Source: http://docplayer.it/4637741-Commissione-di-coordinamento-del-sistema-pubblico-di-connettivita.html
Timestamp: 2017-12-11 23:37:29+00:00
Document Index: 42784934

Matched Legal Cases: ['art. 75', 'art. 73', 'art. 75', 'art. 79', 'art. 81', 'art. 80', 'art. 75', 'art. 75', 'art. 1', 'art. 79', 'art. 82', 'art. 2', 'art. 2', 'art. 2', 'art. 3', 'art. 13', 'art.79', 'art.87', 'art. 12', 'art. 87', 'art. 98', 'art. 75', 'art. 87', 'art. 75', 'art. 87', 'art. 13', 'art. 18', 'art. 21', 'art. 75', 'art. 21', 'art. 75', 'art. 75', 'art.21', 'art. 12', 'art. 16', 'art. 12', 'art. 81', 'art. 2', 'art. 79', 'art. 79', 'art. 11', 'art. 17', 'art. 17', 'art 13', 'art. 83', 'art. 22', 'art. 19', 'art. 29']

Commissione di Coordinamento del Sistema Pubblico di Connettività - PDF
Download "Commissione di Coordinamento del Sistema Pubblico di Connettività"
Carolina Meli
1 Commissione di Coordinamento del Sistema Pubblico di Connettività SCHEMA DI CONVENZIONE PER LA CONNESSIONE AL SPC DI GESTORI DI SERVIZI PUBBLICI E SOGGETTI CHE PERSEGUONO FINALITÀ DI PUBBLICO INTERESSE (art. 75, comma 3-bis del d. lgs. 82/2005 recante il Codice dell amministrazione digitale aggiornato con le modifiche introdotte dal d. lgs. 235/2010) SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 1 di 16
2 TRA DigitPA, con sede e domicilio fiscale in Roma viale Marx , codice fiscale n , nella persona del suo legale rappresentate e Presidente Ing. Francesco Beltrame, oppure <la Regione, con sede e domicilio fiscale in, codice fiscale n., nella persona del suo legale rappresentate e > E < nome e ragione sociale del soggetto> (nel seguito Gestore ), con sede in n nella persona di ; VISTO a. le norme che disciplinano il Sistema Pubblico Connettività (nel seguito SPC ) ed in particolare il decreto legislativo 7 marzo 2005, n. 82, recante il Codice dell amministrazione digitale aggiornato con le modifiche introdotte dal decreto legislativo 30 dicembre 2010, n. 235 (nel seguito CAD) ed il DPCM 1 aprile 2008, recante le Regole tecniche e di sicurezza per la realizzazione del SPC, di cui all art. 73, comma 3-bis del CAD; b. l articolo 15 della legge 7 agosto 1990, n. 241, che regolamenta la possibilità per le pubbliche amministrazioni di concludere tra loro accordi per disciplinare lo svolgimento in collaborazione di attività di interesse comune; c. l art. 75, comma 3-bis del CAD, a norma del quale Il gestore di servizi pubblici e i soggetti che perseguono finalità di pubblico interesse possono usufruire della connessione al SPC e dei relativi servizi, adeguandosi alle vigenti regole tecniche, previa delibera della Commissione di cui all art. 79 ; d. l art. 81 del CAD, nel quale si precisa il ruolo di DigiPA in ambito SPC; e. l art. 80, comma 5 del CAD, a norma del quale Per i necessari compiti istruttori la Commissione si avvale di DigitPA ; f. la procedura definita dalla Commissione di coordinamento SPC, di cui al documento SPC- DigitPA-REG-Connessione gestori pubblici servizi del, con la quale sono definiti i requisiti soggettivi e tecnici e le modalità da seguire per la connessione ad SPC dei soggetti di cui all art. 75, comma 3-bis del CAD; <richiamare tutte le altre norme in ragione delle quali DigitPA, ovvero la Regione ed il Gestore stipulano la presente Convenzione>. Nel caso di DigitPA: g. il decreto legislativo 1 dicembre 2009, n. 177 ed il DPCM 10 agosto recante "Norme di organizzazione, funzionamento e ordinamento del personale di DigitPA"; h. SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 2 di 16
3 CONSIDERATO CHE a. il Gestore, a norma delle disposizioni di cui alla precedente lettera f, dispone dei requisiti soggettivi per usufruire della connessione al SPC, per essere delegato dall Amministrazione all esercizio di funzioni o attività volte allo svolgimento di attività istituzionali dell amministrazione o al conseguimento di specifici obiettivi di governo (oppure alla realizzazione ed erogazioni di servizi di interesse di cittadini ed imprese, concorrenti al conseguimento di specifici obiettivi di governo); b. quanto sopra, risulta dai provvedimenti elencati di seguito, che si allegano alla presente Convenzione: <elencare atti da cui risulta che il gestore ha titolo a richiedere la connessione> c. il Gestore è interessato ad usufruire alla connessione al SPC per le seguenti finalità <specificare. P. es. concorrere alla realizzazione di uno specifico progetto per l attuazione di uno o più obiettivi del piano e-gov per l anno aaaa>; d. il Gestore dichiara di aver preso visione e di conoscere le vigenti Regole tecniche e di soddisfare i requisiti di cui alla lettera f delle premesse; e. visti i risultati positivi dell istruttoria condotta da DigitPA, la Commissione, a norma dell art. 75, comma 3-bis del CAD, ha emesso in data ---- delibera di autorizzazione per il Gestore ad usufruire della connessione al SPC e dei relativi servizi; f. è necessario definire gli ambiti di responsabilità tra le parti coinvolte. SI CONVIENE QUANTO SEGUE Titolo I - ASPETTI GENERALI Art.1 - Definizioni 1. Ai fini del presente documento si applicano le definizioni contenute negli artt. 1 e 72 del CAD e nell art. 1 del DPCM 1 aprile 2008 recante le Regole tecniche e di sicurezza per la realizzazione del Sistema Pubblico di connettività. 