Scenario¶

La strategia «Cloud Italia», pubblicata a settembre 2021 dal Dipartimento per la Trasformazione Digitale e dall’Agenzia per la Cybersicurezza Nazionale nell’ambito del percorso attuativo definito dall’art.33-septies del Decreto-Legge n.179 del 2012 e gli investimenti del PNRR legati all’abilitazione cloud rappresentano una grande occasione per supportare la riorganizzazione strutturale e gestionale delle pubbliche amministrazioni.

Non si tratta di una operazione unicamente tecnologica, le cui opportunità vanno esplorate a fondo da ogni ente.

La Strategia Cloud risponde a tre sfide principali: assicurare l’autonomia tecnologica del Paese, garantire il controllo sui dati e aumentare la resilienza dei servizi digitali. In coerenza con gli obiettivi del PNRR, la strategia traccia un percorso per accompagnare le PA italiane nella migrazione dei dati e degli applicativi informatici verso un ambiente cloud sicuro.

Con il principio cloud first, si vuole guidare e favorire l’adozione sicura, controllata e completa delle tecnologie cloud da parte del settore pubblico, in linea con i principi di tutela della privacy e con le raccomandazioni delle istituzioni europee e nazionali. In particolare, le pubbliche amministrazioni, in fase di definizione di un nuovo progetto, e/o di sviluppo di nuovi servizi, in via prioritaria devono valutare l’adozione del paradigma cloud prima di qualsiasi altra tecnologia.

Secondo tale principio, quindi, tutte le Amministrazioni sono obbligate ad effettuare una valutazione in merito all’adozione del cloud che rappresenta l’evoluzione tecnologica più dirompente degli ultimi anni e che sta trasformando radicalmente tutti i sistemi informativi della società a livello mondiale. Nel caso di eventuale esito negativo, tale valutazione dovrà essere motivata.

L’adozione del paradigma cloud rappresenta, infatti, la chiave della trasformazione digitale abilitando una vera e propria rivoluzione del modo di pensare i processi di erogazione dei servizi della PA verso cittadini, professionisti ed imprese.

L’attuazione dell’art.33-septies del Decreto-legge n. 179 del 2012, non rappresenta solo un adempimento legislativo, ma è soprattutto una occasione perché ogni ente attivi gli opportuni processi di gestione interna con il fine di modernizzare i propri applicativi e al contempo migliorare la fruizione dei procedimenti, delle procedure e dei servizi erogati.

È anche quindi una grande occasione per:

• ridurre il debito tecnologico accumulato negli anni dalle amministrazioni;
• mitigare il rischio di lock-in verso i fornitori di sviluppo e manutenzione applicativa;
• ridurre significativamente i costi di manutenzione di centri elaborazione dati (data center) obsoleti e delle applicazioni legacy, valorizzando al contempo le infrastrutture digitali del Paese più all’avanguardia che stanno attuando il percorso di adeguamento rispetto ai requisiti del Regolamento AGID e relativi atti successivi dell’Agenzia per la Cybersicurezza Nazionale;
• Incrementare la postura di sicurezza delle infrastrutture pubbliche per proteggerci dai rischi cyber.

In tal modo, le infrastrutture digitali saranno più affidabili e sicure e la Pubblica Amministrazione potrà rispondere in maniera organizzata agli attacchi informatici, garantendo continuità e qualità nella fruizione di dati e servizi.

Nell’ambito dell’attuazione normativa della Strategia Cloud Italia e dell’articolo 33-septies del Decreto-Legge n.179/2021 è stata realizzato il Polo Strategico Nazionale (PSN), l’infrastruttura promossa dal Dipartimento per la Trasformazione Digitale che, insieme alle altre infrastrutture digitali qualificate e sicure, consente di fornire alle amministrazioni tutte le soluzioni tecnologiche adeguate e gli strumenti per realizzare il percorso di migrazione.

Il Regolamento attuativo dell’articolo 33-septies del Decreto-Legge n.179/2021 ha fissato al 28 febbraio 2023 il termine per la trasmissione dei piani di migrazione da parte delle amministrazioni.

