Regole tecniche Piattaforme di Approvvigionamento Digitale (PAD)

Regole tecniche sui requisiti tecnici e sulla certificazione delle PAD

Le presenti regole tecniche disciplinano i requisiti e le modalità di certificazione delle Piattaforme di Approvvigionamento Digitale (PAD), ai sensi dell'art. 26 del Codice dei contratti pubblici, come modificato dal correttivo del 2024. Il documento definisce il quadro prescrittivo per garantire che le PAD consentano la digitalizzazione completa del ciclo di vita dei contratti pubblici, in coerenza con il CAD, con le linee guida AGID e con gli obblighi di interoperabilità, sicurezza e tracciabilità.

Ambito di applicazione e destinatari

I destinatari diretti sono i Gestori PAD, ossia i soggetti che garantiscono il funzionamento e la sicurezza della piattaforma e ne assicurano la conformità normativa. Il Gestore può coincidere con la stazione appaltante, l'ente concedente, una centrale di committenza o altro soggetto incaricato.

Le PAD sono strumenti informatici interconnessi e interoperanti utilizzati dalle stazioni appaltanti e dagli enti concedenti per svolgere una o più attività del ciclo di vita dei contratti pubblici e per interagire con la BDNCP. Il documento ribadisce che gli obblighi di digitalizzazione previsti per le stazioni appaltanti si estendono alle PAD in quanto parte essenziale dell'ecosistema di approvvigionamento digitale.

Quadro normativo di riferimento

La disciplina si fonda in particolare su:

• articolo 26 del Codice dei contratti pubblici, che attribuisce ad AGID il compito di stabilire le modalità di certificazione dei requisiti tecnici delle PAD, d'intesa con ANAC, DTD e ACN;
• articolo 22 del Codice, che elenca le funzioni che le PAD devono consentire;
• CAD, incluso l'art. 18-bis sui poteri di vigilanza, verifica e monitoraggio di AGID;
• regolamento eIDAS e GDPR;
• regolamento e requisiti ACN sul cloud per la PA;
• legge 4/2004 sull'accessibilità;
• normativa sui dati aperti;
• legge n. 132/2025 e quadro AI Act per i profili di intelligenza artificiale.

Sono inoltre richiamate le linee guida AGID su documenti informatici, PDND, interoperabilità tecnica, sicurezza dell'interoperabilità via API e specifiche eDGUE-IT.

Requisiti di transizione digitale e obblighi generali

Le PAD devono rispettare i principi e le disposizioni del CAD e del Codice dei contratti pubblici in materia di:

• formazione, gestione e conservazione dei documenti informatici;
• accessibilità;
• interoperabilità tecnica;
• sicurezza;
• dati aperti;
• principio del once only.

Il documento evidenzia che il Gestore deve monitorare costantemente l'evoluzione di norme, linee guida e regole tecniche, anche quando utilizza componenti software sviluppati da terzi. Resta ferma la vigilanza di AGID ex art. 18-bis CAD, con poteri di accertamento delle violazioni anche su segnalazione di ANAC o delle stazioni appaltanti.

Sicurezza delle informazioni

I Gestori PAD sono tenuti a conformarsi alla normativa in materia di sicurezza delle informazioni e, ai fini della certificazione, devono impiegare infrastrutture digitali e servizi cloud qualificati o adeguati secondo il Regolamento ACN, coerentemente con la classificazione dei dati e dei servizi effettuata dall'amministrazione utilizzatrice.

Il Gestore deve comunicare ad AGID il livello di qualificazione ottenuto e renderlo pubblico, così che stazioni appaltanti ed enti concedenti possano verificarne la compatibilità con la propria classificazione. Le PAD devono inoltre essere sviluppate secondo le linee guida AGID per lo sviluppo sicuro del software, anche in caso di componenti acquisiti da terzi.

Requisiti funzionali e classi di certificazione

I requisiti tecnici sono suddivisi in quattro classi:

• Classe 1: requisiti funzionali generali, relativi ad accesso digitale, registrazione/profilazione/delega, tracciabilità e comunicazioni digitali;
• Classe 2: requisiti funzionali specifici, relativi a documenti in formato nativo digitale, accesso alla documentazione di gara, DGUE, offerte, fascicolo di gara, once only, pubblicità legale e informazioni a candidati e offerenti;
• Classe 3: requisiti di interoperabilità con MoDI, PDND e servizi ANAC, oltre alla gestione degli errori;
• Classe 4: requisiti per procedure end-to-end complete, con gestione di tutti i flussi di lavoro di gara e di esecuzione.

La verifica di Classe 3 è affidata ad ANAC tramite attestazione del superamento dei test di interoperabilità. La Classe 4 richiede invece una valutazione da parte di un organismo di valutazione della conformità accreditato, che certifica l'esecuzione delle procedure complete e l'integrazione con BDNCP e principio del once only.

