Determinazione AGID n. 628/2021 del 15/12/2021

Adozione del regolamento sui livelli minimi e sulla qualificazione dei servizi cloud per la PA

La determinazione è un atto regolatorio di AgID con cui viene adottato il regolamento in materia di infrastrutture digitali e servizi cloud per la pubblica amministrazione. Il provvedimento definisce il quadro dei requisiti minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità delle infrastrutture, nonché le caratteristiche di qualità, sicurezza, performance, scalabilità e portabilità dei servizi cloud, includendo le modalità di migrazione e di qualificazione.

Presupposti normativi e coordinamento con le altre amministrazioni

L’atto richiama il quadro normativo di riferimento del Codice dell’amministrazione digitale, della disciplina in materia di cybersicurezza, del perimetro di sicurezza nazionale cibernetica e della normativa sulla protezione dei dati personali. In particolare, si colloca nel contesto dell’art. 33-septies del decreto-legge n. 179/2012 e dell’art. 17 del decreto-legge n. 82/2021, che attribuisce all’Agenzia per la cybersicurezza nazionale la qualificazione dei servizi cloud e prevede, nelle more dei decreti attuativi, l’adozione del regolamento da parte di AgID d’intesa con la struttura competente della Presidenza del Consiglio dei ministri.

La determinazione dà atto anche dell’esperimento della procedura di informazione prevista dalla direttiva (UE) 2015/1535 e della trasmissione del testo al Garante per la protezione dei dati personali ai sensi dell’art. 36, paragrafo 4, del GDPR. L’atto è adottato d’intesa con il Dipartimento per la trasformazione digitale ed è stata sentita l’Agenzia per la cybersicurezza nazionale.

Oggetto del regolamento adottato

Il regolamento approvato disciplina:

• i livelli minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità delle infrastrutture digitali per la PA;
• le caratteristiche di qualità, sicurezza, performance, scalabilità e portabilità dei servizi cloud;
• le modalità di migrazione delle amministrazioni verso i servizi cloud;
• le modalità del procedimento di qualificazione dei servizi cloud per la pubblica amministrazione.

Il contenuto è dunque orientato a uniformare i requisiti tecnici e organizzativi rilevanti per l’adozione del cloud nella PA e a presidiare il passaggio ai nuovi modelli previsti dalla normativa sopravvenuta.

Pubblicazione, efficacia e regime transitorio

La determinazione dispone la pubblicazione dell’atto sul sito istituzionale di AgID e la sua notizia sulla Gazzetta Ufficiale. L’entrata in vigore del regolamento è rinviata al termine del periodo di status quo conseguente alla notifica alla Commissione europea ai sensi della direttiva (UE) 2015/1535.

È inoltre previsto un regime transitorio: fino all’entrata in vigore dei decreti del Presidente del Consiglio dei Ministri richiamati dall’art. 17, comma 5, del decreto-legge n. 82/2021, restano ferme le attività di qualificazione dei servizi cloud delle pubbliche amministrazioni già svolte da AgID.