E-procurement

Conformemente a quanto richiesto dall’art. 25, comma 1 del Codice, le Regole tecniche richiedono il rispetto del modello di interoperabilità delle Pubbliche Amministrazioni (MoDI), e delle Linee guida sulla PDND, poiché l’interazione tra le Piattaforme e i servizi esposti da ANAC per interagire con la BDNCP avviene tramite la PDND. Le specifiche per l’utilizzo degli ambienti di collaudo e produzione della PDND sono oggetto del documento INT-PDND. Le regole tecniche, inoltre, specificano alcuni aspetti dell’interoperabilità o della portabilità tra Piattaforme, al di fuori del perimetro della PDND, ad esempio la possibilità di effettuare importazione ed esportazione del fascicolo di gara. L’ambito di riferimento dell’interoperabilità potrà essere ampliato in sede di aggiornamento ed evoluzione delle Regole tecniche, anche in considerazione del quadro di riferimento europeo.

È opportuno innanzi tutto sottolineare che le definizioni delle Regole tecniche hanno validità nell’ambito delle Regole stesse e sono quindi finalizzate al processo di certificazione dei prodotti e di dichiarazione di conformità delle Piattaforme. Non vi sono pertanto implicazioni rispetto all’organizzazione interna dei vari attori che sviluppano, gestiscono e utilizzano le Piattaforme o ad aspetti estranei alle Regole, quali la proprietà del codice. Nello specifico, il Titolare è il soggetto che richiede la certificazione di uno o più componenti di Piattaforma e si impegna a mantenere tali componenti conformi a quanto stabilisce il Codice, anche incaricando altri soggetti. Il Gestore è il soggetto che integra uno o più componenti certificati per realizzare una specifica istanza di Piattaforma. Il Gestore emette la dichiarazione di conformità ed è responsabile della gestione in esercizio della Piattaforma. Pertanto, il Gestore assicura che eventuali aggiornamenti della istanza di Piattaforma non violino i presupposti della dichiarazione di conformità. Se Titolare e Gestore sono il medesimo soggetto giuridico, le regole tecniche richiedono che sia garantita una separazione organizzativa interna che consenta di attribuire ai ruoli di Gestore e Titolare le relative responsabilità. Come buone pratiche, si può far riferimento ai controlli ISO/IEC 27002, nello specifico quelli organizzativi, in particolare alla separazione dei compiti, e a quelli tecnologici, in particolare la separazione degli ambienti di sviluppo, test e produzione. Salvo il caso di coincidenza tra Titolare e Gestore nel medesimo soggetto giuridico, solo il Gestore può aderire alla PDND, pertanto, come indicato nel documento INT-PDND, è necessario che un Titolare incarichi un Gestore (Gestore incaricato) per effettuare i test di Classe 3 sul componente software da certificare, previa adesione alla PDND.

L’articolo 25 comma 1 del Codice stabilisce che “le piattaforme di approvvigionamento digitale sono costituite dall’insieme dei servizi e dei sistemi informatici, interconnessi e interoperanti, utilizzati dalle stazioni appaltanti e dagli enti concedenti per svolgere una o più attività di cui all’articolo 21, comma 1” Quest’ultimo articolo, a sua volta, stabilisce che “il ciclo di vita digitale dei contratti pubblici, di norma, si articola in programmazione, progettazione, pubblicazione, affidamento ed esecuzione”. Non sono dunque previsti confini rigidi legati alle fasi ma si parla di attività e ogni Piattaforma rientra nella definizione dell’articolo 25 ed è soggetta a certificazione anche se gestisce una sola attività del ciclo di vita digitale dei contratti pubblici (che dunque non corrisponde necessariamente ad una fase completa). La certificazione rispetta tale principio e la checklist consente di indicare quando i requisiti non sono applicabili, con un approccio simile alla Dichiarazione di applicabilità previsto dalla certificazione ISO/IEC 27001. Sono oggetto di certificazione i requisiti corrispondenti alle attività effettivamente supportate dalla Piattaforma, in coerenza con i requisiti del Codice. Il certificato, per ogni componente, elenca i requisiti supportati e attesta che la verifica ha avuto esito positivo.

Il Gestore è il soggetto che installa ed integra uno o più componenti certificati, secondo le indicazioni fornite dai relativi Titolari producendo così un’istanza di Piattaforma. Effettua i test in ambiente di collaudo della PDND richiamando gli e-service di test di ANAC e – ad esito positivo degli stessi – predispone, sottoscrive ed invia ad AGID una dichiarazione di conformità secondo le modalità che sono descritte nello schema operativo.