2. Si intende, inoltre, per: a. Commissione, la Commissione di coordinamento del Sistema Pubblico di Connettività, di cui all art. 79 del CAD; b. Regole tecniche, il DPCM 1 aprile 2008 sopra citato; c. Fornitore, il fornitore di servizi in ambito SPC iscritto in un elenco nazionale o regionale ai sensi dell art. 82 del CAD; d. Gestione di servizio pubblico, una formula organizzativa che riserva allo stato una funzione o un servizio, salvo poi attribuirne l'esercizio a soggetti ed organismi privati [Filippo Satta - Enciclopedia Giuridica, Vol. XIII, Roma, 1989]; e. Gestore di servizi pubblici : il soggetto di natura privatistica al quale è conferita la gestione di servizi pubblici. Le finalità per le quali il gestore di servizi pubblici intende usufruire della connessione al SPC e dei relativi servizi devono risultare da appositi atti (concessione, contratto, delibera,..) che dimostrino il possesso di requisiti soggettivi, SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 3 di 16
4 ovvero che dimostrino che il soggetto abbia titolo a presentare la richiesta di connessione ad SPC, per essere delegato da una pubblica amministrazione di cui all art. 2, comma 2 del CAD all esercizio di funzioni o attività volte allo svolgimento di attività istituzionali dell amministrazione o al conseguimento di specifici obiettivi di governo. f. Soggetto che persegue finalità di pubblico interesse : il soggetto di natura privatistica che offre servizi di interesse di cittadini ed imprese, concorrendo all attuazione di specifici indirizzi politici e di governo, ovvero di specifiche finalità che tutte le pubbliche amministrazioni di cui all art. 2, comma 2 del CAD intendono perseguire. Le finalità per le quali il soggetto che persegue finalità di pubblico interesse intende usufruire della connessione al SPC e dei relativi servizi, devono risultare da appositi atti (concessione, contratto,.), che dimostrino il possesso di requisiti soggettivi, ovvero che dimostrino che il soggetto abbia titolo a presentare la richiesta di connessione ad SPC, per essere delegato da una pubblica amministrazione di cui all art. 2, comma 2 del CAD alla realizzazione ed erogazioni di servizi di interesse di cittadini ed imprese, concorrenti al conseguimento di specifici obiettivi di governo. Art.2 - Obiettivi e finalità 1. Il presente documento definisce le azioni e le regole tecniche ed organizzative che devono essere messe in atto al fine di consentire al Gestore di usufruire della connessione al SPC e dei relativi servizi, nel rispetto delle vigenti Regole tecniche. 2. Le suddette Regole tecniche definiscono i requisiti tecnici minimi che devono essere soddisfatti per consentire a tutti i soggetti interconnessi in ambito SPC di connettersi, di interoperare e di cooperare su tutto il territorio nazionale in modo sicuro, efficiente ed efficace. 3. A norma dell Art. 13 delle Regole tecniche, i suddetti requisiti possono essere nel tempo modificati e ampliati con delibere della Commissione, in modo da essere costantemente adeguati alla situazione tecnologica ed alle esigenze in atto. Art.3 Durata, modifiche ed integrazioni 1. Il presente atto ha durata pari alla durata del progetto SPC e potrà essere modificato o integrato a seguito di intesa scritta tra le parti. Art.4 Risoluzione delle controversie 1. Le eventuali controversie che dovessero sorgere tra i contraenti sulle attività regolate dalla presente Convenzione e dai conseguenti atti saranno di norma regolate in via bonaria. 2. In caso di mancato accordo, la risoluzione della controversia insorta sarà devoluta alla Commissione e, in ultima istanza, sarà risolta attraverso gli ordinari strumenti previsti per la risoluzione di controversie in materia amministrativa. SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 4 di 16
5 Art.5 Trattamento dei dati personali 1. Ai sensi di quanto previsto dal decreto legislativo 30 giugno 2003, n. 196 e s.m.i. in materia di trattamento dei dati personali, le parti dichiarano di essersi preventivamente e reciprocamente informate prima della sottoscrizione del presente documento circa le modalità e le finalità dei trattamenti di dati personali che verranno effettuati per l esecuzione della Convenzione medesima. 2. Ai fini della suddetta normativa, le parti dichiarano che i dati personali forniti sulla base del presente atto sono esatti e corrispondono al vero esonerandosi reciprocamente da qualsivoglia responsabilità per errori materiali. 3. I trattamenti dei dati saranno improntati ai principi di correttezza, liceità e trasparenza e nel rispetto delle misure di sicurezza di cui all allegato B del decreto legislativo n. 196/2003 e s.m.i.. Titolo II - OBBLIGHI RELATIVI ALLA DOCUMENTAZIONE Art.6 - Documentazione tecnica del SPC 1. Il Gestore prende atto che DigitPA e Regioni, ai sensi dell art. 3 e dell art. 13 delle vigenti Regole tecniche e nel rispetto dei Regolamenti previsti all art.79 e all art.87 del CAD, possono proporre alla Commissione, per successiva approvazione e pubblicazione, i documenti tecnici integrativi che specificano le modalità di realizzazione ed evoluzione delle componenti logiche del SPC, di cui all art. 12 delle vigenti Regole tecniche, nonché le modalità di integrazione dei vari soggetti interessati ad operare in ambito SPC. 2. Il Gestore prende atto che i documenti relativi al SPC devono essere redatti conformemente a quanto previsto nel Titolo V delle Regole tecniche. 