Cosa vuol dire
“qualificato ACN”.

ACN è la sigla dell’Agenzia per la Cybersicurezza Nazionale, l’ente pubblico italiano che si occupa di sicurezza informatica. È stata istituita con il decreto-legge 14 giugno 2021, n. 82, ed è l’autorità nazionale per la cybersicurezza: tra le altre cose è l’autorità che applica in Italia la Direttiva NIS2 e quella che qualifica i servizi cloud che la Pubblica Amministrazione può acquistare.

Vuol dire che l’Agenzia per la Cybersicurezza Nazionale ha verificato che quel servizio cloud rispetta i requisiti di sicurezza, qualità, prestazioni, interoperabilità e portabilità fissati dal Regolamento cloud n. 21007/2024, e lo ha pubblicato nel proprio catalogo con una scheda e un periodo di validità. Le Pubbliche Amministrazioni possono adottarlo per trattare i dati del livello indicato sulla scheda.

Sono i quattro livelli di qualificazione dei servizi cloud, legati al tipo di dati che la Pubblica Amministrazione può trattarvi. QC1 riguarda i dati e i servizi ordinari, QC2 quelli critici, QC3 e QC4 quelli strategici; ogni livello aggiunge requisiti a quello precedente. I tre servizi di AtWorkStudio sono qualificati QC1: adatti ai dati ordinari, cioè la gran parte del lavoro quotidiano di un ente o di un’azienda.

No. Riguarda il singolo servizio cloud, non l’azienda nel suo complesso: per questo ogni servizio ha la propria scheda. Per ottenerla, però, il fornitore deve già avere un sistema di gestione certificato: per il livello QC1 il Regolamento richiede la conformità alla ISO 9001 e la certificazione ISO/IEC 27001 con le estensioni cloud 27017 e 27018 (in alternativa, la certificazione CSA STAR di livello 2). AtWorkStudio ha tutte e quattro le certificazioni ISO, rilasciate da un ente di certificazione accreditato.

Nessuna norma obbliga un’azienda privata a scegliere servizi qualificati ACN. È però una verifica fatta da un ente pubblico su requisiti scritti e consultabili, e non un’autodichiarazione del fornitore. Per chi deve dimostrare di aver scelto fornitori affidabili, per esempio per la sicurezza della catena di fornitura prevista dalla NIS2 o nelle verifiche di un cliente, è un elemento concreto da mettere agli atti.

Ogni servizio qualificato ha una scheda pubblica sul portale dell’Agenzia per la Cybersicurezza Nazionale, con un codice (per esempio SA-7323), il livello di qualificazione, il nome del fornitore e le date di inizio e fine validità. Dalle pagine dei tre servizi AtWorkStudio c’è il collegamento diretto alla scheda: se un fornitore dice di essere qualificato ma non indica il codice della scheda, conviene chiederlo.

Al massimo trentasei mesi, poi va rinnovata. Durante la validità il fornitore deve mantenere i requisiti e tenere aggiornata l’Agenzia sui servizi qualificati. Le date di validità sono indicate sulla scheda pubblica di ogni servizio.

No, e lo scrive su ogni scheda: la pubblicazione nel catalogo, dopo le verifiche previste dal Regolamento, non costituisce un sostegno o una promozione da parte dell’Agenzia. La qualificazione dice che un servizio rispetta i requisiti, non che sia migliore di un altro. Per lo stesso motivo AtWorkStudio non usa il logo dell’Agenzia sul proprio sito.