Serie Generale n. 144 del 21-6-2008
DECRETI PRESIDENZIALI
DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 1 aprile 2008
Regole tecniche e di sicurezza per il funzionamento del Sistema pubblico di connettivita' previste dall'articolo 71, comma 1-bis del decreto legislativo 7 marzo 2005, n. 82, recante il «Codice dell'amministrazione digitale». (GU Serie Generale n.144 del 21-06-2008)

IL PRESIDENTE DEL CONSIGLIO DEI MINISTRI
Vista la legge 23 agosto 1988, n. 400, e successive modificazioni;
Visto il decreto legislativo 12 febbraio 1993, n. 39, e successive
modificazioni;
Visto il decreto legislativo 7 marzo 2005, n. 82, e successive
modificazioni e, in particolare, l'art. 71, comma 1-bis;
Visto il decreto del Presidente del Consiglio dei Ministri in data
15 giugno 2006, recante delega di funzioni al Ministro senza
portafoglio per le riforme e le innovazioni nella pubblica
amministrazione, prof. Luigi Nicolais;
Acquisito l'avviso tecnico del CNIPA;
Acquisita l'intesa della Conferenza unificata ai sensi dell'art. 8
del decreto legislativo 28 agosto 1997, n. 281, espressa nella seduta
del 20 dicembre 2007;
Esperita la procedura di notifica alla Commissione europea di cui
alla direttiva 98/34/CE del Parlamento europeo e del Consiglio, del
22 giugno 1998, modificata dalla direttiva 98/48/CE del Parlamento
europeo e del Consiglio, del 20 luglio 1998, CE attuata dalla legge
21 giugno 1986, n. 317, modificata dal decreto legislativo
23 novembre 2000, n. 427;
Sulla proposta del Ministro per le riforme e le innovazioni nella
pubblica amministrazione;
Decreta:
Art. 1.
1. Sono approvate le Regole tecniche e di sicurezza per il
funzionamento del Sistema pubblico di connettività previste
dall'art. 71, comma 1-bis del decreto legislativo 7 marzo 2005, n.
82, e successive modifiche ed integrazioni, recante il «Codice
dell'amministrazione digitale», di cui all'allegato A.
Il presente decreto sarà inviato ai competenti organi di controllo
e pubblicato nella Gazzetta Ufficiale dello Stato.
Roma, 1° aprile 2008
Il Presidente: Prodi

Registrato alla Corte dei conti il 19 maggio 2008
Ministeri istituzionali, Presidenza del Consiglio dei Ministri,
registro n. 5, foglio n. 348

Allegato A
Titolo I
DISPOSIZIONI GENERALI
Art. 1.
Definizioni
1. Ai fini del presente decreto si applicano le definizioni
contenute negli articoli 1 e 72 del decreto legislativo 7 marzo 2005,
n. 82 recante il «Codice dell'amministrazione digitale» aggiornato
con le modifiche introdotte dal decreto legislativo 4 aprile 2006, n.
159. Si intende, inoltre, per:
a) «Codice», il Codice dell'amministrazione digitale;
b) «Regole tecniche», le disposizioni di cui al presente
decreto;
c) «Commissione», la Commissione di coordinamento del Sistema
pubblico di connettività di cui all'art. 79 del Codice;
d) «CNIPA», il Centro nazionale per l'informatica nella
pubblica amministrazione;
e) «fornitori qualificati», i soggetti di cui all'art. 82 del
Codice, che hanno ottenuto la qualificazione ai sensi del Regolamento
per la qualificazione dei fornitori del Sistema pubblico di
connettività (SPC) previsto dall'art. 87 del Codice;
f) «Amministrazioni», le amministrazioni che partecipano al
SPC, secondo le prescrizioni di cui all'art. 75 del Codice;
g) «Amministrazioni centrali», le Amministrazioni comprese tra
quelle previste all'art. 1, comma 1, del decreto legislativo
12 febbraio 1993, n. 39;
h) «Amministrazioni territoriali», le Amministrazioni non
comprese tra quelle previste all'art. 1, comma 1, del decreto
legislativo 12 febbraio 1993, n. 39;
i) «reti territoriali», le infrastrutture e le regole condivise
da un insieme di Amministrazioni territoriali al fine di erogare
servizi di connettività. Ai fini del presente decreto sono
considerate reti territoriali le reti regionali;
i-bis) «reti di rilevanza nazionale», le reti di interesse
nazionale individuate dalla Commissione;
j) «Community Network», la rete territoriale istituita da una
disposizione normativa regionale che garantisca il rispetto dei
requisiti previsti dal presente decreto;
k) «dominio», l'insieme delle risorse (infrastrutture,
hardware, software, procedure, dati, servizi) e delle politiche che
ricadono sotto la responsabilità di una specifica organizzazione
(Amministrazione, fornitore, ecc). Un dominio può essere scomposto
in più «sottodomini»;
l) «infrastrutture condivise», l'insieme delle risorse del SPC
(componenti hardware e software, regole, documenti, servizi) gestite
dal CNIPA, anche avvalendosi di soggetti terzi, ai sensi dell'art.
81, comma 1 del Codice, comprese le strutture operative preposte al
controllo e supervisione delle stesse al fine di consentire la
connettività, l'interoperabilità evoluta e la cooperazione
applicativa in sicurezza tra le Amministrazioni su tutto il
territorio nazionale;
m) «Qualified eXchange Network/QXN», la componente delle
infrastrutture condivise che realizza l'interconnessione delle reti
dei fornitori qualificati dei servizi di connettività del SPC e
delle Community Network;
n) «Nodo di interconnessione VoIP (NIV-SPC)», la componente
delle infrastrutture condivise che realizza l'interconnessione delle
Amministrazioni aventi uno o più domini VoIP connessi al SPC;
o) «Centro di Gestione SPC (CG-SPC)», la componente delle
infrastrutture condivise preposta alla gestione delle risorse di cui
alle lettere m) ed n), all'erogazione di servizi di sicurezza per le
finalità di cui all'art. 11, comma 3, nonchè al monitoraggio dei
fornitori qualificati SPC di connettività e dei soggetti deputati
alla gestione delle risorse condivise di connettività;
p) «SPCoop», il sottosistema logico del SPC costituito
dall'insieme delle regole e delle specifiche funzionali che
definiscono il modello di cooperazione applicativa per il SPC;
q) «servizi di connettivita», l'insieme logico dei servizi SPC
per la trasmissione di dati, oggetti multimediali e fonia, attraverso
i quali viene attivato anche lo scambio di documenti informatici tra
le pubbliche amministrazioni e tra queste e i cittadini e le imprese;
r) «SICA», servizi infrastrutturali di interoperabilità,
cooperazione ed accesso, l'insieme delle regole, dei servizi e delle
infrastrutture condivise che abilitano l'interoperabilità e la
cooperazione applicativa fra le Amministrazioni e l'accesso ai
servizi applicativi da queste sviluppati e resi disponibili sul SPC;
s) «servizio telematico», l'insieme di funzionalità,
realizzate mediante componenti software, erogate attraverso un
sistema di comunicazione accessibile anche in internet;
t) «servizio applicativo», l'insieme di funzionalità,
realizzate mediante componenti software, erogate o fruite da una
Amministrazione attraverso la Porta di Dominio;
u) «servizio applicativo composto», il servizio applicativo
«multi-ente», risultato della cooperazione di più Amministrazioni,
le quali concorrono, ognuna per la parte di propria competenza,
all'automazione di un processo inter-amministrazione, sulla base
delle specifiche definite nell'ambito dell'accordo di cooperazione;
v) «dominio applicativo», l'insieme dei servizi applicativi
erogati sotto la diretta responsabilità di un'Amministrazione;
w) «dominio di cooperazione», il coordinamento tra domini
applicativi facenti capo a più Amministrazioni che cooperano per
l'erogazione di uno o più servizi applicativi composti, al fine di
automatizzare uno o più procedimenti amministrativi;
x) «accordo di servizio», la convenzione tra erogatore e
fruitore del servizio applicativo, redatta in formato XML e resa
pubblica attraverso le infrastrutture condivise del SPC, che descrive
l'oggetto del servizio e le relative modalità di erogazione e
fruizione;
y) «accordo di cooperazione», la convenzione, redatta in
formato XML e resa pubblica attraverso le infrastrutture condivise
del SPC, che richiama gli accordi finalizzati all'erogazione dei
servizi applicativi facenti parte del dominio di cooperazione,
descrive i contenuti dei servizi composti e coordinati e le relative
modalità di coordinamento;
z) «porta di dominio», unico componente architetturale del SPC
attraverso il quale si accede al dominio applicativo
dell'Amministrazione per l'utilizzo dei servizi applicativi;
aa) «IPA», indice delle pubbliche amministrazioni, struttura
informativa appartenente alle infrastrutture nazionali condivise che
contiene strutture organizzative, riferimenti ai servizi telematici e
di posta elettronica, Aree organizzative omogenee e relative caselle
di posta elettronica certificata;
bb) «autorizzazione», l'insieme di attività che consentono
l'accesso ad un servizio o una risorsa a chi, preventivamente
identificato o autenticato, possiede gli attributi o il ruolo
necessario;
cc) «autorità di identificazione», la struttura che consente
l'identificazione di un soggetto attraverso le modalità previste
dall'art. 66 del Codice;
dd) «autorità di autenticazione», la struttura che consente
l'autenticazione in rete di un soggetto o di un sistema informatico o
di un servizio, come definita dall'art. 1, lettera b) del Codice;
ee) «autorità di attributo e ruolo», la struttura che ha la
potestà di attestare attributi e ruoli ai fini dell'erogazione di un
servizio;
ff) «ontologia di dominio», rappresentazione formale di
concetti e relazioni tra gli stessi riferiti ad un ambito tematico;
gg) «Busta e-Gov», protocollo di comunicazione tra servizi
applicativi basato sullo standard SOAP;
hh) «Organismi di attuazione e controllo», il CNIPA a livello
nazionale, cui compete, ai sensi dell'art. 81, comma 1, del Codice,
la gestione delle risorse condivise del SPC e delle strutture
operative preposte al controllo ed alla supervisione delle stesse, e,
ai sensi del comma 2, la progettazione, realizzazione ed evoluzione
del SPC secondo gli indirizzi della Commissione ed in conformità
alle presenti Regole tecniche, nonchè la responsabilità di
assicurare che i servizi erogati dai fornitori qualificati rispettino
i requisiti di qualità e sicurezza del SPC; ovvero le regioni per il
relativo ambito di competenza, secondo un modello federato e
policentrico;
ii) «CERT-SPC-C» (Computer Emergency Response Team del Sistema
pubblico di connettività Centrale), la struttura collocata presso il
CNIPA che è referente centrale per la prevenzione, il monitoraggio,
la gestione, la raccolta dati e l'analisi degli incidenti di
sicurezza, assicurando l'applicazione di metodologie coerenti ed
uniformi in tutto il sistema da essa controllato per la gestione
degli incidenti;
jj) «CERT-SPC-R» (Computer Emergency Response Team del Sistema
pubblico di connettività a livello Regionale), la struttura
collocata presso le regioni che è referente territoriale per la
prevenzione, il monitoraggio, la gestione, la raccolta dati e
l'analisi degli incidenti di sicurezza, assicurando l'applicazione di
metodologie coerenti ed uniformi in tutto il sistema da essa
controllato (fornitori qualificati SPC iscritti negli eventuali
elenchi regionali) per la gestione degli incidenti.
Art. 2.