Dopo la presentazione dei Piani di migrazione, le amministrazioni devono gestire al meglio il trasferimento in cloud di dati, servizi e applicativi. Una fase da condurre e concludere entro il 30 giugno 2026, avendo cura dei riferimenti tecnici e normativi necessari per completare una migrazione di successo.

Per realizzare al meglio il proprio piano di migrazione, le amministrazioni possono far riferimento al sito cloud.italia.it dove sono disponibili diversi strumenti a supporto, tra cui:

• il manuale di abilitazione al cloud, che da un punto di vista tecnico accompagna le PA nel percorso che parte dall’identificazione degli applicativi da migrare in cloud fino ad arrivare alla valutazione degli indicatori di risultato a migrazione avvenuta;
• un framework di lavoro che descrive il modello organizzativo delle unità operative (unità di controllo, unità di esecuzione e centri di competenza) che eseguiranno il programma di abilitazione;
• articoli tecnici di approfondimento relativi ai principali aspetti da tenere in considerazione durante una migrazione al cloud.

In particolare, mediante l’accesso agli strumenti sopra citati le amministrazioni possono trovare suggerimenti utili riguardo ai seguenti temi:

• come riconoscere e gestire possibili situazioni di lock-in;
• raccomandazioni sugli aspetti legati al back up dei dati e al disaster recovery;
• consigli sulla scelta della migliore strategia di migrazione dal re-host al re-architect in base alle caratteristiche degli applicativi da migrare;
• come migliorare la migrazione in cloud grazie a un approccio DevOps;
• come definire e separare correttamente i ruoli tra Unità di Controllo (chi governa il progetto di migrazione) e Unità di esecuzione (chi realizza la migrazione);
• come misurare costi/benefici derivanti dalla migrazione;
• come stabilire un perimetro di responsabilità condivise tra amministrazione utente e fornitore di servizi cloud;
• come sfruttare al massimo le opportunità del cloud grazie alle applicazioni cloud native, al re-architect e al re-purchase.

In caso di disponibilità all’interno del Catalogo dei servizi cloud per la PA qualificati da ACN di una soluzione SaaS che risponda alle esigenze delle amministrazioni, è opportuno valutare la migrazione verso il SaaS come soluzione prioritaria (principio SaaS-first) rispetto alle altre tipologie IaaS e PaaS.

Quindi, anche al fine di riqualificare la spesa della PA in sviluppo e manutenzione applicativa, le amministrazioni possono promuovere anche iniziative per la realizzazione di applicativi cloud native da erogare come SaaS mediante accordi verso altre amministrazioni anche attraverso il riuso di codice disponibile sul catalogo Developers Italia, nel rispetto della normativa applicabile.

Altro aspetto da curare è quello dei costi operativi correnti. Con la migrazione al cloud, ci sono grandi opportunità di risparmio economico, ma occorre strutturarsi per una corretta gestione dei costi cloud, sia da un punto di vista contrattuale che tecnologico.

Inoltre, con il crescere di servizi digitali forniti ad uno stesso ente da una molteplicità di fornitori diversi, anche via cloud, cresce notevolmente la complessità della gestione del parco applicativo, rendendo difficile la concreta integrazione tra i software dell’ente, l’effettiva possibilità di interoperabilità verso altri enti, la corretta gestione dei dati, ecc. Questo richiede all’Ufficio RTD, in forma singola o associata, l’evoluzione verso nuove architetture a «micro-servizi».

Lo stesso concetto di «Sistema Pubblico di Connettività» (SPC), ancora presente nel CAD all’art.73, dovrà trovare una sua evoluzione basato sulla nuova logica cloud. Oggi è proprio il cloud computing, con la sua natura decentrata, policentrica e federata, a rendere possibile il disegno originario del SPC e salvaguardare pienamente l’autonomia degli enti, la neutralità tecnologica e la concorrenza sulle soluzioni ICT destinate alle PA.

Accanto agli aspetti di natura organizzativa è necessario porre attenzione anche ad una serie di elementi di natura più tecnologica.

Lo sviluppo delle infrastrutture digitali, infatti, è parte integrante della strategia di modernizzazione del settore pubblico: esse devono essere affidabili, sicure, energeticamente efficienti ed economicamente sostenibili e garantire l’erogazione di servizi essenziali per il Paese.

