É diretor de TI numa seguradora de saúde alemã sujeita ao DORA e à supervisão da BaFin. A administração acaba de lhe encaminhar o anúncio da Comissão Europeia sobre o Pacote de Soberania Tecnológica, adotado na terça-feira, 3 de junho de 2026, com uma frase: o que significa isto para a nossa contratação cloud de 2027? O concurso vai até aos 18 milhões de euros em cinco anos. O seu CIO quer um memorando de uma página até sexta-feira.

A proposta do Cloud and AI Development Act (CADA) é a parte do pacote que toca mais diretamente na sua contratação. Vai classificar os fornecedores de cloud em quatro níveis de soberania. O nível mais alto — pela lógica jurídica da proposta — não é alcançável por fornecedores sediados nos EUA porque o CLOUD Act cria um conflito estrutural. Dados financeiros, judiciais e de saúde de governos e de organizações do setor público terão de correr em infraestrutura ao nível mais alto de soberania. A proposta é um regulamento ao abrigo do Artigo 114 TFUE, o que produz efeito de mercado interno diretamente aplicável. Se passar intacta, os Estados-membros não podem enfraquecer a sua aplicação individualmente.

Não passará intacta, e não passará até 2027. O trílogo levará 18 a 24 meses. O primeiro efeito prático na sua contratação não é o regulamento em si; é a linguagem de contratação que os concorrentes atentos já estão a preparar. O seu concurso de 18 milhões de euros que encerra no outono de 2026 será lido por concorrentes que se posicionam para a classificação CADA que assumem chegar em 2028 ou 2029. As respostas dos concorrentes dir-lhe-ão quem está a levar a regulamentação futura a sério e quem não está.

Este artigo é a auditoria do que a CADA propõe, do que os quatro níveis exigem efetivamente, do que o seu dossier de contratação deve já assumir sobre a direção do regulamento, e da pergunta específica a que o memorando de uma página do seu CIO tem de responder antes de fechar a ronda orçamental.

O que o pacote propõe

O Pacote de Soberania Tecnológica contém quatro instrumentos. O primeiro é o Cloud and AI Development Act (CADA) com o quadro de classificação de soberania. O segundo é o Chips Act 2.0, atualizando o estatuto de 2023 para elevar a quota da UE visada na produção mundial de chips. O terceiro é uma Estratégia Open Source que formaliza o código aberto como elemento estrutural da política digital da UE. O quarto é um Roteiro Estratégico para a Digitalização e a IA na Energia, em que o Comissário Dan Jørgensen subiu à tribuna ao lado da Comissária Henna Virkkunen.

O enquadramento que Virkkunen deu ao pacote, na conferência de imprensa: “We want to be sure nobody has a kill switch.” (Queremos garantir que ninguém tem um botão de desligar.) Ursula von der Leyen embrulhou a política: “We cannot afford to depend on others for the technologies that keep our hospitals running, our energy grids stable and our services secure.” (Não nos podemos dar ao luxo de depender de outros para as tecnologias que mantêm os nossos hospitais a funcionar, as nossas redes energéticas estáveis e os nossos serviços seguros.) O enquadramento político foi soberania. O enquadramento de contratação — que é o enquadramento com o qual o seu concurso tem de se medir — é classificação, requisitos obrigatórios de nível, e a base jurídica ao abrigo do Artigo 114 TFUE que dá ao regulamento efeito de mercado interno diretamente aplicável.

A componente cloud é a mais substantiva para as decisões de contratação hoje. O quadro em quatro níveis da CADA é uma escala graduada de separação estrutural face ao controlo extra-UE: o Nível 1 cobre as exigências mínimas de residência de dados; o Nível 2 estabelece independência operacional face ao controlo extra-UE; o Nível 3 exige separação arquitetónica plena face a dependências extra-UE; o Nível 4 reivindica continuidade verificável sob condições geopolíticas hostis. O requisito obrigatório de Nível 3 para dados governamentais financeiros, judiciais e de saúde é a parte que afeta diretamente a sua contratação. Serão autoridades nacionais designadas a aplicá-lo.

O que os quatro níveis exigem efetivamente, em linguagem operacional

O texto da proposta da Comissão descreve os níveis em linguagem regulamentar. A tradução operacional é o que a sua equipa de arquitetura precisa.

