Cybersecurity di beni e servizi informatici, ecco le regole per gli appalti

Il 5 maggio 2025 nella Gazzetta Ufficiale n.102 è stato pubblicato il Decreto del Presidente  del Consiglio dei Ministri 30 aprile 2025, che ha per oggetto “Disciplina dei contratti di beni e servizi informatici impiegati in un contesto connesso alla tutela degli interessi nazionali strategici e della sicurezza nazionale”.

L’Esecutivo infatti ha ritenuto di dover  procedere  alla  individuazione  degli  elementi essenziali di cybersicurezza da tenere in considerazione nell’attività  di  approvvigionamento, per  alcune specifiche categorie tecnologiche, di beni e servizi informatici impiegati in un  contesto connesso alla tutela degli interessi nazionali strategici.

Beni e servizi informatici per contesti strategici, cosa prevede il decreto

Con il Decreto, proposto dell’Agenzia per la cybersicurezza nazionale, e che ha ottenuto il parere del Comitato interministeriale per la sicurezza della Repubblica previsto dall’articolo 10, comma 1, del decreto-legge 14 giugno 2021, n. 82, convertito,  con  modificazioni, dalla legge 4 agosto 2021, n. 109, vengono individuati  gli elementi essenziali di cybersicurezza che  devono essere tenuti in considerazione nel corso delle attività  di  approvvigionamento  di beni e  servizi  informatici se gli stessi sono vengono impiegati in un contesto  connesso  alla  tutela  degli interessi nazionali strategici.

Le sue indicazioni devono essere applicate, così come indicato dal  primo paragrafo dell’articolo 14 della Legge n. 90 del 28 giugno 2024, “Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici” da parte delle Pubbliche Amministrazioni, dai gestori di servizi pubblici, comprese le società quotate, e dalle società a controllo pubblico.

Il quadro normativo sulla cybersecurity nazionale

Il recente Decreto costituisce quindi un ulteriore tassello dell’importante quadro normativo che negli ultimi anni ha contribuito, con una serie di provvedimenti, a regolare la strategia e le azioni necessarie ad assicurare la cybersicurezza in ambito nazionale.

Tra questi possiamo ricordare:

• il decreto-legge n. 105 del 21 settembre 2019, successivamente convertito con modificazioni  dalla  legge  n.  133 del 18  novembre  2019, che ha per oggetto le «Disposizioni urgenti in materia di perimetro di sicurezza  nazionale cibernetica e di  disciplina  dei  poteri  speciali  nei  settori  di rilevanza strategica»;
• il decreto-legge n.  82 del  14  giugno  2021,  convertito,  con modificazioni dalla  legge  n.   109 del 4  agosto   2021, che ha per oggetto le «Disposizioni  urgenti  in  materia  di  cybersicurezza,  definizione dell’architettura   nazionale   di   cybersicurezza   e   istituzione dell’Agenzia per la cybersicurezza nazionale»;
• il decreto del  Presidente  del  Consiglio  dei  ministri  n. 179 del 18 dicembre 2020, che ha per oggetto il «Regolamento per l’individuazione  dei beni e dei  rapporti  di  interesse  nazionale  nei  settori  di  cui all’art. 4, paragrafo 1, del regolamento (UE) 2019/452 del Parlamento europeo e del Consiglio, del 19 marzo  2019,  a  norma  dell’art.  2, comma 1-ter, del decreto-legge 15 marzo 2012, n. 21, convertito,  con modificazioni, dalla legge 11 maggio 2012, n. 56»;   
• il decreto legislativo n. 123 del 3 agosto 2022 che ha per oggetto le «Norme di adeguamento della normativa nazionale alle disposizioni del Titolo III “Quadro di certificazione della cibersicurezza”  del  regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio  del  17  aprile 2019  relativo  all’ENISA,  l’Agenzia  dell’Unione  europea  per   la cibersicurezza, e alla certificazione  della  cibersicurezza  per  le tecnologie dell’informazione e della comunicazione, e che  abroga  il regolamento (UE) n. 526/2013»;
• il decreto legislativo n.  138 del 4 settembre 2024, con cui si ha il «Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune  elevato  di  cibersicurezza   nell’Unione,   recante modifica del regolamento (UE) n.  910/2014  e  della  direttiva  (UE) 2018/1972 e che abroga la direttiva (UE) 2016/1148»;  
• il decreto direttoriale ACN o Autorità Cybersicurezza Nazionale  n. 21007/2024 del 27 giugno 2024, con cui è stato adottato il  «Regolamento per le infrastrutture digitali e per  i  servizi cloud per la pubblica amministrazione, ai sensi dell’art. 33-septies, comma 4, del decreto-legge 18 ottobre 2012, n. 179,  convertito,  con modificazioni, dalla legge 17 dicembre 2012, n. 221».

