Determinazione AGID 27.12.2023, n. 334

Parte I - Disposizioni generali

Art. 1 - Ambito di applicazione

1. Il presente Regolamento disciplina il procedimento di certificazione delle piattaforme di approvvigionamento digitale di competenza dell'Agenzia per l'Italia Digitale ai sensi dell'articolo 26 del decreto legislativo 31 marzo 2023, n. 36, nonché le attività successive e conseguenti.

Art. 2 - Definizioni

1. Nel presente Regolamento i seguenti termini si intendono secondo le definizioni corrispondenti:

a) AGID: Agenzia per l'Italia Digitale.

b) ACCREDIA: Organismo nazionale italiano di accreditamento, designato ai sensi del Regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio del 9 luglio 2008.

c) ANAC: Autorità Nazionale Anticorruzione.

d) BDNCP: Banca dati nazionale dei contratti pubblici, di cui all'articolo 62-bis del CAD.

e) Ufficio competente: Unità organizzativa dell'AGID, responsabile del procedimento di certificazione delle piattaforme di approvvigionamento digitale.

f) CAD: decreto legislativo 7 marzo 2005, n. 82 recante "Codice dell'amministrazione digitale".

g) Direttore Generale: il Direttore Generale dell'AGID cui spetta il potere di adottare i provvedimenti di cui al presente Regolamento.

h) Regole Tecniche: il documento "Requisiti tecnici e modalità di certificazione delle Piattaforme di approvvigionamento digitale" adottato dall'AGID, ai sensi dell'articolo 26 del decreto legislativo 31 marzo 2023, n. 36.

i) Schema Operativo: il documento "Schema operativo a supporto della Certificazione delle Piattaforme di approvvigionamento digitale" e relativi allegati, di cui alle Regole Tecniche, adottato dall'AGID.

j) Piattaforma di approvvigionamento digitale o Piattaforma: insieme dei servizi e dei sistemi informatici, interconnessi e interoperanti, ai sensi dell'articolo 25 del decreto legislativo 31 marzo 2023, n. 36, utilizzati dalle Stazioni appaltanti e dagli Enti concedenti per svolgere una o più attività del ciclo di vita dei contratti pubblici (di norma programmazione, progettazione, pubblicazione, affidamento ed esecuzione), e per l'interazione con la BDNCP.

k) Componente della Piattaforma di approvvigionamento digitale o Componente: servizio o sistema informatico software componente di una Piattaforma di approvvigionamento digitale che soddisfi entrambe le seguenti condizioni: utilizzo da parte almeno di una Stazione appaltante o di un Ente concedente; realizzazione di una delle attività previste all'articolo 22, comma 2, del decreto legislativo 31 marzo 2023, n. 36 e interazione con la BDNCP.

l) Titolare: soggetto giuridico, pubblico o privato, proprietario dei diritti, anche non esclusivi, di almeno un componente essenziale della Piattaforma e che mette a disposizione, anche mediante contratti, convenzioni, accordi, sviluppa e mantiene il software della Piattaforma conforme ai requisiti del decreto legislativo 31 marzo 2023, n. 36 e delle Regole Tecniche e lo sottopone a certificazione dell'AGID di cui al presente Regolamento.

m) Gestore incaricato: il soggetto i cui riferimenti sono stati trasmessi all'AGID da un Titolare in quanto incaricato di eseguire i test di Classe 3 di un componente da certificare.

n) Gestore autorizzato: soggetto giuridico, pubblico o privato, responsabile della gestione dell'esercizio di un'istanza della Piattaforma certificata, coincidente con una Stazione appaltante o da questa incaricato, che ne garantisce il funzionamento, la sicurezza e la protezione dei dati personali.

o) Registro delle Piattaforme certificate o Registro delle piattaforme: il Registro previsto dall'articolo 26, comma 3, del decreto legislativo 31 marzo 2023, n. 36, curato e gestito dall'ANAC.

p) Requisiti di Classe 2: requisiti funzionali del ciclo di vita dei contratti, suddivisi in sotto- classi, specificati in apposita sezione delle Regole Tecniche.

q) Requisiti di Classe 3: requisiti per l'interoperabilità specificati in apposita sezione delle Regole Tecniche.

r) Non conformità: mancato soddisfacimento di un requisito che influenza la capacità del componente di conseguire i risultati attesi.

s) Organismo di valutazione della conformità: soggetto di cui all'articolo 2, par. 1, punto 13, del Regolamento (CE) n. 765/2008 del Parlamento europeo e del Consiglio del 9 luglio 2008, accreditato ai sensi dell'articolo 5 del medesimo Regolamento.

t) PDND: Piattaforma digitale nazionale dei dati, di cui all'articolo 50-ter del CAD.

u) Dichiarazione di conformità di Piattaforma: documento rilasciato da un Gestore autorizzato che, con riferimento ad una data Piattaforma di approvvigionamento digitale, attesta: la realizzazione della Piattaforma con componenti certificati ai sensi delle Regole Tecniche; l'installazione dei componenti in conformità alle istruzioni del Titolare; l'esito positivo dei test di funzionalità della Piattaforma come "client fruitore" della PDND.

