language: it · last checked: 2026-10-08

Regolamento cloud ACN n. 21007/24 — Allegato 4 — Requisiti per l’adeguamento e la qualificazione

Verbatim from Regolamento ACN n. 21007/24 (ACN, PDF, signed 27/06/2024), Allegato 4, pages 81–88.

REGOLAMENTO PER LE INFRASTRUTTURE DIGITALI E PER I SERVIZI CLOUD PER LE PUBBLICHE AMMINISTRAZIONI, AI SENSI DELL’ARTICOLO 33-SEPTIES, COMMA 4, DEL DECRETO-LEGGE 18 OTTOBRE 2012, N. 179, CONVERTITO, CON MODIFICAZIONI, DALLA LEGGE 17 DICEMBRE 2012, N. 221

ALLEGATO 4 — “REQUISITI PER L’ADEGUAMENTO E LA QUALIFICAZIONE DELLE INFRASTRUTTURE DIGITALI, INFRASTRUTTURE DEI SERVIZI CLOUD E DEI SERVIZI CLOUD PER LA PUBBLICA AMMINISTRAZIONE”

1. Premessa

1.1. Il presente Allegato definisce, in conformità alle previsioni di cui all’articolo 13 del Regolamento, i requisiti per l’adeguamento ai sensi dell’articolo 15 del Regolamento e per la qualificazione ai sensi dell’articolo 17 del Regolamento dei servizi cloud per le pubbliche amministrazioni che possono ospitare, rispettivamente, servizi e dati digitali della pubblica amministrazione classificati, ai sensi del processo di cui all'articolo 5 del Regolamento, quali ordinari, critici o strategici.

2. Requisiti per l’adeguamento e la qualificazione dei servizi cloud di livello 1 (AC1 e QC1)

2.1. Caratteristiche dei servizi cloud

Ai fini della qualificazione di livello 1 (AC1 e QC1) è richiesto il rispetto delle caratteristiche di qualità, di sicurezza, di performance e di scalabilità, di interoperabilità, di portabilità di cui all'Allegato 3 al presente Regolamento per i servizi cloud per le pubbliche amministrazioni che possono trattare dati e servizi classificati quali ordinari e dei requisiti addizionali definiti nelle successive sezioni, da 2.2 a 2.6.

2.2. Catena di adeguamento qualificazione dei servizi cloud

I servizi cloud per le pubbliche amministrazioni adeguati ai sensi dell’articolo 14 del Regolamento ovvero qualificati ai sensi dell’articolo 17 del Regolamento sono erogati, quale livello sottostante, tramite un servizio cloud per le pubbliche amministrazioni qualificato o adeguato ovvero un’infrastruttura digitale o un’infrastruttura dei servizi cloud adeguata. Al fine di adeguarsi ai sensi dell’articolo 14 del Regolamento ovvero ottenere una delle qualificazioni di cui all’articolo 17 del Regolamento per uno specifico livello, un servizio cloud per le pubbliche amministrazioni di tipo Infrastructure-as-a-Service (IaaS) deve essere erogato tramite:

a) un servizio cloud di tipo IaaS adeguato ovvero qualificato per il medesimo livello o superiore;
b) un’infrastruttura digitale per le pubbliche amministrazioni ovvero da una infrastruttura dei servizi cloud per le pubbliche amministrazioni adeguate ai sensi dell’articolo 12 del Regolamento, per il livello medesimo o superiore, ove il livello sottostante non sia rappresentato da un servizio di cui al punto a).

Al fine di adeguarsi ai sensi dell’articolo 14 del Regolamento ovvero ottenere una delle qualificazioni di cui all’articolo 17 del Regolamento per uno specifico livello, un servizio cloud di tipo Platform-as-a-Service (PaaS) deve essere erogato, alternativamente, tramite:

a) un servizio PaaS adeguato ovvero qualificato per il livello medesimo o superiore;
b) un servizio IaaS adeguato ovvero qualificato per il livello medesimo o superiore, ove il livello sottostante non sia rappresentato da un servizio di cui al punto a);
c) un’infrastruttura digitale per le pubbliche amministrazioni ovvero da una infrastruttura dei servizi cloud per le pubbliche amministrazioni adeguate ai sensi dell’articolo 12 del Regolamento, per il livello medesimo o superiore, ove il livello sottostante non sia rappresentato da un servizio di cui al punto b).