L’adozione del Decreto del 30 aprile fa seguito alla legge 28 giugno 2024, n. 90, recante «Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici» che con l’articolo 14 ha stabilito che con decreto del Presidente del Consiglio dei ministri dovessero essere individuati i succitati elementi essenziali.

Il legislatore nell’adottare il Decreto ha infine previsto che le sue indicazioni, visto il veloce mutamento del contesto  di  riferimento, della congiuntura internazionale e dell’evoluzione tecnologica, siano soggette ad un aggiornamento  periodico.

Criteri di premialità

Con il Decreto sono stati individuati i casi in cui,  per  la  tutela  della  sicurezza  nazionale, devono essere previsti criteri di premialità per le proposte  o  per le offerte di beni e servizi informatici che contemplino  l’uso  di  tecnologie  di  cybersicurezza italiane o di  Paesi  appartenenti  all’Unione  europea  o  di  Paesi aderenti all’Alleanza atlantica (NATO) o di Paesi  terzi  che hanno stipulato accordi  di collaborazione con l’Unione europea o  con  la  NATO  in  materia  di cybersicurezza, protezione delle informazioni classificate, ricerca e innovazione, secondo un principio di gradualità volto  a  tutelare  la  sicurezza nazionale  e  di  conseguire  l’autonomia  tecnologica  e  strategica nell’ambito della cybersicurezza.

Tale ultimo impegno del legislatore è la logica conseguenza degli accordi di collaborazione vigenti fra l’Unione europea e la NATO e con altri Paesi terzi in materia di cybersicurezza, protezione delle informazioni classificate, ricerca e innovazione e delle valutazioni di ordine diplomatico in merito alle relazioni bilaterali con tali Paesi.

Tra queste valutazioni sono comprese anche quelle di ordine tecnico circa la capacità dei fornitori di tecnologie informatiche di assicurare elevate garanzie di sicurezza nazionale sul piano operativo e funzionale, nel pieno rispetto delle misure nazionali in materia di amministrazione digitale di cui al Decreto legislativo n. 82 del 7 marzo 2005.

I Paesi extra Ue coinvolti

Tra i Paesi non appartenenti  all’Unione  europea  o  non aderenti all’Alleanza atlantica (NATO) che hanno stipulato accordi  di collaborazione con tali Organizzazioni in  materia  di cybersicurezza, protezione delle informazioni classificate, ricerca e innovazione, e ai quali quindi sono riconosciuti i criteri di premialità per le proposte  o  per le offerte che contemplino  l’uso  di  tecnologie  di  cybersicurezza l’Allegato 3 del Decreto dello scorso 30 aprile individua i seguenti Stati: 

• Australia
• Corea del Sud
• Giappone
• Israele
• Nuova Zelanda
• Svizzera.

I criteri di premialità indicati dall’articolo 14 della legge n. 90 del 2024, che regola la “ Disciplina dei contratti pubblici di beni e servizi informatici impiegati in un contesto connesso alla tutela degli interessi nazionali strategici e disposizioni di raccordo con il decreto-legge 21 settembre 201”, devono essere applicati dalle stazioni appaltanti previa analisi dell’elenco di tutti i componenti di fabbricazione del prodotto o delle infrastrutture impiegate per erogare un servizio (cosiddetto B.O.M. – Bill of materials) presentato in sede di proposta o offerta dagli operatori economici.

Elementi essenziali di cybersecurity di beni e servizi informatici

Gli «elementi essenziali di cybersicurezza» sono stati definiti dal Decreto di aprile scorso come l’insieme di criteri e regole tecniche la conformità ai quali, da parte di beni e servizi informatici da acquisire, garantisce la confidenzialità, l’integrità e la disponibilità dei dati da trattare in misura corrispondente alle esigenze di tutela.

