I servizi ai cittadini non possono fermarsi. L'IT della PA nemmeno.

La NIS2 include espressamente la pubblica amministrazione tra i soggetti essenziali, con specifiche indicazioni per PA centrale e locale. Per i comuni, l'applicabilità dipende dalla dimensione e dalle funzioni svolte — non tutti i comuni rientrano automaticamente. Il D.Lgs. 138/2024 demanda ad apposite linee guida la definizione puntuale dei criteri per gli enti locali. Quello che è certo è che tutti gli enti, indipendentemente dalla NIS2, sono tenuti alle Misure Minime di Sicurezza ICT per la PA (Circolare AgID 2/2017) e al GDPR. Il nostro assessment gratuito analizza la vostra situazione specifica e vi dice con precisione quali obblighi si applicano.

La quasi totalità dei gestionali pubblici (Halley, Maggioli, Wolters Kluwer, Insiel, SIGeS, e altri) opera su infrastruttura che non fa parte del software stesso. Noi gestiamo quella infrastruttura: il server su cui gira il gestionale, la rete che lo raggiunge, il backup dei dati, la sicurezza del perimetro. Non sostituiamo il gestionale e non ne modifichiamo il codice. In caso di problemi del gestionale, lavoriamo in coordinamento con il vostro fornitore applicativo. Questo vale anche per i sistemi del Ministero — SIOPE, SOGEI, Registro Imprese — dove gestiamo la connettività e la sicurezza del lato ente.

I contratti con la PA devono rispettare il Codice dei Contratti Pubblici (D.Lgs. 36/2023). Per importi sotto soglia, i comuni possono procedere con affidamento diretto o procedura negoziata senza bando. Siamo iscritti al MEPA (Mercato Elettronico della PA) e disponibili ad operare tramite convenzioni Consip dove applicabili. Il nostro canone mensile fisso permette di inserire la spesa IT nella programmazione triennale senza variazioni. Siamo disponibili a strutturare la proposta in modo compatibile con il vostro ciclo di bilancio e le vostre procedure amministrative.

Per un ente PA soggetto NIS2, i passi obbligatori sono: isolamento immediato dei sistemi colpiti, pre-notifica all'ACN entro 24 ore dall'incidente significativo, notifica completa entro 72 ore, relazione finale entro 30 giorni. In parallelo, se l'incidente comporta una violazione di dati personali dei cittadini, notifica al Garante Privacy entro 72 ore e comunicazione agli interessati se i rischi sono elevati. Anche per gli enti non ancora soggetti NIS2, il GDPR impone la notifica al Garante per qualsiasi violazione di dati personali. Il nostro servizio include un piano di incident response che gestisce queste procedure per voi, incluso il supporto alla redazione delle notifiche.

Il CAD e le circolari AgID richiedono che i dati della PA siano ospitati su infrastrutture qualificate AgID — un elenco specifico di provider e datacenter che hanno ottenuto la qualifica dall'Agenzia. Google Drive e Microsoft 365, nelle configurazioni standard, non soddisfano automaticamente questi requisiti (anche se esistono versioni specifiche per il settore pubblico che possono essere conformi). I dati critici e sensibili devono risiedere su cloud qualificato o in datacenter certificati in Italia. Il nostro datacenter ha tutte le certificazioni richieste (ISO 27001, PCI DSS, ANSITIA-942, fisicamente in Italia) e può ospitare i sistemi dell'ente in conformità con le linee guida AgID.