Già da qualche anno il legislatore ha introdotto numerose norme in materia di Cybersicurezza, tra cui quelle che hanno portato alla nascita e allo sviluppo del Perimetro di sicurezza nazionale cibernetica e della sua disciplina, un iter iniziato con il d.l. 105/2019 e recentemente terminato con il d.lgs. 82/2021, modificato con l. 109 del 4 agosto 2021.

Nonostante il completamento della disciplina sul PSNC, il percorso intrapreso dal legislatore, tra nuovi testi normativi e istituzione di particolari strutture dedicate alla cybersicurezza nazionale, non si è mai arrestato, anzi l’impegno delle istituzioni nazionali ed europee sul tema sta diventando sempre più intenso.

Per mettere finalmente in pratica quanto previsto dalle norme in materia, la sicurezza cibernetica è stata compresa tra i progetti finanziati dal Piano nazionale di ripresa e resilienza (PNRR), trasmesso dal Governo alla Commissione europea il 30 aprile 2021; il PNRR prevede al riguardo un piano di investimenti e riforme finalizzati allo scopo di mettere l’Italia nel gruppo di testa in Europa entro il 2026 (cd. Italia Digitale 2026).

All’investimento, volto alla creazione ed al rafforzamento delle infrastrutture legate alla protezione cibernetica del Paese e alla completa attuazione della disciplina prevista dal PSNC, sono destinati circa 620 milioni di euro di cui: 241 per la creazione di una infrastruttura per la cybersicurezza; 231 per il rafforzamento delle principali strutture operative del perimetro di sicurezza nazionale cibernetica PNSC; 15 per il rafforzamento delle capacità nazionali di difesa informatica presso il ministero dell’Interno, Difesa, Guardia di Finanza, Giustizia e Consiglio di Stato.

Importanti novità riguardano anche le organizzazioni incaricate di attuare la disciplina sulla sicurezza cibernetica e di svolgere le funzioni previste dalla stessa, tra le quali l’Agenzia Nazionale per la Cybersicurezza: dopo l’emanazione del d.l. 82/2021, convertito con L. 109/2021, con cui sono state definite nel dettaglio le sue funzioni e i suoi poteri di controllo, negli ultimi mesi del 2021 sono state messe in atto le operazioni necessarie alla sua messa in opera, tra cui la nomina del direttore generale (prof. Roberto Baldoni) e del vice direttore generale (dott.ssa Nunzia Ciardi), l’emanazione dei regolamenti interni, nonché il recente avvio della collaborazione con l’Autorità Garante per la privacy per lo scambio di informazioni e la promozione di buone pratiche di sicurezza cibernetica.

L’Agenzia Nazionale per la Cybersicurezza svolge inoltre un ruolo fondamentale riguardo il percorso di adozione del cloud da parte delle amministrazioni italiane: lo scorso 18 gennaio 2022, infatti l’Agenzia ha predisposto, in collaborazione con il Dipartimento per la trasformazione digitale, gli atti che definiscono le modalità per la classificazione dei dati e dei servizi pubblici e i requisiti per le tipologie di qualificazione dei servizi cloud della PA.

Infine, entro febbraio 2022 è previsto l’assorbimento da parte dell’Agenzia Nazionale per la Cybersicurezza delle funzioni già svolte da AgID e dal Ministero per lo Sviluppo Economico.

Tra le più importanti funzioni che verranno trasferite vi sono quelle svolte dal CERT-PA, cioè la struttura responsabile per la conduzione e gestione delle attività operative e per il monitoraggio dello spazio cibernetico delle Pubbliche Amministrazioni.

Le ultime introduzioni normative non potevano non investire le procedure di acquisto di servizi ICT per la PA: in particolare l’art. 53 del d.l. 77/2021 (c.d. “Semplificazioni-bis”), rubricato “semplificazione degli acquisti di beni e servizi informatici strumentali alla realizzazione del PNRR e in materia di procedure di e-procurement e acquisto di beni e servizi informatici”, prevede la semplificazione e l’accelerazione dei processi di approvvigionamento attraverso la creazione di una “white list” di fornitori certificati, la creazione di un percorso di “fast track”, adottando un approccio semplificato per gli acquisti in ambito PNRR, e la creazione di un servizio che consenta una selezione/comparazione veloce e intuitiva tra i fornitori certificati.

