Il 2 gennaio 2023, il Direttore Generale dell’Agenzia per la Cybersicurezza Nazionale (ACN) Roberto Baldoni ha emanato il Decreto direttoriale prot. N. 29: secondo quanto stabilito dal provvedimento, a partire dal 19 gennaio 2023, la qualificazione dei servizi cloud usati dalla Pubblica Amministrazione diventerà di competenza dell’ACN, la quale subentrerà all’Agenzia per l’Italia Digitale (AgID).
Dall’entrata in vigore del Decreto, fino al 31 luglio 2023, è previsto un regime transitorio che ha lo scopo di garantire la continuità dei servizi qualificati già in uso dalle amministrazioni.
Con l’avvio del regime ordinario, dal primo agosto, cambieranno le modalità per l’invio di istanze di qualificazione per un servizio o per un’infrastruttura dei servizi cloud: subentrerà una nuova procedura di qualificazione online, che sarà disponibile nella piattaforma web ACN dedicata.
Data Act, c’è un nuovo testo di compromesso. Obiettivo: interoperabilità tra servizi cloud
Indice degli argomenti
Cosa cambia per la qualificazione dei servizi cloud per la PA
In forza del nuovo Decreto, le qualificazioni concesse secondo il regime transitorio saranno valide fino alla data del 18 gennaio 2024 per i fornitori di servizi cloud già qualificati, i quali potranno beneficiare del livello di qualificazione corrispondente al trattamento di dati e ai servizi di natura ordinaria (art. 2, co. 5, lett. a).
Secondo quanto riportato all’articolo 2, comma 3, a partire dal 19 gennaio 2023 i fornitori di un servizio già qualificato potranno altresì richiederne la promozione ad un livello superiore dichiarando l’avvenuta attuazione delle misure previste per il nuovo livello di qualificazione richiesto, ai sensi della Determina n. 307 dell’ACN del 18 gennaio 2022.
In caso di avvio di una nuova qualificazione durante il regime transitorio, ovvero entro il 31 luglio, le aziende possono comunicare ad ACN, via PEC, l’avvenuta attuazione delle misure previste dalla determina ACN n. 307 del 18 gennaio 2022. Tale qualificazione, in caso di verifica positiva da parte dell’Agenzia, sarà valida per un anno dalla data di concessione.
Durante questo periodo, l’Agenzia vigilerà circa la conformità delle infrastrutture e dei servizi cloud ai livelli di sicurezza autocertificati, in particolare a seguito di incidenti significativi. Entro la scadenza della qualifica transitoria, per poter continuare il trattamento dei dati, l’azienda dovrà acquisire, a partire dal 1° agosto 2023, la qualifica ACN adeguata alla tipologia di dati che intende trattare.
Con le stesse modalità previste al comma 3, sarà inoltre possibile richiedere la qualificazione di un Servizio o di una Infrastruttura dei Servizi Cloud privi di qualifica in corso di validità.
Le qualificazioni concesse secondo quanto previsto dal regime transitorio sono inserite nel Marketplace Cloud di AgID, ovvero la piattaforma che espone i servizi e le infrastrutture da essa qualificate, secondo quanto disposto dalle Circolari AgID n. 2 e n. 3 del 9 aprile 2018. Le Circolari disciplinano rispettivamente i criteri per la qualificazione dei Cloud Service Provider (CSP) per la PA ed i criteri per la qualificazione di servizi SaaS (Software as a Service) per il Cloud della PA.
Sulla base di quanto disciplinato dal Decreto direttoriale all’articolo 2, comma 1, a partire dal 19 gennaio 2023 quindi, le infrastrutture dei Cloud Service Provider (CSP) e i servizi cloud in possesso di qualifica valida, rilasciata entro il 18 gennaio 2023 dall’AgID ai sensi delle Circolari di cui sopra, si intenderanno qualificati secondo il modello che fa riferimento alla Determina dell’ACN n. 307/2022 (art.2, co. 1).