Al fine di adeguarsi ai sensi dell’articolo 14 del Regolamento ovvero ottenere una delle qualificazioni di cui all’articolo 17 del Regolamento per uno specifico livello, un servizio cloud di tipo Software-as-a-Service (SaaS) deve essere erogato, alternativamente, tramite:

a) un servizio SaaS adeguato ovvero qualificato per il livello medesimo o superiore;
b) un servizio SaaS sottostante, un servizio PaaS adeguato ovvero qualificato per il livello medesimo o superiore, ove il livello sottostante non sia rappresentato da un servizio di cui al punto a);
c) un servizio IaaS adeguato ovvero qualificato per il livello medesimo o superiore, ove il livello sottostante non sia rappresentato da un servizio di cui al punto b);
d) un’infrastruttura digitale per le pubbliche amministrazioni ovvero da una infrastruttura dei servizi cloud per le pubbliche amministrazioni adeguate ai sensi dell’articolo 12 del Regolamento, per il livello medesimo o superiore, ove il livello sottostante non sia rappresentato da un servizio di cui al punto c).

2.3. Certificazioni richieste per fornitori privati nel caso di qualificazione di servizi cloud

Ai fini della qualificazione di livello 1 (QC1) sono richieste:

un’autocertificazione che attesti la conformità allo standard ISO 9001 – Sistemi di Gestione per la Qualità (SGQ). Il relativo campo di applicazione deve espressamente prevedere almeno le fasi di erogazione del servizio oggetto di qualifica e la prestazione del servizio di assistenza tecnica alla Pubblica Amministrazione italiana;
la certificazione ISO/IEC 27001 – Sistema di gestione per la sicurezza delle Informazioni (SGSI) con estensioni ISO/IEC 27017 e ISO/IEC 27018 per il servizio cloud oggetto di qualifica, il cui perimetro di applicazione (“scope”) deve riguardare almeno i processi relativi alla progettazione e all’erogazione dei servizi cloud oggetto di qualificazione. In alternativa al suddetto requisito è possibile presentare la certificazione Cloud Security Alliance – Star Level 2.

Per le istanze sottomesse dopo sei mesi dalla data di applicazione del presente Regolamento, le certificazioni devono essere emesse da ente certificatore accreditato da un organismo nazionale di accreditamento di un paese membro dell’unione europea ovvero beneficiario di un accordo di mutuo riconoscimento con l’organismo nazionale di accreditamento italiano. Le certificazioni dovranno eventualmente essere rinnovate al fine di coprire, senza soluzione di continuità, l’intero periodo di qualificazione.

2.4. Ulteriori requisiti per servizi cloud erogati in prossimità

Con riferimento ai servizi cloud che sono erogati in prossimità, il fornitore dei servizi cloud assicura l’implementazione dei seguenti requisiti aggiuntivi:

