niveau 1 est compatible avec une exploitation par un fournisseur domicilié aux États-Unis. La plupart des contrats M365 existants satisferaient le Niveau 1 sans aucun changement architectural, grâce aux clauses de résidence des données déjà en place.

Le Niveau 2 ajoute l’indépendance opérationnelle vis-à-vis du contrôle hors UE. Votre fournisseur s’engage non seulement à la résidence UE mais à des décisions opérationnelles prises par des entités domiciliées dans l’UE. C’est le niveau auquel les variantes cloud souverain des fournisseurs domiciliés aux États-Unis qualifient ou ne qualifient pas selon la structure contractuelle. L’architecture actuelle de Microsoft Sovereign Cloud est conçue pour qualifier au Niveau 2 en structurant le contrôle opérationnel via la filiale irlandaise de Microsoft avec une option de résidence des données en Pologne. Savoir si cette qualification survit à l’interprétation du « contrôle opérationnel » par le trilogue est l’une des questions ouvertes.

Le Niveau 3 exige une séparation architecturale complète des dépendances hors UE. C’est le niveau dont la logique juridique de la proposition exclut les fournisseurs domiciliés aux États-Unis. Le CLOUD Act crée un conflit structurel qu’aucune structure contractuelle ne peut éliminer. Le Niveau 3 est le domaine d’OVHcloud, d’Outscale, de StackIT de Schwarz Digits, d’IONOS, d’Open Telekom Cloud chez T-Systems et de la plateforme KIPITZ du gouvernement fédéral. Pour votre achat public d’assurance maladie, le Niveau 3 est la contrainte substantielle : les charges de travail financières et de santé devront, selon la proposition actuelle, y fonctionner.

Le Niveau 4 revendique une continuité vérifiable en conditions géopolitiques hostiles. Les critères du Niveau 4 ne sont pas encore énumérés dans la proposition publique. La continuité en condition hostile est la propriété qu’a une organisation lorsqu’elle peut continuer à fonctionner si un fournisseur unique quel qu’il soit, y compris son principal, devient indisponible. Opérationnellement, le Niveau 4 exige une portabilité multi-fournisseurs, une infrastructure miroir hors UE pour les dépendances de distribution amont, et un plan de continuité ayant été exercé. Selon la définition de travail que suggère le texte de la proposition, le Niveau 4 est la propriété qu’aucun fournisseur européen actuel ne peut encore crédiblement revendiquer. La définition des critères sera parmi les éléments les plus contestés du trilogue.

Ce que votre dossier d’achat public devrait supposer en 2026

Votre appel d’offres à 18 millions d’euros se clôturant à l’automne 2026 sera attribué dans un environnement réglementaire qui n’existe pas encore. Trois hypothèses, inscrites dans l’appel d’offres et le dossier d’achat public, détermineront si le contrat attribué en 2026 survit au CADA lorsque le CADA arrivera.

Supposez le Niveau 3 pour les charges de travail des données financières et de santé. Même si CADA est édulcoré au trilogue, la couche allemande des achats publics fédéraux, la couche de supervision BaFin et le cadre DORA convergent vers l’hypothèse que les données sensibles financières et de santé ne devraient pas fonctionner sur une infrastructure cloud de fournisseurs domiciliés aux États-Unis. Un achat public de 2026 qui verrouille vos systèmes cœur d’assurance maladie dans une offre Niveau 1 d’un fournisseur américain pour cinq ans fonctionnera, d’ici 2028, sous un cadre réglementaire qui voudra son rapatriement. Intégrez dans le contrat 2026 l’optionalité de migration ; il est moins coûteux de négocier des clauses de sortie à la signature qu’en avenant.

Exigez que les soumissionnaires divulguent leur feuille de route de niveau CADA. Votre appel d’offres devrait demander à chaque soumissionnaire, formellement, à quel niveau CADA il projette pouvoir se certifier d’ici 2028 et quels changements architecturaux il s’est engagé à réaliser pour atteindre ce niveau. Les soumissionnaires qui ont une feuille de route sérieuse répondront par écrit avec des changements techniques nommés. Les soumissionnaires qui ont une réponse de positionnement donneront du langage marketing. La différence est la donnée la plus informative que votre processus d’achat public extraira.

Intégrez maintenant les références à l’EVB-IT et au §58 VgV Nr. 4 dans l’appel d’offres. La couche fédérale du droit des marchés publics soutient déjà le langage dont vous aurez besoin lorsque CADA arrivera. Citer le §58 VgV Nr. 4 et les conditions contractuelles open source EVB-IT dans l’appel d’offres 2026 fait deux choses : cela établit un précédent dans votre propre dossier d’achat public, et cela signale aux soumissionnaires que votre cellule achat public est engagée auprès de la couche fédérale de souveraineté plutôt que réactive à son égard.

