Introduzione: L’importanza del Disciplinare nell’Assistenza IT per la PA

La differenza tra Disciplinare e Capitolato Tecnico

Il quadro normativo di riferimento (Codice degli Appalti e normative settoriali)

Analisi del Rischio e Definizione dei Requisiti Preliminari

Mappatura del patrimonio informatico e dei livelli di criticità

Classificazione dei servizi: Manutenzione ordinaria, straordinaria e consulenza

Il ruolo del Responsabile della Protezione dei Dati (RPD/DPO)

Clausole Obbligatorie per la Conformità Normativa

Sicurezza delle reti e dei sistemi informatici (Decreto Legislativo 51/2018 e NIS 2)

Protezione dei Dati Personali: Art. 28 GDPR e D.Lgs. 196/2003

Subappalto e delega dei compiti: I limiti e le autorizzazioni richieste

Proprietà Intellettuale e salvaguardia dei dati (Data Sovereignty)

Definizione dei Servizi: Scope e Specifiche Tecniche

Assistenza Hardware: Sostituzione componenti e gestione garanzie

Assistenza Software: Aggiornamenti, patch management e gestione licenze

Infrastrutture di Rete e Telecomunicazioni

Supporto Navigazione per Disabili (Conformità L. 4/2004 e WCAG)

Cloud Computing e Servizi IaaS/PaaS/SaaS

Service Level Agreement (SLA) e Key Performance Indicators (KPI)

Tempi di intervento: TTR (Time to Repair) e TMA (Tempo Medio di Arrivo)

Livelli di disponibilità (Uptime) e calcolo degli SLA finanziari

Penali, risarcimenti e liquidazione dei danni

Rapporti di performance mensili e revisioni operative

La chiave per una gestione efficace dei servizi IT nella Pubblica Amministrazione risiede nella trasparenza e nel miglioramento continuo. Per questo, il disciplinare di assistenza informatica PA deve prevedere un ciclo di valutazione rigoroso basato su due elementi:

• Rapporti di performance mensili: Documenti che dettaglano il livello di servizio effettivo rispetto agli SLA concordati, con indicazione dei volumi di ticket gestiti, dei tempi di risoluzione medi e di eventuali criticità. Questo report deve essere disponibile su piattaforma condivisa entro il 10 del mese successivo.
• Revisioni operative trimestrali (QBR): Incontri strutturati tra il fornitore e i referenti IT della PA per analizzare i trend, valutare il soddisfacimento degli utenti finali (attraverso survey specifiche) e pianificare interventi correttivi o di ottimizzazione.

Gestione degli Incidenti e della Continuità Operativa

Definizione di incidente critico e procedure di escalation

Un incidente critico è un evento che causa un’interruzione grave e immediata dei servizi informatici essenziali della PA, compromettendo la continuità operativa o la sicurezza dei dati. Per definirne la gravità, si valuta l’impatto sull’utenza, il danno economico e la diffusione.

Le procedure di escalation devono essere dettagliate e automatiche. Il fornitore deve notificare la PA entro 15 minuti dall’individuazione dell’evento critico, attivando un canale dedicato (es. ticket prioritario, contatto diretto 24/7). Se l’incidente non è risolto entro 1 ora, la segnalazione deve essere elevata al responsabile della sicurezza (DPO) e, se necessario, al responsabile dell’innovazione digitale della PA. Per casi estremi, è previsto l’intervento di un team di emergenza dedicato e la comunicazione all’ACN (Agenzia per la Cybersicurezza Nazionale) entro le 24 ore, come richiesto dal Regolamento NIS2.

Piano di Disaster Recovery e Business Continuity

Piano di Disaster Recovery e Business Continuity

Un piano di Disaster Recovery (DR) e Business Continuity (BC) è essenziale per garantire la continuità operativa della PA, evitando interruzioni critiche dei servizi digitali. Le clausole devono definire obiettivi precisi e misurabili.

• RTO (Recovery Time Objective): tempo massimo entro cui ripristinare i servizi critici (es. 4 ore per sistemi essenziali).
• RPO (Recovery Point Objective): tolleranza alla perdita di dati (es. max 1 ora di dati persi).
• Test e simulazioni: obbligo di test annuali del piano di ripristino per validare l’efficacia.
• Back-up e ridondanza: archiviazione geograficamente distribuita e backup cifrati, con specifiche tecniche dettagliate.
• Notifica e escalation: procedure chiare per la segnalazione di incidenti e coinvolgimento dei responsabili.

Includi sanzioni per il mancato rispetto dei target e definisci i costi per servizi di ripristino prioritari.

