Cybersicurezza nazionale: nuove procedure per la stipula dei contratti

Con il Dpcm 1° settembre 2022, n. 166 viene adottato il Regolamento disciplinante le procedure per la stipula di contratti di appalti di lavori, servizi e forniture per le attività dell'Agenzia per la cybersicurezza nazionale, finalizzate alla tutela della sicurezza nazionale nello spazio cibernetico. Si tratta di un passaggio fondamentale verso la piena attuazione del Piano Nazionale di Ripresa e Resilienza (PNRR) e di un efficace perimetro di cybersicurezza nazionale.

Il percorso del DPCM

Entrerà in vigore il 19 novembre 2022 il Dpcm 1° settembre 2022, n. 166, che adotta il “Regolamento recante le procedure per la stipula di contratti di appalti di lavori, servizi e forniture per le attività dell'Agenzia per la cybersicurezza nazionale finalizzate alla tutela della sicurezza nazionale nello spazio cibernetico”.

Numerose le interruzioni che hanno ostacolato l'iter di adozione del Dpcm, non ultima quella conseguente alle dimissioni del Presidente del Consiglio dei Ministri del 21 luglio 2022, evento che, unitamente alla pausa estiva dei lavori, ha comportato un inevitabile rallentamento nell'attività dell'Esecutivo.

Il tema è stato ora affrontato dalla nuova maggioranza costituita, occupata nel dare piena attuazione al Piano Nazionale di Ripresa e Resilienza (PNRR). Sotto questo profilo, un elemento da non sottovalutare riguarda proprio la pubblicazione dei decreti attuativi contenenti le indicazioni operative di dettaglio indispensabili per dare concreta applicazione alle riforme previste dal PNRR, considerando le stringenti scadenze cui sottostare per non incorrere nel rischio di perdere le preziose risorse messe a disposizione nel Piano.

Si evidenzia come, tra i vari ritardi accumulati, uno dei più significativi abbia riguardato proprio quello concernente l'emanazione dei decreti sul digitale.

Si comprende facilmente come tale ritardo abbia rappresentato un vero e proprio rischio per la cybersicurezza nazionale – di fatto bloccando le attività dell'Agenzia nazionale per la cybersecurity - in una fase storica in cui il nostro Paese è spesso destinatario di attacchi da parte degli hacker, soprattutto all'indomani dello scoppio del conflitto in Ucraina.

I principi generali del Regolamento

Il Dpcm de quo definisce le procedure per la stipula di contratti di appalti di lavori e forniture di beni e servizi per le attività dell'Agenzia per la sicurezza nazionale finalizzate nello specifico alla tutela della sicurezza nazionale nello spazio cibernetico, anche in deroga alle ordinarie disposizioni in materia di contratti pubblici (d.lgs. 18 aprile 2016, n. 50 – c.d. Codice dei contratti pubblici).

A tal fine, in ogni caso, è previsto che delle suddette esigenze di tutela della sicurezza nazionale si dia espressa e adeguata motivazione nella determina a contrarre.

Le procedure di affidamento di contratti di appalti di lavori, servizi e forniture dovranno essere espletate in coerenza con i principi di economicità, efficacia, tempestività, proporzionalità, correttezza e non discriminazione, così come previsto dal Codice dei contratti pubblici. Tuttavia, in ragione della peculiare finalità dell'appalto, nel Regolamento adottato dal Dpcm è precisato che le modalità di espletamento dovranno essere sempre idonee ad assicurare in primis la tutela della sicurezza nazionale nello spazio cibernetico.

L'affidamento, inoltre, dovrà avvenire sulla base del programma biennale degli acquisti di beni e servizi e del programma triennale dei lavori pubblici dell'Agenzia adottati ai sensi dell'art. 21 del Codice dei contratti pubblici, fatti salvi i casi in cui si verifichino, alternativamente, le seguenti eccezioni:

1. in caso di sopravvenute e indifferibili esigenze di acquisizione di lavori, beni e servizi necessari allo svolgimento delle attività dell'Agenzia finalizzate alla tutela della sicurezza nazionale nello spazio cibernetico;
2. qualora sia necessario eliminare, mitigare o prevenire vulnerabilità, eventi di natura cibernetica, ovvero situazioni di rischio delle reti, dei sistemi informativi e dei servizi informatici, ovvero delle comunicazioni elettroniche, da cui possa derivare un pregiudizio, per la sicurezza nazionale nello spazio cibernetico, anche al fine di assicurarne la resilienza.