Obiettivi e finalità
1. Il presente decreto, emanato ai sensi dell'art. 71 comma 1-bis
del Codice, definisce le Regole tecniche e di sicurezza per il
funzionamento del Sistema pubblico di connettività (SPC).
Art. 3.
Documenti tecnici integrativi
1. La Commissione e gli Organismi di attuazione e controllo, per
il relativo ambito di competenza, emanano i documenti tecnici di cui
all'art. 13 nel rispetto delle presenti Regole tecniche, degli
indirizzi della Commissione di cui all'art. 79 del Codice e dei
regolamenti di cui all'art. 87 del Codice medesimo.
Art. 4.
Norme tecniche di riferimento
1. I principali standard di riferimento per la realizzazione dei
servizi del SPC sono indicati nelle presenti Regole tecniche e nei
documenti tecnici previsti dal presente decreto.
Art. 5.
Compatibilità operativa degli standard
1. La Commissione, avvalendosi degli Organismi di attuazione e
controllo, assicura, in funzione dell'evoluzione tecnologica, la
coerenza operativa degli standard così come previsti nelle presenti
Regole tecniche ed in ogni altro documento predisposto ai sensi del
presente decreto, dando tempestiva informazione delle eventuali
variazioni ai soggetti interessati, anche attraverso pubblicazione
per via telematica.
Titolo II
PRINCIPI NORMATIVI DEL SPC
Art. 6.
Principi generali del SPC
1. La realizzazione del SPC avviene nel rispetto dell'art. 73 del
Codice, ed in particolare dei principi generali indicati nel comma 3
del medesimo art. 73.
Art. 7.
Finalità del SPC
1. Il SPC persegue le finalità indicate nell'art. 77 del Codice.
2. Lo scambio di documenti informatici tra i soggetti di cui
all'art. 75 del codice mediante l'utilizzo di servizi applicativi
interoperabili e cooperanti nel rispetto delle presenti regole,
costituisce invio documentale valido ad ogni effetto di legge, ai
sensi dell'art. 76 del Codice.
Art. 8.
Ricognizione dei ruoli e responsabilità delle Amministrazioni che
partecipano al SPC
1. I compiti delle Amministrazioni nell'ambito del SPC, sono
definiti dalle disposizioni contenute negli articoli 78, 81 e 83 del
Codice.
2. Le responsabilità relative alla realizzazione e gestione del
SPC, secondo gli indirizzi della Commissione ed in conformità alle
presenti Regole tecniche, sono attribuite al CNIPA ed alle regioni,
per i rispettivi ambiti di competenza.
3. In attuazione delle disposizioni previste al comma 1 dell'art.
78 del Codice, le Amministrazioni, secondo la propria autonomia e
responsabilità, sviluppano, gestiscono e rendono disponibili servizi
applicativi nell'ambito del SPC anche mediante l'accesso e lo scambio
delle informazioni e dei dati di propria competenza, nel rispetto
delle presenti regole tecniche.
4. Ai sensi dell'art. 79 del Codice ed in relazione alle
disposizioni richiamate dal comma 3 dell'art. 73, la responsabilità
relativa alla evoluzione del SPC, è attribuita alla Commissione, con
il supporto degli Organismi di attuazione e controllo nell'ambito
delle competenze stabilite dal Codice.
5. Il CNIPA, anche avvalendosi di soggetti terzi, realizza e
gestisce, per un periodo pari almeno a due anni, le infrastrutture
condivise per le Amministrazioni, ai sensi dei commi 2 e 3 dell'art.
86 del Codice
6. L'Amministrazione territoriale gestisce e realizza le proprie
infrastrutture, ovvero le infrastrutture ubicate nel territorio di
competenza ed eventualmente condivise con altre Amministrazioni,
assicurando, per le finalità del SPC, l'interazione con le
infrastrutture condivise a livello nazionale nel rispetto delle
presenti regole tecniche .
7. La Commissione e gli Organismi di attuazione e controllo per i
relativi ambiti di competenza, assicurano la supervisione, il
controllo e la verifica delle prestazioni erogate dai fornitori
qualificati, affinchè siano rispettati i requisiti di qualità e di
sicurezza del SPC ed i requisiti di qualificazione previsti dal
Regolamento per la qualificazione dei fornitori, ai sensi degli
articoli 79, 81 ed 83 del Codice.
Art. 9.
Sviluppo federato, policentrico e non gerarchico del sistema
1. Lo sviluppo del SPC è realizzato secondo un disegno unitario
e conforme alle presenti Regole tecniche. A tal fine le
Amministrazioni, ai sensi dell'art. 73, comma 1, del Codice,
predispongono le infrastrutture e realizzano i servizi applicativi in
ambito SPC, in modo che sia assicurato il coordinamento informativo
ed informatico dei dati tra le Amministrazioni centrali, regionali e
locali e promossa l'omogeneità nella elaborazione e trasmissione dei
dati stessi, finalizzata allo scambio e diffusione delle informazioni
tra le Amministrazioni e alla realizzazione di servizi integrati.
2. La Commissione, definisce gli indirizzi e promuove gli
standard di riferimento per il disegno dell'architettura generale e
dell'architettura delle componenti del SPC in base agli articoli 79
ed 81 comma 1 del Codice.
3. Gli Organismi di attuazione e controllo, nel rispetto delle
presenti Regole tecniche e degli indirizzi della Commissione,
definiscono e provvedono ad aggiornare, secondo le necessità,
l'architettura generale e l'architettura delle componenti del SPC.
4. Gli Organismi di attuazione e controllo, al fine di consentire
lo sviluppo del SPC, sulla base di un disegno unitario realizzato in
modo federato, secondo gli indirizzi della Commissione e nel rispetto
delle presenti Regole tecniche, svolgono anche attività di supporto
alle pubbliche amministrazioni. In tal senso i medesimi Organismi
coadiuvano la predisposizione di soluzioni tecniche funzionali anche
alla riorganizzazione e reingegnerizzazione dei processi, che
risultino compatibili con la cooperazione applicativa ai sensi
all'art. 78 comma 1 del Codice.
5. L'interazione tra le Amministrazioni mediante servizi
applicativi, nell'ambito del SPC, finalizzata allo svolgimento di
procedimenti amministrativi soggettivamente complessi, è paritetica
e non gerarchica, ai sensi dell'art. 73, comma 3, lettera a) del
Codice.
Art. 10.
Economicità nell'utilizzo dei servizi di rete, di interoperabilità
e di supporto alla cooperazione applicativa
1. Gli Organismi di attuazione e controllo, secondo gli indirizzi
e le indicazioni della Commissione e nel rispetto delle presenti
Regole tecniche, progettano e realizzano, anche attraverso la stipula
dei contratti quadro di cui all'art. 83 del Codice, gli interventi
che facilitino e sostengano lo sviluppo di servizi di rete, di
interoperabilità e di cooperazione applicativa tra le
Amministrazioni che utilizzano il SPC. A tal fine, attuano misure che
favoriscano, in particolare:
a) la comunicazione tra le Amministrazioni e nell'ambito delle
stesse, tramite tecnologie e strumenti di comunicazione per
soddisfare le accresciute esigenze di mobilità dei propri operatori
e conseguire risparmi di spesa, ovvero avviare o estendere pratiche
di videocomunicazione collaborativa, telelavoro, teleconferenza, nel
rispetto dell'art. 83 del Codice;
b) la reingegnerizzazione e l'automazione dei processi svolti
dalle Amministrazioni e tra le stesse;
c) l'accesso ai servizi attraverso sistemi di autenticazione
distribuiti e federati, al fine di gestire con maggiore efficienza
identità digitali e ruoli attribuiti e certificati dalle autorità
di autenticazione e dalle autorità di attributo e ruolo;
d) l'integrazione delle informazioni attraverso una
rappresentazione semantica condivisa.
2. Gli Organismi di attuazione e controllo, secondo gli indirizzi
della Commissione, supportano le amministrazioni nella definizione
degli accordi di servizio e cooperazione e ne verificano la corretta
attuazione tecnica.
Titolo III
ARCHITETTURA DEL SPC
Art. 11.
Architettura generale
1. In considerazione delle finalità di cui all'art. 77 del
Codice, il SPC è strutturato secondo una architettura concettuale a
più livelli:
a) Il livello d'interconnessione e comunicazione tra le
Amministrazioni e nell'ambito di una stessa Amministrazione,
realizzato attraverso una componente di connettività, che include
servizi di trasporto, per la trasmissione, secondo il protocollo IP,
di dati, immagini e fonia, nonchè servizi di interoperabilità di
base, attraverso i quali viene attivata la trasmissione di
informazioni o di documenti informatici. La condivisione a livello
nazionale, da parte delle Amministrazioni interconnesse, di
infrastrutture di connettività, garantisce omogeneità ed
uniformità di prestazioni da parte dei fornitori qualificati,
consentendo lo sviluppo del SPC secondo un disegno unitario;
b) Il livello d`interoperabilità evoluta e cooperazione
applicativa tra le Amministrazioni aderenti al SPC, che include
servizi di interoperabilità evoluta per la circolazione e lo scambio
di dati ed informazioni tra le PA e tra le stesse ed i cittadini,
nonchè servizi di cooperazione applicativa, costituenti
l'infrastruttura del SPCoop per il coordinamento e la sicurezza a
livello applicativo, che favoriscono la realizzazione e
l'interoperabilità di servizi per le finalità di cui all'art. 7. I
servizi e le infrastrutture di connettività di cui alla lettera a)
forniscono funzionalità di connessione e trasporto IP attraverso le
quali sono veicolati i servizi di questo livello, ai sensi dell'art.
77 del codice.
c) Il livello dei servizi applicativi e telematici resi
disponibili attraverso il SPC.
2. Il funzionamento e la gestione dei servizi applicativi di cui
al comma 1 lettera c) si basano sulla condivisione, da parte delle
Amministrazioni cooperanti, di servizi infrastrutturali di
interoperabilità, cooperazione ed accesso (SICA), costituiti dai
servizi di cooperazione applicativa di cui al comma 1 lettera b) ed
articolati in una componente di livello generale, condivisa a livello
nazionale, alla quale, eventualmente, si raccordano ulteriori
componenti federate distribuite (SICA secondari). I SICA realizzano
la pubblicazione degli accordi di servizio e degli altri elementi
della cooperazione applicativa di cui all'art. 20, necessaria ai fini
dell'accesso ai servizi, nonchè della validità degli scambi
documentali e dei dati in base alle disposizioni di cui agli
articoli 50, comma 3, 51 e 76 del Codice.
3. Dal punto di vista della sicurezza, l'intero SPC si configura
come un dominio affidabile (trusted), costituito da una federazione
di domini affidabili basata su mutue relazioni organizzative e
tecnologiche di tipo fiduciario. La componente di sicurezza del SPC
è trasversale alle componenti di connettività e di
interoperabilità e cooperazione applicativa; include l'insieme delle
misure organizzative, dei servizi e delle infrastrutture realizzate a
livello centrale (dominio di interconnessione) ed a livello di
singola Amministrazione (dominio interno), in conformità alle
presenti Regole tecniche. Per quanto concerne le componenti di
sicurezza finalizzate all'accesso ai servizi applicativi e
telematici, allo scopo di garantire l'aggiornamento, la veridicità e
l'affidabilità dell'intero insieme di informazioni che
caratterizzano la cooperazione applicativa, sono assicurati, in
particolare: il riconoscimento dei soggetti abilitati ad operare in
SPC e delle componenti SPCoop (porte di dominio, servizi applicativi,
servizi infrastrutturali - SICA), nonchè la gestione delle identità
digitali e dei ruoli su base federale.