O Nível 1 é a exigência de residência de dados. O seu fornecedor compromete-se, por contrato, a manter os dados em solo da UE. É isto que a maior parte das ofertas de cloud soberana europeias hoje reivindicam — Microsoft Azure Sovereign Cloud, AWS European Sovereign Cloud, Google Cloud Sovereign — e o que a maior parte dessas ofertas entrega. O Nível 1 é compatível com a operação de fornecedores sediados nos EUA. A maior parte dos contratos M365 existentes, com as cláusulas de residência de dados já em vigor, satisfaria o Nível 1 sem qualquer alteração arquitetónica.

O Nível 2 acrescenta independência operacional face ao controlo extra-UE. O seu fornecedor compromete-se não só com a residência na UE mas com decisões operacionais tomadas por entidades sediadas na UE. Este é o nível em que as variantes de cloud soberana dos fornecedores sediados nos EUA qualificam ou não qualificam, consoante a estrutura contratual. A arquitetura atual da Microsoft Sovereign Cloud está concebida para qualificar para o Nível 2, ao estruturar o controlo operacional através da subsidiária irlandesa da Microsoft com uma opção de residência de dados na Polónia. Se essa qualificação sobrevive à interpretação que o trílogo der a “operational independence” (independência operacional) é uma das questões em aberto.

O Nível 3 exige separação arquitetónica plena face a dependências extra-UE. Este é o nível de que a lógica jurídica da proposta exclui os fornecedores sediados nos EUA. O CLOUD Act cria um conflito estrutural que nenhuma estrutura contratual pode eliminar. O Nível 3 é o domínio da OVHcloud, da Outscale, da StackIT da Schwarz Digits, da IONOS, da Open Telekom Cloud da T-Systems e da plataforma federal KIPITZ. Para a contratação da sua seguradora de saúde, o Nível 3 é a restrição substantiva: as cargas de trabalho com dados financeiros e de saúde terão, na proposta atual, de correr lá.

O Nível 4 reivindica continuidade verificável sob condições geopolíticas hostis. Os critérios para o Nível 4 ainda não estão enumerados na proposta pública. Continuidade sob hostilidade é a propriedade que uma organização tem quando consegue continuar a operar se qualquer fornecedor único, incluindo o principal, ficar indisponível. Em termos operacionais, o Nível 4 exige portabilidade multi-fornecedor, infraestrutura de espelho fora da UE para dependências de distribuição de código-fonte, e um plano de continuidade que tenha sido exercitado. Pela definição de trabalho que o texto da proposta sugere, o Nível 4 é a propriedade que nenhum fornecedor europeu atual pode ainda reivindicar de forma credível. A definição dos critérios será um dos elementos mais contestados do trílogo.

O que o seu dossier de contratação deve assumir em 2026

O seu concurso de 18 milhões de euros que encerra no outono de 2026 será adjudicado para um ambiente regulamentar que ainda não existe. Três pressupostos, inscritos no concurso e no dossier de contratação, determinarão se o contrato adjudicado em 2026 sobrevive à CADA quando esta aterrar.

Assuma Nível 3 para cargas de trabalho com dados de saúde e financeiros. Mesmo que a CADA seja atenuada no trílogo, a camada federal alemã de contratação pública, a camada de supervisão da BaFin e o quadro DORA estão a convergir para o pressuposto de que dados financeiros e de saúde sensíveis não devem correr em infraestrutura cloud sediada nos EUA. Uma contratação de 2026 que prenda os sistemas centrais da sua seguradora de saúde numa oferta de Nível 1 de um fornecedor americano por cinco anos estará, em 2028, a operar num quadro regulamentar que a quer migrada. Construa a opcionalidade de migração no contrato de 2026; é mais barato negociar cláusulas de saída no momento da assinatura do que num aditamento.

Exija que os concorrentes divulguem o seu roteiro de nível CADA. O seu concurso deve perguntar formalmente a cada concorrente para que nível CADA projeta poder certificar-se até 2028 e que alterações arquitetónicas se comprometeu a fazer para atingir esse nível. Os concorrentes com um roteiro sério responderão por escrito com alterações técnicas nomeadas. Os concorrentes com uma resposta de posicionamento darão linguagem de marketing. A diferença é o dado mais informativo que o seu processo de contratação extrairá.