Ci troviamo dunque in un periodo particolarmente ricco di novità in tema di sicurezza cibernetica, in cui è fondamentale approfondire le conoscenze tecniche e normative in materia, in modo da poter seguire “dal vivo” la messa in atto delle stesse, soprattutto in vista delle prossime scadenze previste dal PNRR.

L'articolo Cybersicurezza: le novità in tema di Perimetro di Sicurezza Nazionale Cibernetica e di acquisti ICT proviene da Giurdanella.it.

In particolare, la modifica attiene alla proroga, fino al 31 dicembre 2021, del termine entro il quale le Pubbliche Amministrazioni posso acquistare beni e servizi informatici in deroga al d.lgs. 50/2016, allo scopo di agevolare la diffusione del lavoro agile nel settore pubblico e di garantire la maggiore accessibilità possibile ai servizi pubblici on line.
Secondo il dossier della Camera dei Deputati, pubblicato il 24 febbraio 2021, “L’articolo 1, comma 11, proroga dal 31 dicembre 2020 al 31 dicembre 2021 il termine entro il quale le pubbliche amministrazioni sono autorizzate ad acquistare beni e servizi informatici e servizi di connettività, mediante procedura negoziata senza previa pubblicazione di un bando di gara ed in deroga al Codice dei contratti pubblici e ad ogni altra disposizione di legge che disciplina i procedimenti di approvvigionamento, affidamento e acquisto di beni, forniture, lavori e opere. Resta fermo il rispetto delle disposizioni del codice delle leggi antimafia e delle misure di prevenzione, al fine di agevolare la diffusione del lavoro agile e dei servizi in rete quali ulteriori misure di contrasto agli effetti dell’emergenza epidemiologica da COVID-19“.

Le amministrazioni potranno quindi, per tutto il 2021, acquisire tali prodotti e servizi mediante procedura negoziata senza pubblicazione di un bando di gara ai sensi dell’articolo 63, comma 2, lett. c), del D.Lgs. 18 aprile 2016, n. 50.
I prodotti e i servizi dovranno essere scelti preferibilmente tra quelli basati sul modello cloud SaaS (software as a service) e con sistemi di conservazione, processamento e gestione dei dati necessariamente localizzati sul territorio nazionale, soltanto laddove ricorrono esigenze di sicurezza pubblica ai sensi dell’articolo 4, paragrafo 1, del Regolamento (UE) n. 2018/1807 del Parlamento europeo del 14 novembre 2018.

I commi successivi della norma rimangono invece invariati.
Il comma 2 dell’articolo 75 del DL 18/2020 prevede la trasmissione al Dipartimento per la trasformazione digitale e al Dipartimento della funzione pubblica della Presidenza del Consiglio dei ministri degli gli atti con i quali sono indette le procedure negoziate da parte delle amministrazioni procedenti.

Ai sensi del comma 3, le amministrazioni, prima di stipulare il contratto, sono tenute ad acquisizione una autocertificazione dell’operatore economico aggiudicatario che attesti il possesso dei requisiti generali, finanziari e tecnici, la regolarità del Documento Unico di Regolarità Contributiva (DURC), nonché l’assenza di motivi di esclusione secondo segnalazioni rilevabili dal Casellario Informatico dell’Autorità nazionale anticorruzione (ANAC).

Il comma 3-bis dell’articolo 75 del D.L. 18/2020 introduce alcune condizioni sul contenuto dei contratti relativi agli acquisti di servizi
informatici e di connettività, quali durata massima (36 mesi), facoltà di recesso unilaterale per l’Amministrazione e rispetto dei principi di interoperabilità, di portabilità dei dati personali e dei contenuti senza ulteriori oneri per il committente.
Infine, il comma 4 impone che gli acquisti in deroga siano inclusi in progetti coerenti con il Piano triennale per l’informatica nella pubblica amministrazione e prevedano qualora sia possibile, l’integrazione con le piattaforme abilitanti previste dal Codice dell’amministrazione digitale (CAD D.Lgs. 82/2005).

Per ulteriori approfondimenti Leggi qui i nostri articoli sull’argomento.

L'articolo Novità in tema di acquisti digitali della P.A.: la modifica all’art. 75 del Decreto Cura Italia proviene da Giurdanella.it.