Art. 12.
Componenti logiche del SPC
1. Sulla base della descrizione dell'architettura generale di cui
al precedente articolo, il SPC è articolato nelle seguenti
componenti logiche:
a) Servizi di connettività. Includono i servizi di trasporto
ed i servizi di interoperabilità di base. Consentono la trasmissione
di dati, immagini e fonia (voce), ovvero di documenti informatici
nell'ambito di una stessa Amministrazione (ambito Intranet), tra
diverse Amministrazioni (ambito Infranet), tra singole
Amministrazioni ed utenti esterni ad esse (ambito Internet);
b) Servizi di interoperabilità e cooperazione. Includono i
servizi di interoperabilità evoluta e cooperazione applicativa per
le amministrazioni ed i servizi infrastrutturali di cooperazione
applicativa. I servizi di interoperabilità evoluta consentono la
comunicazione a livello applicativo tra le amministrazioni e con il
mondo esterno e comprendono servizi di messaggistica, videoconferenza
e sviluppo di servizi web accessibili in modalità multicanale. I
servizi di cooperazione applicativa per le amministrazioni consentono
lo sviluppo delle Porte di Dominio e l'integrazione di servizi
applicativi. I servizi infrastrutturali di cooperazione applicativa
consentono, in particolare: la registrazione e pubblicazione degli
Accordi di servizio e degli Accordi di cooperazione, degli schemi di
dati, metadati ed ontologie di dominio; la gestione su base federata
delle identità digitali di cui all'art. 22, ai fini
dell'autenticazione ed autorizzazione di soggetti e servizi abilitati
ad operare sul SPC; il supporto alla qualificazione di componenti
architetturali SPCoop quali le Porte di Dominio ed i servizi di
Registro SICA secondari; ogni altra funzionalità che permetta di
realizzare l'interoperabilità e la cooperazione applicativa in
ambito SPC;
c) Infrastrutture condivise. Includono:
i. la Qualified eXchange Network (QXN), per la quale transita
tutto e solo il traffico dati scambiato tra fornitori qualificati di
connettività per conto delle Amministrazioni aderenti al SPC. La QXN
non è attraversata dal traffico Intranet o Infranet tra sedi
collegate alla rete di uno stesso fornitore, nè dal traffico
Internet tra un'Amministrazione ed un soggetto non collegato al SPC,
nè dal traffico tra soggetti non collegati al SPC;
ii. ogni infrastruttura che realizza l'interconnessione tra
domini di Amministrazioni connesse al SPC, quale il Nodo di
Interconnessione VoIP (NIV-SPC);
iii. il Centro di Gestione SPC (CG-SPC) di cui alla
lettera o) dell'art. 1;
iv. il Centro di Gestione dei servizi infrastrutturali di
interoperabilità, cooperazione ed accesso (CG-SICA), che include
l'insieme di componenti di livello generale (hardware, software,
documenti, servizi) preposte all'erogazione dei servizi di
cooperazione applicativa di cui all'art. 11, comma 1, lettera b).
Tale centro svolge anche funzioni di supporto per la qualificazione
di porte di dominio e di eventuali servizi infrastrutturali SICA
federati di livello secondario e fornisce alla Commissione gli
elementi per la valutazione dei livelli qualitativi e quantitativi
dei servizi SICA;
v) ogni altra componente di interesse comune delle
Amministrazioni realizzata per consentire le finalità del SPC.
d) Servizi di sicurezza. Includono l'insieme di servizi e le
relative infrastrutture utilizzate per implementare l'architettura di
sicurezza del SPC, onde conseguire le finalità di cui all'art. 11,
comma 3.
2. Le regioni possono definire, per la parte di competenza, una
diversa attuazione delle componenti logiche di cui al comma 1 nel
rispetto della architettura generale del SPC e delle presenti Regole
tecniche, garantendo gli stessi livelli di qualità e sicurezza su
tutto il territorio nazionale, nonchè equivalenti modalità di
accesso e fruizione dei servizi da parte dei cittadini e delle
imprese.
3. Le regioni definiscono con il CNIPA appositi protocolli
d'intesa, periodicamente aggiornati, da portare all'approvazione
della Commissione, nei quali vengono definite le modalità
organizzative e tecniche con cui vengono garantiti i livelli di
servizio e di sicurezza del SPC. Le Community Network fanno parte
integrante del SPC operando secondo i criteri di qualità e sicurezza
previsti nelle presenti Regole tecniche.
4. Le Amministrazioni responsabili delle reti di rilevanza
nazionale possono definire con il CNIPA appositi protocolli d'intesa
periodicamente aggiornati, da portare all'approvazione della
Commissione, nei quali vengono definite le modalità organizzative e
tecniche con cui vengono garantiti i livelli di servizio e di
sicurezza del SPC.
5. La Commissione, ai sensi dell'art. 79, comma 2, del Codice, su
proposta degli Organismi di attuazione e controllo, approva
l'ampliamento, la modifica, la riorganizzazione e lo sviluppo dei
servizi e delle componenti di cui al comma 1, in relazione alla
evoluzione tecnologica, al mutare delle esigenze delle
Amministrazioni o al variare del quadro normativo di riferimento del
SPC.
6. Le eventuali componenti logiche federate e distribuite dei
servizi SICA, di cui all'art. 11 comma 2, sono realizzate per
specifiche esigenze di gestione e comunque sulla base di criteri di
economicità ed efficienza che privilegino il riuso e la condivisione
di infrastrutture fra più Amministrazioni.
Art. 13.
Definizione dell'architettura e sua evoluzione
1. Sulla base della definizione di cui all'art. 73, comma 2, del
Codice, il SPC è un sistema che evolve in funzione:
a) delle esigenze di cooperazione delle Amministrazioni;
b) del soddisfacimento delle esigenze dei cittadini e delle
imprese nei rapporti con la pubblica amministrazione;
c) della necessità di diminuire i costi sostenuti dalle
Amministrazioni per l'erogazione dei servizi ai cittadini ed alle
imprese;
d) dell'evoluzione tecnologica delle soluzioni informatiche e
dei sistemi di comunicazione;
e) del mutare dei rischi e dei requisiti di sicurezza del
patrimonio informativo e dei sistemi informatici e telematici della
pubblica amministrazione;
f) del mutare delle esigenze organizzative delle
amministrazioni;
g) delle esigenze di partecipazione ed integrazione a livello
europeo.
2. Gli Organismi di attuazione e controllo, secondo gli indirizzi
della Commissione e nel rispetto delle presenti Regole tecniche,
curano la realizzazione dell'architettura e formulano proposte alla
Commissione medesima per l'evoluzione del SPC.
3. Gli Organismi di attuazione e controllo, nel rispetto delle
proprie competenze ed in conformità alle presenti Regole tecniche,
predispongono idonea documentazione che esplicita quanto contenuto
nelle disposizioni di cui al Titolo IV, da sottoporre
all'approvazione della Commissione. In particolare, la predetta
documentazione descrive e precisa quanto segue:
a) l'architettura generale del SPC;
b) l'architettura delle componenti del SPC, ovvero dei servizi
di connettività, delle infrastrutture condivise, dei servizi di
interoperabilità e cooperazione, dei servizi di sicurezza e di ogni
altra componente definita nell'ambito dell'architettura del SPC per
consentire le finalità di cui all'art. 77 del Codice;
c) le specifiche ed i requisiti delle componenti di cui alla
precedente lettera b), comprese, ove disponibili, implementazioni di
riferimento sviluppate con codice sorgente aperto, secondo le
indicazioni della Commissione;
d) gli standard e le norme tecniche di riferimento;
e) i requisiti minimi che devono essere soddisfatti nella
progettazione, realizzazione ed erogazione dei servizi di
connettività SPC, con riferimento in particolare alla qualità del
servizio (QoS), alla banda larga, al dominio di interconnessione, al
dominio interno di un'Amministrazione e al dominio dei servizi
erogati dai fornitori qualificati;
f) i criteri e le specifiche tecniche di dettaglio che devono
essere soddisfatti nella progettazione, realizzazione, sviluppo ed
erogazione dei servizi di cooperazione applicativa SPC;
g) i contenuti minimi obbligatori e la composizione di un
Accordo di Servizio o di Cooperazione; l'identificazione, secondo uno
specifico schema di nomenclatura, di tutti gli elementi (Accordi di
Servizio, soggetti, caratteristiche dei servizi, ecc.) che
intervengono nel processo di cooperazione applicativa;
h) la descrizione e le modalità di erogazione dei servizi
applicativi e telematici;
i) le modalità che i fornitori qualificati devono seguire per
documentare i loro progetti e dimostrare la conformità del modello
di funzionamento dei servizi ai citati requisiti;
j) le misure minime di sicurezza che dovranno essere adottate.
4. La documentazione di cui al comma 3 è aggiornata dagli
Organismi di attuazione e controllo, nel rispetto delle proprie
competenze, in relazione all'evoluzione del SPC, è soggetta ad
apposita licenza d'uso ed è pubblicata dalla Commissione per via
telematica.
Titolo IV
SPECIFICHE PER LA REALIZZAZIONE DEI SERVIZI DEL SPC
Art. 14.
Servizi di connettività, trasporto ed interoperabilità di base
1. Il SPC consente la connessione delle Amministrazioni nel
rispetto dei seguenti principi:
a) i servizi di connettività sono caratterizzati da parametri
oggettivi, indipendenti dalle infrastrutture tecnologiche utilizzate
per l'erogazione, permettendo di ottenere l'equivalenza dei servizi
in termini di funzionalità, livelli di qualità e garanzie di
sicurezza, pur lasciando ai fornitori la libertà delle scelte
tecnologiche;
b) le Amministrazioni possono usufruire dei servizi di
connettività con caratteristiche differenziate, commisurate alle
effettive esigenze. Sono, pertanto, previste più classi di servizio,
con prestazioni differenziate in funzione delle caratteristiche del
traffico che deve essere supportato.
2. Il SPC consente, inoltre, la connessione alle Amministrazioni
in modo sicuro attraverso la rete Internet o, previa autorizzazione
della Commissione, attraverso le reti di enti nazionali ed
internazionali.
3. I servizi di trasporto sono basati sul protocollo IP e
conformi alle normative internazionali di riferimento IETF
applicabili.
4. I collegamenti fra le sedi di una o più Amministrazioni
(ambito Intranet/Infranet) sono generalmente realizzati in Virtual
Private Network (VPN) o con meccanismi equivalenti dal punto di vista
della sicurezza.
5. I collegamenti alla rete dei fornitori possono essere
realizzati in modalità «always-on» mediante tecnologie che
consentono accessi permanenti (xDSL, SDH, ecc.), in modalità
«dial-up» mediante tecnologie che consentono accessi a commutazione
di circuito (PSTN, ISDN, ecc.), in modalità «wireless» mediante
tecnologie che consentono accessi basati su trasmissioni in radio
frequenza (ad esempio GPRS, WI-FI, link via satellite bidirezionale
su canale condiviso e non, ecc.) ovvero mediante nuove tecnologie
eventualmente disponibili in futuro.
6. I servizi di trasporto sono in grado di garantire
caratteristiche differenziate per il trasferimento dei pacchetti IP
in funzione del traffico trasportato, a seconda che debbano essere
impiegati per l'erogazione di servizi standard, di servizi in tempo
reale, di servizi in tempo differito, o di servizi interattivi.