Inscreva já no concurso referências às EVB-IT e ao §58 VgV Nr. 4. A camada de direito federal da contratação pública já suporta a linguagem de que vai precisar quando a CADA aterrar. Citar o §58 VgV Nr. 4 e os termos contratuais EVB-IT para código aberto no concurso de 2026 faz duas coisas: estabelece precedente no seu próprio dossier de contratação, e sinaliza aos concorrentes que o seu departamento de contratação está envolvido com a camada federal de soberania, em vez de reativo a ela.

O que a CADA não aborda

Os quatro níveis cobrem a infraestrutura cloud e certas categorias de dados governamentais. Não abordam, na proposta atual, as camadas abaixo da cloud.

A infraestrutura de alojamento de código continua predominantemente alojada nos EUA. O código-fonte da pilha europeia de soberania vive no GitHub — propriedade da Microsoft. O requisito de Nível 3 de separação arquitetónica face a dependências extra-UE não se estende, numa leitura estrita do texto da proposta, à infraestrutura de build e de distribuição dos componentes de código aberto sobre os quais a cloud assenta. É a mesma lacuna que o lançamento do Euro-Office torna visível noutros sítios, e a CADA não a fecha de momento.

Cadeias de confiança criptográfica. As autoridades de certificação e as operações dos servidores raiz DNS continuam dominadas pelos EUA. Os níveis de soberania da CADA não enumeram explicitamente critérios de cadeia de confiança. Um fornecedor classificado como Nível 3 pode ainda depender de autoridades de certificação cujas chaves raiz são controladas pelos EUA.

CI/CD e distribuição de pacotes. GitHub Actions, npm, PyPI, Docker Hub, Maven Central — a infraestrutura de build, empacotamento e distribuição de que tudo depende continua predominantemente alojada nos EUA. Um fornecedor pode estar no Nível 3 na dimensão de runtime e no Nível 1 na dimensão da cadeia de fornecimento. A CADA não distingue de momento.

Isto não é uma crítica ao âmbito redigido. É a observação de que a CADA não entrega, por si só, soberania da cadeia de fornecimento nas camadas abaixo da infraestrutura cloud. O seu dossier de contratação deve reconhecer o limite explicitamente. Um leitor que celebre a CADA como conclusão do projeto europeu de soberania estará a ler algo que a proposta não afirma — e que o seu CIO beneficiará de nomear por escrito antes do próximo ciclo regulamentar.

O que este artigo não é

Não é uma afirmação de que a CADA passará como redigida — o trílogo modificará a proposta; a questão é quanto. Não é uma afirmação de que a Estratégia Open Source seja vazia — enquadra estruturalmente o OSS; saber se produz orçamento é uma questão separada, decidida no próximo ciclo do Quadro Financeiro Plurianual e não em junho de 2026. Não é uma afirmação de que a soberania europeia fica resolvida pelo pacote. O pacote trata uma camada de dependência, deixa outras por tocar, e depende de um processo legislativo que se estende até 2027 ou 2028.

O memorando de que o seu CIO precisa até sexta-feira

O memorando de uma página deve fazer três afirmações e recomendar duas ações.

As três afirmações: a CADA será lei em 2028 ou 2029; o requisito mais provável de Nível 3 para cargas de trabalho financeiras e de saúde sobreviverá ao trílogo em substância na forma proposta; a camada da cadeia de fornecimento não será abordada pela CADA neste ciclo e exigirá atenção de contratação separada.

As duas ações recomendadas: redigir o concurso do outono de 2026 com divulgação obrigatória, pelos concorrentes, do roteiro de nível CADA e do calendário de separação arquitetónica; construir, do lado do cliente, infraestrutura de auditoria da cadeia de fornecimento e de espelho Codeberg-ou-equivalente, independentemente do fornecedor final, porque esse trabalho é exigido independentemente do nível CADA a que o fornecedor venha a certificar-se.

Um memorando que faz essas afirmações e recomenda essas ações lê-se, ao nível da administração, como envolvimento com a direção regulamentar. Um memorando que diga “a situação está a evoluir e iremos acompanhar” lê-se como o tipo de preparação que não sobrevive a uma auditoria de conformidade da BaFin em 2029. O concurso do outono de 2026 é o dossier que será citado nessa auditoria se correr bem, ou sobre o qual a imprensa regulamentar escreverá se não correr.

Fontes

Visão geral temática: Soberania Digital na Europa Artigos relacionados: Como citar o §58 VgV Nr. 4, O fornecedor escreveu o teste