I criteri di qualificazione dei servizi cloud per la PA
Si intendono qualificati secondo il modello di cui sopra:
- le infrastrutture dei CSP attualmente qualificati come tipo A, B oppure C ai sensi della Circolare AgID n. 2 del 9 aprile 2018, definite come Infrastrutture dei servizi cloud di livello 1 (qualificazione infrastruttura di livello 1 – “QI1”) (lett. a);
- i servizi attualmente qualificati come Infrastructure as a Service (IaaS) ai sensi della circolare AgID n. 2 del 9 aprile 2018, definiti come “Servizio Cloud” di livello 1 (“QC1”) e tipologia di servizio “IaaS” (lett. b). Si tratta di servizi cloud in cui le funzionalità cloud offerte sono di tipo infrastrutturale e consentono al CSP di disporre autonomamente in modo programmatico di risorse di computing, di storage e networking;
- i servizi attualmente qualificati come Platform as a Service (PaaS) ai sensi della circolare AgID n. 2 del 9 aprile 2018, definiti come “Servizio Cloud” di livello 1 (qualificazione cloud di livello 1 – “QC1”) (lett. c) e tipologia di servizio “PaaS”. Con questa categoria si intendono dei servizi cloud in cui le funzionalità cloud offerte sono di tipo programmatico ovvero il Cloud Service Consumer (CSC) può amministrare, dispiegare ed eseguire applicazioni Cloud utilizzando uno o più linguaggi di programmazione, uno o più ambienti di sviluppo/esecuzione supportati dal CSP e i relativi componenti software a corredo;
- i servizi attualmente qualificati come Software as a Service (SaaS) ai sensi della circolare AgID n. 3 del 9 aprile 2018, definiti come “Servizio Cloud” di livello 1 (“QC1”) e tipologia di servizio “SaaS” (lett. d). Questi ultimi comprendono dei servizi fully-managed in cui il CSP si occupa della predisposizione, configurazione, messa in esercizio e manutenzione del sistema (attraverso un’infrastruttura cloud propria o di terzi), lasciando al fruitore del servizio il solo ruolo di utilizzatore delle funzionalità offerte.
Le qualificazioni QI1 e QC1, concesse secondo il regime transitorio, consentiranno, in deroga alle previsioni della Determina n. 307/2022 dell’ACN, di trattare anche i dati “critici” e “strategici” della PA fino al 30 aprile 2023 (art. 2, co.2).
Secondo quanto disciplinato dai commi 6 e 7 dell’articolo 2, le Pubbliche Amministrazioni che, alla data del 19 gennaio 2023, avranno affidato a fornitori di servizi cloud dati e servizi che sono stati classificati e convalidati come “critici” o “strategici”, dovranno informare del nuovo percorso i fornitori entro il 28 febbraio 2023, di modo che questi, se interessati, potranno provvedere ad ottenere il necessario livello di qualifica per trattare tali dati e servizi, non più tardi del 30 aprile 2023.
Sempre entro il 28 febbraio, le amministrazioni dovranno inviare una PEC all’ACN con i dettagli dei dati e dei servizi interessati dalla fornitura.
Il nuovo ruolo dell’ACN
Il comma 8 disciplina che, successivamente al rilascio delle qualifiche, l’ACN potrà svolgere delle verifiche al fine di accertare il possesso e il mantenimento dei requisiti definiti dall’Allegato 1 della Determina n. 307/2022, in relazione alla tipologia e al livello di qualificazione.
Nel caso in cui dovessero emergere violazioni nel rispetto dei requisiti prescritti, l’ACN potrà diffidare il fornitore di modo che questo provveda al rispetto degli stessi. Se ciò non dovesse avvenire, sarà possibile intervenire con la sospensione o la revoca della qualifica posseduta.
La Determina n. 307 del 2022 ha rappresentato un passaggio molto importante nel percorso di migrazione verso il cloud delle Pubbliche Amministrazioni italiane. Con questo atto, l’ACN ha disposto, in collaborazione con il Dipartimento per la trasformazione digitale della Presidenza del Consiglio dei ministri, le modalità per la classificazione dei dati e dei servizi pubblici e i requisiti per le tipologie di qualificazione dei servizi cloud della PA.
L’Italia è risultata essere tra i primi Paesi europei a adottare un modello finalizzato a facilitare il settore pubblico nella procedura di classificazione, in ottemperanza con quanto previsto dal Piano Nazionale di Ripresa e Resilienza (PNRR) e dalla Strategia Nazionale di Cybersicurezza.
Conclusioni
Con il nuovo percorso di qualificazione cloud per la PA implementato dal Decreto direttoriale 29/2023, sarà quindi possibile avere accesso ad una qualificazione semplificata che si ritiene possa rendere più sicura l’acquisizione dei servizi cloud da parte delle amministrazioni. Saranno inoltre garantiti adeguati livelli di sicurezza per i servizi e i dati della PA, con un innalzamento della qualità e dell’affidabilità dei fornitori di servizi cloud.
Questo percorso è stato avviato in linea con le indicazioni della Strategia Nazionale di Cybersicurezza e con quanto previsto dal Piano Nazionale di Ripresa e Resilienza (PNRR) per accompagnare circa il 75% delle PA italiane nella migrazione verso il cloud.