oltre alla componente centrale, che dovrà rispettare tutti i requisiti previsti per la qualificazione ovvero l’adeguamento del servizio cloud, ai sensi degli articoli 17 e 14 del Regolamento, ivi inclusa la catena di qualificazione rispetto ad un’infrastruttura digitale ovvero un’infrastruttura dei servizi cloud adeguata, il servizio cloud può prevedere componenti locali su infrastrutture digitali, infrastrutture dei servizi cloud o infrastrutture di prossimità adeguate;
in caso di una soluzione che permetta di scrivere localmente i dati degli applicativi (c.d. caching), tali dati sono trasferiti senza ingiustificato ritardo, anche attraverso operazioni programmate per gestire lotti massivi (ad es. scheduled job), presso uno o più repository Cloud. I dati primari, che l'applicazione deve utilizzare e di cui deve verificarne la correttezza, devono essere quelli presenti sulla componente centrale, mentre i dati presenti localmente devono essere esclusivamente di natura temporanea e ad uso e consumo per la gestione ordinaria. In particolare, in virtù della natura della soluzione, questa dovrà prevedere la memorizzazione dei dati trattati per il solo tempo necessario allo scopo ovvero configurabile a cura degli amministratori;
ove non sussistano motivate giustificazione di natura tecnica ovvero normativa, tutte le operazioni CRUD (create, read, update, e delete) sulle informazioni devono essere fatte direttamente sul componente centrale che poi successivamente, se necessario, provvede a propagarlo sui sistemi locali;
le modalità di funzionamento descritte nei punti precedenti dovranno essere verificate procedendo ad una cancellazione dei dati salvati in locale per poi andare a reperire le stesse informazioni dalla componente centrale, ricopiando in locale solo quanto strettamente necessario;
la soluzione architetturale deve essere progettata e implementata senza comportare un detrimento dei requisiti di sicurezza previsti per la protezione del dato, anche a livello di rete locale. Inoltre, una volta completata la gestione, il dato deve poter essere cancellato, senza ingiustificato ritardo.

2.5. Ulteriori requisiti nel caso di adeguamento di servizi cloud

MON-01: Censimento utilizzo di servizi cloud [Requisito applicabile dal 01/02/2025]

1_O. Il soggetto con servizi qualificati o adeguati comunica ad ACN, con cadenza semestrale, la lista delle amministrazioni che fanno uso dei propri servizi cloud, secondo le modalità rese disponibile sulla piattaforma digitale.

2.6. Ulteriori requisiti nel caso di qualificazione di servizi cloud

MON-01: Censimento utilizzo di servizi cloud [Requisito applicabile dal 01/02/2025]

1_O. Il soggetto con servizi qualificati o adeguati comunica ad ACN, con cadenza semestrale, la lista delle amministrazioni che fanno uso dei propri servizi cloud, secondo le modalità rese disponibile sulla piattaforma digitale.

QU.LS-01: È garantito il rispetto degli indicatori di servizio obbligatori, sono rese note le modalità di condivisione dei livelli di disponibilità dei servizi e le eventuali penali compensative

4_O. Il soggetto garantisce l'applicazione di penali compensative da corrispondere all'amministrazione in caso di violazione dei livelli di servizio garantiti dal contratto di fornitura del servizio qualificato. I metodi di quantificazione e le condizioni di riconoscimento delle penali compensative sono inclusi nel contratto e sono allineati ai valori e alle condizioni di mercato riscontrabili per servizi analoghi o appartenenti alla medesima categoria.
5_O. Per ogni contratto, il soggetto dispone garanzie assicurative adeguate per assicurare lo svolgimento di tutte le attività previste dall’articolo 21.

QU.PR-01: Tracciamento, reportistica e trasparenza dei costi e della loro elaborazione

1_O. Il soggetto rende disponibile all'amministrazione strumenti (es una dashboard) ed API che permettono di acquisire informazioni di dettaglio sulle metriche per il calcolo dei costi del servizio cloud (cd. di "billing") per rendere il calcolo trasparente all'amministrazione. Le metriche per il calcolo dei costi del servizio cloud devono essere espresse a livello sintetico o dettagliate per indirizzo di costo (es. risorsa cloud).
2_O. Gli strumenti e le API di cui al punto 1_O. permettono di filtrare e creare report di fatturazione con il dettaglio dei costi per ora, giorno o mese, per ogni account o prodotto in uso del servizio cloud. Il tracciamento e l'aggiornamento delle informazioni sul costo deve essere aggiornato almeno una volta ogni ora.

