Come qualificare i servizi cloud dedicati alla PA
Il processo di qualificazione cloud è una delle linee guida principali della Strategia Cloud Italia. Realizzata dal Dipartimento per la trasformazione digitale e dall'Agenzia per la cybersicurezza nazionale (ACN) che, dal 19 gennaio 2023, ha sostituito l'Agenzia per l'Italia Digitale (AGID).
L’ obiettivo è semplificare e regolamentare l'acquisizione di servizi cloud da parte delle pubbliche amministrazioni, dal punto di vista tecnico e amministrativo.
In particolare, i fornitori cloud che intendono erogare servizi Infrastructure as a Service (IaaS), Platform as a Service (PaaS) e Software as a Service (SaaS) destinati alle pubbliche amministrazioni devono ottenere la qualificazione rilasciata dall'ACN.
Si prevede che il regime transitorio verso il nuovo percorso di qualificazione termini il prossimo 31 luglio 2023. A partire dal 1 agosto 2023, la nuova piattaforma web ACN sarà attiva per le richieste di qualificazione dei fornitori cloud.
Scadenziario autodichiarazione adozione misure previste da inviare via PEC all’ACN
Per i fornitori che hanno già con una qualificazione attiva, il Decreto Direttoriale n. 29 del 2 gennaio 2023 dell'ACN prevede un nuovo livello di qualificazione di cui beneficiare fino all'18 gennaio 2024. Livello che corrisponde al trattamento dei dati e ai servizi di natura ordinaria, come indicati dalla metodologia di classificazione dei dati e dei servizi.
Per i fornitori che trattano dati e servizi critici o strategici è il 30 aprile 2023 (Determina n. 307/2022).
Per le PA che utilizzano fornitori cloud per la gestione di dati e servizi di livello critico o strategico è il 28 febbraio 2023 il termine per informare i fornitori interessati agli adeguamenti ( Determina ACN n. 306 del 18 gennaio 2022).
Per i fornitori che non dispongono di una qualificazione valida o intendono promuovere un servizio o un'infrastruttura già qualificati possono inviare, in presenza di requisiti, un'autodichiarazione, sottoscritta dal legale rappresentante del fornitore, all'ACN ( Determina n. 307 del 18 gennaio 2022) per il livello di qualificazione desiderato:
- QC1-QC4 per i servizi;
- QI1-QI4 per le infrastrutture.
Se l'ACN riterrà idonea la documentazione presentata, procederà alla sua inclusione nel registro dei fornitori. La procedura deve essere effettuata periodicamente per mantenere la qualificazione. Eventuali incongruenze tra standard dichiarati e standard effettivi potrebbero comportare l'annullamento della qualificazione con sanzioni a carico del fornitore.