3. In relazione a quanto sopra, i documenti tecnici che descrivono le singole componenti del SPC includono: a) documenti di specifica dell architettura e dei requisiti; b) documentazione dei servizi; c) documentazione di collaudo; d) documenti di registrazione dello stato di configurazione dei servizi del SPC. Art.7 - Misure per assicurare la riservatezza della documentazione tecnica prodotta dai Fornitori del SPC. 1. Il Gestore prende atto che la documentazione SPC è soggetta ai seguenti vincoli: a. vincoli derivanti dalle Misure di protezione dei dati personali di cui al Dlgs. 196/2003 e s.m.i; b. vincoli derivanti dalla protezione delle informazioni industriali di cui al Dlgs. 30/2005 e s.m.i.; c. vincoli derivanti dalle Misure di sicurezza (tecniche ed organizzative) dei servizi SPC. SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 5 di 16
6 2. I soggetti impegnati nell erogazione dei servizi SPC sono tenuti alla protezione delle informazioni di cui al comma Il Gestore prende atto che, vista la natura particolare del progetto che coinvolge molteplici attori, al fine di ridurre il rischio di compromissione dei diritti di proprietà intellettuale contenuti nei documenti di riscontro e in quelli prodotti durante il collaudo, in via cautelativa ed in attesa che la materia sia regolata dal Regolamento per l organizzazione del SPC di cui all art. 87 del CAD, tutta la documentazione del SPC è classificata nel seguente modo: a. Atti pubblici: rientrano in questa categoria i documenti che non richiedono restrizioni di accesso, quali ad esempio i contratti, i capitolati tecnici, i listini prezzi e gli altri documenti utilizzati per l espletamento di gare ad evidenza pubblica. Tale documentazione può essere pubblicata anche per via telematica da DigitPA o dalla Regione e può essere resa accessibile a tutti i soggetti che usufruiscono di servizi in ambito SPC. b. Documentazione di riscontro: Tale documentazione, contenente elementi sensibili di cui al comma 1, è resa disponibile, ai soli soggetti di cui al comma 4, anche per via telematica, a cura del Fornitore. c. Documentazione di riscontro riservata: Tale documentazione, contenente informazioni sensibili ai sensi del precedente comma 1 e tutelate dall art. 98 del Dlgs 10 febbraio 2005, n. 30, è conservata presso la sede del Fornitore che ne garantisce la consultabilità, da parte dei soggetti aventi titolo, attraverso opportune procedure. d. Documentazione di collaudo: Tale documentazione, contenente elementi sensibili di cui al comma 1, è disponibile in originale presso DigitPA ovvero la Regione ed in copia presso il Fornitore. 4. Il Gestore prende atto che le responsabilità di gestione della sicurezza delle informazioni sono suddivise nel seguente modo: a. I Fornitori sono responsabili della pubblicazione per via telematica dei documenti di cui al comma 3 lettera b, garantendo il controllo degli accessi. b. Il Fornitore è responsabile di consentire l accesso ai soggetti di sua competenza (dipendenti, sub-fornitori, etc.). c. DigitPA e la Regione sono responsabili di determinare, in conformità del comma 5, i soggetti che possono accedere alle informazioni (proprio personale, personale delle Amministrazioni, personale di Società che agiscono per loro conto, etc.). 5. L autorizzazione ad accedere alla documentazione di cui alle lettere b, c, d del comma 2, deve essere concessa da DigitPA o dalla Regione sulla base dell effettiva necessità di disporre delle informazioni in essa contenute per i compiti dell ufficio. 6. Le parti si danno atto che il personale autorizzato ai sensi del comma 5 deve essere: a. autorizzato per iscritto, b. istruito, eventualmente attraverso la sottoscrizione di un impegno alla riservatezza, sulle misure di cautela e di comportamento da tenere nella gestione della documentazione riservata del SPC, c. registrato a cura del Responsabile della Sicurezza. Il registro deve contenere almeno l identificativo del soggetto e gli estremi dell autorizzazione: autorità che autorizza, motivazioni del rilascio e durata temporale dell autorizzazione. SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 6 di 16
7 Titolo III - ASPETTI GENERALI Art.8 - Responsabilità della Regione e di DigitPA 1. Il Gestore prende atto che la Regione è responsabile della: a. definizione del disegno, realizzazione e gestione delle componenti del SPC di propria competenza in modo conforme a quanto prescritto nelle Regole tecniche; b. definizione del disegno, realizzazione e gestione delle componenti del SPC di propria competenza territoriale, in modo conforme a quanto prescritto nelle Regole tecniche, ed utilizzate dalle Amministrazioni di cui alla Legge Regionale 31 luglio 1998, n. 27 e per quelle del proprio territorio che intendono utilizzarle in via sussidiaria; c. vigilanza sullo sviluppo, realizzazione, integrazione nelle infrastrutture regionali delle componenti del SPC realizzate dalle Amministrazioni, in modo conforme a quanto prescritto nelle Regole tecniche e vigilanza sulla loro gestione; d. vigilanza sui soggetti di cui all art. 75, comma 3-bis del CAD che operano nel proprio ambito territoriale ed usufruiscono della connessione al SPC e degli altri servizi e segnalazione alla Commissione ed a DigitPA dei