Pubblicato in Gazzetta Ufficiale il nuovo DPCM che introduce nuovi vincoli e criteri per l’acquisto di beni e servizi digitali critici da parte della Pubblica amministrazione. Ecco chi avrà la precedenza.
È stato pubblicato ieri nella Gazzetta Ufficiale (Serie Generale n. 102 del 5 maggio 2025) il Decreto del Presidente del Consiglio dei Ministri del 30 aprile 2025, recante disposizioni cruciali per la tutela della sicurezza nazionale nell’ambito dell’approvvigionamento di beni e servizi informatici. Il provvedimento definisce criteri, procedure e requisiti per i contratti pubblici relativi a tecnologie strategiche e infrastrutture digitali critiche.
Un provvedimento per aumentare la sicurezza nazionale
Il decreto rappresenta un tassello normativo per il rafforzamento della resilienza nazionale contro minacce ibride e cyber, in un contesto geopolitico caratterizzato da crescenti rischi legati all’utilizzo di tecnologie sensibili. Al centro del testo, l’obiettivo di evitare che dispositivi, software o servizi acquisiti dalle pubbliche amministrazioni possano costituire vettori di compromissione per i sistemi informativi nazionali. Quali? Tra i prodotti rientrano i lettori biometrici, le reti Vpn (Virtual private network), i modem satellitari, le telecamere di sorveglianza. O ancora, gli scanner usati per controllare i bagagli e le merci (vedi allegato 2).
Tra le principali misure contenute nel provvedimento:
- l’introduzione di verifiche preventive sui fornitori e sui prodotti proposti nei bandi di gara;
- l’adozione obbligatoria di standard di sicurezza certificati a livello nazionale ed europeo;
- la possibilità per il Governo di escludere operatori economici ritenuti a rischio per gli interessi nazionali;
- la definizione di procedure d’urgenza per la sostituzione di forniture risultate non conformi o pericolose.
Più poteri per il Governo su forniture ICT sensibili
Il DPCM segue una linea già tracciata da precedenti interventi legislativi in materia di golden power, ampliandone ora l’ambito applicativo alle forniture informatiche. Viene di fatto rafforzata la supervisione governativa su tutti gli appalti che coinvolgono:
- centri di elaborazione dati pubblici o misti;
- piattaforme digitali usate per funzioni critiche della PA;
- sistemi di comunicazione cifrata e reti ad alta affidabilità.
Allegato 3: l’elenco dei “Paesi amici” per la cybersicurezza
Elemento del nuovo DPCM sulla cybersicurezza è l’Allegato 3, che riporta l’elenco dei Paesi terzi considerati affidabili per le forniture tecnologiche nei settori critici della pubblica amministrazione. Si tratta di Stati che, pur non appartenendo all’Unione Europea, intrattengono accordi formali di collaborazione con l’UE e con la NATO in ambiti come la cybersicurezza, la protezione delle informazioni classificate e la ricerca.
Ecco i sei Paesi individuati:
- Australia
- Corea del Sud
- Giappone
- Israele
- Nuova Zelanda
- Svizzera
Questo elenco – formulato ai sensi dell’articolo 5 del decreto – fornisce una base normativa per attribuire priorità o “premialità” alle offerte provenienti da imprese di questi Paesi nelle gare pubbliche. In pratica, è una sorta di white list geopolitica, che va ad affiancarsi ai partner UE e Nato per rafforzare l’asse delle alleanze democratiche anche sul piano tecnologico.
Una selezione strategica e diplomatica
L’Allegato 3 rafforza la cooperazione con Paesi ritenuti allineati agli standard euro-atlantici, in un contesto internazionale sempre più marcato da rivalità tecnologica, in particolare con la Cina e la Russia. La presenza di Paesi come Israele e il Giappone testimonia la volontà italiana di disegnare uno scudo cibernetico globale, non limitato al solo spazio europeo.
Nessuna esclusione formale, certo, ma un messaggio chiaro: negli appalti pubblici per beni e servizi ICT critici, le tecnologie provenienti da questi Paesi avranno la precedenza. Una linea che recepisce in pieno le richieste espresse dagli Stati Uniti nel bilaterale Meloni–Trump, e che si inserisce in una più ampia strategia di difesa tecnologica dell’Occidente.
In vigore dal 6 maggio 2025
Il decreto entra in vigore il giorno successivo alla sua pubblicazione, ovvero oggi, 6 maggio 2025. Le amministrazioni centrali e locali dovranno adeguare le proprie procedure d’acquisto ai nuovi criteri, con particolare attenzione alla documentazione dei requisiti di sicurezza e alla valutazione preventiva del rischio. L’Agenzia per la Cybersicurezza Nazionale avrà un ruolo di primo piano nell’attuazione e nella vigilanza, fornendo pareri tecnici e supportando le amministrazioni nel rispetto delle nuove regole.