Parte II - Procedimento di certificazione

Art. 3 - Istanza di certificazione e termini del procedimento

1. Il procedimento è avviato su istanza del Titolare avente ad oggetto la richiesta di certificazione di un componente non precedentemente certificato oppure di una nuova versione (c.d. major version) di un componente già certificato, che ne estende le funzionalità nei casi previsti dallo Schema Operativo.

2. L'istanza di certificazione è inviata all'AGID, con le modalità operative descritte in apposita sezione del sito web istituzionale della medesima Agenzia.

3. L'istanza è presentata dal legale rappresentante secondo il modello di cui allo Schema Operativo e deve contenere le seguenti informazioni:

a. La denominazione del Titolare (ragione sociale o denominazione ente) e i riferimenti del rappresentante legale;

b. l'individuazione del Gestore incaricato dell'esecuzione dei test di interoperabilità;

c. l'anagrafica del componente da certificare;

d. la lista di controllo (checklist), contenente l'elenco dei requisiti tecnici oggetto di certificazione (Classe 2 e Classe 3) con l'indicazione, per ciascun requisito, dei criteri da soddisfare.

4. Non è richiesta la presentazione di una istanza in caso di aggiornamento della versione di un componente già certificato (c.d. minor version) che non ne estende la funzionalità.

5. Il procedimento di certificazione di componente si conclude nel termine di 90 giorni a decorrere dalla data di presentazione dell'istanza di cui al comma 1, salvo proroghe previste dalla legge o dal presente Regolamento.

Art. 4 - Controllo di ricevibilità e avvio dell'istruttoria

1. L'Ufficio competente, verificata la completezza formale dell'istanza, avvia l'istruttoria.

2. In caso di non completezza dell'istanza, l'Ufficio competente trasmette al Titolare una richiesta di integrazione da effettuarsi nel termine di 10 giorni. Tale richiesta sospende una sola volta il termine del procedimento di cui all'articolo 3, comma 5, del presente Regolamento.

3. In caso di mancato riscontro alla richiesta di integrazione nel termine di cui al comma 2, l'istanza è rigettata con comunicazione al Titolare.

4. Nel caso di cui al comma 1 oppure di positivo riscontro alla richiesta di integrazione nel termine di cui al comma 2, l'Ufficio competente effettua una verifica di coerenza tra i requisiti di Classe 2 indicati nella checklist presentata dal Titolare e i test scelti dal Titolare medesimo idonei a soddisfare i requisiti di Classe 3 ovvero le Aree funzionali e le relative famiglie di funzionalità che rispettino i criteri definiti nell'Allegato 2 dello Schema Operativo.

5. In caso di esito positivo della verifica di coerenza di cui al comma 4, l'Ufficio competente procede alle comunicazioni al Titolare e all'ANAC per l'abilitazione del Gestore incaricato ad effettuare i test.

Art. 5 - Svolgimento dei test e comunicazione dell'esito

1. I test sono effettuati dal Gestore incaricato nel termine di 60 giorni decorrenti dalla comunicazione dell'AGID di cui all'articolo 4, comma 5 del presente Regolamento.

2. Il termine di cui al comma 1 è prorogato una sola volta e per la durata massima di 30 giorni, su motivata richiesta formale del Titolare, disposta con comunicazione dell'Ufficio competente.

3. Entro il termine di 5 giorni dalla conclusione dei test, il Titolare comunica all'AGID i log resi disponibili dall'ANAC, unitamente alla checklist allegata all'istanza, aggiornata con l'esito dei test effettuati.

4. Il mancato rispetto dei termini di cui ai commi 1, 2 e 3 comporta il rigetto dell'istanza.

Art. 6 - Certificazione di componente e aggiornamento del Registro delle Piattaforme

1. Ricevuta la comunicazione di cui all'articolo 5, comma 3, l'Ufficio competente verifica la corrispondenza fra l'esito dei test e la checklist aggiornata.

2. In esito alla positiva verifica di cui al comma 1, l'Ufficio competente dispone l'iscrizione del componente nel Registro delle piattaforme certificate tenuto dall'ANAC, comunicando all'ANAC i relativi dati. Dell'iscrizione è altresì data comunicazione al Titolare.

3. La certificazione rilasciata ai sensi del comma 2 ha validità di 12 mesi a decorrere dalla comunicazione.

4. Entro il termine di cui al comma 3, il Titolare è tenuto a trasmettere all'AGID il certificato e la relazione di conformità rilasciati dall'Organismo di valutazione della conformità, ai fini del mantenimento dell'iscrizione nel Registro delle piattaforme. Il certificato di conformità rilasciato dall'Organismo di Valutazione delle conformità ha validità di 24 mesi a decorrere dal suo rilascio. Nelle more del rilascio del certificato di conformità, il termine di validità della certificazione di cui al comma 2 è prorogata fino ad un massimo di 3 mesi a seguito della comunicazione, da parte del Titolare, dell'avvenuta richiesta rivolta all'Organismo di valutazione della conformità, secondo la procedura indicata in apposita sezione dello Schema Operativo.

