В каком порядке Maven ищет зависимость по репозиториям?

Сначала учитывается локально доступный артефакт, затем применимый список remote repositories с учётом effective settings/POM, профилей, mirrors и правил обновления.

Для удалённых источников Maven учитывает effective settings, затем effective POM проекта с родителями и super POM, затем POM на пути зависимости. Активные профили и совпадающие repository IDs влияют на итоговый список; перед обращением применяется mirror. Поэтому правило «всегда local → Central → корпоративный» неверно. Проверяйте mvn help:effective-settings, mvn help:effective-pom -Dverbose и диагностический лог. Snapshot/update policy может требовать проверки удалённого репозитория даже при наличии локальных данных.

Источник: Документация Apache Kafka.