Sentenza n. 730/2026 - Venezia, Sezione 3

Esito

La controversia

La ricorrente, gestore uscente del servizio, ha impugnato la nota con cui l’Azienda U.L.S.S. ha individuato una società cooperativa quale migliore offerente nell’ambito di un’indagine di mercato e la successiva determinazione di affidamento diretto del servizio per dodici mesi, rinnovabili per ulteriori dodici. Con il primo motivo ha dedotto la violazione del Regolamento dell’Agenzia per la cybersicurezza nazionale, nonché dei principi di buon andamento, imparzialità e motivazione, sostenendo che l’affidataria fosse priva della qualificazione necessaria per fornire servizi cloud alla pubblica amministrazione e che il servizio non fosse incluso nel catalogo ACN. Con il secondo motivo ha denunciato la mancata verifica dei requisiti di cybersicurezza e l’omessa considerazione di tali profili nella valutazione dell’offerta, oltre a difetto di istruttoria e motivazione. Con il terzo motivo ha contestato la veridicità dell’offerta tecnica dell’affidataria, in particolare quanto alla disponibilità e all’autorizzazione all’impiego degli interpreti LIS indicati. L’U.L.S.S. ha sostenuto di avere richiesto chiarimenti all’affidataria e di avere fatto affidamento sulle dichiarazioni rese, secondo cui la soluzione sarebbe stata interamente on-premise e non avrebbe richiesto una qualificazione ACN.

La decisione

Il TAR ha definito il giudizio con sentenza in forma semplificata ai sensi dell’art. 60 c.p.a. e ha accolto il secondo motivo. Dagli atti non risultava che, prima dell’affidamento, l’U.L.S.S. avesse verificato il rispetto delle prescrizioni del Regolamento ACN relative ai servizi digitali forniti alla pubblica amministrazione. L’indagine di mercato non richiamava tali prescrizioni e l’Amministrazione aveva chiesto chiarimenti all’affidataria soltanto dopo la proposizione del ricorso, dimostrando che la verifica non era stata previamente svolta. Non era sufficiente fare affidamento sull’assenza di ragioni per dubitare delle dichiarazioni dell’operatore, trattandosi di requisiti tecnici di sicurezza che la stazione appaltante era tenuta ad accertare in ragione della tipologia del servizio e della possibile trattazione di dati sensibili. Inoltre, le caratteristiche dell’offerta — servizio da remoto accessibile via internet, mediante piattaforma proprietaria, senza installazione presso la pubblica amministrazione e remunerato a canone — facevano apparire il servizio come prestazione in cloud, nonostante le successive dichiarazioni dell’affidataria circa la propria architettura on-premise. Gli atti sono stati quindi annullati per difetto di istruttoria e motivazione. L’Amministrazione dovrà qualificare l’offerta come on-premise o cloud e, in quest’ultimo caso, verificare il possesso dei requisiti ACN, senza che il giudice possa sostituire le proprie valutazioni a quelle amministrative. Le ulteriori censure sono state assorbite. Le spese sono state poste a carico dell’U.L.S.S. e dell’affidataria, nella misura di 1.500 euro ciascuna, oltre accessori di legge se dovuti.

Norme richiamate

• art. 60 c.p.a.

  Le parti sono state sentite ai sensi dell’art. 60 del codice del processo amministrativo.

  Consente la definizione del giudizio con sentenza in forma semplificata quando ne ricorrono i presupposti, previo avviso alle parti.

• art. 50, comma 1, lett. b), d.lgs. 36/2023

  Affidamento ai sensi dell’art. 50, comma 1, lett. b) del D.Lgs. 36/2023.

  Costituisce la base normativa dell’affidamento diretto del servizio impugnato.

• art. 33-septies, comma 4, d.l. 179/2012

  È richiamato quale base normativa del Regolamento ACN applicabile all’acquisizione di servizi digitali da parte delle amministrazioni.

• Regolamento ACN adottato con decreto direttoriale n. 21007/2024 del 27 giugno 2024

  Gli operatori economici che forniscono servizi in cloud devono essere in possesso della qualifica ACN e il servizio offerto deve essere incluso nell’apposito catalogo dei servizi in cloud.

  Impone la verifica dei requisiti di qualità, sicurezza e adeguatezza dei servizi digitali offerti alla pubblica amministrazione, inclusa la qualificazione ACN e l’iscrizione del servizio nel catalogo quando la prestazione è qualificabile come servizio cloud.

• Direttiva (UE) 2022/2555 (NIS 2)

  È richiamata dall’Amministrazione nell’ambito delle verifiche richieste all’affidataria sulle misure tecniche, organizzative e operative di sicurezza informatica.

• d.lgs. 138/2024

  È indicato quale decreto di recepimento in Italia della Direttiva (UE) 2022/2555.

• art. 108, comma 4, d.lgs. 36/2023

  È stato richiamato dalla ricorrente per sostenere che la cybersicurezza dovesse essere considerata nella valutazione delle offerte; il giudice ha deciso sulla distinta e assorbente carenza istruttoria relativa ai requisiti ACN.

Massime di principio

• Quando una pubblica amministrazione affida un servizio digitale potenzialmente qualificabile come servizio cloud, deve previamente qualificare la soluzione offerta e verificare in modo specifico il rispetto dei requisiti di cybersicurezza applicabili, non potendo limitarsi a recepire senza adeguato riscontro le dichiarazioni dell’operatore economico.
• La verifica dei requisiti tecnici di cybersicurezza deve essere svolta prima dell’affidamento; le richieste di chiarimenti rivolte all’affidatario soltanto dopo la proposizione del ricorso non possono colmare l’omessa istruttoria procedimentale originaria.
• Le caratteristiche concrete di un servizio — accesso da remoto via internet, uso di una piattaforma proprietaria, assenza di installazioni presso l’amministrazione e fruizione mediante dispositivi connessi — possono rendere necessaria una verifica della sua qualificazione come servizio cloud, anche quando l’operatore dichiari di utilizzare un’architettura on-premise.
• L’omessa verifica dei requisiti di cybersicurezza prescritti per i servizi digitali della pubblica amministrazione integra difetto di istruttoria e di motivazione e comporta l’annullamento dell’affidamento, con riedizione del potere da parte dell’amministrazione competente.
• Il giudice amministrativo, accertata l’omessa istruttoria, annulla l’affidamento e rimette all’amministrazione la qualificazione tecnica della soluzione e le conseguenti verifiche, senza sostituire le proprie valutazioni a quelle riservate all’amministrazione.

Come è indicizzato