- Strategico: dati e servizi la cui compromissione può avere un impatto sulla sicurezza nazionale.
- Critico: dati e servizi la cui compromissione potrebbe determinare un pregiudizio al mantenimento di funzioni rilevanti per la società, la salute, la sicurezza e il benessere economico e sociale del Paese.
- Ordinario: dati e servizi la cui compromissione non provochi l’interruzione di servizi dello Stato o, comunque, un pregiudizio per il benessere economico e sociale del Paese.
I requisiti per la qualificazione dei servizi Cloud per la PA sono i seguenti:
- QC1: prerequisiti all.B2 per servizi ordinari, di qualità (ISO9001:2015, ISO20000-1:2018, ecc…), di performance, scalabilità, interoperabilità, portabilità + certificazioni ISO 27001:2013 con estensione ISO 27017:2015, ISO 27018:2019 oppure CSA STAR 2
- QC2: rispetto dei requisiti QC1 + prerequisiti all.B2 per servizi critici + autocertificazione di conformità a ISO 22301 e ISO 20000
- QC3: rispetto dei requisiti QC2 + prerequisiti all.B2 per servizi strategici + certificazione ISO 22301, ISO 20000 e CSA STAR 2
- QC4: rispetto dei requisiti QC3 + verifiche addizionali sul controllo dei flussi, sulla cifratura e gestioni chiavi, sulla verifica e controllo del personale.
Al fine di ottenere una qualifica per un servizio IaaS, PaaS o SaaS, occorre una qualificazione dell’infrastruttura di uguale livello.
I requisiti per la qualificazione delle infrastrutture Cloud per la PA sono i seguenti:
- QI1: prerequisiti all.A2 per infrastrutture ordinarie, di affidabilità, capacità elaborativa, sicurezza logica e fisica del data center, risparmio energetico + certificazione ISO 9001 e autocertificazione ISO 27001
- QI2: oltre ai requisiti di QI1 sono richiesti i prerequisiti all.A2 per infrastrutture critiche e le certificazioni ISO 27001 e ISO 22301
- QI3: oltre ai requisiti di QI2 sono richiesti i prerequisiti all.A2 per infrastrutture strategiche e la certificazione ISO 22301
- QI4: oltre ai requisiti di QI3 sono richieste ulteriori requisiti in tema di verifica e controllo del personale
Essendo il regolamento del 21 dicembre 2021, la domanda rimasta aperta è: la classificazione AgID precedente vale ancora (Cloud Service Provider – CSP, marketplace AgID) o viene soppiantata da quella realizzata con il Regolamento (pur non essendo una certificazione ma una qualificazione)?
Per chiarire questa domanda è stato pubblicato il seguente approfondimento sul quadro regolatorio in data 29 marzo 2022: “A partire dal 18 gennaio 2023, tutti i fornitori che intendono erogare servizi cloud alle amministrazioni pubbliche dovranno aver qualificato questi servizi in conformità ai nuovi requisiti indicati nel Regolamento per il Cloud della PA, pubblicato da AGID il 15 dicembre 2021, e dagli atti successivi al regolamento emanati da ACN. Il regolamento definisce i requisiti minimi per le infrastrutture digitali, le caratteristiche e le modalità di qualificazione e migrazione dei servizi cloud”.
Se tutto quanto sopra è assodato secondo ricostruzione delle varie comunicazioni, rimane da capire per la partecipazioni all’avviso Abilitazione al Cloud e all’avviso Esperienze del Cittadino se la classificazione del Cloud Service Provider (CSP) va considerata alla data di partecipazione (al 18 luglio 2022 posso probabilmente solo considerare CSP secondo circolari 2,3 AgID 2018), alla data di erogazione (dopo il 15 ottobre 2022) o alla data di verifica (a completamento lavori) per la compliance delle caratteristiche del CSP stesso.
In base al regolamento UE 2021/241, l’accesso ai finanziamenti del dispositivo europeo di Ripresa e Resilienza (RRF) è condizionato al fatto che i Piani nazionali (PNRR) includano misure che concorrano concretamente alla transizione ecologica per il 37% delle risorse e che, in nessun caso, violino il principio del Do No Significant Harm (DNSH), ossia non devono arrecare un danno significativo all’ambiente.
I CSP devono quindi garantire:
- di disporre della certificazione ambientale ISO14001;
- che le nuove apparecchiature IT acquisite per i data center che ospitano i servizi di hosting e cloud siano certificate secondo lo standard internazionale sull’efficienza energetica Energy Star, o equivalente, secondo le norme EPA ENERGY STAR – ISO/IEC 30134-4:2017;
- che sia previsto un piano di gestione dei rifiuti in linea con la norma LCA – EN50625;
- che disponga della certificazione che attesta che i refrigeranti utilizzati nei sistemi di raffreddamento siano conformi al Regolamento (UE) n. 517/2014 del Parlamento Europeo e del consiglio del 16 aprile 2014 sui gas fluorurati a effetto serra, che abroga il regolamento (CE) n. 842/2006;
- che disponga della certificazione delle apparecchiature dei data center in conformità con la direttiva sulla restrizione dell’uso di sostanze pericolose nelle apparecchiature elettriche ed elettroniche (EU) 2011/65.
In base alla fonte, i dati e i servizi digitali classificati, ai sensi dell’articolo quali:
- ordinari possono essere erogati tramite servizi cloud qualificati nell’ambito delle tipologie QC1 e QC2;
- critici possono essere erogati tramite servizi cloud qualificati nell’ambito delle tipologie QC2, QC3, QC4;
- strategici possono essere erogati tramite servizi cloud qualificati nell’ambito delle tipologie QC3, QC4.
Entro il 18 luglio 2022 le amministrazioni devono trasmettere all’ACN l’elenco e la classificazione dei dati e dei servizi digitali (regolamento servizio cloud art.5 p.to 1).
Come faranno gli enti locali a compilare il modulo dell’ACN?
- affidandosi al proprio reparto ICT interno (presente in poche PA medio-grandi);
- affidandosi ai fornitori;
- affidandosi all’ACN, mediante il servizio di supporto (supporto di “migrazione as a service” definito nel PNRR);
- chiedendo il supporto di specialisti del settore.
Vi invitiamo a contattarci, siamo disponibili a supportare la vostra azienda per il conseguimento delle certificazioni propedeutiche e per l’accreditamento ACN.
