Cloud qualificato ACN: come sceglierlo per PA e sanità

Una pubblica amministrazione o un’azienda sanitaria può acquistare servizi cloud solo se sono qualificati o adeguati secondo il Regolamento unico dell’Agenzia per la cybersicurezza nazionale (ACN), in vigore dal 1° agosto 2024. Il Piano triennale per l’informatica nella PA fissava a giugno 2026 il completamento dei piani di migrazione: chi è in ritardo, o deve rinnovare contratti e software, oggi ha bisogno di scegliere bene e in fretta. Il punto di partenza non è il fornitore ma la classificazione dei propri dati. In questa guida vediamo cosa chiede la norma, come verificare una qualifica e quali errori evitare in fase di acquisto.

Cosa prevede il Regolamento unico ACN

Il Regolamento unico per le infrastrutture e i servizi cloud della PA (decreto direttoriale ACN n. 21007/24, adottato d’intesa con il Dipartimento per la trasformazione digitale) ha sostituito il precedente regolamento AgID del 2021. In sintesi:

• definisce i requisiti minimi che data center e servizi cloud devono rispettare per supportare servizi pubblici;
• spiega come classificare dati e servizi in base alla loro importanza e sensibilità;
• disciplina anche infrastrutture di housing e servizi di prossimità (edge computing);
• prevede qualifiche valide 36 mesi, con monitoraggio di ACN nel tempo.

I servizi qualificati e le infrastrutture adeguate sono pubblicati nel Catalogo cloud di ACN, che è lo strumento di riferimento per chi deve acquistare.

Il primo passo: classificare dati e servizi

Ogni amministrazione deve redigere e tenere aggiornato l’elenco dei propri dati e servizi digitali, classificati in tre livelli:

• Ordinari: la loro compromissione non interrompe servizi dello Stato né pregiudica il benessere economico e sociale del Paese;
• Critici: la loro compromissione può pregiudicare funzioni rilevanti per la società, la salute, la sicurezza e il benessere economico e sociale;
• Strategici: la loro compromissione può avere impatto sulla sicurezza nazionale.

La classificazione va trasmessa ad ACN almeno ogni due anni e ogni volta che si aggiungono nuovi dati o servizi. Da essa dipende il livello di qualifica richiesto al servizio cloud: più i dati sono sensibili, più i requisiti di sicurezza e controllo salgono. In sanità, dove si trattano dati di salute, è un passaggio da curare con particolare attenzione, insieme alla valutazione d’impatto prevista dal GDPR.

Cloud first, SaaS first e niente nuovi data center

Il Piano triennale per l’informatica nella PA 2024-2026 (aggiornamento 2026) chiede alle amministrazioni di:

• valutare prima il cloud per ogni nuovo progetto, motivando un’eventuale scelta diversa;
• acquistare solo servizi cloud qualificati o adeguati ai sensi del Regolamento ACN 21007/24, privilegiando le soluzioni SaaS presenti nel Catalogo;
• non costruire nuovi data center e migrare quelli non conformi verso il Polo Strategico Nazionale o altre infrastrutture conformi;
• aggiornare classificazione e piano di migrazione, completandolo entro i tempi del piano trasmesso.

Il Piano indica anche due punti di attenzione spesso sottovalutati: la sostenibilità dei costi correnti nel tempo e le competenze nell’Ufficio del Responsabile per la transizione digitale per presidiare i servizi cloud.

Checklist: come verificare un servizio cloud prima dell’acquisto

Prima di avviare un affidamento, o di rinnovare un contratto in scadenza, conviene controllare questi punti:

1. Classificazione aggiornata: i dati che il servizio tratterà sono ordinari, critici o strategici? La classificazione è stata trasmessa ad ACN?
2. Presenza nel Catalogo ACN: il servizio specifico (non solo il fornitore) è pubblicato nel Catalogo con una scheda attiva?
3. Livello di qualifica coerente: il livello del servizio copre la classe dei dati che vi caricherete?
4. Scadenza della qualifica: la qualifica dura 36 mesi; verificate la data e chiedete come sarà rinnovata durante il contratto.
5. Infrastruttura sottostante: su quale infrastruttura gira il servizio e con quale livello di adeguamento (la cosiddetta catena di qualificazione)?
6. Certificazioni del fornitore: sistema di gestione della sicurezza delle informazioni ISO/IEC 27001, presenza nel registro CSA STAR, eventuali certificazioni di settore.
7. Dati sanitari e GDPR: ruoli privacy definiti (titolare e responsabile del trattamento), luogo di conservazione dei dati, tempi e modalità di restituzione a fine contratto.
8. Uscita e portabilità: formati di esportazione, assistenza alla migrazione e assenza di vincoli che impediscano di cambiare fornitore.
9. Costi nel tempo: canone, servizi a consumo, assistenza e formazione, da confrontare con il costo attuale dell’infrastruttura interna.

Gli errori più frequenti nelle gare cloud

• Chiedere “il cloud” senza indicare la classe dei dati: il capitolato deve dire quale livello di qualifica serve, altrimenti le offerte non sono confrontabili.
• Verificare il fornitore e non il servizio: la qualifica riguarda il singolo servizio pubblicato nel Catalogo, non l’azienda in generale.
• Dimenticare la scadenza della qualifica: un contratto pluriennale deve prevedere il mantenimento della qualifica per tutta la durata.
• Trascurare integrazioni e migrazione dei dati storici: interfacce con gli altri sistemi (in sanità, ad esempio, tramite standard HL7) e recupero dei dati pregressi vanno previsti fin dall’inizio.
• Sottovalutare formazione e assistenza: un servizio conforme ma poco usato dal personale non porta i benefici attesi.

Come lavora LORAN

LORAN è presente nel registro CSA STAR della Cloud Security Alliance ed è qualificata per i servizi cloud sul Marketplace ACN; il nostro sistema di gestione della sicurezza delle informazioni è certificato ISO/IEC 27001 (trovi i dettagli nella pagina Certificazioni e governance). Sviluppiamo software sanitari erogati via web, come MediCloud per ambulatori, reparti e sale operatorie, e gestiamo infrastrutture, backup e sicurezza per enti e imprese con il servizio IT e cybersecurity. Per le stazioni appaltanti, l’Area gare raccoglie piattaforme di e-procurement e documenti di qualifica.

Quando ci contattate, fissiamo un primo incontro con i referenti IT, il RTD o il provveditorato; analizziamo i servizi in uso e la classificazione dei dati; poi proponiamo un percorso concreto, dalla scelta della soluzione alla migrazione e all’assistenza.

Richiedi una verifica dei requisiti cloud →
Oppure chiamaci allo 080 542 7032 o scrivi a commerciale@loransrl.net.

Fonti: ACN – Regolamento unico per le infrastrutture e i servizi cloud per la PA (1° agosto 2024); ACN – Domande frequenti Cloud; AgID – Piano triennale per l’informatica nella PA 2024-2026, aggiornamento 2026, cap. 6; Cybersecurity360 – Servizi cloud PA, il nuovo regolamento.