Ce que les acheteurs publics italiens examinent réellement dans les marchés cloud

Les acheteurs du secteur public italien parlent moins de « souveraineté » que ne le suggère le marketing qui l’entoure. Ce qui apparaît réellement dans les appels d’offres cloud de l’administration centrale — y compris l’accord-cadre Consip pour les services applicatifs cloud, ID 2860, publié en décembre 2025 pour les Pubbliche Amministrazioni Centrali — est un ensemble d’exigences concrètes et vérifiables plutôt qu’un slogan.

Le seuil de qualification qui revient sans cesse

Dans les récents accords-cadres cloud de Consip, une exigence récurrente est que les services soient qualifiés par l’agence nationale italienne de cybersécurité, ACN, au moins au niveau de qualification 1, couramment noté QC1 pour les services cloud traitant des données ordinaires, ou AI1 pour le niveau équivalent d’infrastructure. Les critères publiés par l’ACN pour le niveau 1 exigent une conformité auto-certifiée à la norme ISO 9001 en matière de gestion de la qualité, ainsi que des caractéristiques de sécurité, performance, évolutivité, interopérabilité et portabilité définies dans le règlement relatif aux services cloud des administrations publiques. Il s’agit d’une qualification spécifique et auditable, et non d’un synonyme de « conforme ».

La localisation des données et les conditions de sortie comptent plus que l’étiquette

Deux autres seuils apparaissent régulièrement dans cette catégorie d’appels d’offres : l’emplacement physique des données et des sauvegardes, généralement requis dans l’UE ou l’EEE, et la manière dont un fournisseur le prouve, ainsi que les conditions contractuelles permettant de mettre fin à la relation sans perdre l’accès aux données ni supporter des coûts prohibitifs de sortie. L’affirmation marketing d’un fournisseur selon laquelle il propose un « cloud sovrano » ne remplace pas le respect direct de l’une ou l’autre de ces exigences.

Ce qu’il faut vérifier avant de traiter un slogan comme une réponse

Avant qu’une réponse à un appel d’offres ne reprenne des formules telles que « cloud souverain » ou ne cite une certification comme si elle allait de soi, les questions pratiques sont les suivantes : la qualification couvre-t-elle réellement le niveau ACN exigé par cet appel d’offres précis, les preuves de localisation des données et de reprise après sinistre sont-elles à jour, et que prévoit le contrat concernant les conditions et le calendrier de sortie ? Vérifiez toujours auprès de la documentation de l’appel d’offres en vigueur sur le site de Consip avant de vous fier à un résumé : le texte des marchés est modifié lors des tours de clarification, et une lecture antérieure peut être obsolète au moment du dépôt de l’offre.

Sources : Consip — ID 2860, ACN — Exigences de qualification QC1.