Indice dei contenuti
- Il nuovo DPCM cyber: il contesto normativo
- Requisiti essenziali di cybersicurezza: più rigore, meno rischi
- Supply chain digitale: filiera sotto osservazione
- Vulnerabilità sotto controllo: monitoraggio continuo e trasparenza
- Cosa rientra nella nuova disciplina
- Paesi sicuri e tecnologie premiate
- Una nuova era per la cybersicurezza nazionale
Il nuovo DPCM cyber: il contesto normativo
Il DPCM del 30 aprile 2025, pubblicato in Gazzetta Ufficiale il 5 maggio, entrerà in vigore il 21 maggio 2025 e rappresenta una svolta nelle modalità con cui le pubbliche amministrazioni acquistano beni e servizi informatici.
Si tratta di un tassello fondamentale della strategia nazionale di cyber security, pensato per proteggere gli interessi strategici e rafforzare la sovranità digitale.
Frutto dell’attuazione dell’articolo 14 della Legge n. 90 del 28 giugno 2024, il decreto punta a standardizzare requisiti minimi di sicurezza per tutte le forniture IT della PA, privilegiando tecnologie europee o provenienti da Paesi sicuri.
Requisiti essenziali di cybersicurezza: più rigore, meno rischi
Al centro del provvedimento troviamo una serie di requisiti obbligatori di cybersicurezza. Ogni componente digitale, dalla VPN al software di gestione, dovrà rispettare precise specifiche di progettazione sicura, garantire la riservatezza dei dati, prevenire accessi indesiderati e reagire rapidamente a vulnerabilità.
Il concetto chiave è: sicurezza by design e by default. Un dispositivo o un’app non saranno più accettabili se non progettati per resistere agli attacchi più comuni, anche nei casi di eventi gravi come attacchi DoS.
Vulnerabilità sotto controllo: monitoraggio continuo e trasparenza
La gestione delle vulnerabilità non sarà più un optional. Le amministrazioni dovranno garantire un monitoraggio costante dei sistemi e ricevere aggiornamenti rapidi e documentati dai fornitori.
Ogni patch dovrà essere accompagnata da note chiare su impatti, gravità e istruzioni operative.
Inoltre, saranno istituiti canali ufficiali per la segnalazione delle falle di sicurezza, anche per software e componenti di terze parti. Il tutto per promuovere una sicurezza condivisa tra PA e imprese ICT.
Supply chain digitale: filiera sotto osservazione
Uno degli aspetti più innovativi del DPCM riguarda il controllo della supply chain. Le PA dovranno mappare fornitori e partner tecnologici, valutandone l’affidabilità e il livello di rischio.
Questo renderà più difficile l’ingresso sul mercato pubblico di tecnologie non controllate o potenzialmente pericolose.
Ogni componente dovrà infatti provenire da produttori ritenuti sicuri, il che rende cruciale, per le aziende, dimostrare tracciabilità e trasparenza lungo tutta la catena di fornitura.
Cosa rientra nella nuova disciplina
L’Allegato 2 del decreto elenca i beni e servizi informatici interessati. Tra questi troviamo:
- sistemi di gestione identità
- software anti-malware
- VPN, firewall, SIEM, infrastrutture PKI
- servizi di monitoraggio, crittografia e logging avanzato
Tutti dovranno rispondere a requisiti elevati e standard aggiornati per ottenere l’accesso alle gare pubbliche.
Paesi sicuri e tecnologie premiate
L’Allegato 3 introduce il concetto di Paesi sicuri. Accanto all’UE e alla NATO, anche Australia, Giappone, Corea del Sud, Israele, Svizzera e Nuova Zelanda sono considerati affidabili. Le tecnologie provenienti da questi Stati riceveranno punteggi premianti nelle gare pubbliche.
Si tratta di un incentivo chiaro a scegliere partner internazionali affidabili e con cui l’Italia ha già accordi di cooperazione in ambito cyber.
Una nuova era per la cybersicurezza nazionale
Il decreto segna un salto di qualità nella strategia digitale italiana. Non solo impone standard più rigorosi alle PA, ma coinvolge attivamente le imprese del settore ICT, chiamate ad alzare il livello delle loro soluzioni.
Chi saprà adattarsi a questi standard non solo entrerà nel circuito degli appalti pubblici, ma si posizionerà come partner strategico nella protezione del Paese.
Il messaggio è chiaro: la cybersicurezza non è più un vincolo, ma un’opportunità di crescita, innovazione e fiducia.