Uno dei settori più problematici riguarda gli acquisti informatici, in quanto sempre più spesso anche gli enti della sanità pubblica necessitano di acquistare hardware e software per svolgere le loro funzioni e, con l’entrata in scena del NSO, sono sorti dubbi sulla natura e sulla qualificazione delle operazioni. 

Le linee guida del Ministero dell’Economia e delle Finanze, a cui fa espresso rinvio il D.M. 7 dicembre 2018, come modificato e integrato dal D.M. 27 dicembre 2019, per delimitare l’ambito oggettivo del NSO rinviano alla normativa in materia di IVA, stabilendone i criteri per l’individuazione.

Secondo il MEF le ordinazioni che devono essere sottoposte al Nucleo Smistamento Ordini sono quelle espressamente previste dal D.P.R. n. 633/1972, e cioè cessione di beni e prestazioni di servizi: per l’acquisto della parte hardware non vi sono particolari dubbi, essendo gli acquisti equiparati alla cessione di beni ex art. 2, comma 1, D.P.R. 633/1972; per l’acquisto dei software, invece, sono necessarie particolari precisazioni, che andranno ovviamente ad influire sulla stessa decorrenza dell’obbligo, visto che è diversa in base alla natura dell’operazione (1 febbraio 2020 per la cessione di beni e 1 gennaio 2021 per la fornitura di servizi).

Ai fini IVA non sempre la cessione dei software equivale ad una prestazione di servizi: infatti, si distingue generalmente tra software standardizzato, rientrante nella categoria della cessione di beni, e software personalizzato, che rappresenta una prestazione di servizi, ma tale distinzione generica non basta. 

L’acquisto di un software standardizzato può confluire nella diversa categoria della prestazione di servizi in due ipotesi:

• se la consegna avviene attraverso un canale telematico;
• se viene trasferita anche la licenza d’uso del software personalizzato a seguito di lavori di adattamento. 

Per quanto riguarda la seconda ipotesi, ai fini IVA, la realizzazione di un software funzionale alle esigenze del committente, attraverso operazioni di adattamento sul software standardizzato rappresenta una “consulenza tecnica”, e per tale caratteristica confluisce nella categoria delle prestazioni di servizi (con obbligo di effettuare le operazioni tramite NSO dal 1 gennaio 2021).

Questa modalità di distinzione tra i due tipi di operazioni è emersa dalla risoluzione n. 456/E/2008, che ha recepito l’orientamento della Corte di giustizia nella causa C-41/04 del 27 ottobre 2005.

Nel caso di acquisto di un software standardizzato non elaborato si configura, invece, una cessione di bene, trattandosi del trasferimento di un diritto di proprietà intellettuale (e quindi l’obbligo di ordinare tramite NSO decorre dal 1 febbraio 2020).

Infine un diverso criterio di distinzione si rinviene nel caso in cui il fornitore sia di un altro Paese membro dell’Unione Europea.

In tale ipotesi il criterio di qualificazione è rappresentato dalle modalità di consegna del software: se la consegna avviene tramite l’utilizzo di dispositivi fisici, l’operazione viene catalogata come cessione di beni; se, invece, il trasferimento avviene tramite canali elettronici la vendita viene qualificata come prestazione di servizi. 

L'articolo NSO: la disciplina per gli acquisti informatici del SSN proviene da Giurdanella.it.

L’obbligo del NSO era già in vigore, per le forniture di beni in sanità, dall’1 febbraio 2020. 

Il sistema NSO è stato introdotto dalla legge di bilancio 2018 (legge 205/2017). Viene prevista, ai commi da 411 a 415 dell’art. 1, “al fine di  incentivare  l’efficienza  e  la  trasparenza  del sistema  di  approvvigionamento   della   pubblica   amministrazione” la forma elettronica per “l’emissione, la trasmissione, la conservazione e l’archiviazione  dei documenti attestanti l’ordinazione e l’esecuzione degli  acquisti”.

Successivamente, è stato emanato il decreto ministeriale, a cui la legge rimanda per l’entrata a regime del nuovo sistema: il decreto ministeriale 7 dicembre 2018, poi modificato dal D.M. 27 dicembre 2019, prevede infatti le decorrenze dell’obbligo di effettuare le ordinazioni esclusivamente tramite NSO e rinvia ad apposite Linee guida e Regole Tecniche redatte dal Ministero dell’Economia e delle Finanze per le modalità tecniche di attuazione del sistema.

