Cybersecurity PA: il programma Consip da 1,2 miliardi

La nuova gara da 317 milioni completa tre strumenti per acquistare prodotti, servizi gestiti e competenze. La scelta resta efficace solo se parte dai rischi reali dell’amministrazione e prevede controlli sull’esecuzione.

In breve

Consip ha completato il programma 2026 per la cybersicurezza della pubblica amministrazione con una nuova gara da 317 milioni di euro. Insieme alle due procedure pubblicate a giugno, il valore complessivo supera 1,2 miliardi. Gli strumenti coprono tecnologie, servizi professionali e sicurezza gestita da remoto, ma non costituiscono una scorciatoia verso la conformità: ogni amministrazione deve partire dai propri sistemi, dai rischi e dalle capacità interne, poi scegliere il servizio e controllarne l’esecuzione.

 

Tre iniziative per bisogni diversi

La nuova gara riguarda prodotti e servizi per proteggere reti e sistemi informativi installati presso l’amministrazione o disponibili come soluzioni virtuali e cloud. Vale 317 milioni di euro e completa un programma che Consip aveva avviato a giugno con altre due procedure.

La prima, da 112 milioni, mette a disposizione competenze professionali per gestire le infrastrutture di sicurezza, sia da remoto sia presso le sedi degli enti. La seconda, da 826 milioni, riguarda servizi continuativi di sicurezza da remoto, accompagnati da attività di governo, valutazione dei rischi, verifica delle vulnerabilità e controllo delle misure adottate.

Sommati, i tre strumenti superano 1,2 miliardi di euro. La cifra dà la misura dell’investimento, ma la distinzione tra le procedure è più importante del totale: acquistare apparati e software, affidare la gestione di un’infrastruttura oppure attivare un servizio continuativo risponde a esigenze differenti e modifica il rapporto tra competenze interne e responsabilità del fornitore.

 

Il catalogo viene dopo l’analisi del rischio

Consip descrive il programma come un percorso che parte dalla strategia e dalla valutazione dei rischi, passa per la protezione e il monitoraggio dei sistemi e arriva alla gestione operativa delle infrastrutture. È un’impostazione utile perché evita di trattare la cybersicurezza come un semplice acquisto di tecnologia.

Un piccolo Comune con competenze tecniche limitate potrebbe avere bisogno di un servizio gestito e di un presidio continuativo, mentre un’amministrazione più strutturata potrebbe preferire prodotti da integrare con un centro operativo già esistente. Sono esempi ipotetici, ma mostrano la domanda da cui partire: non quale procedura usare, bensì quale rischio ridurre e quale capacità mantenere all’interno dell’ente.

Prima dell’acquisto occorre quindi ricostruire almeno i sistemi critici, i dati trattati, le dipendenze dai fornitori, gli incidenti più plausibili e i tempi entro cui i servizi devono essere ripristinati. Senza questa base si può comprare uno strumento tecnicamente valido che non copre il punto più fragile dell’organizzazione.

 

La disciplina europea entra nei contratti, ma non diventa un certificato

Le iniziative Consip richiamano la disciplina europea sulla sicurezza delle reti e dei sistemi informativi, nota come direttiva NIS2 e recepita in Italia con il decreto legislativo n. 138 del 2024, la legge n. 90 del 2024, il decreto del Presidente del Consiglio dei ministri del 30 aprile 2025 e le regole dell’Agenzia per la cybersicurezza nazionale per infrastrutture digitali e servizi cloud della pubblica amministrazione.

Il richiamo conta perché porta requisiti di sicurezza, qualità, qualificazione professionale e controllo dell’esecuzione dentro gli strumenti di acquisto. Non trasforma però l’adesione a una convenzione in una prova automatica di conformità. L’amministrazione resta responsabile delle proprie scelte, deve verificare che il servizio sia proporzionato ai rischi e deve controllare ciò che accade durante il contratto.