7. L'accesso ad ogni servizio è realizzato attraverso un Punto
di Accesso al Servizio, messo a disposizione e gestito dal fornitore,
costituito da una o più interfacce fisiche che caratterizzano il
servizio e sono prese a riferimento per le misure di qualità.
8. Ad ogni Amministrazione è consentita la fruizione di servizi
di fonia di base e supplementari su infrastrutture di trasporto
basate sul protocollo IP (VoIP), secondo gli standard di riferimento
definiti nella documentazione di cui all'art. 13. Il SPC consente,
sulla base delle esigenze della singola Amministrazione, la
connessione alla rete telefonica pubblica (PSTN) e l'integrazione
rispetto alle infrastrutture pre-esistenti, sia per quanto riguarda
la rete IP (piano di indirizzamento, presenza di Network Address
Translation, presenza di proxy a livello applicativo), sia per quanto
riguarda la rete di telefonia privata TDM (piano di numerazione dei
derivati telefonici).
9. I servizi di interoperabilità di base consentono
l'interconnessione tra diversi domini a livello applicativo per lo
scambio di messaggi di posta elettronica utilizzando i protocolli
ammessi dalle politiche di sicurezza definite nelle presenti Regole
Tecniche e nella documentazione di cui all'art. 13, nonchè
ammissibili dalle politiche d'uso delle singole Amministrazioni e
conformi alla Internet Protocol Suite così come definita dall'IETF.
10. Al fine di consentire il monitoraggio e la gestione delle
risorse attraverso le infrastrutture condivise, è consentito il
transito di unità dati ICMP ed SNMP attraverso gli apparati usati
per l'erogazione dello specifico servizio oggetto di misura, nonchè
l'accesso in lettura alle Management Information Base (MIB) degli
apparati utilizzati, fatte salve ulteriori metodologie individuate
dalla Commissione.
Art. 15.
Servizi per l'interoperabilità evoluta e la cooperazione applicativa
1. Il SPC consente l'interoperabilità e la cooperazione
applicativa tra diverse Amministrazioni nel rispetto delle presenti
regole tecniche, delle specifiche contenute nella documentazione di
cui all'art. 13, comma 3, nonchè dei seguenti principi:
a) preservare l'autonomia delle singole Amministrazioni,
garantendo al tempo stesso ai diversi sistemi di interoperare fra
loro per erogare servizi integrati agli utenti, nel rispetto di
quanto previsto dall'art. 9, comma 5;
b) permettere l'integrazione dei processi, dei procedimenti e
dei dati di Amministrazioni diverse, coinvolte nelle procedure
inter-amministrative, assicurando che ciascuna Amministrazione
mantenga la responsabilità dei servizi da essa erogati e dei dati da
essa forniti;
c) permettere che, in caso di informatizzazione di procedimenti
amministrativi che includono servizi riconducibili alla
responsabilità di più Amministrazioni, una sola Amministrazione
assuma (per legge, per delega concordata, ecc.), la responsabilità
complessiva nei confronti dell'utente finale;
d) permettere agli utenti finali di avere una visione integrata
di tutti i servizi di ogni amministrazione pubblica centrale e
locale, indipendente dal canale di erogazione (multicanalita) e
favorendo il multilinguismo;
e) valorizzare la specificità di ogni soggetto erogatore di
servizi, assicurando al contempo uniformità di interazione e
certezza nella identificazione degli attori dell'interazione.
2. I servizi di interoperabilità evoluta consentono:
a) lo scambio di messaggi di posta elettronica, sulla base
dello standard SMTP per i messaggi di tipo testuale, MIME S/MIME per
i messaggi crittografati e firmati digitalmente, DSN nel caso siano
richieste informazioni relative alla trasmissione dei messaggi, con
accesso multicanale ed autenticato ai messaggi ed alle caselle
postali, nonchè di standard internazionali e specifiche pubbliche
comunemente riconosciute, come individuate nella documentazione di
cui all'art. 13;
b) lo scambio di messaggi di posta elettronica certificata di
cui al decreto del Presidente della Repubblica 11 febbraio 2005 n. 68
«Regolamento concernente disposizioni per l'utilizzo della posta
elettronica certificata», nel rispetto delle regole tecniche e degli
standard di cui al decreto ministeriale 2 novembre 2005 del Ministro
per l'Innovazione e le Tecnologie recanti «Regole tecniche per la
formazione, la trasmissione, e la validazione, anche temporale, della
posta elettronica certificata»;
c) la comunicazione e la collaborazione in tempo reale ed in
modalità interattiva fra utenti dislocati remotamente, attraverso
strumenti di video-conferenza accessibili dalle singole postazioni di
lavoro o da apposite postazioni condivise;
d) la fruizione di applicazioni telematiche multicanale, che
favoriscano la comunicazione asincrona tra amministrazioni e con
cittadini ed imprese, sviluppate sulla base delle Raccomandazioni del
World Wide Web Consortium (W3C) in materia di tecnologie Web e nel
rispetto della normativa vigente in tema di accessibilità (legge
9 gennaio 2004, n. 4 e decreto ministeriale 8 luglio 2005 del
Ministro per l'Innovazione e le Tecnologie).
3. I servizi di cooperazione applicativa per le amministrazioni
consentono la gestione di tutte le attività necessarie alla
predisposizione dei servizi applicativi finalizzata all'interazione
sul SPC ed, in particolare, comprendono:
a) lo sviluppo e la gestione della porta di dominio, nella
configurazione adeguata alle strutture ed all'organizzazione dei
sistemi informatici delle singole Amministrazioni e nel rispetto
delle presenti Regole tecniche e della documentazione di cui all'art.
13;
b) l'integrazione e l'esercizio di servizi applicativi su SPC,
attraverso lo sviluppo, l'adeguamento e la composizione degli stessi,
secondo gli Accordi di servizio e di cooperazione, nonchè la
pubblicazione di questi ultimi mediante i SICA. I servizi applicativi
sviluppati devono essere caratterizzati da riusabilità, modularità
ed integrabilità e devono essere realizzati in conformità al
paradigma Web Services definito dal World Wide Web Consortium (W3C),
nel rispetto delle presenti Regole tecniche e della documentazione di
cui all'art. 13.
4. I servizi infrastrutturali di cooperazione applicativa (SICA)
permettono la cooperazione fra i servizi applicativi delle
Amministrazioni, consentendo in particolare:
a) la gestione degli Accordi di Servizio e degli Accordi di
Cooperazione attraverso il Servizio di Registro SICA. Il servizio
offre funzionalità per l'accesso, la registrazione, l'aggiornamento,
la cancellazione e la ricerca degli Accordi di Servizio e di
Cooperazione, nonchè, attraverso l'integrazione con l'IPA (Indice
delle Pubbliche Amministrazioni), la gestione delle informazioni
relative alle entità organizzative (amministrazioni pubbliche e
relative strutture organizzative, indirizzi di posta elettronica
certificata ed Aree Organizzative Omogenee) che operano nell'ambito
del SPC e dei servizi telematici da queste erogati;
b) la descrizione degli elementi semantici associati ai servizi
applicativi ed alle informazioni gestite, anche ai fini
dell'individuazione automatica dei servizi disponibili per
l'erogazione delle prestazioni richieste, e la condivisione tra le
Amministrazioni cooperanti degli schemi di dati e metadati, nonchè
delle ontologie di dominio, attraverso il «Servizio di Catalogo
Schemi/Ontologie»;
c) la gestione su base federata delle identità digitali di cui
all'art. 22 e dei ruoli funzionali associabili a tali identità, al
fine di creare un insieme di relazioni di fiducia (trusted domain)
fra le autorità di identificazione, di autenticazione e di attributo
e ruolo, per lo scambio di credenziali di autenticazione
reciprocamente garantite, utilizzabili per l'accesso e l'erogazione
di servizi nell'ambito del SPC;
d) la gestione di una struttura complessa di indici
(meta-directory) per la pubblica amministrazione, attraverso il
«Servizio di Indice dei Soggetti» che, integrando la Rubrica della
P.A. (RPA), offre l'accesso telematico in tempo reale ad elenchi
relativi al personale delle Amministrazioni partecipanti al SPC, la
cui pubblicazione ed aggiornamento sono a cura delle Amministrazioni
stesse;
e) la gestione di certificati digitali, associati a entità
diverse dalle persone fisiche (apparati hardware, servizi ed
applicazioni) nell'ambito del SPC, attraverso il «Servizio di
Certificazione»;
f) il supporto alla qualificazione delle porte di dominio,
mediante appositi test di verifica del corretto trattamento dei
messaggi, effettuati per il tramite di una porta di dominio campione;
g) il supporto alla qualificazione dei Servizi di Registro SICA
di livello secondario, mediante appositi test di verifica
dell'interoperabilità con il Servizio di Registro SICA federati di
livello generale di cui alla lettera a).
Art. 16.
Infrastrutture condivise
1. La Qualified eXchange Network (QXN), con caratteristiche e
compiti simili a quelli di un Internet eXchange Point, ha una
architettura geograficamente distribuita con almeno due nodi connessi
tra loro con linee ridondate. I nodi della infrastruttura sono
collocati presso i Neutral Access Point (NAP) pubblici già esistenti
ed effettuano l'instradamento (routing) di pacchetti IP, in coerenza
con i livelli di qualità e di sicurezza del SPC.
2. I servizi di trasporto erogati dai fornitori, grazie alla QXN,
dovranno consentire di realizzare connessioni che supportino la
qualità di servizio (QoS) e la banda garantita end to end prevista
per il SPC nella documentazione tecnica di cui all'art. 13, anche tra
Amministrazioni afferenti a fornitori differenti.
3. La QXN eroga servizi di:
a) housing, per permettere l'alloggiamento degli apparati dei
fornitori in aree protette con adeguate misure di sicurezza;
b) accesso, per la connessione degli apparati dei fornitori
alla LAN interna dei nodi della QXN;
c) banda, per consentire l'accesso e il trasporto attraverso
l'infrastruttura con banda garantita;
d) tempo ufficiale di rete, per permettere la sincronizzazione
del tempo a tutti i fornitori e alle Amministrazioni che ne abbiano
l'esigenza.
4. L'infrastruttura per l'interconnessione delle Amministrazioni
aventi uno o più domini VoIP connessi al SPC, denominata Nodo di
Interconnessione VoIP (NIV-SPC), supporta almeno i protocolli SIP e
H.323 ed è in grado di assicurare:
a) il corretto interfacciamento tra i differenti domini VoIP
delle Amministrazioni, eseguendo le necessarie conversioni nei
protocolli di segnalazione e di controllo sul traffico scambiato;
b) l'instradamento tra i differenti domini VoIP delle chiamate
originate o terminate all'interno dei domini VoIP;
c) servizi di IP-Centrex, comprensivi di un numero predefinito
di postazioni VoIP da installare presso le Amministrazioni che ne
facciano richiesta;
d) l'interconnessione dei domini VoIP IP-Centrex con il dominio
della rete telefonica pubblica fissa/mobile (PSTN/PLMN).
5. Presso il Centro di Gestione dei servizi infrastrutturali di
interoperabilità, cooperazione ed accesso (CG-SICA) operano le
componenti infrastrutturali (piattaforme hardware/software e servizi)
per l'erogazione dei servizi di livello generale di cui all'art. 15,
comma 4.
