La certificazione (qualifica) dei servizi cloud che AgID fa per le forniture di tali servizi alle pubbliche amministrazioni presenta un particolare aspetto normativo che probabilmente la rende non conforme alla normativa europea e nazionale. Un problema che comincia a essere analizzato da alcuni addetti ai lavori esperti della materia, che hanno chiesto di restare anonimi.
Tutto ciò emerge dall’analisi dell’abrogazione dell’istituto dell’accreditamento per i conservatori di documenti digitali stabilito nel DL semplificazioni 2020 (DL 76/2020) (la conversione in Legge del decreto è alle battute finali, c’è il testo emendato dal Senato) pone dei dubbi sulla conformità alla normativa europea e nazionale sulla certificazione dei servizi cloud cruciale per la trasformazione digitale della pubblica amministrazione.
Nel seguito vengono illustrate le motivazioni di tali dubbi.
I possibili problemi normativi sulla certificazione Agid del cloud
La pubblica amministrazione ha intrapreso un percorso di razionalizzazione delle risorse ICT portando a termine alcune attività di indagine e analisi sul tema. In questo contesto, il percorso intrapreso è orientato verso i servizi cloud e il paradigma ben evidenziato anche nell’ultimo Piano Triennale per l’Informatica nella pubblica amministrazione 2020-2020 è “cloud first” ovvero la progettazione e la realizzazione di nuove risorse ICT deve essere basata su architetture di questo tipo.
In questo scenario l’Agenzia per l’Italia Digitale (AgID) nell’aprile del 2018 ha messo in opera una strategia che viene sintetizzata, nell’ambito del percorso di trasformazione digitale, in tre elementi principali:
- il principio Cloud First, in base al quale le pubbliche amministrazioni devono, in via prioritaria, adottare il paradigma cloud (in particolare per i servizi SaaS – Software as a Service) prima di qualsiasi altra opzione tecnologica per la definizione di nuovi progetti e per la progettazione dei nuovi servizi nell’ambito di nuove iniziative da avviare;
- il modello Cloud della PA, il modello strategico che si compone di infrastrutture e servizi certificati da AgID sulla base di un insieme di requisiti volti a garantire elevati standard di qualità per la pubblica amministrazione;
- Il programma di abilitazione al cloud, l’insieme di attività, risorse, metodologie da mettere in campo per rendere le pubbliche amministrazioni capaci di migrare e mantenere in efficienza i propri servizi informatici (infrastrutture e applicazioni) all’interno del modello Cloud della PA.
In relazione al modello “Cloud della PA”, AgID ha pubblicato due circolari (2 e 3 del 9 aprile 2018) che tra l’altro definiscono i criteri di iscrizione dei soggetti fornitori di servizi cloud in un catalogo al quale devono accedere le pubbliche amministrazioni per acquistare sia i servizi infrastrutturali (Infrastructure as a Service – IaaS, Platform as a Service – PaaS).
In pratica i fornitori, poi soggetti a vigilanza da parte di AgID, devono fornire evidenza del possesso di una serie di requisiti di qualità e sicurezza; solo dopo l’iscrizione da parte di AgID nel catalogo le pubbliche amministrazioni possono (in caso contrario commettono un illecito amministrativo) acquisire i servizi catalogati.
Il catalogo è disponibile a questo collegamento.
Da un rapido esame si può facilmente osservare che il catalogo è ampiamente utilizzato e per quanto riguarda il Software as a Service – SaaS i servizi certificati hanno ampiamente superato il numero 400.
In questo scenario indubbiamente positivo bisogna però rilevare un particolare aspetto normativo che scaturisce dall’analisi dell’abrogazione dell’istituto dell’accreditamento per i conservatori di documenti digitali come stabilito nel DL semplificazioni 2020 (DL 76/2020) e alla battute finali per la conversione in Legge.
Questo particolare aspetto normativo è stabilito nella Direttiva Europea 2000/31/UE (citata dal Legislatore nazionale nelle motivazioni relative alla abrogazione del sopra citato accreditamento in riferimento all’articolo 3, paragrafo 4 della medesima Direttiva).
In particolare, facendo riferimento al recepimento nel nostro ordinamento della Direttiva con il D.Lgs. 70/2003, l’articolo 6, comma 1 di quest’ultimo decreto (che è rubricato/intitolato Assenza di autorizzazione preventiva) stabilisce che:
- L’accesso all’attività di un prestatore di un servizio della società dell’informazione e il suo esercizio non sono soggetti, in quanto tali, ad autorizzazione preventiva o ad altra misura di effetto equivalente.
Il testo della norma può essere indubbiamente interpretato in senso positivo in quanto, senza dubbio, un fornitore di servizi cloud può accedere all’attività senza autorizzazione preventiva. Però lo spirito con il quale il Legislatore nazionale ha abrogato l’istituto dell’accreditamento per i conservatori di documenti informatici potrebbe applicarsi anche alla certificazione dei servizi cloud che possono essere fruiti dalle pubbliche amministrazioni solo se inseriti nel Catalogo AgID sopra citato.
Per fare un ragionamento analogo le medesime pubbliche amministrazioni non potranno più (dopo l’entrata in vigore di specifiche Linee guida di AgID) utilizzare i servizi di conservatori accreditati (perché non più esistenti) ma di soggetti che sono in possesso di specifici requisiti. Il possesso di questi requisiti sarà poi oggetto di verifica da parte della vigilanza in carico ad AgID.
Un discorso identico è fattibile per i servizi cloud dove l’accreditamento è sostituito dal procedimento di certificazione e successiva collocazione del servizio nel catalogo sopra citato.
Il fatto che la Commissione Europea ha chiesto all’Italia di abrogare l’accreditamento per i conservatori di documenti informatici crea disagio al mercato che ha investito in organizzazione e procedure specifiche. Questa circostanza dovrebbe indurre ad una attenta analisi di quanto sopra illustrato affinché il problema non si ripresenti per i servizi cloud.
Tutto ciò creando ulteriore incertezza su un punto cruciale della trasformazione digitale che è il paradigma del “cloud first”.