Questo particolare sistema di ordinazioni tende ad attuare nel settore della sanità pubblica il modello più generale del SIOPE, finalizzato al controllo sui pagamenti effettuati dalle Pubbliche amministrazioni. 

Inoltre trae ispirazione dal modello di eProcurement europeo PEPPOL, di cui utilizza le modalità (tra le altre previste dalle linee guida) di trasmissione dei documenti. 

Nella pratica, il sistema di NSO può schematizzarsi come un flusso di informazioni (l’Ordine) tra cliente e fornitore in cui al centro si pone il nucleo di smistamento, che si occupa di controllare e vidimare l’operazione, tramite l’emissione di un particolare codice identificativo, in modo da permetterne il pagamento con l’inserimento in fattura. 

Il decreto ministeriale 7 dicembre 2018 aveva previsto una decorrenza unica per l’obbligo di ordinazioni tramite NSO fissato al 1 ottobre 2019. Successivamente tale decreto è stato modificato dal D.M. 27 dicembre 2019 che ha previsto decorrenze diversificate sulla base dei tipo di ordinazione e della fase della stessa. 

Infatti il decreto prevede le seguenti date di decorrenza per i beni:

– dal 1° febbraio 2020, l’ordinazione avviene esclusivamente in formato elettronico per il tramite di NSO (articolo 3, comma 2);

– dal 1° gennaio 2021 non si può dar corso alla liquidazione e al successivo pagamento delle fatture che non riportino gli estremi dei corrispondenti ordini validati da NSO (articolo 3, comma 4);

Per i servizi invece sono previste date diverse e cioè:

– dal 1° gennaio 2021, l’ordinazione avviene esclusivamente in formato elettronico per il tramite di NSO (articolo 3, comma 2);

– dal 1° gennaio 2022 non si può dar corso alla liquidazione e al successivo pagamento delle fatture che non riportino gli estremi dei corrispondenti ordini validati da NSO (articolo 3, comma 4).

I soggetti destinatari di tale obbligo sono, al momento, soltanto gli enti del servizio sanitario nazionale (quindi Regioni, Asl, Aziende ospedaliere, Aziende ospedaliere universitarie convenzionate con il SSN e Istituti di ricovero), ma non si esclude che tale sistema possa essere esteso ad altri settori della Pubblica Amministrazione. 

Inoltre il cliente e/o il fornitore possono farsi assistere nelle operazioni da intermediari: in questa ipotesi saranno quest’ultimi a comunicare direttamente con il NSO e a dover utilizzare le modalità prescritte. 

Dal punto di vista oggettivo, invece, sono sottoposti al sistema NSO le cessione di beni e le prestazioni di servizi, così come definite dal T.U. IVA. 

Il sistema prevede 3 tipi diversi di ordinazione, differenziati anche il base al tipo di rapporto intercorrente tra cliente e fornitore:

• Ordinazione semplice: questo tipo di ordinazione prevede un unico flusso di comunicazione (cliente – NSO – Fornitore) e dovrebbe essere utilizzato quando l’operatore non ha una particolare dimestichezza con lo strumento tecnologico;
• Ordinazione completa: questo tipo di ordinazione prevede un triplo flusso di comunicazione (invio, risposta e conferma) ed è consigliata ai soggetti che hanno dimestichezza con l’uso dello strumento e quando i due soggetti non hanno mai stipulato contratti di forniture, essendo possibile effettuare la contrattazione delle condizioni della fornitura con le varie comunicazioni;
• Ordinazione pre-concordata: questo tipo di ordinazione prevede un unico flusso di comunicazione, ma opposto rispetto all’ordinazione semplice (Fornitore – NSO – cliente) e si usa quando sono sorti problemi tecnici sulla comunicazione ed è quindi necessaria soltanto la conferma dell’ordine, effettuato con modalità diverse da quelle previste dal NSO, da parte del fornitore; in questa ipotesi è necessaria una pre-autorizzazione ad emettere ordini pre-concordati, a pena di inefficacia dell’ordinazione.

Per quanto riguarda invece le modalità di trasmissione degli ordini, il sistema NSO, perseguendo lo scopo di informatizzare le procedure di ordinazione, prevede 4 diverse modalità di trasmissione:

• portale web (disponibile sono per le Pubbliche Amministrazioni registrate al SICOGE);
• PEC (tramite l’invio del messaggio a nso@pec.sogei.it);
• interoperabilità;
• PEPPOL. 