QU.PR-02: Notifica e monitoraggio dei costi

1_O. Il soggetto offre all'amministrazione un sistema di monitoraggio dei costi che permetta di impostare allarmi con notifiche per avvisare l'amministrazione nel caso in cui l'utilizzo del servizio cloud si avvicina o supera il budget/le soglie impostate.

QU.PR-03: Requisiti minimi per il capitolato dei prezzi

1_O. Il soggetto specifica all'amministrazione il proprio metodo e modello di determinazione dei prezzi per la fornitura del servizio cloud, che deve assicurare la massima flessibilità commerciale e supportare scalabilità e crescita.
2_O. Il soggetto fornisce all'amministrazione:
- a. un documento contenente i termini e le condizioni, specificando in particolare se i prezzi siano forniti per un servizio a consumo e se sono in atto politiche di adeguamento dinamico dei prezzi al mercato;
- b. un documento contenente i prezzi (i riferimenti ai prezzi al pubblico sono ammessi a condizione che, su richiesta, sia disponibile un documento completo di listino/prezzi).

3. Requisiti per l’adeguamento e la qualificazione dei servizi cloud di livello 2 (AC2 e QC2)

Ai fini della qualificazione di livello 2 (AC2 e QC2) è richiesto il rispetto dei requisiti per il livello di qualificazione di livello 1 (AC1 e QC1) e dei requisiti addizionali definiti nelle successive sezioni 3.1 e 3.2.

3.1. Caratteristiche dei servizi cloud

È richiesto il rispetto delle caratteristiche di qualità, di sicurezza, di performance e di scalabilità, di interoperabilità, di portabilità di cui all’Allegato 3 del presente Regolamento per i servizi cloud per le pubbliche amministrazioni che possono trattare dati e servizi classificati quali critici ai sensi dell’articolo 3 del Regolamento.

3.2. Certificazioni richieste nel caso di qualificazione di servizi cloud

Ai fini della qualificazione di livello 2 (QC2) sono richieste:

un’autocertificazione che attesti la conformità allo standard ISO 22301 – Business Continuity Management System (Gestione della continuità operativa) per il servizio cloud oggetto di qualifica;
un’autocertificazione che attesti la conformità allo standard ISO 20000 – Service Management System per il servizio cloud oggetto di qualifica.

4. Requisiti per l’adeguamento e la qualificazione dei servizi cloud di livello 3 (AC3 e QC3)

Ai fini della qualificazione di livello 3 (AC3 e QC3) è richiesto il rispetto dei requisiti per il livello di qualificazione 2 (AC2 e QC2) e dei requisiti addizionali definiti nelle successive sezioni 4.1 e 4.2.

4.1. Caratteristiche dei servizi cloud

È richiesto il rispetto delle caratteristiche di qualità, di sicurezza, di performance e di scalabilità, di interoperabilità, di portabilità di cui all’Allegato 3 al presente Regolamento per i servizi cloud per le pubbliche amministrazioni che possono trattare dati e servizi classificati quali strategici ai sensi dell’articolo 3 del Regolamento.

4.2. Certificazioni richieste nel caso di qualificazione di servizi cloud

Ai fini della qualificazione di livello 3 (QC3) sono richieste:

la certificazione ISO 22301 - Business Continuity Management System (Gestione della continuità operativa) per il servizio cloud oggetto di qualifica;
la certificazione ISO/IEC 20000 (Service Management) per il servizio cloud oggetto di qualifica;
la certificazione Cloud Security Alliance - Star Level 2.

5. Requisiti per l’adeguamento e la qualificazione dei servizi cloud di livello 4 (AC4 e QC4)

Ai fini della qualificazione di livello 4 (AC4 e QC4) è richiesto il rispetto dei requisiti per il livello di qualificazione 3 (AC3 e QC3) e dei requisiti definiti nella successiva sezione 5.1.

5.1. Ulteriori requisiti di sicurezza

ID.AM-03: I flussi di dati e comunicazioni inerenti all'organizzazione sono identificati

2_SS. Tutti i flussi per l'erogazione del servizio cloud sono soggetti a procedure di approvazione, di monitoraggio e di controllo concordati con l'amministrazione.

