Come cambierà la PA italiana con il nuovo regolamento cloud?

Il 1° agosto 2024 segnerà l’inizio di una nuova era per la Pubblica Amministrazione italiana con l’entrata in vigore del Regolamento Unico per le Infrastrutture e i Servizi Cloud. Questo regolamento, adottato dall’Agenzia per la Cybersicurezza Nazionale (ACN) in collaborazione con il Dipartimento per la Trasformazione Digitale, rappresenta un passo fondamentale verso un quadro normativo armonizzato che mira a garantire la sicurezza e l’efficienza dei servizi pubblici digitali.

Il sottosegretario alla Presidenza del Consiglio dei ministri con delega all’Innovazione, Alessio Butti, ha sottolineato l’importanza di questo regolamento, dichiarando: “L’adozione del Regolamento unico per infrastrutture e servizi cloud per la PA è giunta nel rispetto delle tempistiche previste grazie al lavoro dell’Agenzia per la Cybersicurezza Nazionale e del Dipartimento per la Trasformazione Digitale. Il regolamento rappresenta un passo fondamentale verso un quadro normativo armonizzato, definendo le misure minime che le infrastrutture, i data center e i servizi cloud devono rispettare per supportare i servizi pubblici.”

Dettagli del Regolamento e Processo di Qualificazione

Il regolamento definisce le misure minime che le infrastrutture e i servizi cloud devono rispettare per supportare i servizi pubblici. Questo include la classificazione dei dati e dei servizi digitali in base al loro livello di importanza e sensibilità, fornendo una guida sicura per le Pubbliche Amministrazioni nella scelta delle soluzioni cloud. Le PA potranno accedere a un catalogo di infrastrutture cloud disponibile sul sito dell’Agenzia per la Cybersicurezza Nazionale.

Una delle innovazioni più significative del regolamento è il nuovo processo di qualificazione per i fornitori di servizi cloud, che sarà completamente digitale. I fornitori potranno ottenere la qualificazione direttamente online attraverso il sito dell’Agenzia. Le nuove qualifiche saranno valide per 36 mesi e saranno soggette a un’attività di monitoraggio continuo da parte dell’ACN per verificare il rispetto dei requisiti necessari al trattamento dei dati in linea con il livello di classificazione.

Il Direttore Generale dell’Agenzia per la Cybersicurezza Nazionale, Bruno Frattasi, ha dichiarato: “Dare stabilità alla regolazione dei servizi cloud rappresenta una tappa fondamentale per la nostra Agenzia. L’ambizione è di rappresentare, per le PA nei processi di transizione al cloud, un punto di riferimento per orientarle nella scelta delle soluzioni più congeniali.”

Implicazioni per la Sicurezza e la Protezione dei Dati

Il regolamento non solo mira a migliorare l’efficienza e la scalabilità dei servizi pubblici digitali, ma pone anche un forte accento sulla sicurezza e la protezione dei dati. Un articolo specifico del regolamento è dedicato all’applicazione corretta della normativa sulla privacy, assicurando che le Pubbliche Amministrazioni mantengano il controllo su tutti i soggetti che intervengono nel trattamento dei dati.

Le PA sono riconosciute come titolari del trattamento dei dati, mentre i fornitori di infrastrutture digitali e servizi cloud sono considerati responsabili del trattamento. Questi ultimi sono obbligati ad adottare misure che garantiscano una tempestiva e adeguata informazione alle amministrazioni in caso di violazione dei dati (data breach), soprattutto quando si tratta di dati sensibili come quelli sanitari o fiscali.

In caso di trasferimenti di dati al di fuori dell’Unione Europea, i fornitori di servizi cloud devono attenersi alle istruzioni delle PA titolari, mettendo a disposizione tutte le informazioni necessarie per valutare l’effettività delle misure adottate. Questo approccio rigoroso è in linea con la Strategia Cloud Italia, che mira a guidare la migrazione dei dati e dei servizi digitali della Pubblica Amministrazione verso il cloud, grazie al Polo Strategico Nazionale (PSN).

Strategia e Obiettivi Futuri

Il regolamento si inserisce all’interno della più ampia Strategia Cloud Italia, che prevede l’adozione di un modello di responsabilità condivisa per la sicurezza (Shared Security Responsibility Model – SSRM). Questo framework definisce chiaramente le responsabilità tra i provider di servizi cloud e gli utenti finali, con l’obiettivo di accompagnare il 70% delle Pubbliche Amministrazioni nella migrazione dei dati e degli applicativi verso il cloud entro il 2026, in linea con gli obiettivi del Piano Nazionale di Ripresa e Resilienza (PNRR).

Il regolamento stabilisce livelli minimi di sicurezza per le infrastrutture digitali delle Pubbliche Amministrazioni, definendo caratteristiche di qualità, sicurezza, performance, scalabilità, interoperabilità e portabilità dei servizi cloud. Inoltre, stabilisce i termini e le modalità con cui le amministrazioni devono effettuare le migrazioni, nonché il processo e le modalità per la classificazione dei dati e dei servizi digitali.

Bullet Executive Summary

Il nuovo Regolamento Unico per le Infrastrutture e i Servizi Cloud per la Pubblica Amministrazione rappresenta un passo cruciale verso la trasformazione digitale del settore pubblico in Italia. Questo regolamento, adottato dall’Agenzia per la Cybersicurezza Nazionale in collaborazione con il Dipartimento per la Trasformazione Digitale, definisce misure minime di sicurezza e un nuovo processo di qualificazione digitale per i fornitori di servizi cloud. Con l’obiettivo di migliorare l’efficienza e la sicurezza dei servizi pubblici digitali, il regolamento pone un forte accento sulla protezione dei dati e sulla conformità alle normative sulla privacy.

In un contesto di automazione e scalabilità produttiva, è fondamentale comprendere che la migrazione al cloud non è solo una misura tecnica, ma anche organizzativa. Questo regolamento offre un’opportunità straordinaria per lo sviluppo digitale del Paese, grazie all’uso di tecnologie avanzate come l’intelligenza artificiale.

Una nozione avanzata di automazione e scalabilità produttiva applicabile a questo contesto è l’adozione di architetture cloud-native. Queste architetture consentono di sfruttare appieno le potenzialità del cloud, migliorando la resilienza, la scalabilità e la flessibilità dei servizi digitali. Adottare un approccio cloud-native significa progettare e sviluppare applicazioni che possono scalare automaticamente in risposta alla domanda, ottimizzando l’uso delle risorse e riducendo i costi operativi.

In conclusione, il nuovo regolamento rappresenta una pietra miliare nella trasformazione digitale della Pubblica Amministrazione italiana. Invitiamo i lettori a riflettere su come l’adozione di tecnologie avanzate e un approccio rigoroso alla sicurezza possano contribuire a creare un futuro più efficiente e sicuro per tutti.