6. Il Centro di Gestione SPC (CG-SPC), avente il ruolo di terza
parte nei confronti dei fornitori qualificati e dei soggetti che, per
conto del CNIPA, gestiscono le infrastrutture condivise del SPC,
quali la QXN e il NIV-SPC, svolge:
a) funzioni centralizzate di sicurezza, per la cooperazione
delle strutture locali di sicurezza, che includono anche la
realizzazione di una Public Key Infrastructure (PKI) per l'emissione
e la gestione di certificati per il funzionamento dei servizi di
connettività del SPC;
b) funzioni di misurazione, raccolta e distribuzione dei dati
relativi ai livelli di qualità e sicurezza dei servizi di
connettività erogati dai singoli fornitori qualificati, volte a
consentirne la verifica e la validazione;
Art. 17.
Modalità di connessione e di interazione con le infrastrutture
condivise di connettività
1. Il Neutral Access Point (NAP) che si candida ad ospitare un
nodo della QXN dovrà essere già utilizzato da almeno tre diversi
operatori di telecomunicazione che offrono servizi di rete sul
territorio italiano e da almeno tre Internet service provider (ISP),
che non siano già connessi alla QXN attraverso altri NAP.
2. I fornitori di servizi di connettività dovranno installare a
proprio carico, presso almeno un nodo della QXN, almeno due Border
Router, sui quali dovrà essere convogliato il traffico SPC, in
particolare il traffico scambiato tra le Amministrazioni alle quali
forniscono servizi di trasporto e le Amministrazioni che utilizzano
servizi di trasporto erogati da fornitori differenti.
3. I fornitori qualificati a livello nazionale dovranno
connettersi ad almeno due nodi della QXN secondo le modalità di cui
al comma precedente.
4. I fornitori qualificati che erogano servizi diversi dalla
connettività in ambito SPC assicurano la propria connessione al SPC
attraverso l'acquisizione di almeno un servizio di trasporto in
ambito Infranet da uno o più fornitori qualificati di servizi di
connettività SPC. Tale servizio di trasporto deve avere
caratteristiche dimensionali, di qualità e di sicurezza adeguate al
tipo di servizio da erogare.
5. Le Community Network assicurano la propria connessione al SPC
attraverso una delle seguenti modalita':
a) istallazione, presso almeno un nodo della QXN, di almeno due
Border Router, sui quali sarà convogliato tutto il traffico SPC. In
tal caso la Community Network dovrà effettuare il collegamento
diretto (peering) tra la propria rete e quelle attestate sulla QXN
secondo le medesime modalità tecniche individuate per i fornitori
qualificati;
b) l'acquisizione da uno o più fornitori qualificati di
servizi di connettività di almeno un servizio di trasporto in ambito
Infranet.
6. Il CG-SPC, il NIV ed ogni altra infrastruttura utilizzata per
la interconnessione, ovvero per la gestione ed il monitoraggio delle
risorse condivise in ambito nazionale, sono connessi al SPC
attraverso almeno un servizio di trasporto in ambito Infranet,
acquisito da uno o più fornitori qualificati di servizi di
connettività, con capacità di banda e caratteristiche di qualità e
sicurezza adeguate alle caratteristiche del traffico veicolato da e
verso le infrastrutture interessate.
7. Al fine di consentire il monitoraggio dei servizi, secondo le
disposizioni contenute nel Titolo VII, ciascun fornitore e ciascuna
Community Network, connessa al SPC attraverso le modalità di cui al
comma 5 lettera a), assicura che:
a) l'infrastruttura utilizzata per l'erogazione del servizio in
ambito SPC includa un sistema in grado di interfacciare il CG-SPC,
ovvero ogni altra componente preposta al monitoraggio o alla gestione
di risorse condivise in ambito nazionale, per consentire lo scambio
di dati relativi ai parametri di qualità dei servizi, di fault, di
provisioning, di informazioni di configurazione o di ogni altra
informazione rilevante per la misura degli indicatori di qualità e
di sicurezza del servizio, secondo le specifiche approvate dalla
Commissione su proposta del CNIPA, sentite le regioni o le Community
Network per i rispettivi ambiti di competenza. Le modalità di invio
di tali file si basano su protocolli standard (mail, FTP, etc.), che
includono meccanismi per la protezione di dati confidenziali (IPSEC,
SSL, SSH);
b) tutti gli apparati usati per l'erogazione di uno specifico
servizio, oggetto di misura consentono il transito di unità dati
ICMP ed SNMP, nonchè l'accesso in lettura alle Managment Information
Base (MIB) e devono permettere l'utilizzo di ulteriori sistemi
individuati dalla Commissione.
Art. 18.
Connessioni alle reti internazionali
1. Al fine di consentire alle Amministrazioni di svolgere
adempimenti in ambito internazionale, che richiedono
l'interoperabilità con Organismi europei o trans-europei, per
l'accesso ai servizi o ai dati erogati da detti Organismi, il SPC,
oltre a realizzare la connessione con la Rete Internazionale della
Pubblica Amministrazione, consente la connessione alle reti
internazionali, ad esclusione di quelle pubbliche fruibili via
Internet, alle quali le Amministrazioni abbiano l'esigenza di essere
collegate, previa autorizzazione della Commissione.
2. Per le finalità di cui al comma 1, il fornitore qualificato
di servizi di connettività, realizza uno o più collegamenti, con
caratteristiche dimensionali, di qualità e di sicurezza adeguate
alle specifiche esigenze dell'Amministrazione e nel rispetto delle
presenti Regole tecniche.
Art. 19.
Modalità di utilizzo dei servizi di interoperabilità e cooperazione
1. Le Amministrazioni pubbliche e altri soggetti autorizzati, al
fine di attivare i servizi di interoperabilità e cooperazione
applicativa con altre amministrazioni, devono preventivamente
accreditarsi in SPCoop. L'accreditamento avviene attraverso
l'iscrizione all'IPA, secondo le procedure definite nei relativi
documenti tecnici di cui all'art. 13 e prevede l'assegnazione di
certificati digitali ai fini dell'identificazione delle
Amministrazioni.
2. Le Amministrazioni pubbliche si dotano dei servizi di
interoperabilità evoluta e di cooperazione applicativa, di cui agli
articoli 12 e 15, per le finalità di comunicazione, erogazione di
servizi telematici e di interazione di servizi applicativi sul SPC,
acquisendoli da fornitori qualificati ovvero sviluppandoli in proprio
nel rispetto delle presenti Regole tecniche.
3. I servizi SICA, di cui all'art. 15, comma 4, sono utilizzati
dalle Amministrazioni pubbliche attraverso le proprie porte di
dominio o per il tramite di specifiche modalità tecniche definite
nella relativa documentazione di cui all'art. 13.
4. Gli eventuali servizi SICA federati di livello secondario sono
sincronizzati con i corrispettivi servizi di livello generale secondo
modalità stabilite nella citata documentazione tecnica di cui
all'art. 13, la cui applicazione e conformità è garantita dagli
Organismi di attuazione e controllo.
Art. 20.
Modalità per la cooperazione applicativa fra servizi
1. L'erogazione e la fruizione di servizi applicativi in SPCoop
richiede che le Amministrazioni qualifichino la propria porta di
dominio, secondo le procedure previste all'art. 29, allo scopo di
attivare la cooperazione applicativa.
2. La cooperazione fra servizi applicativi avviene mediante lo
scambio di messaggi standard, secondo il formato della Busta e-Gov
definito nella documentazione tecnica di cui all'art. 13, comma 3,
attraverso le porte di dominio qualificate.
3. I servizi applicativi erogati dalle Amministrazioni sono
descritti negli Accordi di Servizio di cui all'art. 17 del Codice.
Tali Accordi sono pubblicati nei Servizi di Registro SICA secondo le
modalità descritte nella documentazione di cui all'art. 13 e
sottoscritti digitalmente, mediante i certificati digitali rilasciati
in fase di accreditamento al SPCoop, dalle Amministrazioni che
erogano e fruiscono dei servizi applicativi.
4. I servizi applicativi composti, erogati nell'ambito di un
Dominio di cooperazione, sono descritti e definiti negli Accordi di
Cooperazione, di cui all'art. 1, comma 1, lettera y). Tali Accordi
sono pubblicati nei Servizi di Registro SICA secondo le modalità
descritte nella documentazione di cui all'art. 13 e sottoscritti
digitalmente dalle Amministrazioni che partecipano alla loro
definizione e cooperano per l'erogazione dei servizi composti.
5. Gli schemi di dati e metadati e le ontologie di dominio
utilizzati nell'ambito SPC sono pubblicati e resi disponibili dalle
amministrazioni attraverso il servizio di catalogo di schemi ed
ontologie, secondo le modalità descritte nella documentazione di cui
all'art. 13, al fine di consentire l'integrazione delle informazioni
e dei procedimenti, nonchè l'accesso ai dati delle pubbliche
amministrazioni.
6. Il riferimento temporale relativo ai messaggi scambiati
nell'ambito dell'interazione tra servizi applicativi, è contenuto
nella busta e-gov. Tale riferimento può essere generato con
qualsiasi sistema che garantisca stabilmente uno scarto non superiore
al decimo di minuto secondo rispetto alla scala di tempo universale
coordinato (UTC), determinata ai sensi dell'art. 3, comma 1, della
legge 11 agosto 1991, n. 273. Tale sincronizzazione può avvenire
sulla base del tempo ufficiale di rete SPC, reso disponibile
attraverso la QXN, utilizzando il protocollo NTP.
7. L'accesso ai servizi applicativi da parte delle
Amministrazioni avviene attraverso l'autenticazione delle identità
digitali secondo le disposizioni di cui all'art. 22.
8. L'Accordo di servizio contiene la definizione del servizio e
delle relative modalità di erogazione e fruizione di seguito
indicate:
a) interfaccia del servizio, intesa come insieme di operazioni
offerte dal servizio medesimo;
b) punti di accesso presso cui il servizio è disponibile;
c) modalità di richiesta e relative risposte ammesse dal
servizio (protocollo di conversazione);
d) semantica del servizio e delle informazioni trattate;
e) livelli di servizio garantiti;
f) requisiti e caratteristiche di sicurezza del servizio.
9. Gli elementi di cui alle lettere a) e b) del comma 8 sono
obbligatori e descritti secondo lo standard WSDL (Web Services
Description Language); gli altri elementi, ove necessari, sono
descritti secondo specifiche pubblicamente disponibili, concordate
tra erogatore e fruitore, nel rispetto delle presenti Regole tecniche
e secondo quanto definito nella documentazione di cui all'art. 13,
comma 3.
10. L'Accordo di cooperazione regola l'interazione tra più
Amministrazioni cooperanti finalizzata all'automazione di uno o più
procedimenti amministrativi, a cui le stesse amministrazioni
partecipano, nonchè all'erogazione dei relativi servizi applicativi
composti. L'Accordo è redatto secondo quanto definito nella
documentazione di cui all'art. 13, comma 3 e contiene:
a) il riferimento agli Accordi di servizio relativi ai servizi
applicativi componenti che concorrono alla costruzione dei servizi
applicativi composti;
b) il riferimento agli Accordi di servizio relativi ai servizi
applicativi composti risultato della cooperazione applicativa;
c) le modalità di cooperazione e coordinamento finalizzate
all'espletamento del procedimento amministrativo, descritte in
linguaggio Web Service Business Process Execution Language (WS-BPEL).
11. Nell'Accordo di cooperazione è individuato il soggetto
coordinatore responsabile, cioè l'Amministrazione che ha il compito
di assicurare l'efficacia organizzativa e tecnica della cooperazione
ed il coordinamento degli adempimenti di ciascuno dei soggetti
partecipanti, nonchè garantire l'erogazione dei servizi applicativi
composti del Dominio di cooperazione.
