La qualificazione ACN è oggi il principale strumento normativo attraverso cui la Pubblica Amministrazione italiana può selezionare fornitori affidabili di servizi cloud e di cybersecurity. Non si tratta di un bollino di qualità, ma di una certificazione tecnica e organizzativa che attesta la capacità di un’azienda di rispettare determinati standard in termini di sicurezza, resilienza, trasparenza e conformità alle normative vigenti.
L’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità preposta alla gestione di questo processo di qualificazione. A partire dal marzo 2023, con l’entrata in vigore del nuovo Regolamento, nessun servizio cloud può essere utilizzato dalla PA se non è stato prima qualificato da ACN.
Questo vale anche per le soluzioni di cybersecurity as a service, come quelle offerte da Cerbeyra. La logica è semplice: la PA gestisce dati sensibili e servizi critici. Pertanto, deve poter contare solo su fornitori in grado di garantire il massimo livello di protezione.
Una misura di sicurezza (e trasparenza) per il cloud pubblico italiano
Il nuovo regolamento ACN nasce con un obiettivo chiaro: rafforzare la sicurezza dei sistemi pubblici e tutelare i cittadini. Per questo, l’Agenzia ha istituito un registro pubblico dei servizi qualificati, suddivisi per tipologia e livello di impatto (ordinario, significativo o critico).
Ogni fornitore, per ottenere la qualificazione ACN, deve presentare un dossier tecnico dettagliato che attesti non solo l’affidabilità del servizio, ma anche la sua piena aderenza ai requisiti stabiliti dal regolamento. Questo dossier deve includere una descrizione completa dell’architettura tecnologica utilizzata, evidenziando come sono strutturati i sistemi e in che modo garantiscono isolamento, sicurezza e scalabilità. Viene inoltre richiesto di documentare le misure di sicurezza implementate, sia a livello tecnico (come firewall, crittografia, controllo accessi) sia a livello organizzativo (policy interne, audit, formazione del personale).
Un altro aspetto centrale riguarda i livelli di disponibilità, resilienza e business continuity, che devono essere garantiti anche in caso di guasti, attacchi o eventi critici. A ciò si affianca la capacità di gestione degli incidenti, intesa come capacità proattiva e reattiva di rilevare, contenere e risolvere eventi di sicurezza, con processi formalizzati e tracciabili.
Infine, il fornitore deve dimostrare la conformità ai principi del cloud nazionale ed europeo, assicurando che i dati e i servizi siano trattati secondo le normative vigenti (come GDPR e NIS2), e che l’infrastruttura sia localizzata in territori sotto giurisdizione sicura.
Il risultato di questo processo rigoroso è un ecosistema trasparente e affidabile, in cui le pubbliche amministrazioni possono scegliere in modo consapevole tra provider realmente qualificati, evitando il ricorso a soluzioni improvvisate, non verificate o non conformi agli standard di sicurezza nazionale.
Certificazione ACN: un obbligo per lavorare con la PA
La certificazione ACN non è solo un indicatore di qualità, ma un requisito essenziale per tutte le aziende che vogliono fornire servizi digitali alla Pubblica Amministrazione. Senza questa certificazione, non è possibile stipulare contratti con enti pubblici per l’erogazione di soluzioni cloud o servizi IT in modalità “as a service”.
L’obbligo si applica a tutte le offerte digitali fornite in modalità remota, e interessa una vasta gamma di ambiti. Tra questi, rientrano ad esempio:
- Sistemi di posta elettronica certificata e gestione documentale in cloud;
- Infrastrutture virtuali (IaaS) per ospitare portali istituzionali o applicativi interni;
- Servizi per l’analisi dei log e la raccolta di evidenze digitali;
- Soluzioni per l’autenticazione multifattoriale o la gestione delle identità digitali;
- Piattaforme per la gestione delle segnalazioni di incidenti e la risposta agli attacchi;
- Piattaforme per la gestione e il monitoraggio della sicurezza informatica.
In sostanza, qualsiasi servizio digitale erogato tramite cloud, che riguardi dati sensibili, continuità operativa, gestione degli accessi o sicurezza delle informazioni, deve essere preventivamente valutato e autorizzato da ACN.
Questa regola vale per tutti: dai grandi operatori internazionali alle realtà italiane altamente specializzate. Solo dopo aver ottenuto la qualificazione è possibile proporre legalmente i propri servizi agli enti pubblici.
Perché la qualificazione ACN è importante anche per il mercato privato
Anche se il Regolamento ACN riguarda esplicitamente la Pubblica Amministrazione, le sue implicazioni vanno ben oltre. In un mercato sempre più attento alla conformità normativa, scegliere un fornitore già qualificato diventa una garanzia anche per le aziende private.
I requisiti richiesti da ACN, in termini di sicurezza, resilienza, governance e tracciabilità, sono tra i più avanzati in Europa. Collaborare con un provider qualificato significa:
- Ridurre il rischio legale in caso di violazione;
- Dimostrare ai clienti e agli stakeholder di adottare soluzioni conformi;
- Avere la certezza che i servizi acquistati rispettino standard solidi, verificati da un’autorità nazionale.
In altre parole, la qualificazione ACN è un vantaggio competitivo, non solo una necessità normativa.
Cerbeyra: partner conforme per la cybersecurity nella PA e non solo
Cerbeyra CTI è la piattaforma cloud di cybersecurity as a service, pensata per supportare sia aziende private sia enti pubblici nel costruire una strategia di sicurezza predittiva e continua.
La piattaforma integra:
- Cyber Threat Intelligence avanzata e personalizzabile.
- Vulnerability Assessment ciclico con reporting e remediation.
- Cyber Reputation & Cyber Feed per il monitoraggio delle esposizioni esterne.
- Phishing Simulator per rafforzare il firewall umano.
- Log Management e Alerting in tempo reale.
In ottica Pubblica Amministrazione, Cerbeyra rispetta i requisiti di sicurezza e governance richiesti per la qualificazione ACN ed è presente nel Catalogo delle Infrastrutture digitali e dei Servizi cloud, l’elenco ufficiale dei fornitori qualificati per la Pubblica Amministrazione.
Questo significa che enti locali, ministeri, strutture sanitarie e centrali di committenza possono adottare i moduli Cerbeyra in piena conformità, con la garanzia di operare all’interno del perimetro di sicurezza nazionale cibernetica.
Più sicurezza, più fiducia ed un futuro più sicuro
La qualificazione ACN rappresenta oggi il nuovo standard per chi opera nel digitale con la Pubblica Amministrazione.
Per i fornitori è un traguardo impegnativo, ma necessario. Per gli enti pubblici è una garanzia di sicurezza, trasparenza e affidabilità.
Per il mercato nel suo complesso, è il primo passo verso un ecosistema digitale più sicuro e resiliente.
Scegliere partner già qualificati, come Cerbeyra, significa ridurre il rischio, aumentare la velocità di adozione delle soluzioni, e costruire una postura di sicurezza moderna, conforme e sostenibile.