gravi malfunzionamenti riscontrati e delle azioni correttive poste in essere ; e. eventuale istituzione degli Elenchi dei Fornitori del SPC operanti nell ambito del territorio regionale conformemente alle prescrizioni contenute nel Regolamento di cui all art. 87 del CAD; f. eventuale istruzione delle pratiche per la Commissione ai fini dell iscrizione sospensione cancellazione dei Fornitori negli Elenchi di propria competenza e per la certificazione dei servizi da loro erogati. E cura della Regione provvedere alla pubblicazione on line delle informazioni di cui sopra; g. vigilanza sulla qualità dei servizi erogati dai Fornitori che operano nel proprio ambito territoriale e segnalazione alla Commissione ed a DigitPA dei gravi malfunzionamenti riscontrati e delle azioni correttive poste in essere. 2. Il Gestore prende atto che DigitPA è responsabile della: a. definizione del disegno, realizzazione e gestione delle infrastrutture condivise del SPC di propria competenza in modo conforme a quanto prescritto nelle Regole Tecniche; b. definizione del disegno, realizzazione e gestione delle componenti del SPC di propria competenza, in modo conforme a quanto prescritto nelle Regole Tecniche, ed utilizzate dalle Amministrazioni centrali e dalle altre Amministrazioni che intendono utilizzarle in via sussidiaria; c. vigilanza sui soggetti di cui all art. 75, comma 3-bis del CAD che operano in ambito nazionale ed usufruiscono della connessione al SPC e degli altri servizi e segnalazione alla Commissione ed alle Regioni dei gravi malfunzionamenti riscontrati e delle azioni correttive poste in essere; d. istituzione degli Elenchi dei Fornitori del SPC operanti nell ambito del territorio nazionale conformemente alle prescrizioni contenute nel Regolamento di cui all art. 87 del CAD; e. eventuale istruzione delle pratiche per la Commissione ai fini dell iscrizione sospensione cancellazione dei Fornitori negli Elenchi nazionali e per la certificazione SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 7 di 16
8 dei servizi da loro erogati. E cura di DigitPA provvedere alla pubblicazione on line delle sopra dette informazioni. f. vigilanza sulla qualità dei servizi erogati dai Fornitori che operano in ambito nazionale e segnalazione alla Commissione ed alle Regioni dei gravi malfunzionamenti riscontrati e delle azioni correttive poste in essere. Art.9 - Responsabilità del Gestore 1. Il Gestore prende atto e riconosce che la sicurezza e la qualità del sistema SPC nel suo complesso derivano dal rispetto da parte di tutti i soggetti interconnessi di requisiti minimi, riportati nel successivo Titolo IV - Titolo V - e tratti dalle vigenti Regole tecniche. Il Gestore prende atto ed accetta che detti requisiti possono essere nel tempo modificati ed ampliati con delibere della Commissione, ai sensi dell art. 13 delle Regole tecniche, al fine di mantenerli costantemente adeguati alla situazione tecnologica ed alle esigenze in atto. 2. In relazione a quanto sopra, il Gestore si obbliga a: a. usufruire della connessione al SPC e dei relativi servizi rispettando tutti i termini e le condizioni di cui al presente atto; b. osservare, nella fruizione della connessione ad SPC e dei relativi servizi, tutte le indicazioni operative, di indirizzo e di controllo che potranno essere predisposte dalla Commissione, da DigitPA e dalle Regioni allo scopo di salvaguardare la sicurezza del SPC nel suo complesso; c. impegnarsi a comunicare tempestivamente a DigitPA ed alla Regione, nel caso in cui operi in uno specifico ambito territoriale di competenza di una Regione, ogni modifica intervenuta nel possesso dei requisiti minimi, ovvero ogni nuova situazione, non presente all atto del rilascio dell autorizzazione da parte della Commissione ad interconnettersi ad SPC, situazione che possa compromettere le mutue garanzie di qualità e sicurezza ai soggetti interconnessi in ambito SPC; d. assicurare che nel tempo siano mantenuti i requisiti minimi per la sicurezza, l interfaccia con le infrastrutture condivise e l interoperabilità e cooperazione applicativa, secondo le indicazioni della Commissione ed in linea con le Regole tecniche in vigore e con le relative evoluzioni; e. adeguarsi ad ogni modifica dei requisiti minimi di cui sopra, deliberata dalla Commissione ai sensi del comma 1, dando tempestiva evidenza a DigitPA, ovvero alla Regione ed inviando allo scopo apposito gli aggiornamenti alla documentazione già inviata all atto della richiesta di connessione; f. provvedere, ai sensi del successivo Art.11, al ristoro dei costi eventualmente sostenuti da DigitPA a norma del D. lgs 177/2009 e secondo modalità concordate tra le parti. Art.10 Organizzazione del Management 1. Ferme restando le competenze attribuite dalla normativa vigente a DigitPA ed alla Regione, richiamate nei precedenti articoli, per le attività di supervisione e controllo della corretta esecuzione della presente Convenzione e dei conseguenti atti, le parti hanno facoltà di istituire un Comitato Permanente (CP) composto pariteticamente da 6 membri (tre designati da DigitPA, ovvero dalla Regione, tre designati dal Gestore, in modo da assicurare la SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 8 di 16