Art. 21.
Requisiti generali per la sicurezza del SPC
1. L'architettura di sicurezza del SPC è volta a consentire:
a) lo sviluppo del SPC come dominio affidabile (trusted),
costituito da una federazione di domini di sicurezza in cui diversi
soggetti si impegnano reciprocamente ad adottare le misure minime
definite nell'ambito del SPC, atte a garantire i livelli di sicurezza
necessari all'intero sistema;
b) la corretta individuazione delle responsabilità e degli
ambiti di competenza di ciascun soggetto che partecipa all'erogazione
di un servizio composto in ambito SPC;
c) la salvaguardia della integrità, disponibilità e
riservatezza delle informazioni veicolate o gestite nell'ambito del
SPC, nel rispetto dell'autonomia del patrimonio informativo delle
singole Amministrazioni;
d) l'attuazione delle misure minime organizzative e tecniche
previste dalle vigenti disposizioni in materia di protezione dei dati
personali di cui al decreto legislativo 30 giugno 2003, n. 196;
e) l'accesso ai servizi nel rispetto della normativa vigente in
materia di autenticazione informatica.
2. La Commissione, sulla base dell'analisi dei rischi cui sono
soggetti il patrimonio informativo ed i dati della pubblica
amministrazione, emana le linee guida riguardanti le misure di
sicurezza e gli standard da adottare.
3. Le misure di sicurezza sono volte ad assicurare reciproche
garanzie tra i soggetti operanti in ambito SPC e sono commisurate,
oltre che alla entità delle minacce cui è soggetto il patrimonio
informativo delle Amministrazioni, alla esigenza di minimizzare i
costi complessivi.
4. I documenti della Commissione che definiscono gli indirizzi
strategici ed operativi per l'organizzazione e per la sicurezza
fisica e logica del SPC, su proposta degli Organismi di attuazione e
controllo, sono classificati e gestiti come atti coperti da «segreto
d'ufficio», secondo la normativa vigente.
5. La Commissione, allo scopo di verificare la qualità e la
sicurezza dei servizi erogati dai fornitori qualificati del SPC, si
avvale degli Organismi di attuazione e controllo, secondo i
rispettivi ambiti di competenza, per vigilare sul corretto
funzionamento del sistema di sicurezza e per il mantenimento nel
tempo della conformità dei requisiti di sicurezza alle specifiche di
progetto per i servizi certificati. In attuazione degli indirizzi
della Commissione:
a) il CERT-SPC-C e i CERT-SPC-R, di concerto con gli Organismi
di attuazione e controllo, definiscono le metodologie per la
prevenzione, il monitoraggio, la gestione e l'analisi degli incidenti
di sicurezza, assicurando la coerenza e l'uniformità in tutto il
sistema. Il CERT-SPC (CERT-SPC-C e CERT-SPC-R) svolge i seguenti
compiti:
i. attività di prevenzione degli incidenti informatici,
anche mediante la produzione di documenti tecnici e di bollettini di
sicurezza sulle minacce e sui potenziali attacchi che potrebbero
incombere sul SPC, al fine di migliorare gli standard e i livelli di
sicurezza del sistema stesso e ridurre la probabilità di incidenti;
ii. analisi degli incidenti di sicurezza e delle azioni
intraprese per la loro gestione al fine di proporre eventuali azioni
correttive indirizzate a scongiurare il ripetersi del particolare
incidente informatico;
iii. collaborazione con le analoghe strutture presenti a
livello nazionale ed internazionale, nonchè con le autorità di
polizia competenti;
b) gli Organismi di attuazione e controllo, ognuno nell'ambito
delle proprie competenze ed ai sensi dell'art. 13, specificano in
appositi documenti da sottoporre all'approvazione della Commissione,
le modalità di realizzazione del sistema di sicurezza. In
particolare:
i. definiscono l'architettura, i requisiti e le funzionalità
di sicurezza del SPC;
ii. individuano ed attuano le metodologie per le attività di
analisi e gestione del rischio;
iii. indirizzano le scelte infrastrutturali di maggior
impatto, mediante la definizione degli opportuni requisiti di
sicurezza;
iv. definiscono le specifiche e le convenzioni necessarie ad
assicurare l'interoperabilità di ciascuna tipologia di certificati
digitali utilizzabili in ambito SPC;
v) definiscono, con il supporto del CERT-SPC-C e dei
CERT-SPC-R, le metodologie di gestione degli incidenti informatici e
le modalità di interazione tra i vari soggetti che devono
intervenire in tali eventualità.
6. Per le finalità di cui al comma 1, lettera a), concorrono
alla realizzazione del sistema di sicurezza, secondo le linee guida
della Commissione, una struttura centrale, dedicata al coordinamento,
al mantenimento ed alla verifica del livello di sicurezza minimo
garantito per l'intero SPC e più strutture locali distribuite, le
Unità locali di sicurezza, una per ogni dominio connesso al SPC, con
analoghe funzioni limitatamente al singolo dominio. La struttura
centrale del sistema di sicurezza SPC, è costituita dal CG-SPC; le
Unità locali di sicurezza, sono realizzate, eventualmente, in via
sussidiaria dagli Organismi di attuazione e controllo, responsabili
di gestire gli aspetti relativi alla sicurezza delle infrastrutture
locali connesse al SPC.
7. Il CG-SPC, ha il compito di:
a) definire e predisporre le procedure operative per la
gestione della sicurezza della QXN e di tutte le infrastrutture
condivise di rete, ai sensi dell'art. 81, comma 1, del Codice;
b) definire e predisporre le procedure operative per la
gestione della sicurezza delle altre infrastrutture di rete
direttamente e indirettamente collegate, limitatamente ai profili
relativi alla connessione alla QXN; alla definizione delle relative
procedure operative, in conformità al modello federato, concorrono
anche le Unità locali di sicurezza;
c) per le infrastrutture condivise, individuare e attuare,
sentiti gli altri Organismi di attuazione e controllo per i
rispettivi ambiti di competenza e sulla base delle indicazioni
risultanti dall'analisi del rischio, l'insieme di misure di
prevenzione e protezione organizzative, operative e tecnologiche
finalizzate ad assicurare, nel rispetto della legislazione vigente,
la riservatezza, l'integrità e la disponibilità delle informazioni,
delle applicazioni e delle comunicazioni ed a garantire la
continuità del servizio;
d) misurare il livello di sicurezza del SPC, aggregando e
correlando i dati provenienti dalle componenti distribuite del
sistema di sicurezza;
e) identificare e coordinare la gestione degli incidenti di
sicurezza, in collaborazione con il CERT-SPC-C, anche al fine del
contenimento dei danni e del ripristino delle normali condizioni di
operatività;
f) notificare alle strutture del CERT-SPC-C, secondo le
modalità stabilite nei documenti di cui al comma 5, lettera b), le
informazioni relative agli incidenti informatici o a criticità
pertinenti lo svolgimento delle attività di rispettiva competenza;
g) fornire periodici rapporti di riepilogo alla Commissione,
agli Organismi di attuazione e controllo per consentire lo
svolgimento delle rispettive funzioni di competenza;
h) gestire la PKI impiegata nel SPC per l'erogazione dei
servizi di sicurezza, comprensiva delle funzioni per il mutuo
riconoscimento con altre PKI eventualmente in uso in SPC e conformi
alle norme vigenti in materia di certificati digitali. Con
riferimento a tale ambito di azione, svolge, in particolare, le
seguenti funzioni:
i. Autorità di Registrazione (AR), consistenti
nell'acquisire le informazioni necessarie per l'identificazione del
titolare di uno o più certificati, secondo gli attributi forniti e
specificati nelle regole di registrazione e certificazione
(Certification Practices Statement, CPS) stabilite dalla Commissione.
Il processo di verifica della correttezza degli attributi forniti,
anch'esso basato sulla politica (CPS) stabilita dalla Commissione,
caratterizza il livello di sicurezza garantito sul SPC dall'Autorità
di certificazione del Gestore Tecnico della PKI SPC;
ii. Autorità di certificazione (CA), responsabile di attuare
i processi di certificazione, sospensione e revoca dei certificati;
iii. Gestore delle TCL (Trusted Certificate List), con il
compito di raccogliere in modo sicuro i certificati digitali da
distribuire, organizzare le opportune liste, autenticare le liste e
distribuirle all'interno del SPC.
8. Il CG SICA di cui all'art. 16, comma 5, ha il compito di
gestire la PKI impiegata per l'erogazione dei certificati digitali
necessari ai servizi di cooperazione applicativa e garantire la
gestione su base federata delle identità digitali di cui all'art.
22.
9. L'Unità locale di sicurezza di cui al comma 6 svolge i
seguenti compiti, anche avvalendosi dei fornitori qualificati:
a) garantire, anche per il tramite di un fornitore qualificato,
la realizzazione ed il mantenimento dei livelli di sicurezza previsti
per il domino di competenza;
b) garantire che la politica di sicurezza presso la propria
organizzazione sia conforme agli indirizzi e alle politiche di
sicurezza definiti dalla Commissione;
c) interagire con la struttura centrale per raccogliere,
aggregare e predisporre nel formato richiesto le informazioni
necessarie per verificare il livello di sicurezza del SPC;
d) notificare alla struttura centrale ed al CERT-SPC-C ed ai
CERT-SPC-R, secondo le modalità stabilite, eventuali incidenti
informatici o situazioni di criticità o vulnerabilità delle
infrastrutture SPC locali;
e) adottare le necessarie misure volte a limitare il rischio di
attacchi informatici ed eliminare eventuali vulnerabilità della
rete, causate dalla violazione e utilizzo illecito di sistemi o
infrastrutture della pubblica amministrazione.
10. I servizi di sicurezza applicativa, di competenza delle
Amministrazioni, consentono la gestione degli aspetti relativi alla
sicurezza nell'accesso ed erogazione di servizi applicativi su SPC,
in particolare delle funzioni di identificazione, autenticazione ed
autorizzazione degli utenti all'uso dei servizi medesimi, secondo i
criteri e le modalità individuate nella documentazione di cui
all'art. 13.
Art. 22.
Gestione delle identità digitali
1. Nell'ambito del SPC l'autorizzazione all'accesso ai servizi si
basa sul riconoscimento delle identità digitali delle persone
fisiche e dei sistemi informatici utilizzati per l'erogazione dei
servizi medesimi. L'autorizzazione ricade sotto la responsabilità
dell'ente erogatore e può avvalersi di meccanismi di mutuo
riconoscimento nell'ambito di sistemi federati di gestione delle
identità digitali, secondo criteri e modalità stabiliti dalla
Commissione.
2. I servizi disponibili in SPC possono operare secondo diversi
livelli di gestione delle identità digitali:
a) servizi che non richiedono alcuna identificazione o
autenticazione;
b) servizi che richiedono l'autenticazione in rete da parte di
un'autorità di autenticazione;
c) servizi che richiedono, per le persone fisiche,
l'identificazione in rete da parte di un'autorità di
identificazione;
d) servizi che richiedono per gli utenti, oltre
all'identificazione, l'attestazione di attributi e/o ruoli, che ne
qualifichino ulteriormente le funzioni e/o i poteri.
3. L'autenticazione in ambito SPC viene effettuata sotto la
responsabilità dell'ente che eroga un servizio sulla base di un
insieme di dati attribuiti in modo esclusivo ed univoco ad un
soggetto. Tale autenticazione può essere effettuata anche per il
tramite di un soggetto a ciò delegato, sulla base di un accordo di
servizio.
