Cloud per la PA: in vigore il nuovo Regolamento
Con un decreto direttoriale pubblicato a fine giugno, ACN, Agenzia per la cybersicurezza nazionale, d’intesa con il Dipartimento per la trasformazione digitale, ha adottato il nuovo Regolamento unico per le infrastrutture e i servizi cloud per la PA. Con questo passaggio, a partire dal primo agosto è stato disposto il passaggio al cosiddetto “regime ordinario” per ciò che concerne la normativa di riferimento in materia.
Il nuovo Regolamento armonizza in un unico quadro normativo le misure minime che le infrastrutture come i data center e i servizi cloud devono rispettare per supportare i servizi pubblici.
“Il Regolamento - si legge in una nota di ACN - norma anche l’utilizzo delle infrastrutture di housing e i servizi di prossimità (cosiddetti edge), sempre più diffusi in ragione dell’esigenza di ridurre i tempi di latenza per gli utenti finali”.
Nella nota si fornisce un quadro di insieme sugli aspetti che vengono chiariti dal Regolamento, vale a dire:
- “le modalità per la classificazione, per la migrazione e per la qualificazione dei servizi cloud, di cui la PA può approvvigionarsi ricorrendo al libero mercato;
- le misure e i requisiti per il raggiungimento dei livelli minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità delle infrastrutture digitali per la PA;
- le caratteristiche di qualità, sicurezza, performance, scalabilità e portabilità dei servizi cloud per la PA.
Una delle principali novità - prosegue la nota - riguarda la differenziazione tra:
- la qualifica dei servizi cloud erogati da fornitori privati, che prevede una verifica di conformità ex-ante a cui fa seguito la pubblicazione della relativa scheda sul catalogo ACN,
- l’adeguamento delle infrastrutture (a prescindere dalla natura del soggetto responsabile) e dei servizi erogati da operatori pubblici, basata sulla dichiarazione di conformità inviata ad ACN rispetto ai requisiti previsti”.
Le nuove qualifiche saranno valide per 36 mesi e soggette ad attività di monitoraggio. Tali attività permetteranno ad ACN di verificare il rispetto dei requisiti necessari al trattamento dei dati e dei servizi in linea con il livello di classificazione.