Questo vale anche per la filiera. Le indicazioni dell’Agenzia per la cybersicurezza nazionale sui fornitori rilevanti mostrano che la gestione del rischio non si esaurisce nella selezione iniziale: requisiti, flussi informativi, incidenti e verifiche devono essere tradotti in obblighi comprensibili e misurabili.

 

Che cosa controllare durante l’esecuzione

La qualità del capitolato è necessaria, ma non basta se l’amministrazione non sa come verificare il servizio. Prima dell’attivazione è utile definire pochi elementi concreti:

• quali sistemi e dati rientrano nel servizio e quali restano fuori;
• chi riceve gli allarmi, chi decide e con quali tempi si gestisce un incidente;
• quali indicatori misurano disponibilità, presa in carico, risoluzione e miglioramento;
• come vengono documentate vulnerabilità, aggiornamenti e modifiche alla configurazione;
• che cosa accade alla scadenza, compresa la restituzione dei dati e il passaggio a un altro fornitore.

Queste verifiche collegano l’acquisto alla governance. Per le organizzazioni che rientrano nel perimetro della disciplina NIS2, il contratto deve inserirsi in un sistema più ampio di gestione del rischio, responsabilità degli organi direttivi, continuità e controllo della catena di fornitura. Per le altre amministrazioni lo stesso metodo resta una buona pratica, da adattare alla dimensione e alla criticità dei servizi.

 

Un’occasione anche per i fornitori

Il programma apre uno spazio rilevante per operatori che offrono tecnologie, servizi gestiti e competenze specialistiche. La dimensione economica, tuttavia, non riduce l’esigenza di dimostrare capacità operative, continuità, qualità del personale e trasparenza sulle dipendenze tecniche.

Per un fornitore, rispondere a questi requisiti significa organizzare prove e processi prima della gara, non soltanto descriverli nell’offerta. Per un’amministrazione, significa chiedere evidenze durante l’esecuzione e collegarle al proprio sistema di gestione della sicurezza informatica, così che il monitoraggio del contratto produca decisioni e non una raccolta di report.

 

La scelta giusta riduce un rischio preciso

Il programma Consip può rendere più accessibili strumenti che molte amministrazioni faticherebbero a progettare o acquistare da sole. La sua utilità dipende però dalla qualità della domanda iniziale e dalla capacità di governare il rapporto con il fornitore.

La decisione migliore non è quella che utilizza più servizi, ma quella che collega un rischio verificato a una misura adeguata, assegna responsabilità chiare e mantiene il controllo nel tempo. In questo modo la gara diventa parte di una strategia di sicurezza; senza questo passaggio, anche un investimento importante rischia di restare separato dai problemi reali dell’ente

 

Fonti e riferimenti

• Consip, Consip: al via un programma di gare da oltre 1,2 miliardi di euro per la cybersicurezza della PA, 15 ottobre 2026: <https://www.consip.it/notizie-e-comunicati/consip-al-via-un-programma-di-gare-da-oltre-12-miliardi-di-euro-per-la-cybersicurezza-della-pa>
• CorCom, Cybersecurity, Consip mette sul piatto oltre 1,2 miliardi, 15 ottobre 2026: <https://www.corrierecomunicazioni.it/pa-digitale/cybersecurity-consip-mette-sul-piatto-oltre-12-miliardi-tre-gare-per-blindare-reti-e-dati-della-pa/>
• iSimply, NIS2: <https://www.isimply.it/servizi/nis2/>
• iSimply, Fornitori rilevanti NIS2 – Tutti i chiarimenti ACN: <https://www.isimply.it/news/fornitori-rilevanti-nis2-tutti-i-chiarimenti-acn/>
• iSimply, Cybersecurity: <https://www.isimply.it/servizi/cybersecurity/>

 

Nota di trasparenza. Questo articolo è stato predisposto con il supporto di strumenti di intelligenza artificiale generativa. La responsabilità editoriale dei contenuti è di iSimply.