4. L'identificazione in ambito SPC viene effettuata sotto la
responsabilità dell'ente che eroga un servizio applicativo con le
modalità previste dall'art. 64 del Codice. Tale identificazione può
essere effettuata anche per il tramite di altro soggetto, sulla base
di un accordo di servizio.
5. L'attestazione di attributi o ruoli in ambito SPC viene
effettuata dal soggetto (autorità di attributo e ruolo); che, in
base alle norme vigenti, ha la potestà di attestare i medesimi al
fine di garantire gli opportuni livelli di sicurezza richiesti per
l'erogazione di un servizio, le autorità di attributo e ruolo sono
iscritte in un apposito registro, disponibile in rete, previa
adesione ad uno specifico accordo di servizio definito dalla
Commissione, in cui vengono descritti il livello di sicurezza e di
affidabilità, nonchè i protocolli standard utilizzati nell'ambito
del processo di attestazione.
6. La gestione delle infrastrutture tecnologiche necessarie per
l'attribuzione dei ruoli può essere delegata dall'ente erogante il
servizio ad altra struttura iscritta nell'elenco, pur mantenendo la
responsabilità della correttezza, completezza e aggiornamento delle
informazioni.
7. Al fine di automatizzare ed uniformare la codifica e la
verifica dei ruoli sul territorio nazionale il Ministro per le
Riforme e l'Innovazione, sentita la Conferenza unificata di cui
all'art. 8 del decreto legislativo 28 agosto 1997, n. 281, definisce,
pubblica per via telematica e aggiorna l'Indice nazionale dei codici
dei ruoli e degli attributi, mediante l'associazione ai ruoli
medesimi di un identificativo unico alfanumerico.
Titolo V
DEFINIZIONE DELLA DOCUMENTAZIONE OPERATIVA DEI SERVIZI DEL SPC
Art. 23.
Documentazione operativa del SPC
1. La documentazione operativa del sistema pubblico di
connettività comprende i seguenti documenti:
a) documentazione dei servizi di cui agli articoli 14, 15 e 16,
ovvero documenti tecnici predisposti dai fornitori qualificati del
SPC, in coerenza con le prescrizioni delle presenti regole tecniche
ed in conformità alle disposizioni contenute nei successivi
articoli 24 e 25;
b) documentazione di collaudo: documenti di registrazione delle
attività di collaudo dei servizi di cui alla lettera a), predisposti
secondo i criteri indicati nel successivo Titolo VI.
2. In sede di prima di prima attuazione e comunque per un periodo
temporale limitato stabilito dalla Commissione, sentiti, per i
rispettivi ambiti di competenza, gli Organismi di attuazione e
controllo, è considerata documentazione operativa ai sensi del
comma 1, quella prevista dai contratti in essere.
Art. 24.
Documentazione dei servizi del SPC
1. Il fornitore qualificato documenta tutte le fasi del ciclo di
vita di ciascun servizio del SPC di cui agli articoli 14, 15 e 16,
tramite la documentazione di seguito indicata:
a) documenti di progettazione: documenti descrittivi
dell'architettura del sistema; specifiche del servizio (specifiche di
progettazione, specifiche di realizzazione, specifiche di controllo
qualità, specifiche di collaudo, specifiche di erogazione del
servizio); manuali (d'installazione, utente);
b) documenti di registrazione: documenti di registrazione dello
stato di configurazione del servizio, e delle componenti
(hardware/software, documentali) necessarie per erogare il servizio;
documenti di riepilogo dei test interni eseguiti; documenti di
riepilogo dei livelli di servizio erogati; documenti di riepilogo
delle modifiche nel corso dell'esercizio e di gestione delle
anomalie.
2. Al fine di assicurare la conduzione coordinata di un progetto
relativo alla realizzazione ed erogazione di un servizio in ambito
SPC, ciascun fornitore produce i documenti di pianificazione (Piano
di progetto; Piano di qualità; Piano dei test; Piano di gestione dei
rischi; Piano di gestione delle configurazioni) che garantiscono il
corretto ed efficace sviluppo del progetto nel rispetto dei requisiti
realizzativi, nonchè dei tempi, dei costi e delle qualità previsti
negli atti esecutivi stipulati con le Amministrazioni o con gli
Organismi di attuazione e controllo.
3. I documenti di specifiche del servizio di cui al comma 1 sono
predisposti in conformità alle indicazioni contenute nelle norme UNI
EN ISO 9001 e UNI EN ISO 9004 nella versione in vigore. I documenti
di pianificazione di cui al comma 2, sono predisposti in conformità
alle indicazioni contenute nelle norme UNI ISO 10006 e UNI ISO 10007,
nella versione in vigore.
4. In sede di prima di prima attuazione e comunque entro un
periodo temporale limitato stabilito dalla Commissione, sentiti, per
i rispettivi ambiti di competenza, gli Organismi di attuazione e
controllo, è considerata documentazione dei servizi SPC ai sensi del
presente articolo, quella prevista nei contratti in essere.
Art. 25.
Documenti di registrazione dello stato di configurazione dei servizi
del SPC
1. I fornitori qualificati predispongono e gestiscono per ciascun
servizio erogato in ambito SPC la documentazione relativa allo stato
di configurazione delle componenti dei servizi stessi al fine di
consentirne l'identificazione certa ed univoca, in tutte le fasi del
ciclo di vita, e di ottenerne la certificazione, secondo le
disposizioni previste nel Regolamento per la qualificazione dei
fornitori di cui all'art. 87 del codice.
2. Ciascun fornitore cura gli adempimenti di cui al comma 1
attraverso il proprio sistema di gestione delle configurazioni che
deve prevedere almeno gli ambienti logici di collaudo ed esercizio e
consentire:
a) di identificare univocamente ciascuna componente del
servizio, di cui si debba gestire la configurazione, individuandone:
i documenti di configurazione di base (baseline), i riferimenti di
versione ed eventuali altre informazioni (documenti di progettazione,
specifiche tecniche, strumenti che abbiano influenza sulle specifiche
tecniche; interfacce con elementi software o con l'hardware);
b) di identificare, documentare e registrare le richieste di
modifica ed i conseguenti cambiamenti, dalla fase di formulazione
sino alla fase di collaudo ed avvio all'esercizio della nuova
componente;
c) la gestione di un Registro delle configurazioni, atto a
documentare lo stato di ciascuna componente del servizio nelle
diverse versioni e nelle diverse fasi del ciclo di vita. In
particolare, il Registro delle configurazioni contiene almeno i
seguenti elementi:
i. l'elenco delle componenti e dei relativi documenti di
configurazione;
ii. la configurazione di base, costituita dal servizio
collaudato e dai relativi documenti approvati, che rappresentano la
definizione del servizio nel momento specifico;
iii. la configurazione in vigore, costituita dalla
configurazione di base e dalle modifiche approvate, realizzate e
collaudate.
Titolo VI
CERTIFICAZIONE DEI SERVIZI E QUALIFICAZIONE DELLE COMPONENTI
INFRASTRUTTURALI DEL SPC
Art. 26.
Modalità di certificazione
1. I servizi del SPC sono erogati da fornitori qualificati
secondo le modalità previste nel Regolamento per la qualificazione
dei fornitori di cui all'art. 87 del Codice. Lo stesso Regolamento
prescrive le modalità di certificazione dei servizi del SPC.
2. La Commissione delibera la certificazione di un servizio del
SPC, verificandone la conformità del modello di funzionamento ed
avvalendosi dei documenti di registrazione delle attività svolte
dagli Organismi di attuazione e controllo.
Art. 27.
Certificazione dei servizi ed inizio erogazione
1. I servizi del SPC certificati secondo le modalità previste
nel Regolamento per la qualificazione dei fornitori sono deliberati
dalla Commissione. A tal fine la Commissione si avvale delle
istruttorie curate dagli Organismi di attuazione e controllo.
2. Le Amministrazioni che si avvalgono di servizi certificati e
presenti negli appositi elenchi, secondo quanto prescritto nel
Regolamento per la qualificazione dei fornitori, possono limitare le
attività di collaudo al solo collaudo a campione.
3. Il completamento con esito positivo delle operazioni di
collaudo da parte dell'Amministrazione dà luogo all'inizio della
fase di erogazione, nel corso della quale il servizio è sottoposto a
monitoraggio come indicato nel Titolo VII.
Art. 28.
Sperimentazione di nuovi servizi ed integrazione di quelli esistenti
1. Al fine di consentire l'evoluzione dell'architettura
tecnologica del SPC in funzione del mutamento delle esigenze degli
utenti e delle opportunità derivanti dall'evoluzione delle
tecnologie, nonchè di individuare gli standard e le pratiche di
riferimento più efficaci per garantire la connettività,
l'interoperabilità evoluta e la cooperazione applicativa in
sicurezza alle Amministrazioni aderenti al SPC, può esser prevista
una fase di sperimentazione per la realizzazione di nuovi servizi,
anche di particolare complessità, che possono coinvolgere più
soggetti o avere impatto sull'organizzazione di una o più
Amministrazioni.
2. Nella fase di sperimentazione, comunque di durata definita,
possono essere ammesse deroghe alle disposizioni indicate nelle
presenti Regole tecniche. L'oggetto e le finalità della
sperimentazione, i soggetti coinvolti e le deroghe necessarie
dovranno risultare da appositi documenti da sottoporre
all'approvazione della Commissione.
3. Il CNIPA e le regioni provvedono ad integrare, ciascuna per la
parte di propria competenza, le componenti del SPC realizzate, nel
rispetto delle presenti Regole tecniche. Nella prima fase di
integrazione nel SPC di servizi esistenti potranno essere ammesse
deroghe alle presenti Regole tecniche, ferme restando le disposizioni
di cui all'art. 21, commi 2 e 3.
4. Le regioni ed il CNIPA elaborano un Piano di rientro volto ad
assicurare l'allineamento alle Regole tecniche e la coerenza
operativa delle raccomandazioni e degli standard già adottati. Le
deroghe di cui al precedente comma 3, concesse solo per un periodo di
tempo limitato, nonchè i relativi Piani di rientro dovranno essere
autorizzati dalla Commissione.
Art. 29.
Qualificazione di componenti infrastrutturali per i servizi di
interoperabilità e cooperazione applicativa
1. Alcune componenti infrastrutturali SPCoop devono superare un
processo di simulazione di funzionamento, al fine di garantirne
l'interoperabilità in rete. La Commissione stabilisce quali
componenti debbano essere qualificate ed approva i criteri e le
modalità di qualificazione. In sede di prima applicazione, le
componenti da qualificare sono la porta di dominio ed i servizi di
registro SICA federati di livello secondario.
2. Il processo di qualificazione della porta di dominio prevede
la verifica dell'interoperabilità tra le porte di dominio, il
rispetto dei requisiti funzionali previsti per le stesse, come
definiti nella documentazione tecnica di cui all'art. 13, comma 3 ed
il rilascio del certificato digitale, associato alla porta
qualificata, attraverso il servizio di certificazione di cui all'art.
15, comma 4, lettera e).
3. Le Amministrazioni sottopongono a processo di qualificazione
la propria porta di dominio, superato positivamente il quale,
l'identificativo della porta qualificata ed il relativo indirizzo
sono pubblicati attraverso il servizio di registro SICA.
4. Le Amministrazioni che intendano utilizzare una tipologia di
porta di dominio già qualificata, possono richiederne, anche per il
tramite degli Organismi di attuazione e controllo, la pubblicazione
direttamente attraverso il servizio di registro SICA.