5. Il Titolare è tenuto a trasmettere il certificato di conformità di cui al comma 4, entro la sua scadenza, all'AGID che, effettuate le necessarie verifiche, dispone l'estensione di 24 mesi della durata della certificazione di componente di cui al comma 3 e trasmette all'ANAC tale informazione ai fini dell'aggiornamento del Registro delle Piattaforme certificate.

6. In caso di mancato rilascio del certificato di conformità di cui al comma 4, o di mancata comunicazione del medesimo all'AGID, l'Ufficio competente dispone il ritiro della certificazione e ne dà comunicazione al Titolare e all'ANAC per l'aggiornamento del registro delle piattaforme.

Art. 7 - Attività di sorveglianza e non conformità

1. Nel periodo di validità dell'iscrizione nel Registro, l'Organismo di valutazione della conformità effettua degli audit annuali di sorveglianza sui componenti che hanno ottenuto la certificazione secondo le modalità stabilite da ACCREDIA di concerto con l'AGID. Al termine dell'audit l'Organismo di valutazione trasmette al titolare un rapporto con le relative risultanze.

2. Nel caso in cui il rapporto di cui al comma 1 rilevi delle non conformità, entro 30 giorni dal ricevimento del medesimo, il Titolare è tenuto a fornire riscontro con l'adozione di azioni di correzione e ad eseguire i relativi interventi entro i successivi 90 giorni.

3. La mancata implementazione delle azioni di correzione di cui al comma 2 comporta il venir meno dei requisiti per l'iscrizione nel Registro delle piattaforme certificate. L'Ufficio competente dispone il ritiro della certificazione e ne dà comunicazione al Titolare e all'ANAC per l'aggiornamento del Registro medesimo.

4. Nel periodo di validità del certificato, l'Ufficio competente ha facoltà di eseguire controlli a campione sui componenti che hanno ottenuto la certificazione. Nel caso di rilievo di non conformità, l'Ufficio competente notifica un rapporto di verifica al Titolare, con richiesta di implementazione delle azioni correttive entro un termine perentorio di 45 giorni. All'esito dell'avvenuta risoluzione della non conformità, il Titolare ne dà comunicazione all'Ufficio competente, fornendo le opportune evidenze.

5. La mancata implementazione delle azioni correttive di cui al comma 4 comporta il ritiro della certificazione. Tale provvedimento è comunicato al Titolare e all'ANAC per l'aggiornamento del Registro delle piattaforme certificate.

Art. 8 - Comunicazioni del Titolare e del Gestore

1. Il Titolare comunica all'AGID i riferimenti del Gestore autorizzato all'utilizzo dei componenti certificati.

2. L'AGID verifica i dati oggetto della comunicazione di cui al comma 1 e invia all'ANAC le informazioni necessarie all'aggiornamento della sezione dei Gestori autorizzati nel Registro delle Piattaforme certificate.

3. La mancata, inesatta, incompleta o tardiva comunicazione dei dati di cui al comma 1, qualora non sanata, comporta la sospensione della certificazione acquisita dal Titolare.

4. Ai fini dell'utilizzo dei componenti certificati, il Gestore autorizzato procede all'installazione della piattaforma e al relativo test di integrazione secondo le regole contenute nello Schema Operativo. A seguito dell'installazione, il Gestore autorizzato trasmette all'AGID le dichiarazioni di conformità di Piattaforma secondo le indicazioni fornite sul proprio sito istituzionale.

5. L'Ufficio competente comunica all'ANAC gli estremi delle dichiarazioni di conformità ricevute, al fine di consentire l'aggiornamento del Registro delle piattaforme certificate e l'abilitazione di tali piattaforme all'ambiente di produzione della PDND.

6. L'Ufficio competente può disporre delle verifiche a campione presso i Gestori in relazione al contenuto delle Dichiarazioni di conformità con proprio personale, anche con il supporto da personale di Organismi di valutazione della conformità accreditati per il settore specifico.

Parte III - Disposizioni finali

Art. 9 - Comunicazioni

1. Fermo restando quanto previsto sul sito istituzionale in riferimento alla trasmissione e gestione delle istanze di cui al presente Regolamento, le comunicazioni con il Titolare e con il Gestore sono effettuate a mezzo posta elettronica certificata o altro servizio elettronico di recapito certificato qualificato di cui all'articolo 1, comma 1-ter, del CAD.

Art. 10 - Regime transitorio

1. Sono da ritenersi valide e produttive di effetti le certificazioni rilasciate in data anteriore all'entrata in vigore del presente Regolamento, in applicazione delle Regole Tecniche e dello Schema Operativo.

Art. 11 - Pubblicazione ed entrata in vigore

1. Il presente Regolamento è pubblicato sul sito istituzionale dell'AGID, dandone notizia mediante avviso sulla Gazzetta Ufficiale, ed entra in vigore il giorno successivo alla data della sua pubblicazione.