9 presenza, per ciascuna delle parti, di competenze in materia rispettivamente di connettività, sicurezza, interoperabilità e cooperazione). 2. Il Comitato Permanente (CP), se istituito, è responsabile del raggiungimento degli obiettivi e delle attività derivanti dal presente documento. Di regola, in funzione della complessità delle azioni necessarie per consentire al Gestore di usufruire della connessione al SPC e di altri servizi, il CP opera secondo un Piano, nel quale sono definite le attività, le risorse necessarie, le milestone, la stima dei costi a carico delle parti. Il Piano, approvato da ciascuna delle parti, è mantenuto aggiornato e monitorato nel tempo dallo stesso CP, con frequenza determinata sullo stato avanzamento lavori. Il CP, se istituito, è responsabile di relazionare periodicamente alle parti sullo stato avanzamento lavori, evidenziando ogni criticità ed ogni deviazione rispetto agli obiettivi definiti ed i relativi correttivi proposti. Il CP, in relazione alla natura delle attività da svolgersi, potrà istituire specifici di gruppi di lavoro ovvero potrà avvalersi di specialisti tecnici di entrambe le parti. 3. Nel caso in cui non sia esercitata la facoltà di cui al comma 1, le parti si obbligano a nominare un Responsabile per la presente Convenzione, dandosi reciproca comunicazione a mezzo Posta Elettronica Certificata. 4. Nella situazione di cui al comma 3, al Responsabile della Convenzione per ciascuna parte si intendono riferite tutte le attribuzioni e le responsabilità di cui al precedente comma 2. Art.11 Copertura degli oneri 1. Il Gestore prende atto che, al fine di dare esecuzione alla presente Convenzione, possono essere necessarie attività che richiedono l esecuzione di prestazioni a titolo oneroso da parte di DigitPA (ovvero per la Regione). Dette prestazioni sono erogate da DigitPA ai sensi dell art. 18, comma 1 del decreto legislativo 1 dicembre 2009, n Nella situazione di cui al comma 1, il Piano di cui al precedente Art.10, comma 2 definisce gli obiettivi da perseguire, le azioni e le responsabilità a carico delle parti, il dettaglio degli oneri previsti, le modalità di erogazione dei corrispettivi. 3. La determinazione degli oneri di cui sopra è effettuata prevedendo di corrispondere al soggetto erogatore del servizio (Regione o DigitPA), secondo modalità concordate nel Piano, un importo forfetario finalizzato al ristoro dei costi sostenuti. Titolo IV - ASPETTI RELATIVI ALLA SICUREZZA Art.12 Responsabilità di DigitPA e della Regione ai fini della sicurezza 1. Il Gestore prende atto che, ai sensi della normativa vigente, DigitPA è responsabile di: a. provvedere allo sviluppo e gestione del SPC di propria competenza come insieme di domini affidabili (trusted), costituiti da una federazione di domini di sicurezza dei soggetti che operano in ambito nazionale e atti a garantire i livelli di sicurezza necessari all intero sistema; SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 9 di 16
10 b. provvedere alla realizzazione del CG-SPC (Centro di Gestione del SPC) a norma dell art. 21, comma 7 delle Regole tecniche e vigilare che lo stesso applichi le procedure operative di dettaglio per la gestione della sicurezza; a. provvedere alla individuazione delle responsabilità e degli ambiti di competenza di ciascun soggetto che partecipa alla catena di un servizio erogato in ambito SPC di propria competenza, con la possibilità di escludere la presenza di anelli deboli. A tal fine DigitPA nomina il Responsabile della Sicurezza del SPC per le parti di propria competenza; b. produrre appositi documenti da sottoporre all approvazione della Commissione, descriventi le modalità di realizzazione del sistema di sicurezza e gestire gli stessi documenti e quelli contenenti gli indirizzi strategici ed operativi per l organizzazione e per la sicurezza fisica e logica del SPC di propria competenza, come atti coperti da segreto d ufficio, secondo la normativa vigente; c. vigilare per le parti del SPC di propria competenza sul corretto funzionamento del sistema di sicurezza, accertando il mantenimento nel tempo dei requisiti di qualificazione afferenti la sicurezza dei Fornitori iscritti in Elenchi nazionali ed il mantenimento nel tempo della conformità dei servizi certificati ai requisiti di sicurezza; d. vigilare che i soggetti che usufruiscono della connessione al SPC e dei relativi servizi ai sensi dell art. 75, comma 3-bis del CAD rispettino nel tempi requisiti minimi di sicurezza e non mettano in atto comportamenti o situazioni che possano comprometter la sicurezza del SPC nel suo insieme; e. verificare che il CERT-SPC-C definisca ed attui le metodologie per la prevenzione, il monitoraggio, la gestione e l analisi degli incidenti di sicurezza, assicurando la coerenza e l uniformità in tutto il sistema; f. vigilare sulla componente centrale del sistema di sicurezza SPC realizzata dal CG-SPC e verificare che nell ambito delle infrastrutture condivise svolga i suoi compiti di interfaccia con la componente distribuita (Unità locali di sicurezza). g. definire, con il supporto del CERT-SPC-C, le metodologie di gestione degli incidenti informatici e le modalità di interazione tra i vari soggetti che devono intervenire in tali eventualità. 