PR.DS-01: I dati memorizzati sono protetti

18_SS. Il servizio cloud supporta un meccanismo di cifratura di tipo Hold Your Own Key (HYOK), che consente all'amministrazione la generazione e la gestione autonoma di tutte le chiavi di cifratura attraverso un HSM ospitato, alternativamente, presso:
- a. la propria infrastruttura;
- b. un'infrastruttura messa a disposizione dal fornitore all'amministrazione in modalità dedicata presso una terza parte scelta dall'amministrazione.
19_SS. E' garantito l'accesso esclusivo da parte dell'amministrazione alle chiavi di cui al punto 1 e ai dati in chiaro dell'amministrazione.
20_SS. Il fornitore dei servizi cloud mette a disposizione dell'amministrazione un servizio di HSM in modalità dedicata.
21_SS. Il fornitore dei servizi cloud è autonomo nella fornitura del servizio cloud, disponendo di proprie capacità per operare l'infrastruttura fisica e logica sottostante. Per casi eccezionali e sulla base di documentate limitazioni di carattere tecnico, il fornitore dei servizi cloud può avvalersi di competenze di terze parti, assicurandone, ove possibile, la fungibilità.

PR.IP-11: Le problematiche inerenti la cybersecurity sono incluse nei processi di gestione del personale (es: screening, deprovisioning)

1_SS. Il fornitore dei servizi cloud rende disponibile all'amministrazione la metodologia utilizzata per la verifica del personale (vetting process methodology) con accesso privilegiato al servizio cloud o ai dati dell'amministrazione.
2_SS. Il fornitore dei servizi cloud rende disponibile all'amministrazione l'elenco dei dipendenti con accesso privilegiato al servizio cloud o ai dati dell'amministrazione. L'amministrazione può richiedere unilateralmente la rimozione di uno o più dipendenti dal citato elenco e il fornitore dei servizi cloud provvede nel senso tempestivamente.

6. Requisiti per l’adeguamento di una infrastruttura digitale ovvero di una infrastruttura dei servizi cloud di livello 1 (AI1)

Ai fini dell’adeguamento di livello 1 (AI1) è richiesto il rispetto dei livelli minimi di cui all'Allegato 2 al presente Regolamento per le infrastrutture digitali ovvero le infrastrutture dei servizi cloud per le pubbliche amministrazioni che possono trattare dati e servizi classificati quali ordinari ai sensi dell'articolo 3 e dei requisiti addizionali definiti nelle successive sezioni 6.1, 6.2 e 6.3.

6.1. Certificazioni richieste nel caso di adeguamento delle infrastrutture dei servizi cloud per le pubbliche amministrazioni da parte di soggetti privati

Ai fini dell’adeguamento di una infrastruttura dei servizi cloud di livello QI1, non di tipo housing, sono richieste:

la certificazione ISO 9001 - Sistemi di Gestione per la Qualità (SGQ) per l'infrastruttura digitale oggetto di qualifica. Il relativo campo di applicazione deve prevedere almeno la prestazione del servizio di assistenza tecnica ai clienti;
la certificazione ISO/IEC 27001 – Sistema di gestione per la sicurezza delle Informazioni (SGSI), il cui perimetro di applicazione (“scope”) deve riguardare almeno i processi relativi alla gestione e alla manutenzione dell’infrastruttura oggetto di qualifica.

6.2. Ulteriori requisiti nel caso di adeguamento di infrastruttura digitale da parte di soggetti pubblici, in-house o società a controllo pubblico che gestiscono le infrastrutture digitali della pubblica amministrazione per espressa previsione normativa

MON-01: Censimento utilizzo infrastrutture [Requisito applicabile dal 01/02/2025]

1_O. Il soggetto con infrastrutture adeguate comunica ad ACN, con cadenza semestrale, la lista delle amministrazioni che fanno uso delle proprie infrastrutture digitali, secondo le modalità rese disponibile sulla piattaforma digitale.

