La gara Sicurezza on Premises, prodotti e servizi per la protezione e la resilienza delle reti e dei sistemi informativi, pubblicata da Consip, arriva a regime il programma di acquisti 2026 dedicato alla cybersecurity della pubblica amministrazione. La procedura vale 317 milioni di euro ed è la terza del pacchetto già previsto, dopo le due bandite a giugno. La somma del valore delle tre iniziative arriva a 1.255 milioni di euro, che configura la dotazione complessiva messa a disposizione di amministrazioni centrali e locali.
Le gare, già inserite nel Piano 2026 che la società del ministero dell’Economia e delle Finanze aveva diffuso a febbraio, non sono concepite come contratti indipendenti. L’impianto segue l’intero ciclo della sicurezza informatica: parte dalla definizione delle strategie e dalla valutazione dei rischi, prosegue con la protezione e il monitoraggio continuo dei sistemi e arriva fino alla gestione operativa delle infrastrutture
Tecnologie, persone, servizi gestiti
Le procedure si dividono il campo con confini distinti. Quella appena pubblicata riguarda la tecnologia: le amministrazioni potranno acquisire soluzioni di protezione sotto forma di appliance fisica, appliance virtuale oppure in modalità cloud/SaaS. La denominazione on-premises, dunque, non esclude l’acquisto di strumenti erogati da remoto.
Sullo stesso perimetro interviene la gara Sicurezza on Premises sui servizi professionali per la gestione e conduzione delle infrastrutture di cybersecurity, da 112 milioni di euro, pubblicata a giugno. In questo caso l’oggetto non sono le soluzioni, ma ciò che serve per farle funzionare nel tempo: competenze, risorse e metodologie, messe a disposizione sia da remoto sia presso le sedi delle amministrazioni. Considerate insieme, le due gare on-premises valgono 429 milioni di euro, poco più di un terzo della dotazione complessiva.
Il capitolo più consistente è però quello dei Servizi di sicurezza da remoto, con 826 milioni di euro, pari a circa due terzi dell’intero programma. La procedura, anch’essa bandita a giugno, prevede l’erogazione continuativa di servizi di sicurezza gestiti, affiancata da attività di governo, valutazione dei rischi, verifica delle vulnerabilità e controllo delle misure adottate. Per avere un termine di paragone, l’accordo quadro della generazione precedente in un ambito analogo (Servizi di sicurezza da remoto, di compliance e controllo (ID 2296), oggi chiuso ma con contratti esecutivi ancora attivi) ha un valore complessivo di 585 milioni di euro.
Un unico disegno per esigenze diverse
La logica che tiene insieme le tre iniziative è illustrata da Marco Reggiani, amministratore delegato e direttore generale di Consip: “La strategia Consip per supportare la cybersicurezza della PA punta a mettere a sistema iniziative diverse all’interno di un disegno unitario.
Un approccio che consente alle amministrazioni di individuare le soluzioni più adatte alle proprie esigenze in funzione delle caratteristiche delle infrastrutture, del livello di maturità organizzativa e degli specifici rischi da presidiare”.
Tradotto in termini operativi, la modularità consente combinazioni differenti. Un ente con un presidio tecnico interno strutturato può limitarsi ad acquistare tecnologia e affidarne la conduzione al proprio personale; un’amministrazione con organici ridotti può invece affiancare ai prodotti i servizi professionali, oppure delegare monitoraggio e gestione a un fornitore di servizi gestiti. Una flessibilità tutt’altro che secondaria in un comparto eterogeneo, dove ministeri, regioni, aziende sanitarie e piccoli comuni partono spesso da dotazioni e competenze molto diverse.
Il quadro di riferimento
Consip sottolinea che le iniziative recepiscono, tra gli altri, gli indirizzi di quattro riferimenti regolatori, nazionali ed europei. Il primo è la direttiva Nis2, recepita in Italia con il decreto legislativo 138/2024, che ha esteso gli obblighi di gestione del rischio e di notifica degli incidenti a una platea ampia di soggetti pubblici e privati.
Il secondo è la legge 90/2024 sul rafforzamento della cybersicurezza nazionale.
Il terzo, il Dpcm 30 aprile 2025 (modificato da successivo Dpcm del 2 ottobre 2025), dà attuazione all’articolo 14 di quella legge. Il decreto individua gli elementi essenziali di cybersicurezza da considerare negli acquisti di beni e servizi informatici impiegati in contesti connessi alla tutela degli interessi nazionali strategici, elenca le categorie tecnologiche interessate e indica i casi in cui prevedere criteri di premialità per le offerte basate su tecnologie italiane, dell’Unione Europea, dei Paesi Nato o di Paesi terzi legati da accordi di collaborazione con Ue o Nato.
Il quarto è il Regolamento unico dell’Acn per le infrastrutture digitali e i servizi cloud della PA, in vigore da agosto 2024, che fissa i livelli minimi di sicurezza delle infrastrutture e i requisiti di qualificazione dei servizi cloud. Il comunicato non entra nel dettaglio di come questi indirizzi siano declinati nella documentazione di gara.
L’esito atteso è un insieme coordinato di strumenti contrattuali, all’interno del quale l’amministrazione non trova soltanto un listino di prodotti e servizi. Ogni contratto porta con sé requisiti definiti di sicurezza, di qualità e di qualificazione professionale del personale impiegato, accanto a sistemi di monitoraggio e controllo dell’esecuzione. Completano l’impianto i meccanismi di aggiornamento dei servizi. È un aspetto rilevante in un ambito in cui il quadro delle minacce e quello normativo cambiano a ritmo sostenuto: senza una via per adeguare i contenuti, uno strumento di acquisto rischierebbe di fotografare esigenze superate già nel corso della sua durata.
© RIPRODUZIONE RISERVATA
