La direttiva NIS2 ha spostato l’asticella: enti pubblici, comuni, aziende sanitarie e istituzioni scolastiche non possono più trattare la cybersicurezza come un adempimento di facciata. Chi firma un contratto per connettività, cloud o servizi applicativi sta implicitamente scegliendo anche il perimetro di conformità del proprio ente. Per questo, prima di apporre una firma su un capitolato o di avviare un progetto, serve una checklist che tenga insieme obblighi normativi, qualificazioni dei fornitori e procedure operative. Di seguito i punti che un RUP o un responsabile ICT dovrebbe sempre verificare.
1. Perimetro NIS2: l’ente rientra, e come?
Il primo passo è stabilire se e in quale categoria l’ente ricade negli obblighi NIS2. La direttiva distingue soggetti essenziali e importanti, con responsabilità che toccano la governance, la gestione del rischio, la notifica degli incidenti e la catena di fornitura. Comuni, sanità, utility e scuole hanno profili di rischio molto diversi, e lo stesso vale per gli obblighi di segnalazione.
- Mappare servizi critici erogati e dipendenze tecnologiche.
- Identificare il referente interno per la sicurezza e l’organo che risponde formalmente.
- Definire la soglia oltre la quale un incidente va notificato.
2. Raccordo con il CSIRT: procedure, non buone intenzioni
La notifica tempestiva al CSIRT nazionale non si improvvisa. Serve una procedura scritta, con ruoli, tempi, canali di comunicazione e modelli già pronti. Prima di firmare un contratto con un fornitore ICT, chiedete come il fornitore stesso si integra in quella procedura: chi rileva l’incidente, chi avvisa l’ente, con quali tempi, con quale documentazione tecnica a corredo. Un fornitore che non sa descrivere il proprio ruolo nel flusso di notifica è un rischio operativo, non solo normativo.
3. Cloud qualificato AgID e localizzazione dei dati
Per i dati e i servizi della Pubblica Amministrazione, la qualificazione AgID del cloud non è un bollino di marketing: è un requisito abilitante. Verificate che la qualificazione sia aggiornata, che riguardi effettivamente il servizio acquistato (non solo l’infrastruttura sottostante) e che i datacenter siano localizzati in Italia quando il dato lo richiede. La localizzazione incide sulla sovranità del dato, sui tempi di intervento e sulla gestione delle richieste di accesso.
- Qualificazione AgID del servizio specifico, non di un servizio affine.
- Datacenter sul territorio nazionale, con certificazioni di livello Tier adeguate.
- Chiarezza su subfornitori e sulla catena di hosting.
4. Contratto, SLA e uscita
Il contratto è il luogo dove la conformità diventa esigibile. Verificate che SLA, penali e procedure di escalation siano coerenti con la criticità del servizio. Attenzione particolare alle clausole di reversibilità: cosa succede ai dati e alle configurazioni alla scadenza? In quali formati vengono restituiti? Con quali tempi? Una strategia di uscita chiara è parte integrante della gestione del rischio richiesta dalla NIS2.
5. Procurement: CONSIP, MePA o gara, con la documentazione giusta
La via d’acquisto incide sui tempi e sulla documentazione richiesta. Le convenzioni CONSIP e il MePA accelerano, ma impongono di scegliere fornitori con documentazione già allineata ai requisiti tecnici e normativi. Chiedete al fornitore se la documentazione per la procedura è pronta, se copre AgID, NIS2 e accessibilità WCAG 2.1 AA, e se è disponibile un referente dedicato al supporto in gara.
Come Nexim affronta il tema con la PA
La divisione Nexim PA è costruita proprio intorno a questi punti. L’offerta include connettività MPLS e interconnessione SPC, cloud qualificato AgID ospitato sui datacenter italiani di Milano e Roma, e un pacchetto di sicurezza che prevede compliance NIS2, raccordo con il CSIRT, segregazione delle reti e audit periodici. I servizi sono acquisibili tramite CONSIP, MePA o gara, con documentazione tecnica e amministrativa predisposta per la procedura.
Il metodo di lavoro è articolato in quattro fasi: analisi dei requisiti con riferimento a vincoli AgID, NIS2 e GDPR; progetto e offerta con SLA e documentazione per la procedura di acquisto; attivazione e collaudo con verifica di accessibilità WCAG 2.1 AA; gestione continua con NOC dedicato, procedure di escalation e raccordo CSIRT, oltre a report periodici per l’amministrazione. L’infrastruttura si appoggia a quattro datacenter Tier III, due dei quali in Italia, con hub operativi che presidiano la rete.
Se state preparando un capitolato o valutando un rinnovo, può essere utile confrontarsi su come questi elementi si traducono nel vostro contesto specifico. Scoprite di più sulla divisione Nexim PA e richiedete una consulenza dedicata.