2. Il Gestore prende atto che, ai sensi della normativa vigente, la Regione è responsabile di: a. provvedere allo sviluppo e gestione del SPC di propria competenza come insieme di domini affidabili (trusted), costituiti da una federazione di domini di sicurezza dei soggetti che operano sul territorio di propria competenza e atti a garantire i livelli di sicurezza necessari all intero sistema; b. provvedere ad istituire l Unità per la Sicurezza della Regione, con i compiti di cui all art. 21, comma 9 delle Regole tecniche e vigilare che la stessa applichi le procedure operative di dettaglio per la gestione della sicurezza regionale; c. dotarsi, nei punti di contatto fra le reti territoriali e la rete centrale, di dispositivi di tipo firewalling, network intrusion detection ed event & log monitoring, necessari per rilevare e contenere eventuali incidenti di sicurezza ICT; d. provvedere alla individuazione delle responsabilità e degli ambiti di competenza di ciascun soggetto che partecipa alla catena di un servizio erogato in ambito SPC di propria competenza, con la possibilità di escludere la presenza di anelli deboli; e. produrre appositi documenti da sottoporre all approvazione della Commissione, descriventi le modalità di realizzazione del sistema di sicurezza e gestird gli stessi SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 10 di 16
11 documenti e quelli contenenti gli indirizzi strategici ed operativi per l organizzazione e per la sicurezza fisica e logica del SPC di propria competenza, come atti coperti da segreto d ufficio, secondo la normativa vigente; f. vigilare per le parti del SPC di propria competenza sul corretto funzionamento del sistema di sicurezza, accertando il mantenimento nel tempo dei requisiti di qualificazione afferenti la sicurezza dei Fornitori iscritti in Elenchi di propria competenza ed il mantenimento nel tempo della conformità dei servizi certificati ai requisiti di sicurezza; g. vigilare che i soggetti che usufruiscono della connessione al SPC e dei relativi servizi ai sensi dell art. 75, comma 3-bis del CAD e che operano nell ambito territoriale di propria competenza rispettino nel tempi requisiti minimi di sicurezza e non mettano in atto comportamenti o situazioni che possano comprometter la sicurezza del SPC nell ambito territoriale di propria competenza; h. verificare, in quanto responsabile del CERT-SPC-R, che tale organismo, per la parte di sua competenza, definisca ed attui le metodologie per la prevenzione, il monitoraggio, la gestione e l analisi degli incidenti di sicurezza, assicurando la coerenza e l uniformità in tutto il sistema da esso controllato; qualora non si intenda istituire il CERT-SPC-R, le sue funzioni saranno assolte dall Unità locale di sicurezza della Regione; i. vigilare che il CERT-SPC-R, svolga i suoi compiti di interfaccia tra le Unità locali di sicurezza delle Amministrazioni territoriali e degli altri soggetti art. 75 comma 3-bis del CAD interconnessi e le componenti centrali (CG-SPC e CERT-SPC-C); j. definire, con il supporto del CERT-SPC-R, le metodologie di gestione degli incidenti informatici e le modalità di interazione tra i vari soggetti che devono intervenire in tali eventualità; qualora un incidente possa avere delle ricadute all esterno dell ambito regionale, la Regione si obbliga a mettere in atto le procedure indicate da DigitPA. Art.13 Obblighi del Gestore ai fini della sicurezza 1. Il Gestore si obbliga a: a. dotarsi, nei punti di contatto fra la propria rete e l infrastruttura SPC di dispositivi di tipo firewalling, network intrusion detection ed event & log monitoring, necessari per rilevare e contenere eventuali incidenti di sicurezza ICT; b. istituire di una Unità locale di sicurezza (ULS) con i compiti di cui all art.21, commi 6 e 9 delle Regole tecniche e vigilare che la ULS applichi le procedure operative di dettaglio per la gestione della sicurezza nel proprio dominio di competenza; c. nominare un Responsabile locale della sicurezza e comunicarlo a DigitPA (ed alla Regione se la Convenzione e sottoscritta con la Regione); d. adottare le necessarie misure volte a limitare il rischio di attacchi informatici ed eliminare eventuali vulnerabilità della rete, causate dalla violazione e utilizzo illecito di sistemi o infrastrutture della pubblica amministrazione; e. garantire, anche per il tramite di un Fornitore qualificato, la realizzazione ed il mantenimento dei livelli di sicurezza nell ambito del proprio dominio; f. garantire che la politica di sicurezza presso la propria organizzazione sia conforme agli indirizzi e alle politiche di sicurezza definiti dalla Commissione; SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 11 di 16
12 g. notificare alle strutture competenti (CG-SPC e CERT-SPC-C, ovvero ULS-R e CERT- SPC-R, se costituito, secondo le modalità stabilite, eventuali incidenti informatici o situazioni di attenzione o vulnerabilità; h. consentire a DigitPA (ovvero alla Regione) di svolgere le attività di vigilanza richiamate nei precedenti articoli. Titolo V - INTERFACCIA CON LE INFRASTRUTTURE CONDIVISE Art.14 Articolazione delle infrastrutture condivise 1. Il Gestore prende atto che: a. ai sensi dell art. 12 e dell art. 16 delle vigenti Regole tecniche, ferma restando la possibilità che la Commissione, a norma dell art. 12, comma 5 delle stesse Regole tecniche possa ampliare, modificare e riorganizzare le componenti del SPC, le infrastrutture condivise includono: a.1 la Qualified Exchange Network (QXN); a.2 il Centro