S.DC-04: Data center – titoli di possesso dei locali

1_O. L’amministrazione deve dimostrare che gli immobili in cui sono situati i Data Center devono essere nella disponibilità esclusiva dell’Ente sulla base di uno dei seguenti titoli di possesso:
- a. proprietà;
- b. locazione/comodato da altra PA o Demanio;
- c. leasing immobiliare con possibilità di riscatto;
- d. locazione o possesso da privato con contratti di tipo “rent to buy” o “vendita con patto di riservato dominio”.

6.3. Ulteriori requisiti nel caso di adeguamento di infrastruttura dei servizi cloud per le pubbliche amministrazioni per soggetti privati

MON-01: Censimento utilizzo infrastrutture [Requisito applicabile dal 01/02/2025]

1_O. Il soggetto con infrastrutture adeguate comunica ad ACN, con cadenza semestrale, la lista delle amministrazioni che fanno uso delle proprie infrastrutture digitali, secondo le modalità rese disponibile sulla piattaforma digitale.

1_O. Il soggetto garantisce l’applicazione di penali compensative da corrispondere all’amministrazione in caso di violazione dei livelli di servizio garantiti dal contratto di fornitura dell’infrastruttura. I metodi di quantificazione e le condizioni di riconoscimento delle penali compensative sono inclusi nel contratto e sono allineati ai valori e alle condizioni di mercato riscontrabili per servizi analoghi o appartenenti alla medesima categoria.
2_O. Per ogni contratto, il soggetto dispone garanzie assicurative adeguate per assicurare lo svolgimento di tutte le attività previste dall’articolo 21 del Regolamento.

6.4. Ulteriori requisiti nel caso di adeguamento di infrastrutture di prossimità

Fermo restando la necessità di assicurare i requisiti di protezione del dato, ove sussistano, per le peculiarità dell’infrastruttura di prossimità ovvero per la natura del supporto fornito ai servizi cloud per le pubbliche amministrazioni, specifiche motivazioni tecniche che richiedano deroghe, anche parziali, ai livelli minimi di cui all’Allegato 2, l’operatore di infrastrutture digitali né dà evidenza di dettaglio nella relazione di conformità di cui agli articoli 13 e 14 del Regolamento, descrivendo, altresì, l’eventuale modalità alternativa con cui raggiunge analogo obiettivo e le eventuali analisi del rischio connesse. In ogni caso, l’operatore di infrastrutture digitali assicura almeno il rispetto dei livelli minimi previsti nell’Allegato 2 di seguito riportati:

in tema di “Capacità Elaborativa”, il par. 2.2;
in tema di “Data Center Security”, il par. 2.3 e 3.2;
in tema di “Risparmio energetico”, il par. 2.4;
in tema di “Sicurezza”, il par. 2.5, 3.3 e 4.2, coerentemente con il livello di adeguamento richiesto, come dall’ articolo 12 del Regolamento, ad eccezione dei requisiti PR.IP-04, PR.IP- 09 e PR.PT-05.

7. Requisiti per l’adeguamento di una infrastruttura digitale ovvero di una infrastruttura dei servizi cloud di livello 2 (AI2)

Ai fini dell’adeguamento di livello 2 (AI2) è richiesto il rispetto dei requisiti per il livello di adeguamento 1 (AI1) e dei requisiti addizionali definiti nelle successive sezioni 7.1 e 7.2.

7.1. Livelli minimi delle infrastrutture digitali

Ai fini dell’adeguamento di livello 2 (AI2) è richiesto, inoltre, il rispetto dei livelli minimi di cui all'Allegato 2 al presente Regolamento per le infrastrutture digitali ovvero le infrastrutture dei servizi cloud per la pubblica amministrazione che possono trattare dati e servizi classificati quali critici ai sensi dell'articolo 3 del Regolamento.