La previsione di tali eccezioni evidenzia come la finalità del decreto sia strettamente connessa alla tutela delle funzioni essenziali dello Stato - in particolare la salvaguardia dell'integrità territoriale - di mantenimento dell'ordine pubblico e di tutela della sicurezza nazionale.

Gli Operatori economici e i requisiti

Al Capo III del Dpcm sono regolamentati il ruolo e i requisiti degli operatori economici affidatari delle procedure. Nello specifico, è prescritto che l'Agenzia sia tenuta a verificare, in capo agli operatori economici:

• l'assenza dei motivi di esclusione di cui all'art. 80 del Codice dei contratti pubblici;
• il possesso dei requisiti di idoneità professionale, la capacità economico-finanziaria e quella tecnico-professionale proporzionati all'oggetto dell'appalto;
• il possesso dei requisiti di sicurezza laddove connessi alla natura e peculiarità dell'appalto.

I medesimi Operatori sono tenuti, inoltre, a rispondere ai criteri di affidabilità eventualmente individuati nella determina a contrarre, in relazione alla natura, all'oggetto e alla finalità dell'appalto.

In ragione della natura peculiare dell'appalto non sorprende come nel Regolamento sia previsto, in capo agli operatori, l'obbligo di segretezza e il divieto di utilizzo a qualsiasi titolo, per scopi diversi da quelli strettamente connessi alla procedura di affidamento, dei dati e delle informazioni di cui vengano comunque a conoscenza nell'esecuzione del servizio.

I requisiti, infine, devono essere posseduti per l'intera durata della procedura di affidamento e fino alla completa esecuzione contrattuale, pena il recesso immediato dell'Agenzia dal rapporto negoziale mediante semplice comunicazione, in caso di perdita dei requisiti dopo la stipula del contratto.

Le modalità di affidamento e le procedure di scelta

L'acquisizione di lavori, servizi e forniture per le attività dell'Agenzia per la cybersicurezza nazionale finalizzate alla tutela della sicurezza nazionale nello spazio cibernetico può essere effettuata attraverso le seguenti procedure:

• affidamento diretto, per lavori di importo inferiore a 150.000 euro e per servizi e forniture di importo inferiore a 139.000 euro;
• procedura negoziata previo o senza previo esperimento di gara informale, per affidamenti di lavori di importo pari o superiore a 150.000 euro e di servizi e forniture di importo pari o superiore a 139.000 euro;
• accordo quadro di lavori, servizi e forniture, di durata massima di nove anni, quando non è possibile l'immediata ed esatta quantificazione dei lavori da eseguire, dei beni da fornire e dei servizi da prestare;
• dialogo competitivo per l'affidamento di lavori, servizi e forniture;
• partenariato pubblico-privato per l'affidamento di lavori, servizi e forniture.

Le principali figure nelle procedure di affidamento

Infine, tra le altre disposizioni del Dpcm, si evidenziano quelle relative agli Organi del procedimento.

In tal senso, in ogni procedura di affidamento di un appalto di lavori, servizi e forniture da avviare ai sensi del Regolamento, ruolo fondamentale è svolto dal Responsabile unico del procedimento (RUP).

Al RUP spettano tutti i compiti relativi alle procedure di programmazione, progettazione, affidamento ed esecuzione dei contratti d'appalto che non siano attribuiti specificatamente ad altri organi o soggetti.

Ancora, il RUP deve dirigere l'esecuzione dei contratti di appalti di lavori, servizi e forniture e controllare i livelli di qualità delle prestazioni.

Nella fase dell'esecuzione è precisato che il RUP possa avvalersi di molteplici figure specializzate, tra cui:

• il Direttore dell'esecuzione del contratto (DEC) o il Direttore dei lavori (DL);
• il Coordinatore in materia di salute e sicurezza, come previsto dal d.lgs. 9 aprile 2008, n. 81;
• il Collaudatore ovvero la Commissione di collaudo;
• il Verificatore della conformità.

Per ognuna di tali figure sarà onere del RUP accertare il corretto ed effettivo svolgimento delle funzioni affidate.

In particolare, il Regolamento dedica apposita disciplina al Direttore dell'esecuzione del contratto o dei lavori (DEC). Tale figura, considerata ruolo chiave, può essere individuata su proposta del RUP prima dell'avvio delle procedure per l'affidamento, deve essere in possesso della necessaria qualificazione in relazione alla natura dell'appalto ed è preposto al controllo tecnico, contabile e amministrativo dell'esecuzione dell'intervento affinché l'appalto sia eseguito a regola d'arte e in conformità ai documenti e alle prescrizioni contrattuali.

Fonte: DPCM 1° settembre 2022, n. 166 (G.U. 4 novembre 2022, n. 258)