di Gestione SPC (CG-SPC); a.3 il Nodo di Interconnesione VoIP (NIV-SPC); a.4 Il Centro di Gestione dei servizi infrastrutturali di interoperabilità, cooperazione ed accesso (CG-SICA); b. ai sensi dell art. 81, comma 1 del CAD, DigitPA, nel rispetto delle decisioni e degli indirizzi forniti dalla Commissione, anche avvalendosi di soggetti terzi, gestisce le risorse condivise del SPC, di cui sopra, e le strutture operative preposte al controllo e supervisione delle stesse per tutte le pubbliche amministrazioni di cui all art. 2, comma 2 del CAD; c. la QXN, realizza l interconnessione delle reti dei fornitori dei servizi di connettività e delle Community Network, garantendo un livello di affidabilità del 99,99%. E costituita da due nodi ridondati, collegati tra loro con due link ad alta velocità su percorsi differenziati, collocati presso il MIX (NAP situato a Milano) e il NAMEX (NAP situato a Roma). Le specifiche dei servizi offerti dalla QXN, le modalità di adesione da parte degli Utenti (fornitori di servizi di connettività e sicurezza iscritti negli Elenchi; Community Network) e gli obblighi tra le parti (SC-QXN e Utente) sono definite da DigitPA in apposito documento, approvato dalla Commissione e pubblicato per via telematica (Regolamento di adesione ai servizi della QXN); d. il CG-SPC è preposto al monitoraggio dei servizi SPC, ed eroga servizi di misura, raccolta e distribuzione dati, conformemente a quanto indicato nel Titolo VII delle Regole tecniche, sono sottoposti a monitoraggio i Fornitori iscritti negli elenchi nazionali e regionali, le Community Network, i soggetti che gestiscono specifiche componenti delle infrastrutture condivise ed ogni altro soggetto definito dalla Commissione, che eroga servizi o svolge funzioni per il conseguimento delle finalità del SPC. Per consentire al CG SPC l erogazione dei servizi di misura, raccolta e distribuzione dati sopra indicati, i soggetti monitorati, in conformità con quanto indicato nell Art 17 delle Regole tecniche, sono obbligati a rendere disponibili al CG-SPC le informazioni relative a qualità e consistenza dei servizi erogati, secondo le specifiche di interfaccia definite da DigitPA; SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 12 di 16
13 e. il CG-SPC ha l obbligo di fornire a DigitPA e, a richiesta, alle Regioni gli elementi necessari per gli adempimenti della Commissione previsti dall art. 79, comma 2, lettera g) del CAD. Inoltre DigitPA, le Regioni, le singole Amministrazioni ovvero altri soggetti interconnessi, possono utilizzare le misure effettuate dal CG SPC ai fini di disporre di misure degli SLA di terza parte per l eventuale risoluzione bonaria di contrasti che possono sorgere nella valutazione dei livelli di qualità erogata e, comunque al fine di intraprendere le eventuali opportune azioni correttive o di miglioramento; f. il CG-SPC è obbligato a comunicare repentinamente a DigitPA ed alle Regioni scostamenti derivanti dai servizi di misura relative ad uno o più fornitori iscritti nell Elenco nazionale ovvero nell Elenco regionale. Il CG SPC è inoltre obbligato ad evidenziare se ricorrono o meno gli estremi per l esercizio delle funzioni previste all art. 79, comma 2, lettera f) del CAD (sospensione e revoca della qualificazione). Una Regione può avvalersi di un proprio Centro di Gestione (CG-SPC-R) per monitorare i servizi erogati esclusivamente dai Fornitori iscritti in Elenchi regionali; g. il NIV-SPC è la componente delle infrastrutture condivise che ha la funzione di abilitare la interconnessione dei domini VoIP 1 delle Amministrazioni in ambito SPC, domini realizzati da Fornitori SPC ovvero, in maniera autonoma, dalle stesse Amministrazioni; h. il CG-SICA è preposto all erogazione dei servizi di cooperazione applicativa di cui all art. 11, comma 1, lettera b) delle Regole tecniche e svolge anche funzioni di supporto per la qualificazione di porte di dominio e di servizi infrastrutturali SICA federati di livello secondario, fornendo alla Commissione gli elementi per la valutazione dei servizi SICA. Art.15 Obblighi del Gestore di interfaccia con le infrastrutture condivise 1. Il Gestore si obbliga ad interfacciare le infrastrutture condivise nel rispetto delle specifiche e delle condizioni indicate da DigitPA, assicurando in particolare, in funzione dei servizi da erogare: a. l interconnessione alla QXN, secondo le modalità già previste per il fornitori SPC che erogano servizi diversi dalla connettività, ai sensi dell art. 17, comma 4 delle regole tecniche (vale a dire attraverso acquisizione di almeno un servizio di trasporto in ambito Infranet da uno o più fornitori di servizi di connettività SPC, con caratteristiche dimensionali, di qualità e di sicurezza adeguate al tipo di servizi da erogare); b. la disponibilità di un sistema per il monitoraggio della qualità dei servizi, ai sensi dell art. 17, comma 7 delle Regole tecniche; c. l interconnessione al Nodo di interconnessione VoIP, quando sarà disponibile, con le modalità che saranno definite da DigitPA ai sensi dell art 13 delle Regole tecniche; d. l utilizzo dei servizi infrastrutturali di interoperabilità, cooperazione ed accesso (SICA) per permettere il funzionamento e la gestione dei servizi applicativi delle Amministrazioni interessate, resi disponibili attraverso il SPC. 1 Con il termine dominio VoIP si fa riferimento ad un insieme di postazioni IP native ed ai relativi elementi sede della logica di controllo delle chiamate. Il dominio VoIP può, in taluni casi, contenere anche elementi di interfacciamento verso PBX telefonici in tecnologia tradizionale TDM oppure verso la rete telefonica pubblica fissa/mobile. Una Amministrazione può decidere di dotarsi, sulla base di elementi amministrativi della propria organizzazione interna, di uno o più domini VoIP. SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 13 di 16