Tali elementi, suddivisi in requisiti  relativi alle proprietà dei beni  e  dei  servizi   informatici e requisiti di gestione delle vulnerabilità, sono tenuti in considerazione dalle amministrazioni destinatarie del Decreto di aprile nelle attività di approvvigionamento di beni e servizi informatici impiegati in un contesto connesso alla tutela degli interessi nazionali strategici.

Per quanto riguarda quelli relativi alle proprietà dei beni e dei servizi informatici il Decreto dispone che tutti i beni e i servizi informatici siano progettati, sviluppati, prodotti e forniti siano dotati di una serie articolata di misure di sicurezza, in modo da garantire un livello adeguato di cybersicurezza in base ai rischi, individuati a seguito di una apposita specifica valutazione dei rischi.

L’effettività degli elementi di cybersicurezza deve assicurare che i beni e servizi informatici acquisiti , in particolare, siano forniti, tra l’altro:

• senza vulnerabilità sfruttabili note e progettati, sviluppati, prodotti e  forniti  in modo da  ridurre l’impatto  degli  incidenti  utilizzando  misure di  resilienza e meccanismi  e  tecniche  di mitigazione adeguate;
• con una configurazione  sicura  per  impostazione predefinita, con la possibilità di ripristinare il bene  o  servizio informatico allo stato originale;
• con l’assicurazione che le  vulnerabilità  possano  essere  trattate mediante aggiornamenti di sicurezza e aggiornamenti di sicurezza  automatici;
• garantendo la  protezione  dall’accesso  non   autorizzato mediante adeguati meccanismi di controllo,  autenticazione, protezione e riservatezza dei  dati, mediante l’uso  di tecnologie aggiornate e sistemi di cifratura, nel rispetto del principio di minimizzazione dei dati.

Gestione delle vulnerabilità

Per quanto invece riguarda i requisiti di gestione delle vulnerabilità il decreto di aprile scorso dispone che la fornitura di beni e servizi informatici alle stazioni appaltanti debba prevedere innanzitutto l’identificazione e la documentazione delle  vulnerabilità  e dei componenti contenuti  nel  bene  o  servizio  informatico,  e  la redazione di una distinta base del software  in  un  formato  di  uso comune e leggibile da un dispositivo automatico.

Tra tali requisiti, oltre a quelli legati alle misure di indirizzamento e correzione tempestiva delle vulnerabilità, e dei test e riesami efficaci e periodici della sicurezza dei beni e servizi informatici, appare di estremo rilievo quello dell’obbligo di “identificazione dei fornitori e dei partner terzi di sistemi informatici, componenti e servizi, la loro prioritizzazione e valutazione, utilizzando, allo scopo, un processo di valutazione del rischio inerente alla catena di approvvigionamento cyber”.

Cybersecurity di beni e servizi informatici, il nodo della supply chain

Il legislatore, a tal proposito, pone all’attenzione delle stazioni appaltanti ancora una volta l’onere di tenere sotto controllo tutta la supply chain cioè la “catena dei fornitori”.

Tale tematica è di estremo interesse in quanto la materia, pur se disciplinata accuratamente dall’articolo 28 del Regolamento UE 2016/679, è tenuta spesso in scarsa considerazione dai Titolari del trattamento, evidenza che ha già più volte reso possibile incidenti di sicurezza ed attacchi cyber.  

Categorie tecnologiche di beni e servizi informatici   

L’Elenco delle categorie tecnologiche di beni e servizi informatici   per le quali sono necessari elementi essenziali di cybersicurezzaè rappresentato da una vera  e propria tabella, che riporta l’elenco tassativo delle categorie e l’elenco non tassativo dei codici CPV, o Common Procurement Vocabulary, un sistema di classificazione europeo per gli appalti pubblici per categorizzare l’oggetto dei relativi contratti d’acquisto. Le categorie tecnologiche di beni e servizi informatici   per le quali sono necessari elementi essenziali di cybersicurezza individuate dal Decreto sono ben 22 , e tra queste troviamo