Ce que CADA ne traite pas

Les quatre niveaux couvrent l’infrastructure cloud et certaines catégories de données de gouvernement. Ils ne traitent pas, dans la proposition actuelle, les couches sous le cloud.

L’infrastructure d’hébergement de code reste majoritairement hébergée aux États-Unis. Le code source de la pile de souveraineté européenne vit sur GitHub — propriété de Microsoft. L’exigence du Niveau 3 du CADA d’une séparation architecturale des dépendances hors UE ne s’étend pas, en lecture stricte du texte de la proposition, à l’infrastructure de build et de distribution des composants open source sur lesquels le cloud tourne. C’est la même lacune que le lancement d’Euro-Office rend visible ailleurs, et CADA ne la referme pas actuellement.

Les chaînes de confiance cryptographiques. Les autorités de certification et les opérations des serveurs racine DNS restent dominées par les États-Unis. Les niveaux de souveraineté du CADA n’énumèrent pas explicitement les critères de chaîne de confiance. Un fournisseur classé Niveau 3 peut encore dépendre d’autorités de certification dont les clés racines sont sous contrôle américain.

CI/CD et distribution de paquets. GitHub Actions, npm, PyPI, Docker Hub, Maven Central — l’infrastructure de build, de packaging et de distribution dont tout dépend reste majoritairement hébergée aux États-Unis. Un fournisseur peut être Niveau 3 sur la dimension runtime et Niveau 1 sur la dimension chaîne d’approvisionnement. CADA ne distingue pas actuellement.

Ce n’est pas une critique du périmètre rédigé. C’est l’observation que CADA ne délivre pas, à lui seul, une souveraineté de chaîne d’approvisionnement aux couches sous l’infrastructure cloud. Votre dossier d’achat public devrait reconnaître la limite explicitement. Un lecteur célébrant CADA comme l’achèvement du projet européen de souveraineté lira quelque chose que la proposition ne prétend pas — et que votre CIO bénéficiera à nommer par écrit avant le prochain cycle réglementaire.

Ce que cet article n’est pas

Ce n’est pas l’affirmation que CADA passera tel que rédigé — le trilogue modifiera la proposition ; la question est de combien. Ce n’est pas l’affirmation que la stratégie open source est vide — elle cadre l’OSS structurellement ; qu’elle produise du budget est une question distincte tranchée dans le prochain cycle de cadre financier pluriannuel plutôt qu’en juin 2026. Ce n’est pas l’affirmation que la souveraineté européenne est réglée par le paquet. Le paquet traite une couche de la dépendance, en laisse d’autres intactes et dépend d’un processus législatif qui s’étend jusqu’en 2027 ou 2028.

La note dont votre CIO a besoin d’ici vendredi

La note d’une page devrait formuler trois affirmations et recommander deux actions.

Les trois affirmations : CADA sera loi d’ici 2028 ou 2029 ; l’exigence de Niveau 3 la plus probable pour les charges de travail financières et de santé survivra au trilogue dans une forme substantiellement proche de celle proposée ; la couche chaîne d’approvisionnement ne sera pas traitée par CADA dans ce cycle et nécessitera une attention d’achat public distincte.

Les deux actions recommandées : rédiger l’appel d’offres de l’automne 2026 avec divulgation obligatoire par les soumissionnaires de leur feuille de route de niveau CADA et de leur calendrier de séparation architecturale ; bâtir côté client l’audit de chaîne d’approvisionnement et l’infrastructure miroir Codeberg-ou-équivalente, quel que soit le fournisseur retenu, parce que ce travail est requis quel que soit le niveau CADA auquel le fournisseur finit par se certifier.

Une note qui formule ces affirmations et recommande ces actions se lit, au niveau du conseil d’administration, comme un engagement vis-à-vis de la direction réglementaire. Une note qui dit « la situation évolue et nous surveillons » se lit comme le type de préparation qui ne survit pas à un audit de conformité BaFin en 2029. L’appel d’offres de l’automne 2026 est le dossier qui sera cité dans cet audit s’il se passe bien, ou décrit dans la presse réglementaire s’il se passe mal.

Sources

Aperçu thématique : Souveraineté numérique en Europe Articles connexes : Comment citer le §58 VgV Nr. 4, Le fournisseur a écrit le test