Certificazione delle PAD e ruolo dei soggetti istituzionali

La certificazione delle PAD si basa su requisiti di sicurezza, funzionali e di interoperabilità, con l'obiettivo di garantire affidabilità, uniformità e qualità del servizio. Il sistema coinvolge:

• AGID, che riceve le istanze, verifica i titoli e comunica gli esiti ad ANAC;
• ANAC, che gestisce il Registro delle piattaforme certificate e rilascia le attestazioni di Classe 3;
• Accredia, che disciplina gli organismi di valutazione della conformità;
• i CAB, che rilasciano la certificazione per la Classe 4.

Il Registro delle piattaforme certificate è composto da sezioni pubbliche e non pubbliche; sono rese pubblicamente accessibili alle stazioni appaltanti le sole PAD certificate e i relativi Gestori. Il Registro è inoltre funzionale all'assegnazione degli attributi certificati in PDND e all'abilitazione agli e-service ANAC.

Procedura operativa di certificazione

Prima di presentare l'istanza, il Gestore deve ottenere tutti i titoli richiesti:

• qualificazione o attestazione ACN per la sicurezza;
• attestazione ANAC per i requisiti di Classe 3;
• certificato CAB per i requisiti di Classe 4.

Per l'abilitazione al collaudo PDND ai fini dei test di Classe 3 sono previste specifiche modalità operative pubblicate da AGID. Una volta verificata la completezza della documentazione, AGID comunica ad ANAC l'esito positivo per l'iscrizione della PAD e del Gestore nel Registro, con stato "CERTIFICATA".

Ulteriori requisiti del Gestore e rapporti con la stazione appaltante

Se il Gestore non coincide con la stazione appaltante, deve esistere un accordo contrattuale che attribuisca formalmente al Gestore la responsabilità delle attività connesse al ciclo di vita dei contratti e definisca i livelli di servizio. Se la PAD usa credenziali rilasciate dalla SA o si integra con il suo sistema IAM, l'accordo deve attribuire alla SA la responsabilità del corretto riconoscimento o della corretta gestione del sistema.

Il Gestore svolge attività di abilitazione utenti, gestione comunicazioni, tracciamento, anonimizzazione/aggregazione e messa a disposizione di dati aperti, oltre al monitoraggio della piattaforma. In tali attività è nominato responsabile del trattamento e deve garantire il rispetto della normativa sulla protezione dei dati personali.

Intelligenza artificiale e automazione

L'uso di funzionalità IA nelle PAD è riconosciuto come potenzialmente utile per progettazione di gara, analisi delle offerte, gestione della procedura, fase esecutiva ed elaborazioni statistiche. Tuttavia l'adozione deve rispettare i principi di trasparenza, spiegabilità, non discriminazione, robustezza, sicurezza e controllo umano.

Le decisioni con impatti giuridico-economici rilevanti, come ammissione o esclusione, valutazione dell'offerta, aggiudicazione o risoluzione del contratto, non possono essere demandate a un sistema automatico. Deve restare necessario un intervento umano qualificato, con accesso del RUP alle informazioni essenziali, ai dati di input, ai parametri utilizzati e alla logica dell'output generato.

La verifica di conformità per sistemi IA dovrebbe includere una dichiarazione di utilizzo, l'attestazione di aderenza ai principi fondamentali, la tracciabilità di input e output e la possibilità di disattivare le funzionalità IA. Per i sistemi ad alto rischio o soggetti agli obblighi dell'art. 50 AI Act si applica direttamente il regolamento europeo; per i sistemi a rischio limitato, minimo o nullo si rinvia alle linee guida richiamate dal Piano triennale.

Entrata in vigore e disciplina transitoria

Le regole entrano in vigore il giorno successivo alla pubblicazione del provvedimento di adozione sul sito AGID, con avviso in Gazzetta Ufficiale. In fase transitoria, fino alla piena operatività dei CAB:

• le nuove certificazioni possono essere richieste mediante autodichiarazione per i requisiti di Classe 1 e 2, secondo il modello AGID basato sulle checklist dell'Allegato 2;
• per le certificazioni in scadenza nel 2026, entro 30 giorni dall'entrata in vigore i Gestori devono trasmettere ad AGID un elenco degli interventi e una pianificazione di adeguamento entro 180 giorni.

La trasmissione di tali piani comporta il rinnovo delle certificazioni già ottenute fino all'avvio delle verifiche dei CAB, salva la facoltà di AGID, ANAC, DTD e ACN di svolgere verifiche intermedie. Le regole e gli allegati possono essere aggiornati da AGID, sentiti ANAC, DTD e ACN, anche con possibile riesame anticipato delle certificazioni a seguito di modifiche dell'Allegato 2.