14 Titolo VI - ASPETTI RELATIVI ALLA INTEROPERABILITÀ E COOPERAZIONE APPLICATIVA Art.16 Responsabilità per il funzionamento dei servizi applicativi in SPC 1. Con riferimento alle disposizioni contenute nelle vigenti Regole tecniche circa le modalità di funzionamento dei servizi applicativi in ambito SPC, il Gestore prende atto che: a. il funzionamento e la gestione dei servizi applicativi e telematici resi disponibili attraverso il SPC si basano sulla condivisione, da parte delle Amministrazioni cooperanti, di servizi infrastrutturali di interoperabilità, cooperazione ed accesso (SICA), articolati in una componente di livello generale, condivisa a livello nazionale, alla quale, eventualmente, si raccordano ulteriori componenti federate distribuite (SICA secondari). I SICA realizzano la pubblicazione degli accordi di servizio e degli altri elementi della cooperazione applicativa di cui all articolo 20 delle Regole tecniche, necessaria ai fini dell accesso ai servizi, nonché della validità degli scambi documentali e dei dati in base alle disposizioni di cui agli articoli 50, comma 3, 51 e 76 del CAD; b. per quanto concerne le componenti di sicurezza finalizzate all accesso ai servizi applicativi e telematici, allo scopo di garantire l aggiornamento, la veridicità e l affidabilità dell intero insieme di informazioni che caratterizzano la cooperazione applicativa, sono assicurati, in particolare: il riconoscimento dei soggetti abilitati ad operare in SPC e delle componenti SPCoop (porte di dominio, servizi applicativi, servizi infrastrutturali - SICA), nonché la gestione delle identità digitali e dei ruoli su base federale; c. i servizi di interoperabilità e cooperazione includono i servizi di interoperabilità evoluta e cooperazione applicativa per le amministrazioni, acquisibili nell ambito dei Contratti Quadro stipulati da DigitPA ovvero dalla Regione ai sensi dell art. 83 del CAD, ed i servizi infrastrutturali SICA, realizzati e gestiti da DigitPA, nell ambito delle infrastrutture condivise. Questi ultimi consentono, tra l altro, la registrazione e pubblicazione degli Accordi di servizio e degli Accordi di cooperazione, degli schemi di dati, metadati ed ontologie di dominio, la gestione su base federata delle identità digitali di cui all art. 22 delle Regole tecniche, ai fini dell autenticazione ed autorizzazione di soggetti e servizi abilitati ad operare sul SPC; il supporto alla qualificazione di componenti architetturali SPCoop quali le Porte di Dominio ed i servizi di Registro SICA secondari. Art.17 Obblighi del Gestore ai fini dell interoperabilità e della cooperazione applicativa 1. Al fine di abilitare i servizi di interoperabilità e cooperazione applicativa con una o più amministrazioni pubbliche, il Gestore assicura: d. l accreditamento in SPCoop, ai sensi dell art. 19, comma 1 delle Regole tecniche e la disponibilità di servizi di interoperabilità e cooperazione applicativa a norma degli artt. 19 e 20 delle Regole tecniche; e. la qualificazione delle componenti infrastrutturali, a norma dell art. 29 delle Regole tecniche. SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 14 di 16
15 Letto, approvato e sottoscritto Roma, lì (per Digitpa o Regione) (per il Gestore) SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 15 di 16
16 INDICE ART.1 - DEFINIZIONI... 3 ART.2 - OBIETTIVI E FINALITÀ... 4 ART.3 DURATA, MODIFICHE ED INTEGRAZIONI... 4 ART.4 RISOLUZIONE DELLE CONTROVERSIE... 4 ART.5 TRATTAMENTO DEI DATI PERSONALI... 5 ART.6 - DOCUMENTAZIONE TECNICA DEL SPC... 5 ART.7 - MISURE PER ASSICURARE LA RISERVATEZZA DELLA DOCUMENTAZIONE TECNICA PRODOTTA DAI FORNITORI DEL SPC ART.8 - RESPONSABILITÀ DELLA REGIONE E DI DIGITPA... 7 ART.9 - RESPONSABILITÀ DEL GESTORE... 8 ART.10 ORGANIZZAZIONE DEL MANAGEMENT... 8 ART.11 COPERTURA DEGLI ONERI... 9 ART.12 RESPONSABILITÀ DI DIGITPA E DELLA REGIONE AI FINI DELLA SICUREZZA... 9 ART.13 OBBLIGHI DEL GESTORE AI FINI DELLA SICUREZZA ART.14 ARTICOLAZIONE DELLE INFRASTRUTTURE CONDIVISE ART.15 OBBLIGHI DEL GESTORE DI INTERFACCIA CON LE INFRASTRUTTURE CONDIVISE ART.16 RESPONSABILITÀ PER IL FUNZIONAMENTO DEI SERVIZI APPLICATIVI IN SPC ART.17 OBBLIGHI DEL GESTORE AI FINI DELL INTEROPERABILITÀ E DELLA COOPERAZIONE APPLICATIVA SPC-DigitPA-REG-Connessione gestori pubblici -Allegato 1-Convenzione Pag. 16 di 16
Sistema pubblico di cooperazione: Esercizio e Gestione
Sistema Pubblico di Connettività e Cooperazione Sistema pubblico di cooperazione: Versione 1.0 Nome doc.: oop-eserciziogestione_v1.0_20051014.doc Versione: 1.0 INDICE 1. MODIFICHE DOCUMENTO...3 2. OBIETTIVI
Sistema pubblico di cooperazione: Versione 1.1 INDICE 1. MODIFICHE DOCUMENTO...3 2. OBIETTIVI E CONTESTO DI RIFERIMENTO... 4 2.1. Scopi del documento... 5 2.2. Note di Lettura del Documento... 5 2.3. Note