Quando un’organizzazione, specialmente nel settore pubblico, si trova a dover adottare servizi cloud, la Qualificazione ACN (Agenzia per la Cybersicurezza Nazionale) non è un mero requisito burocratico. È una cornice essenziale che definisce standard di sicurezza e affidabilità. Tuttavia, leggere e interpretare correttamente il Catalogo dei servizi cloud qualificati Catalogo ACN è un’operazione che richiede attenzione e competenza. Non si tratta solo di scegliere un fornitore con il ‘bollino’ ACN, ma di capire a fondo cosa quel bollino implica per le specifiche esigenze del proprio ambiente, che sia un’infrastruttura con centinaia di VM o migliaia di endpoint.
Testato su: Direttive ACN 2026 · Catalogo ACN v3.1 · Luglio 2026
Prerequisiti / Ambiente di test
Per comprendere al meglio questo articolo, è utile avere familiarità con i concetti base dei servizi cloud (IaaS, PaaS, SaaS) e con le normative italiane ed europee in materia di sicurezza informatica, come il Regolamento NIS2. L’analisi si basa sull’ultima versione disponibile del Catalogo dei Servizi Cloud Qualificati ACN e sulle linee guida operative per la sua interpretazione. L’obiettivo è fornire una metodologia chiara per valutare un’offerta cloud ACN, evitando le insidie comuni che possono portare a scelte non ottimali o non conformi.
1. Comprendere i Livelli di Qualificazione (QC1, QC2, QC3)
Il Catalogo ACN classifica i servizi cloud in tre livelli di qualificazione: QC1 (Standard), QC2 (Avanzato) e QC3 (Strategico). Questi livelli non sono interscambiabili e la scelta dipende dalla tipologia e dalla criticità dei dati e dei servizi che si intendono migrare sul cloud. Un errore comune è considerare solo la disponibilità del servizio, ignorando il livello di protezione e resilienza richiesto dalla natura delle informazioni trattate.
- QC1 – Standard: Adatto per dati e servizi ordinari, la cui compromissione non causerebbe danni significativi. Include requisiti di sicurezza di base.
- QC2 – Avanzato: Progettato per dati e servizi critici, la cui compromissione potrebbe avere un impatto significativo. Richiede misure di sicurezza più stringenti, inclusa la gestione degli incidenti e la protezione avanzata dei dati.
- QC3 – Strategico: Per dati e servizi strategici, la cui compromissione avrebbe un impatto grave o catastrofico sulla continuità operativa o sulla sicurezza nazionale. Le misure di sicurezza sono massime, con particolare attenzione alla sovranità tecnologica e alla localizzazione dei dati.
Quando si consulta il catalogo, è fondamentale identificare il livello di qualificazione per il servizio specifico. Ad esempio, un servizio IaaS potrebbe essere qualificato QC2, ma un servizio PaaS offerto dallo stesso fornitore potrebbe essere QC1. Questo dettaglio è cruciale per la conformità. Leggi anche: NIS2 Ente Sanitario: Perimetro e Adeguamento Reale
2. Analizzare i Servizi Accessori e le Condizioni Contrattuali
Spesso, l’offerta di un fornitore cloud ACN non si limita al servizio IaaS, PaaS o SaaS principale, ma include una serie di servizi accessori. È qui che risiedono molte delle differenze e delle potenziali lacune. Backup, Disaster Recovery (DR), soluzioni di monitoraggio, gestione degli accessi e supporto tecnico sono elementi che devono essere chiaramente definiti e qualificati.
Per esempio, un servizio IaaS QC2 potrebbe non includere un servizio di backup con lo stesso livello di qualificazione. Questo significa che, pur avendo un’infrastruttura qualificata, i dati potrebbero non essere protetti adeguatamente se il servizio di backup non rispetta gli stessi standard. È essenziale che l’analisi contrattuale vada oltre il servizio principale, verificando la qualificazione di ogni componente dell’ecosistema cloud che si intende utilizzare. Leggi anche: Kubernetes Resource: Limits, Requests e HPA in Produzione
Esempio di verifica contrattuale:
Consideriamo un fornitore che offre un servizio IaaS qualificato QC2. Se il tuo ente richiede un RTO (Recovery Time Objective) di 4 ore e un RPO (Recovery Point Objective) di 1 ora per i dati critici, devi assicurarti che il servizio di DR offerto (o da integrare) rispetti queste metriche e sia anch’esso qualificabile. Il catalogo ACN spesso fornisce dettagli sulla qualificazione dei servizi accessori:
# Estratto (ipotetico) da una scheda servizio ACN
servizio:
nome: IaaS_Enterprise_QC2
livello_qualificazione: QC2
componenti_qualificati:
- Infrastruttura_Computazionale: QC2
- Storage_Persistente: QC2
- Rete_Virtuale: QC2
servizi_accessori_qualificati:
- Backup_Gestito: QC1 # Attenzione! Livello inferiore.
- Disaster_Recovery_aaS: QC2 # Verificare RTO/RPO specifici nel contratto.