• Sistemi di gestione dell’identità e software e hardware per la gestione degli accessi privilegiati, compresi i relativi lettori di autenticazione e controllo, anche biometrici;
• Infrastrutture a chiave pubblica e software per il rilascio di certificati digitali, Prodotti con elementi digitali con funzione di VPN o rete privata virtuale;
• Sistemi di gestione della rete e Sistemi SIEM o di gestione delle informazioni e degli eventi di sicurezza, Firewall, sistemi di rilevamento e prevenzione delle intrusioni;
• Router, modem, anche di tipo satellitare, per la connessione a internet e switch,  Microprocessori e Microcontrollori con funzionalità legate alla sicurezza, Circuiti integrati per applicazioni specifiche, anche su singolo chip e reti di porte programmabili con funzionalità legate alla sicurezza;
• Sistemi e servizi di back-up e di sicurezza, dispositivi hardware con cassette di sicurezza e storage di rete, software che rimuovono o mettono in quarantena i software maligni;
• Gateway per contatori intelligenti e sistemi di misurazione intelligenti e altri dispositivi utilizzati per fini di sicurezza avanzati, compreso il trattamento crittografico sicuro;
• Servizi cloud e servizi di consulenza, sviluppo e manutenzione di piattaforme software, componenti hardware e software per acquisizione dati, monitoraggio, supervisione, controllo, attuazione e automazione di reti di telecomunicazione e sistemi industriali e infrastrutturali;
• Carte intelligenti o dispositivi analoghi, sistemi di videosorveglianza per controllo accessi e sicurezza fisica, nonché sistemi di acquisizione immagini per finalità di controllo, compresi gli scanner e Software di controllo droni.

le specifiche categorie  tecnologiche  di  beni  e servizi informatici sono state individuate sulla  base  dell’utilizzo dei medesimi beni e servizi informatici nello svolgimento di funzioni essenziali per la cybersicurezza ovvero di servizi per i quali vi  è una dipendenza critica o un  rischio  di  gravi  perturbazioni  delle catene di approvvigionamento

L’elenco dei codici CPV per gli oggetti del contratto di acquisto

Per quanto invece riguarda l’elenco dei codici CPV, un sistema di classificazione europeo per gli appalti pubblici che non ha carattere di tassatività, ma che consente di classificare l’oggetto dei contratti d’acquisto che sono stipulati dalle amministrazioni pubbliche destinatarie del Decreto di aprile, questo è composto da una copiosa serie di oggetti, che arriva a sfiorare il centinaio.

Tra questi troviamo prodotti legati in via generale ai servizi di consulenza e di fornitura di Apparecchiature informatiche e forniture per la sicurezza, per l’interconnettività di piattaforme, di programmazione e sviluppo di software personalizzati, di analisi e programmazione di dati, di antivirus,

Ma tra gli oggetti troviamo anche Strumenti di stoccaggio di memoria e di lettura di dati, software di back-up o recupero, servizi di audit informatico, attrezzature di controllo a distanza, come sistemi di videosorveglianza, scanner, lettori di smart card e di impronte digitali.

A ben vedere l’introduzione di ognuno di tali oggetti in un contesto aziendale abbisogna, per far sì che il suo utilizzo avvenga in compliance con la vigente normativa, di una analisi di impatto sotto il profilo della protezione dei dati personali oggetto di trattamento.

Cosa cambia per gli appalti dei servizi informatici

Con il Decreto del 30 aprile 2025 il Presidente  del Consiglio dei Ministri ha individuato una serie di misure finalizzate ad elevare gli standard di sicurezza dei prodotti che sono utilizzati dalle amministrazioni destinatarie a seguito dei contratti di beni e servizi informatici  impiegati  nell’importante contesto connesso alla tutela degli interessi nazionali strategici e della sicurezza nazionale.

Le indicazioni del Decreto e dei relativi tre diversi allegati dovranno pertanto essere oggetto di analisi dettagliata da parte di tutte le stazioni appaltanti interessate al fine di modificare adeguatamente i capitolati di gara e la relativa conseguente ulteriore documentazione, così da facilitare la sicurezza nazionale.

Vista però la contemporanea vigenza del Regolamento UE 2016/679 è auspicabile che approfittando della revisione suindicata le stazioni appaltanti, nel loro ruolo di Titolari del trattamento o di loro committenti, assicurino anche il rispetto dei principi fondamentali in materia di protezione di dati personali, come stabilito, ad esempio, dall’articolo 25, che prescrive al  titolare del trattamento di conformare “privacy by design e by default” le proprie attività di trattamento di dati personali.