7.2. Certificazioni richieste nel caso di adeguamento delle infrastrutture dei servizi cloud per le pubbliche amministrazioni da parte di soggetti privati

Ai fini dell’adeguamento di una infrastruttura dei servizi cloud di livello 2 (AI2), non di tipo housing, è richiesta un'autocertificazione che attesti la conformità allo standard ISO 22301 - Business Continuity Management System (Gestione della continuità operativa) per l'infrastruttura digitale oggetto di qualifica.

8. Requisiti per l’adeguamento di una infrastruttura digitale ovvero di una infrastruttura dei servizi cloud di livello 3 (AI3)

Ai fini dell’adeguamento di livello 3 (AI3) è richiesto il rispetto dei requisiti per il livello di adeguamento 2 (AI2) e dei requisiti addizionali definiti nelle successive sezioni 8.1 e 8.2.

8.1. Livelli minimi delle infrastrutture digitali

Ai fini dell’adeguamento di livello 3 (AI3) è richiesto, inoltre, il rispetto dei livelli minimi di cui all’Allegato 2 al presente Regolamento per le infrastrutture digitali ovvero le infrastrutture dei servizi cloud per la pubblica amministrazione che possono trattare dati e servizi classificati quali strategici ai sensi dell'articolo 3 del Regolamento.

8.2. Certificazioni richieste nel caso di adeguamento delle infrastrutture dei servizi cloud per le pubbliche amministrazioni da parte di soggetti privati

Ai fini dell’adeguamento di una infrastruttura dei servizi cloud di livello 3 (AI3), non di tipo housing, è richiesta la certificazione ISO 22301 - Business Continuity Management System (Gestione della continuità operativa) per l'infrastruttura oggetto di qualifica. Per le istanze sottomesse dopo sei mesi dalla data di applicazione del presente Regolamento, le certificazioni devono essere emesse da ente certificatore accreditato da un organismo nazionale di accreditamento di un paese membro dell’unione europea ovvero beneficiario di un accordo di mutuo riconoscimento con l’organismo nazionale di accreditamento italiano. Nel caso di adeguamento di infrastrutture di prossimità, è fatta possibilità di derogare al rispetto del presente requisito, descrivendo, nella relativa relazione di conformità, le motivate ragioni tecniche e organizzative per cui non è possibile adempiere alla presente previsione, unitamente alla descrizione, corredata da relativa analisi del rischio, relativamente alle modalità alternative per supportare le esigenze di Business Continuity. Le certificazioni dovranno eventualmente essere rinnovate al fine di coprire, senza soluzione di continuità, l’intero periodo di qualificazione.

9. Requisiti per l’adeguamento di una infrastruttura digitale ovvero di una infrastruttura dei servizi cloud di livello 4 (AI4)

Ai fini dell’adeguamento di livello 4 (AI4) è richiesto il rispetto dei requisiti per il livello di adeguamento 3 (AI3) e dei requisiti definiti nella sezione 9.1.

9.1. Ulteriori requisiti di sicurezza

PR.IP-11: Le problematiche inerenti la cybersecurity sono incluse nei processi di gestione del personale (es: screening, deprovisioning)

1_SS. L’operatore di infrastrutture digitali rende disponibile all'amministrazione la metodologia utilizzata per la verifica del personale (vetting process methodology) con accesso privilegiato all'infrastruttura o ai dati dell'amministrazione.
2_SS. L’operatore di infrastrutture digitali rende disponibile all'amministrazione l'elenco dei dipendenti con accesso privilegiato all'infrastruttura o ai dati dell'amministrazione. L'amministrazione può richiedere unilateralmente la rimozione di uno o più dipendenti dal citato elenco e il fornitore dei servizi cloud provvede nel senso tempestivamente.

Sources

ACN — Cloud: documentazione utile ("Regolamento ACN n. 21007/24", 27 giugno 2024)
RegolamentoCloud.pdf (archived: sources/RegolamentoCloud.pdf)