- Monitoraggio_Avanzato: QC2
localizzazione_dati: Italia (Roma, Milano)
certificazioni_aggiuntive: ISO_27001:2022, GDPR_CompliantQuesto snippet evidenzia come il servizio di Backup Gestito sia qualificato QC1, un dettaglio che potrebbe sfuggire a una lettura superficiale. Se i dati gestiti dal servizio IaaS sono critici (QC2), un backup QC1 potrebbe non essere sufficiente a garantire la conformità. Leggi anche: LVM Snapshot: Rollback Sicuro per Aggiornamenti Critici
3. Valutare SLA, Conformità e Localizzazione dei Dati
Gli SLA (Service Level Agreement) non sono negoziabili quando si parla di servizi qualificati ACN. Il catalogo definisce gli standard minimi che il fornitore deve garantire. È responsabilità dell’ente verificare che questi SLA siano allineati con le proprie esigenze operative e con gli obblighi normativi, in particolare quelli derivanti dalla direttiva NIS2 e dal GDPR.
La localizzazione fisica dei dati è un altro aspetto critico. L’ACN richiede che i fornitori indichino chiaramente dove risiedono i datacenter che ospitano i servizi qualificati. Per molti enti pubblici, la sovranità del dato impone che questo risieda all’interno del territorio nazionale o, al massimo, nell’Unione Europea. Ignorare questo requisito può comportare gravi implicazioni legali e di conformità.
# Esempio di verifica della localizzazione dei dati in un report
# (ipotetico comando di audit per un servizio cloud)
cloud_audit_tool --service IaaS_Enterprise_QC2 --check-data-location
# Output atteso:
# Data Location Report for IaaS_Enterprise_QC2:
# Primary Datacenter: IT-Milan-DC01
# Secondary Datacenter: IT-Rome-DC02
# Backup Storage Location: IT-Milan-DC01
# Disaster Recovery Site: IT-Rome-DC02
# All data residency requirements met for Italy.Questo tipo di verifica, anche se qui simulato con un comando generico, rappresenta l’approccio che un IT consultant deve avere: non fidarsi solo della dichiarazione, ma comprendere le implicazioni tecniche e operative di ogni dettaglio.
Errori comuni e troubleshooting
- Ignorare le dipendenze: Un servizio PaaS può dipendere da un IaaS sottostante. Entrambi devono avere il livello di qualificazione adeguato e compatibile. Non dare per scontato che la qualificazione del PaaS si estenda automaticamente all’IaaS.
- Mancata revisione periodica: Il catalogo ACN viene aggiornato, e i fornitori devono mantenere la qualificazione. Assicurati che il contratto preveda clausole per la gestione di eventuali de-qualificazioni o modifiche agli standard.
- Sottostimare il costo totale: Molti servizi accessori che un ente ritiene essenziali (es. supporto H24, servizi di sicurezza avanzati) potrebbero non essere inclusi nella qualificazione base e comportare costi aggiuntivi, a volte non qualificati.
- Non verificare la conformità NIS2: La qualificazione ACN è un ottimo punto di partenza, ma non esenta l’ente da una propria due diligence sulla conformità NIS2, che richiede una valutazione specifica dei rischi e delle misure di sicurezza adottate dal fornitore per il proprio contesto operativo. Leggi anche: CISA KEV Luglio 2026: Vulnerabilità Enti Italiani
FAQ — Domande Frequenti
La qualificazione ACN garantisce la conformità al GDPR?
No, la qualificazione ACN si concentra sulla sicurezza e resilienza dei servizi cloud, ma non copre tutti gli aspetti del GDPR. La responsabilità del trattamento dei dati rimane in capo all’ente, che deve assicurarsi che il fornitore rispetti tutte le clausole relative alla protezione dei dati personali. È necessario un DPA (Data Processing Agreement) specifico.
Qual è la differenza tra i livelli QC e le certificazioni ISO 27001?
La ISO 27001 è una certificazione internazionale per i sistemi di gestione della sicurezza delle informazioni. La qualificazione ACN è un processo specifico per il contesto italiano e si basa su un framework di sicurezza più dettagliato e orientato alle esigenze della PA. Un fornitore qualificato ACN spesso possiede anche la ISO 27001, ma quest’ultima da sola non è sufficiente per operare con la PA italiana.
Posso scegliere un servizio non qualificato ACN per dati non critici?
La normativa italiana (Circolare AgID n. 3/2017 e successive integrazioni ACN) impone l’uso di servizi qualificati per la Pubblica Amministrazione, indipendentemente dalla criticità del dato. Le eccezioni sono estremamente limitate e richiedono una giustificazione formale e una specifica autorizzazione. In pratica, per la PA, la qualificazione ACN è un requisito quasi universale.
Serve riavviare il servizio dopo la modifica?
La qualificazione ACN è un processo di certificazione del fornitore e dei suoi servizi. Non si tratta di una configurazione software che richiede riavvii. Eventuali modifiche alle configurazioni dei servizi cloud sottostanti (es. modifiche alle VLAN o alle regole firewall) possono richiedere riavvii o reload dei servizi specifici, ma questo è indipendente dalla qualificazione ACN.
Conclusioni con takeaway operativi
Leggere il Catalogo ACN dei servizi cloud qualificati è un’attività strategica che va ben oltre la semplice verifica di un marchio. Richiede un’analisi approfondita dei livelli di qualificazione, dei servizi accessori inclusi, degli SLA offerti e della localizzazione dei dati. Un approccio metodico e una conoscenza dettagliata delle proprie esigenze e degli obblighi normativi sono fondamentali per scegliere la soluzione cloud più adatta e sicura. Non affidarti solo al prezzo o alla reputazione del fornitore; scava nei dettagli del catalogo per assicurarti che ogni aspetto sia allineato con la tua strategia di sicurezza e conformità.
Fonti
Aggiornato: agosto 2026
