La qualificazione dei servizi e delle infrastrutture cloud per la Pubblica Amministrazione è diventata dal 19 gennaio 2023 di competenza dell’Agenzia per la Cybersicurezza Nazionale (ACN), che è subentrata all’Agenzia per l’Italia Digitale (AgID).
Per garantire la continuità dei servizi qualificati già in uso dalle amministrazioni al contempo permettere una graduale armonizzazione della normativa, è stato previsto un regime transitorio in essere fino al prossimo 31 luglio 2023.
Qualificazione Servizi e Infrastrutture Cloud per la PA: il regime transitorio
Sono previste due distinte procedure in regime transitorio per i fornitori che siano già in possesso della qualificazione e per coloro che invece ne siano ancora sprovvisti:
I fornitori di Servizi Cloud e di Infrastrutture dei Servizi Cloud già in possesso di una qualificazione che sia stata ottenuta ai sensi delle circolari AgID n. 2 e n. 3 del 2018 e ancora valida, rientreranno, rispettivamente, nelle nuove qualifiche di livello QC1 per i servizi e di livello Ql1 per le infrastrutture.
Tali nuove qualifiche saranno valide fino al 18 gennaio 2024.
I fornitori privi di una qualificazione valida o che intendano promuovere un servizio o una infrastruttura già qualificati devono inviare ad ACN una autodichiarazione di avvenuta attuazione delle misure previste dalla Determinazione n. 307 del 18 gennaio 2022 per il livello di qualificazione desiderato (QC1-QC4 per i Servizi, QI1-QI4 per le Infrastrutture). Tale qualificazione sarà valida per 12 mesi a partire dalla data di concessione.
La Roadmap della qualificazione in regime transitorio
Di seguito una sintesi delle procedure previste in regime transitorio per i diversi casi.
1) Fornitori in possesso di qualifica in corso di validità rilasciata secondo le previsioni delle Circolari AgID n. 2 e n. 3 del 2018:
- a partire dal 19 gennaio 2023 il servizio o l’infrastruttura è automaticamente qualificato ai sensi della determina ACN n. 307/2022, senza che siano necessarie attività aggiuntive, con livello QC1 per i Servizi Cloud (SaaS, PaaS e IaaS) e QI1 per le Infrastrutture dei Servizi Cloud;
- tale qualifica è valida fino al 18 gennaio 2024;
- è estesa fino al 30 aprile 2023 la possibilità di trattare dati P.A. di livello critico o strategico anche in assenza di qualificazione ai livelli superiori.
2) Fornitori ancora privi di qualificazione in corso di validità:
- Dal 19 gennaio e fino al 31 luglio 2023 è possibile richiedere la qualificazione di un servizio cloud (livello QC1-QC4) o di una Infrastruttura dei servizi cloud (QI1-QI4) con autodichiarazione che attesti l’attuazione delle misure previste per il livello di qualificazione richiesto, ai sensi della Determina n. 307 del 18 gennaio 2022;
- l’autodichiarazione deve essere trasmessa via pec ad ACN che si riserva di chiedere ulteriori informazioni e documenti;
- Al termine del periodo transitorio e dunque dal 1 agosto 2023, cambieranno le modalità per l’invio di istanze di qualificazione, per il quale sarà prevista una piattaforma web dedicata.
- In tutti i casi, al termine dell’iter di verifica l’Agenzia comunica il provvedimento finale con l’esito del processo di qualificazione.
3) Fornitori in possesso di qualifica in corso di validità che vogliano promuovere il servizio cloud ovvero l’infrastruttura dei servizi cloud ad un livello di qualifica superiore:
In questo caso, sarà necessario seguire le indicazioni di cui al punto 2.