Premialità Cybersicurezza. Linee Guida ACN sul Procurement L. 90/2024

Nel mese di ottobre, l’Agenzia per la Cybersicurezza Nazionale (ACN), sentita l’Autorità nazionale anticorruzione (ANAC), ha pubblicato le “Linee guida per l’applicazione dei criteri di premialità di cui all’articolo 14 della legge n.90/2024”, dove ha indicato le modalità di assegnazione della premialità in tema di approvvigionamento di elementi di cybersicurezza, prevista dalla normativa vigente.

Ambito di applicazione: quali procedure coinvolge?

Riguarda le procedure di approvvigionamento di tecnologie di cybersicurezza, con specifico riferimento a quelle che svolgono,  prioritariamente come in via eventuale, funzioni in grado di impattare sulla sicurezza dei dati delle informazioni, in termini di riservatezza, integrità e disponibilità.

Quali sono i soggetti obbligati?

Appurato questo aspetto, sarà necessario individuare i soggetti investiti dall’obbligo di applicazione della premialità nelle proprie procedure di approvvigionamento. Le Linee guida di ACN sono molto chiare sul tema: sono tenuti all’applicazione della disciplina inerente alla premialità tutti i soggetti, siano essi pubblici o privati, che rientrano nell’ambito di applicazione del Perimetro Nazionale di Sicurezza Cibernetica (PSNC), individuati secondo apposita procedura di cui all’articolo 1, comma 2-bis, D. L. 105/2019. Allo stesso modo, saranno tenuti al rispetto degli obblighi in materia di premialità anche i soggetti privati che esulano dall’ambito di applicazione del D. Lgs. 36/2023 (Codice dei Contratti pubblici).

BOM: quali dati e caratteristiche deve avere

Le Linee guida di ACN indicano, a livello operativo, cosa deve essere presentato in sede di offerta dall’Operatore Economico, ovvero una BOM (Bill of Materials) utilizzando l’applicativo CycloneDX, versione 1.6 oppure altro formato equivalente, se autorizzato dalla stazione appaltante.

Si tratta della descrizione degli elementi essenziali che compongono l’oggetto della fornitura, i quali costituiranno il livello 1 della BOM e che saranno oggetto di valutazione per l’attribuzione della premialità.

Essa dovrà comporsi dei seguenti elementi:

• denominazione del componente/servizio;
• produttore/fornitore (manufacturer/provider);
• versione (per componenti software);
• origine geografica del produttore o del luogo di erogazione, da indicarsi tramite il campo “address.country” o equivalente;
• eventuali ulteriori metadati richiesti dal formato CycloneDX o dal formato equivalente autorizzato;

Infine, la BOM dovrà essere corredata da specifiche autodichiarazioni da parte dell’Operatore Economico, a conferma della completezza della BOM stessa e della provenienza delle tecnologie offerte (Italia, Paesi UE, Paesi NATO o Paesi Terzi aventi accordi di collaborazione con UE o NATO).

Il meccanismo di punteggio: o tutto o niente

Il punteggio da attribuire per l’offerta dell’Operatore Economico è pari a 8 punti, i quali vengono assegnati secondo il meccanismo on/off. Ciò significa che tale punteggio, laddove rispettati i requisiti essenziali della BOM, verranno attribuiti in toto, senza possibilità di frazionamento. Pertanto, il non rispetto dei requisiti della BOM comporta non applicazione in toto della premialità.

Nelle sue Linee guida, ACN prende anche in considerazione la fornitura di servizi di telecomunicazione, per il quale il principio di premialità viene applicato. In questo caso, però, la quantificazione del premio è rimessa all’analisi di tutte le componenti delle reti di telecomunicazioni e non attraverso BOM.

Sulla base del “Report on EU coordinated risk assessment of 5G” e del “Threat landscape for 5G networks” promulgati da ENISA, la valutazione della premialità prende in considerazione i seguenti componenti:

• Rete di accesso ibrido (RAN);
• Rete di trasporto (Backhaul);
• Rete core (CN);

il cui rischio associato è, rispettivamente: alto, medio/alto e critico.

La presentazione del prospetto

Nel momento della presentazione dell’offerta economica, l’Operatore Economico è chiamato a redigere un Prospetto (il modello è disponibile all’interno delle Linee guida) che verrà utilizzato per l’attribuzione della premialità.

In sede di valutazione, la stazione appaltante dovrà calcolare, per ogni Operatore Economico offerente, il coefficiente risultante secondo le procedure di calcolo previsti all’interno delle Linee guida.

Il punteggio premiale verrà assegnato nel suo massimo (n. 8 punti) all’Operatore Economico che otterrà il punteggio più alto, assegnando agli altri un punteggio proporzionale decrescente, arrotondato al centesimo.