L’evoluzione tecnologica espone, tuttavia, i sistemi a nuovi e diversi rischi, anche con riguardo alla tutela dei dati personali. L’obiettivo di garantire una maggiore efficienza dei sistemi non può essere disgiunto dall’obiettivo di garantire contestualmente un elevato livello di sicurezza delle reti e dei sistemi informativi utilizzati dalla Pubblica Amministrazione.

Tuttavia, come già rilevato a suo tempo da AGID attraverso il Censimento del Patrimonio ICT della PA, molte infrastrutture della PA risultano prive dei requisiti di sicurezza e di affidabilità necessari e, inoltre, sono carenti sotto il profilo strutturale e organizzativo. Ciò espone il Paese a numerosi rischi, tra cui quello di interruzione o indisponibilità dei servizi e quello di attacchi cyber, con conseguente accesso illegittimo da parte di terzi a dati (o flussi di dati) particolarmente sensibili o perdita e alterazione degli stessi dati.

Lo scenario delineato pone l’esigenza immediata di attuare un percorso di razionalizzazione delle infrastrutture per garantire la sicurezza dei servizi oggi erogati tramite infrastrutture classificate come gruppo B, mediante la migrazione degli stessi verso infrastrutture conformi a standard di qualità, sicurezza, performance e scalabilità, portabilità e interoperabilità.

Con il presente documento, in coerenza con quanto stabilito dall’articolo 33-septies del decreto-legge 18 ottobre 2012, n. 179, si ribadisce che:

• con riferimento alla classificazione dei data center di cui alla Circolare AGID 1/2019 e ai fini della strategia di razionalizzazione dei data center, le categorie «infrastrutture candidabili ad essere utilizzate da parte dei PSN» e «Gruppo A» sono rinominate «A»;
• al fine di tutelare l’autonomia tecnologica del Paese, consolidare e mettere in sicurezza le infrastrutture digitali delle pubbliche amministrazioni di cui all’articolo 2, comma 2, lettere a) e c) del decreto legislativo 7 marzo 2005, n. 82, garantendo, al contempo, la qualità, la sicurezza, la scalabilità, l’efficienza energetica, la sostenibilità economica e la continuità operativa dei sistemi e dei servizi digitali, il Dipartimento per la Trasformazione Digitale della Presidenza del Consiglio dei Ministri promuove lo sviluppo di un’infrastruttura ad alta affidabilità localizzata sul territorio nazionale, anche detta Polo Strategico Nazionale (PSN), per la razionalizzazione e il consolidamento dei Centri per l’elaborazione delle informazioni (CED) destinata a tutte le pubbliche amministrazioni;
• le amministrazioni centrali individuate ai sensi dell’articolo 1, comma 3, della legge 31 dicembre 2009, n. 196, nel rispetto dei principi di efficienza, efficacia ed economicità dell’azione amministrativa, migrano i loro Centri per l’elaborazione delle informazioni (CED) e i relativi sistemi informatici, privi dei requisiti fissati dalla Circolare AGID 1/2019 e, successivamente, dal regolamento di cui all’articolo 33-septies, comma 4, del decreto-legge 18 ottobre 2012, n. 179 (di seguito Regolamento cloud e infrastrutture), verso l’infrastruttura del PSN o verso altra infrastruttura propria già esistente e in possesso dei requisiti fissati dalla Circolare AGID 1/2019 e, successivamente, dal Regolamento cloud e infrastrutture. Le amministrazioni centrali, in alternativa, possono migrare i propri servizi verso soluzioni cloud qualificate, nel rispetto di quanto previsto dalle Circolari AGID n. 2 e n. 3 del 2018 e, successivamente, dal Regolamento cloud e infrastrutture;
• le amministrazioni locali individuate ai sensi dell’articolo 1, comma 3, della legge 31 dicembre 2009, n. 196, nel rispetto dei principi di efficienza, efficacia ed economicità dell’azione amministrativa, migrano i loro Centri per l’elaborazione delle informazioni (CED) e i relativi sistemi informatici, privi dei requisiti fissati dalla Circolare AGID 1/2019 e, successivamente, dal regolamento cloud e infrastrutture, verso l’infrastruttura PSN o verso altra infrastruttura della PA già esistente in possesso dei requisiti fissati dallo stesso Regolamento cloud e infrastrutture. Le amministrazioni locali, in alternativa, possono migrare i propri servizi verso soluzioni cloud qualificate nel rispetto di quanto previsto dalle Circolari AGID n. 2 e n. 3 del 2018 e, successivamente, dal Regolamento cloud e infrastrutture;
• le amministrazioni non possono investire nella costruzione di nuovi data center per ridurre la frammentazione delle risorse e la proliferazione incontrollata di infrastrutture con conseguente moltiplicazione dei costi. È ammesso il consolidamento dei data center nel rispetto di quanto previsto dall’articolo 33-septies del Decreto-legge 179/2012 e dal Regolamento di cui al comma 4 del citato articolo 33-septies.

