Chi guida l’ICT di un ente pubblico lo sa bene: un contratto di connettività non è un acquisto fra tanti. Si porta dietro vincoli normativi, requisiti di interoperabilità con il Sistema Pubblico di Connettività, obblighi di accessibilità e, sempre più spesso, scadenze dettate da fondi vincolati. Firmare in fretta, o firmare senza avere verificato alcuni passaggi tecnici e amministrativi, significa trovarsi mesi dopo con un servizio che non si integra con l’infrastruttura esistente o che richiede varianti costose. Questa checklist nasce per aiutare dirigenti, RUP e responsabili ICT a non lasciare nulla al caso prima della firma.
1. Requisiti normativi: AgID, NIS2 e GDPR
Il primo controllo riguarda la cornice normativa. Il fornitore deve essere in grado di dimostrare, con documentazione pronta all’uso, la qualificazione AgID per i servizi cloud destinati alla PA, la conformità alla direttiva NIS2 con relativo raccordo al CSIRT nazionale, e il pieno rispetto del GDPR. Quest’ultimo punto è cruciale negli ambiti sanitari, dove il trattamento di dati del Fascicolo Sanitario Elettronico o dei servizi di telemedicina impone garanzie contrattuali esplicite sul titolare del trattamento, sulla localizzazione dei dati e sulle procedure di data breach.
Un secondo elemento da pretendere è l’accessibilità delle interfacce di gestione secondo lo standard WCAG 2.1 livello AA: non è un dettaglio estetico, ma un obbligo di legge per chi eroga servizi al cittadino.
2. Architettura di rete: MPLS, SPC e integrazione con il patrimonio esistente
Sul piano tecnico, le domande da porre al fornitore sono poche ma decisive. L’MPLS proposto è davvero dedicato, con classi di servizio garantite per voce, video e traffico applicativo? Esiste un’interconnessione nativa con il Sistema Pubblico di Connettività, oppure si passa da terzi con rischi di latenza e responsabilità frammentate? I datacenter che ospitano i servizi sono in Italia, con certificazione Tier III, e sono raggiungibili tramite il backbone del fornitore senza transitare su reti pubbliche non controllate?
Vale la pena verificare anche la segregazione delle reti fra ambienti produttivi, di collaudo e amministrativi, oltre alla presenza di audit periodici documentati. Senza questi presidi, la conformità NIS2 resta un timbro sulla carta.
3. Procedura di acquisto: CONSIP, MePA o gara
La scelta dello strumento di acquisto incide sui tempi e sulla trasparenza del progetto. Le convenzioni CONSIP riducono drasticamente i tempi istruttori e offrono condizioni economiche già negoziate, ma non sempre coprono tutti i verticali. Il MePA consente ordini diretti e trattative dirette, utile per interventi circoscritti o integrazioni. La gara autonoma, infine, resta la strada obbligata quando il capitolato richiede una progettazione su misura o integra più aree di servizio.
In tutti e tre i casi, un buon fornitore deve essere in grado di consegnare documentazione tecnica e amministrativa già formattata per la procedura scelta: capitolati, schede tecniche, dichiarazioni, relazioni di conformità. Questo riduce il carico sul RUP e abbassa il rischio di ricorsi.
4. SLA, governance e continuità operativa
Il contratto deve definire con chiarezza i livelli di servizio: tempi di ripristino, finestre di manutenzione, penali, canali di escalation. Chiedete chi presidia la rete e con quale copertura oraria, dove si trova il NOC, come vengono prodotti i report per l’amministrazione. Una gestione H24 non è un lusso: è la condizione minima per servizi sanitari, scolastici e di pubblica utilità.
Attenzione anche al post-attivazione. Collaudo congiunto, sign-off formale, verifica dell’accessibilità e procedure di change management devono essere scritti nel contratto, non lasciati alla buona volontà delle parti.
Come affronta il tema Nexim
La divisione PA di Nexim Italia è costruita intorno a questi requisiti. Il perimetro di offerta comprende connettività MPLS dedicata, interconnessione SPC e accesso al Cloud SPC, con hosting su datacenter Tier III a Milano e Roma e cloud qualificato AgID. La compliance NIS2, il raccordo con il CSIRT, la segregazione delle reti e gli audit periodici sono parte integrante del servizio, così come l’accessibilità WCAG 2.1 AA delle interfacce.
I servizi sono acquisibili tramite CONSIP, MePA o gara, con documentazione tecnica e amministrativa pronta per la procedura. Il percorso di lavoro è articolato in quattro fasi: analisi dei requisiti con lettura del capitolato e dei vincoli normativi, progetto e offerta, attivazione e collaudo con verifica di accessibilità, e gestione H24/7/365 affidata a un NOC dedicato con procedure di escalation e reporting periodico.
Se il vostro ente sta valutando un nuovo progetto di connettività o una migrazione, vale la pena approfondire quali strumenti sono già disponibili per accelerare la procedura: scoprite la proposta Nexim per la Pubblica Amministrazione e richiedete la documentazione utile al vostro iter di acquisto.