Il Ministero per l'innovazione tecnologica e la transizione digitale comunica di aver pubblicato la metodologia per  classificare dati e servizi su PA digitale 2026, secondo le indicazioni dell'Agenzia per la Cybersicurezza Nazionale

La classificazione di dati e servizi pubblici è una delle tre direttrici della Strategia Cloud Italia, insieme alla qualificazione dei servizi cloud e al Polo Strategico Nazionale, e guida gli enti nelle scelte da compiere rispetto alle diverse soluzioni di migrazione al cloud.

La classificazione, definita dall'Agenzia per la Cybersicurezza Nazionale e dal Dipartimento per la trasformazione digitale, consente per la prima volta di determinare il livello di criticità dei dati e dei servizi pubblici scegliendo tra strategico, critico e ordinario, in relazione ai possibili impatti sul benessere del Paese derivanti da una loro eventuale compromissione.

A partire dal 19 aprile, tutte le amministrazioni dovranno completare il percorso di classificazione di dati e servizi, seguendo le indicazioni definite dall'Agenzia per la cybersicurezza nazionale e utilizzando la piattaforma PA digitale 2026. La classificazione, inoltre, è propedeutica alla partecipazione agli avvisi pubblici dedicati al cloud per beneficiare delle risorse del Piano Nazionale di Ripresa e Resilienza.

È possibile completare la classificazione entro il 18 luglio 2022. I risultati verranno utilizzati, nell'ambito del processo di migrazione al cloud della PA, come base decisionale per l'identificazione delle opportune tipologie di soluzioni cloud di destinazione per ogni servizio. Ai livelli di criticità, infatti, sono associate diverse misure di sicurezza, qualità e affidabilità che i servizi e le infrastrutture cloud dovranno implementare per poterli erogare.

La classificazione di dati e servizi consiste nella compilazione di un questionario strutturato in più sezioni. Il questionario consente di svolgere un esercizio semplificato di valutazione del contesto di erogazione e dei possibili impatti derivanti da una possibile compromissione in termini di disponibilità, confidenzialità e integrità dei dati e dei servizi gestiti. La valutazione di ciascuna delle sezioni concorre alla definizione del livello finale per un dato servizio nelle tre classi strategico, critico e ordinario, secondo un algoritmo di calcolo predefinito.

L'Agenzia e il Dipartimento hanno identificato un percorso semplificato e automatico (pre-classificazione) che consente ad ogni amministrazione di poter scegliere, all'interno di un elenco pre-individuato di servizi applicabili, il livello di classificazione che tiene conto dei possibili impatti in termini di riservatezza, disponibilità e integrità nel caso i servizi vengano compromessi.

Per questi servizi, è possibile accettare la classificazione automatica proposta, oppure, qualora questa non fosse ritenuta idonea in ragione della particolare natura o specificità del servizio considerato, è possibile compilare il questionario, e in caso di esito diverso allegare documentazione a supporto della diversa classificazione. Ogni amministrazione dovrà compilare il questionario per ogni servizio non previsto nell'elenco.

La classificazione è disponibile dal 19 aprile all'interno della piattaforma PA digitale 2026 ed è propedeutica al processo di migrazione al cloud delineato dal Regolamento per il Cloud della PA dell'Agenzia per l'Italia Digitale.

Accedendo con l'identità digitale (SPID o Carta di Identità Elettronica), gli enti possono compilare il percorso individuato dall'Agenzia in accordo con il Dipartimento per la trasformazione digitale. Una volta ultimata verrà valutata la conformità della classificazione dall'Agenzia per la Cybersicurezza Nazionale.

I livelli di classificazione

La classificazione consente di raggruppare dati e servizi pubblici in tre livelli:

1. Strategico: servizi la cui compromissione può avere un impatto sulla sicurezza nazionale;
2. Critico: servizi la cui compromissione può determinare un pregiudizio al mantenimento di funzioni rilevanti per la società, la salute, la sicurezza e il benessere economico e sociale del Paese;
3. Ordinario: servizi la cui compromissione non provochi un pregiudizio per il benessere economico e sociale del Paese.

La classificazione è stata definita all'interno della Strategia Cloud Italia pubblicata a settembre 2021 dall'Agenzia per la Cybersicurezza Nazionale e il Dipartimento per la trasformazione digitale ed è indispensabile per realizzare il necessario salto di qualità in materia di cybersicurezza della PA.

La Strategia, la cui attuazione è affidata al quadro normativo del Regolamento per il Cloud della PA e dei suoi atti successivi, è volta a rafforzare la sicurezza dei dati e dei servizi della Pubblica Amministrazione.

Valenzano, 22 aprile 2022