Nel delineare il processo di razionalizzazione delle infrastrutture è necessario far riferimento anche a quanto previsto dalla «Strategia Cloud Italia». In tal senso il documento prevede:

i) la creazione del PSN, la cui gestione e controllo di indirizzo siano autonomi da fornitori extra UE, destinato ad ospitare sul territorio nazionale principalmente dati e servizi strategici la cui compromissione può avere un impatto sulla sicurezza nazionale, in linea con quanto previsto in materia di perimetro di sicurezza nazionale cibernetica dal Decreto-legge 21 settembre 2019, n. 105 e dal DPCM 81/2021;

ii) un percorso di qualificazione dei fornitori di cloud pubblico e dei loro servizi per garantire che le caratteristiche e i livelli di servizio dichiarati siano in linea con i requisiti necessari di sicurezza, affidabilità e rispetto delle normative rilevanti e iii) lo sviluppo di una metodologia di classificazione dei dati e dei servizi gestiti dalle pubbliche amministrazioni, per permettere una migrazione di questi verso la soluzione cloud più opportuna (PSN o adeguata tipologia di cloud qualificato).

Con riferimento al punto i) creazione del PSN, a dicembre 2022, in coerenza con la relativa milestone PNRR associata, è stata realizzata e testata l’infrastruttura PSN. Si ricorda che tale infrastruttura eroga servizi professionali di migrazione verso l’infrastruttura PSN, servizi di housing, hosting e cloud nelle tipologie IaaS, PaaS.

Per maggiori informazioni sui servizi offerti da PSN si rimanda alla convenzione pubblicata sul sito della Presidenza del Consiglio dei Ministri.

Nel 2023 sono stati pubblicati e conclusi tre avvisi per la migrazione verso il PSN a valere sulla misura 1.1 del PNRR che hanno visto l’adesione di oltre 300 tra amministrazioni centrali e aziende sanitarie locali e ospedaliere. Per quanto riguarda le ASL/AO, in particolare, è stata offerta l’opportunità di decidere la destinazione dei propri servizi tra PSN, Infrastrutture della PA adeguate e soluzioni cloud qualificate coerentemente con quanto disposto dall’articolo 33-septies del Decreto-legge 179/2012. 130 Aziende sanitarie hanno scelto di portare almeno parte dei propri servizi presso il PSN.

Con riferimento ai punti ii) qualificazione e iii) classificazione a dicembre 2021 sono stati pubblicati il Regolamento cloud e infrastrutture e a gennaio 2022 i relativi atti successivi. A febbraio e a luglio sono stati pubblicati ulteriori Decreti ACN ed è prevista la pubblicazione da parte di ACN di un nuovo Regolamento.

Con riferimento alla misura 1.2 del PNRR a marzo 2023 sono stati raccolti e ammessi a finanziamento più dei 12.464 piani di migrazione richiesti dal target è stato raggiunto e superato il target italiano previsto per settembre 2023 con la migrazione di oltre 1.100 enti locali che hanno migrato i loro servizi verso soluzioni cloud qualificate.