Gli operatori possono scegliere liberamente la modalità da utilizzare (tranne il portale web che può essere utilizzato solo in presenza dei requisiti richiesti); inoltre la scelta prescinde anche dalla modalità utilizzata dall’altro operatore della stessa operazione, essendo possibile usare diverse modalità per la stessa ordinazione. 

L'articolo Il nodo smistamento ordini (NSO) e gli acquisti di beni e servizi nelle aziende sanitarie proviene da Giurdanella.it.

Di seguito le categorie dei beni e le relative soglie oltre le quali scatta l’obbligo di ricorrere a Consip

L'articolo Acquisti PA: ecco le categorie e le soglie per il ricorso a Consip proviene da Giurdanella.it.

Il decreto all’art. 1 stabilisce che:  “Per l’anno 2013 e in ogni caso fino all’emanazione di successivo decreto, le amministrazioni pubbliche statali, centrali e periferiche, procedono alle acquisizioni dei beni e dei servizi relativi alle divisioni 30, 48, 50 e 72 come individuate ai sensi del Regolamento (CE) n. 213 del 28 novembre 2007 pubblicato nella Gazzetta Ufficiale dell’Unione Europea del 15 marzo 2008, attraverso strumenti di acquisto informatici propri o messi a disposizione, secondo quanto previsto al successivo art. 2, dal Ministero dell’economia e delle finanze, nel caso in cui l’importo a base d’asta sia superiore alla soglia di 2,5 milioni di Euro e almeno l’ottanta per cento del detto importo sia costituito da acquisizioni di beni e servizi inclusi tra i CPV di seguito elencati:

Per la divisione «30», le classi CPV: 3010, 3011, 3012, 3014, 3015, 3020, 3021, 3022, 3023;

Per la divisione «48»: tutta la divisione;

Per la divisione «50», le classi CPV: 5031, 5032;

Per la divisione «72»: tutta la divisione”.

Confrontando tale disposizione con il Regolamento CE 213/2007 vediamo che tra i beni e servizi da acquisire attraverso strumenti informatici rientrano:

Nella divisione 30:   Macchine per ufficio, attrezzature e forniture: fotocopiatrici,  obliteratici, accessori e toner per scanner e stampanti, trasmettitori digitali, calcolatrici, registratori di cassa, distributori automatici di biglietti e banconote, macchine per scrivere ecc, ed  apparecchiature informatiche e forniture: apparecchi hardware e forniture, computer personali, portatili, tablet,  lettori ottici, stampanti, codificatori ecc..

Nella divisione 48: Pacchetti software e sistemi di informazione

Nella divisione 50: Servizi di riparazione, manutenzione attrezzature d’ufficio e personal computer

Nella divisione 72: Servizi di riparazione e manutenzione di riscaldamenti centrali e  Messa in opera di impianti di riscaldamento

Le amministrazioni pubbliche statali, centrali e periferiche procedono ad acquisire attraverso gli strumenti informatici tali beni e servizi a partire dal sesto mese dall’entrata in vigore del presente decreto.

L’art. 2 del decreto stabilisce poi che “1. Ai fini dell’applicazione del precedente art. 1, ferma restando la facoltà di utilizzo di strumenti propri, le amministrazioni statali, centrali e periferiche, ricorrono al sistema dinamico di acquisizione di cui all’art. 287, comma 2 del decreto del Presidente della Repubblica 5 ottobre 2010, n. 207, ove disponibile per le relative categorie di beni e servizi, ovvero utilizzano il sistema informatico di negoziazione del Ministero dell’economia e delle finanze in modalità ASP (Application Service Provider).  2. Ai fini dell’utilizzo del sistema informatico di negoziazione del Ministero dell’economia e delle finanze in modalità ASP, ai sensi del precedente comma, le amministrazioni statali, centrali e periferiche, sottoscrivono per accettazione le condizioni generali di utilizzo pubblicate nell’apposita sezione del portale www.acquistinretepa.it.”

Quindi salva la facoltà di utilizzo di strumenti propri, le pubbliche amministrazioni procedono agli acquisti attraverso il mercato elettronico della pubblica amministrazione, accessibile dal portale www.acquistinretepa.it.

Per ulteriori approfondimenti si allega il testo integrale del DM

L'articolo Beni e servizi da acquisire attraverso strumenti informatici proviene da Giurdanella.it.