5. Il processo di qualificazione del servizio di registro SICA
federato di livello secondario prevede la verifica
dell'interoperabilità con il servizio di registro SICA di livello
generale, il rispetto dei requisiti funzionali previsti al fine di
garantire la corretta sincronizzazione e coerenza delle informazioni
pubblicate, come definiti nella documentazione tecnica di cui
all'art. 13, comma 3 ed il rilascio del certificato digitale,
attraverso il servizio di certificazione di cui all'art. 15, comma 4
lettera e), associato al servizio di registro SICA federato di
livello secondario.
6. Il supporto tecnico ai processi di qualificazione è fornito
nell'ambito dei servizi SICA di livello generale.
7. Gli Organismi di attuazione e controllo su delega della
Commissione dichiarano superati i processi di qualificazione, nel
rispetto delle regole e procedure ed aggiornano periodicamente la
Commissione circa lo stato dei processi di qualificazione.
8. La Commissione definisce i servizi infrastrutturali per la
cooperazione applicativa e l'accesso che i fornitori qualificati,
oltre che le Amministrazioni, possono sottoporre a certificazione da
parte degli Organismi di attuazione e controllo.
Titolo VII
MONITORAGGIO DEI SERVIZI DEL SPC
Art. 30.
Monitoraggio e misurazione della qualità dei servizi
1. Al fine di consentire lo sviluppo del SPC secondo un disegno
unitario, pur con le eventuali differenziazioni derivanti dalle
specificità delle situazioni esistenti presso le Amministrazioni, il
CNIPA, attraverso le infrastrutture condivise, assicura, nel rispetto
degli indirizzi forniti dalla Commissione, che siano svolte funzioni
di monitoraggio e di misurazione, volte a verificare che i servizi
SPC siano erogati sul territorio con livelli omogenei di prestazioni
e rispettando i requisiti minimi di qualità e sicurezza.
2. I parametri per la misurazione della qualità dei servizi
saranno proposti dal CNIPA, sentiti gli altri Organismi di attuazione
e controllo per i rispettivi ambiti di competenze, alla Commissione
per la preventiva approvazione e dovranno essere successivamente
notificati ai soggetti sottoposti a monitoraggio.
3. Il CNIPA, per lo svolgimento delle funzioni sopra indicate, si
avvale dei sistemi di monitoraggio facenti parte delle infrastrutture
condivise. Gli altri Organismi di attuazione e controllo, per gli
ambiti di propria competenza, effettuano la misurazione dei livelli
di qualità, comunicandone gli esiti al CNIPA per il monitoraggio
delle prestazioni e della qualità complessiva e, ai sensi dell'art.
79, comma 2, lettera g), del Codice, alla Commissione.
4. Le Amministrazioni dovranno prevedere nei bandi di gara
relativi ai servizi SPC l'obbligo per i fornitori di rendere
possibile ai soggetti che effettuano il monitoraggio e la misurazione
le valutazioni dei servizi in base ai parametri di cui al comma 2.
5. Ai fini del miglioramento continuo della qualità dei servizi
resi alle Amministrazioni, gli Organismi di attuazione e controllo e
le Amministrazioni medesime, possono richiedere al CG SPC ovvero ad
altro soggetto, il monitoraggio di ulteriori requisiti di qualità
dei servizi. Gli Organismi di attuazione e controllo e le
Amministrazioni, con riferimento agli atti contrattuali stipulati e
sulla base delle presenti regole tecniche, eseguono le misure volte a
valutare i livelli di qualità erogata ed intraprendono le eventuali
opportune azioni correttive, comunicandole alla Commissione.
6. Per le finalità sopra indicate, sono sottoposti a
monitoraggio i seguenti soggetti:
a) i fornitori qualificati e le Community Network;
b) i soggetti che gestiscono specifiche componenti delle
infrastrutture condivise o erogano servizi centralizzati, condivisi
sul territorio nazionale;
c) ogni altro soggetto definito dalla Commissione, che eroga
servizi o svolge funzioni per il conseguimento delle finalità del
SPC.
7. L'attività di monitoraggio, volta a verificare la qualità
dei servizi forniti e dei metodi di misura utilizzati dai soggetti di
cui al comma 5, prevede:
a) misurazioni indirette, consistenti nella raccolta ed
elaborazione periodica di dati di riepilogo dei livelli di servizio
erogati in esecuzione degli atti contrattuali, registrati attraverso
gli opportuni strumenti utilizzati dai soggetti sottoposti a
monitoraggio;
b) misurazioni dirette, aventi in oggetto i servizi erogati dai
soggetti sottoposti a monitoraggio, anche al fine di consentire la
vigilanza sui fornitori qualificati da parte degli Organismi di
attuazione e controllo, secondo quanto previsto nel Regolamento per
la qualificazione dei fornitori.
8. La Commissione, ai fini di cui all'art. 79, comma 2,
lettera g), del Codice, verifica i risultati dell'attività di
misurazione della qualità dei servizi SPC, anche mediante verifiche
a campione, avvalendosi degli Organismi di attuazione e controllo,
per i rispettivi ambiti di competenza.
9. Le misure, anche di tipo sanzionatorio, derivanti dal mancato
rispetto da parte dei fornitori qualificati dei requisiti di qualità
e di sicurezza del SPC, come rilevato in sede di monitoraggio, sono
individuate dal Regolamento per la qualificazione dei fornitori.
Art. 31.
Registrazione e conservazione delle informazioni di riepilogo sui
servizi
1. Gli Organismi di attuazione e controllo, secondo gli indirizzi
della Commissione, assicurano la registrazione e conservazione delle
informazioni di riepilogo sui servizi erogati in ambito SPC. Dette
informazioni, in particolare, hanno lo scopo di:
a) documentare lo stato di autorizzazione dei vari soggetti ad
operare come fornitori qualificati SPC, indicando per ciascun
fornitore i servizi certificati erogabili, i livelli di qualità ed i
prezzi di riferimento, nonchè le eventuali misure adottate ai sensi
dell'art. 30, comma 6;
b) documentare i servizi attivati da ciascun fornitore presso
ogni Amministrazione con i relativi livelli di qualità, al fine di
consentire analisi comparative e di consistenza dei servizi SPC;
c) conservare dati storici sull'utilizzo e sulla qualità dei
servizi in ambito SPC, per consentire la valorizzazione di indicatori
di tipo tendenziale, temporale e territoriale, necessari per
programmare l'evoluzione del SPC nel tempo;
d) conservare ogni altra informazione tecnica o organizzativa
necessaria ad espletare le funzioni di vigilanza per la tenuta degli
elenchi dei fornitori qualificati e dei servizi certificati, secondo
quanto previsto dal Regolamento per la qualificazione dei fornitori e
dalla normativa di riferimento.
Art. 32.
Distribuzione e pubblicazione delle informazioni di riepilogo sui
servizi
1. Gli Organismi di attuazione e controllo, secondo gli indirizzi
della Commissione, assicurano che le informazioni di riepilogo sui
servizi siano distribuite e rese accessibili, anche in via
telematica, con adeguati e differenziati livelli di accesso, alla
stessa Commissione, alle Amministrazioni e ad ogni altro soggetto che
operi in ambito SPC.
Titolo VIII
GESTIONE DELLE MODIFICHE
Art. 33.
Pianificazione delle modifiche
1. L'attività di gestione delle modifiche (change management)
riguarda la pianificazione, l'esecuzione e la verifica dei
cambiamenti di configurazione di un servizio nella fase di esercizio.
Le modifiche di configurazione possono derivare:
a) dalle attività di monitoraggio dei servizi. In tale caso
sono volte a rimuovere malfunzionamenti riscontrati in fase di
esercizio, o a rimuovere differenze rilevate tra l'effettivo
funzionamento del servizio ed i risultati attesi anche in termini di
qualità, ovvero a migliorare la qualità del servizio rispetto alle
specifiche di riferimento;
b) dall'evoluzione tecnologica o dal mutare del quadro
normativo di riferimento, secondo gli indirizzi della Commissione e
le specifiche emesse dagli Organismi di attuazione e controllo in
accordo con quanto specificato al Titolo V.
2. Le modifiche di configurazione ad un servizio in fase di
esercizio seguono l'iter di approvazione dei documenti di
progettazione del servizio stesso e risultano generalmente in un
documento di pianificazione predisposto dal fornitore, nel quale sono
evidenziati, in particolare:
a) tipologia di modifica (migliorativa, preventiva, adattativa
ad un nuovo ambiente, ecc.);
b) campo di applicazione, ovvero ampiezza della modifica,
elementi del sistema da modificare, tempi e costi previsti;
c) criticità, intesa come impatto sul funzionamento del
sistema, sulle prestazioni e sulla sicurezza.
3. La procedura di cui al comma 2 non si applica ai casi di
modifiche di tipo «correttivo», ovvero che seguono una modalità di
esecuzione di tipo continuativo e non sono pianificabili a priori.
4. Sono, altresì, previste e garantite procedure di ripristino
della configurazione pre-esistente.
Art. 34.
Esecuzione delle modifiche
1. Il corretto funzionamento della nuova configurazione del
servizio è preventivamente valutato e convalidato mediante collaudo.
Il successivo passaggio in esercizio, salvo casi specifici, è
concordato con l'Amministrazione interessata.
2. Le attività di change management sono eseguite nei tempi e
nei modi concordati con gli Organismi di attuazione e controllo e, in
ogni caso, minimizzando l'impatto sull'erogazione del servizio.
3. L'esecuzione della modifica è svolta secondo procedure e
metodi pianificati e standard. In caso di malfunzionamento è
ripristinata la configurazione pre-esistente.
4. I cambiamenti di configurazione sono registrati e documentati
secondo quanto indicato all'art. 23.
Titolo IX
DISPOSIZIONI FINALI
Art. 35.
Disposizioni finali
1. Le presenti regole tecniche sono soggette a revisione
periodica, secondo gli indirizzi forniti dalla Commissione.
2. In sede di prima di prima attuazione, ai fini della
realizzazione del SPC in conformità alle presenti Regole tecniche,
è considerata documentazione tecnica di riferimento, ai sensi
dell'art. 13, quella di seguito elencata e già pubblicata dal CNIPA
per via telematica:
a) Sistema pubblico di connettività - Scenario introduttivo;
b) Sistema pubblico di connettività - Architettura del SPC;
c) Sistema pubblico di connettività - Qualità e prestazione
dei servizi SPC;
d) Sistema pubblico di connettività - Migrazione;
e) Sistema pubblico di connettività - Architettura del QXN;
f) Sistema pubblico di connettività - Centro di Gestione SPC;
g) Sistema pubblico di connettività - Community Networks;
h) Sistema pubblico di connettività - Organizzazione della
sicurezza;
i) Sistema pubblico di connettività - Servizi di sicurezza;
j) Sistema pubblico di connettività - SVPN (VPN basate su
IPSec;
k) Sistema pubblico di connettività - Architettura di
sicurezza;
l) Sistema pubblico di cooperazione - Quadro tecnico d'insieme;
m) Sistema pubblico di cooperazione - Busta di e-gov;
n) Sistema pubblico di cooperazione - Porta di dominio;
o) Sistema pubblico di cooperazione - Accordo di servizio;
p) Sistema pubblico di cooperazione - Servizi di registro;
q) Sistema pubblico di cooperazione - Servizi di sicurezza;
r) Sistema pubblico di cooperazione - Convenzioni di
nomenclatura e semantica;
s) Sistema pubblico di cooperazione - Esercizio e gestione.