Con riferimento al tema del cloud federato, si premette che la definizione tecnica coerentemente con la ISO/IEC 22123-1:2023 è la seguente: «modello di erogazione di servizi cloud forniti da 2 o più cloud service provider che si uniscono mediante un accordo che preveda un insieme concordato di procedure, processi e regole comuni finalizzato all’erogazione di servizi cloud». Le amministrazioni con infrastrutture classificate «A» che hanno deciso di investire sui propri data center per valorizzare i propri asset ai fini della razionalizzazione dei centri elaborazione dati, adeguandoli secondo le modalità e i termini previsti ai requisiti di cui al Regolamento adottato ai sensi del comma 4 dell’articolo 33-septies del Decreto-legge 179/2012 e agli atti successivi di ACN, hanno la facoltà di valutare la possibilità di stringere accordi in tal senso per raggiungere maggiori livelli di affidabilità, sicurezza ed elasticità, purché siano rispettati i princìpi di efficacia ed efficienza dell’azione amministrativa e della normativa applicabile. Le amministrazioni che dovessero stipulare tali accordi realizzerebbero così le infrastrutture cloud federate della PA che si affiancano all’infrastruttura Polo Strategico Nazionale nel rispetto dell’articolo 33-septies del decreto-legge 18 ottobre 2012, n. 179.

Per «infrastrutture di prossimità» (o edge computing) si intendono i nodi periferici (edge nodes), misurati come numero di nodi di calcolo con latenze inferiori a 20 millisecondi; si può trattare di un singolo server o di un altro insieme di risorse di calcolo connesse, operati nell’ambito di un’infrastruttura di edge computing, generalmente situati all’interno di un edge data center che opera all’estremità dell’infrastruttura, e quindi fisicamente più vicini agli utenti destinatari rispetto a un nodo cloud in un data center centralizzato».

Le amministrazioni che intendono realizzare e/o utilizzare infrastrutture di prossimità verificano la conformità di queste ai requisiti del Regolamento di cui al comma 4 dell’articolo 33-septies del DL 179/2012.

Punti di attenzione e azioni essenziali per tutti gli enti

1) L’attuazione dell’art.33-septies Decreto-legge 179/2012, e del principio cloud-first, deve essere tra gli obiettivi prioritari dell’ente. Occorre curare da subito anche gli aspetti di sostenibilità economico-finanziaria nel tempo dei servizi attivati, avendo cura di verificare gli impatti della migrazione sui propri capitoli di bilancio relativamente sia ai costi correnti (OPEX) sia agli investimenti in conto capitale (CAPEX).

2) La gestione dei servizi in cloud deve essere presidiata dall’ente in tutto il ciclo di vita degli stessi e quindi è necessaria la disponibilità di competenze specialistiche all’interno dell’Ufficio RTD, in forma singola o associata.

Approfondimento tecnologico per gli RTD

1) La piena abilitazione al cloud richiede l’evoluzione del parco applicativo software verso la logica as a service delle applicazioni esistenti, andando oltre il mero lift-and-shift dei server, progettando opportuni interventi di rearchitect, replatform o repurchase per poter sfruttare le possibilità offerte oggi dalle moderne piattaforme computazionali e dagli algoritmi di intelligenza artificiale. In tal senso, occorre muovere verso architetture a «micro-servizi» le cui caratteristiche sono, in sintesi, le seguenti:

• ogni servizio non ha dipendenze esterne da altri servizi e gestisce autonomamente i propri dati (self-contained)
• ogni servizio comunica con l’esterno attraverso API/webservice e senza dipendenza da stati pregressi (lightweight/stateless)
• ogni servizio può essere implementato con differenti linguaggi e tecnologie, in modo indipendente dagli altri servizi (implementation-indipendent)
• ogni servizio può essere dispiegato in modo automatico e gestito indipendentemente dagli altri servizi (indipendently deployable)
• ogni servizio implementa un insieme di funzioni legate a procedimenti e attività amministrative, non ha solo scopo tecnologico (business-oriented):

2) È compito dell’Ufficio RTD curare sia gli aspetti di pianificazione della migrazione/abilitazione al cloud che l’allineamento dello stesso con l’implementazione delle relative opportunità di riorganizzazione dell’ente offerte dall’abilitazione al cloud e dalle nuove architetture a micro-servizi.

3) La gestione del ciclo di vita dei servizi in cloud dell’amministrazione richiede la strutturazione di opportuni presidi organizzativi e strumenti tecnologici per il cloud-cost-management, in forma singola o associata.

Contesto normativo e strategico¶

In materia di infrastrutture esistono una serie di riferimenti sia normativi che strategici a cui le amministrazioni devono attenersi. Di seguito un elenco delle principali fonti.

Riferimenti normativi nazionali:

• Decreto legislativo 7 marzo 2005, n. 82, «Codice dell’amministrazione digitale» articoli. 8-bis e 73;,
• Decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, «Ulteriori misure urgenti per la crescita del Paese», articolo 33-septies;
• Decreto legislativo 18 maggio 2018, n. 65, «Attuazione della direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio, del 6 luglio 2016, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione»
• Decreto-legge 21 settembre 2019, n. 105, convertito con modificazioni dalla L. 18 novembre 2019, n. 133 «Disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica e di disciplina dei poteri speciali nei settori di rilevanza strategica»
• Decreto-legge 17 marzo 2020, n. 18, convertito con modificazioni dalla Legge 24 aprile 2020, n. 27 «Misure di potenziamento del Servizio sanitario nazionale e di sostegno economico per famiglie, lavoratori e imprese connesse all’emergenza epidemiologica da COVID-19», art. 75;
• Decreto-legge 16 luglio 2020, n. 76, convertito con modificazioni dalla Legge 11 settembre 2020, n. 120 «Misure urgenti per la semplificazione e l’innovazione digitale», art. 35;
• Decreto-legge 31 maggio 2021, n. 77, convertito con modificazioni dalla Legge 29 luglio 2021, n. 108 «Governance del Piano nazionale di ripresa e resilienza e prime misure di rafforzamento delle strutture amministrative e di accelerazione e snellimento delle procedure»;
• Decreto-legge 14 giugno 2021, n. 82, convertito con modificazioni dalla Legge 4 agosto 2021, n. 109 «Disposizioni urgenti in materia di cybersicurezza, definizione dell’architettura nazionale di cybersicurezza e istituzione dell’Agenzia per la cybersicurezza nazionale»
• Circolare AGID n. 1/2019 del 14 giugno 2019 - Censimento del patrimonio ICT delle Pubbliche Amministrazioni e classificazione delle infrastrutture idonee all’uso da parte dei Poli Strategici Nazionali;,
• Strategia italiana per la banda ultra-larga (2021);
• Strategia Cloud Italia (2021);
• Regolamento AGID, di cui all’articolo 33-septies, comma 4, del decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni, dalla legge 17 dicembre 2012, n. 221, recante i livelli minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità delle infrastrutture digitali per la Pubblica Amministrazione e le caratteristiche di qualità, sicurezza, performance e scalabilità, portabilità dei servizi cloud per la Pubblica Amministrazione, le modalità di migrazione nonché le modalità di qualificazione dei servizi cloud per la Pubblica Amministrazione (2021);
• Determinazioni ACN in attuazione al precedente Regolamento n. 306/2022 (con allegato) su e n. 307/2022 (con allegato)
• Decreti direttoriali ACN prot. N. 29 del 2 gennaio 2023, n. 5489 dell’8 febbraio 2023 e n. 20610 del 28 luglio 2023;
• Piano Nazionale di Ripresa e Resilienza:
  • Investimento 1.1: «Infrastrutture digitali»
  • Investimento 1.2: «Abilitazione e facilitazione migrazione al cloud»

Riferimenti europei:

• European Commission Cloud Strategy, Cloud as an enabler for the European Commission Digital Strategy, 16 May 2019;
• Strategia europea sui dati Commissione Europea 19.2.2020 COM (2020) 66 final;,
• Data Governance and data policy at the European Commission, July 2020;
• Regulation of the European Parliament and Tof the Council on European data governance (Data Governance Act) (2020)

OB.6.1 - Migliorare la qualità e la sicurezza dei servizi digitali erogati dalle amministrazioni attuando la strategia «Cloud Italia» e migrando verso infrastrutture e servizi cloud qualificati (incluso PSN)¶