Diritto di accesso e Audit da parte della PA e dell’ANAC

Il disciplinare deve includere una clausola che definisca esplicitamente il diritto della PA di effettuare verifiche e controlli sull’operato del fornitore, nonché il coinvolgimento dell’ANAC (Autorità Nazionale Anticorruzione) in caso di ispezioni.

È fondamentale stabilire che la PA possa accedere, previa notifica, ai log, alle configurazioni e agli ambienti informativi per verificare la conformità ai livelli di servizio (SLA) pattuiti e il rispetto degli obblighi di sicurezza. La clausola deve specificare le modalità, le tempistiche e le figure professionali designate per tali accessi, garantendo la continuità operativa durante le verifiche.

Il fornitore si impegna a collaborare attivamente con l’ANAC in caso di richieste ispettive, fornendo tutta la documentazione necessaria relativa ai processi di fornitura, alla gestione dei dati e alle misure di sicurezza implementate. Qualsiasi ostruzionismo o mancata collaborazione deve essere sanzionato contractualmente, in linea con le normative vigenti in materia di trasparenza e regolarità dei contratti pubblici.

Logfile, tracciabilità e conservazione dei dati di log

Nel contesto della fornitura di servizi ICT per la Pubblica Amministrazione, la gestione dei log non è un mero dettaglio tecnico, ma un pilastro per la sicurezza e la trasparenza. Il disciplinare deve imporre l’attivazione di un sistema di logging continuo e inalterabile che registri ogni accesso, modifica delle configurazioni ed evento di sicurezza.

È fondamentale specificare la tracciabilità: ogni azione deve essere associata all’identificativo univoco dell’operatore (metodo di autenticazione forte) e al contesto dell’intervento. I dati di log, spesso indicati come “piste di audit”, devono essere conservati per un periodo definito contrattualmente (generalmente minimo 24 mesi) su supporti isolati e protetti per evitare manomissioni.

CTA Soft: Assicurati che il tuo fornitore rispetti le standard di sicurezza richiesti. Scarica la nostra Checklist Requisiti Sicurezza Log e Audit per verificare tutti i punti critici.

La conservazione deve garantirne l’integrità e la disponibilità per eventuali verifiche da parte dell’Autorità Giudiziaria o di organismi di controllo. La sezione contrattuale deve obbligare il fornitore a fornire strumenti di analisi dei log che permettano una ricerca rapida ed efficace in caso di incidenti di sicurezza o richieste di accesso agli atti.

Gestione Economico-Finanziaria e Aggiornamenti Contrattuali

La Gestione Economico-Finanziaria e la relativa modulistica sono il motore che garantisce la sostenibilità del contratto nel tempo. Nella pubblica amministrazione, dove ogni spesa deve essere giustificata e ogni scostamento normato, un disciplinare che tratti solo la prestazione tecnica rischia di arenarsi nelle procedure di contabilità.

Per questo motivo, la sezione dedicata agli aspetti economici e agli aggiornamenti contrattuali non è un semplice allegato, ma lo strumento operativo che collega il servizio ai cicli di bilancio, alle variazioni di carico e alle evoluzioni tecnologiche.

Definizione dei costi e struttura tariffaria

Il disciplinare deve specificare con precisione come vengono calcolati i costi. In linea con i criteri di trasparenza richiesti dalla normativa vigente, è preferibile adottare una struttura tariffaria a raggiera, che separi chiaramente:

• Canone base: copre la messa a disposizione delle risorse, la manutenzione ordinaria e il supporto di prima livello.
• Costi variabili: collegati all’uso effettivo di risorse aggiuntive (es. archiviazione cloud, licenze software, trasferte).
• Voci dedicate: per interventi straordinari o progetti specifici (es. sviluppo custom, migrazione dati).

È buona norma indicare le condizioni di fatturazione: mensili, trimestrali o semestrali, con dettaglio degli SLA (Service Level Agreement) economici ovvero le penali applicabili in caso di mancato rispetto dei parametri di servizio (es. rimborso percentuale per ogni ora di disservizio oltre la soglia contrattuale).

Meccanismi di revisione e adeguamento prezzi

Il mercato IT evolve rapidamente; un contratto pluriennale con prezzi fermi rischia presto di diventare obsoleto o insostenibile per il fornitore. Il disciplinare deve prevedere clausole di revisione che permettano l’aggiornamento dei costi in base a parametri oggettivi:

• Indice ISTAT: per l’adeguamento del costo della vita.
• Indici di settore: per l’aggiornamento dei costi delle licenze software o delle hardware.
• Rinegoziazione forfettaria: su base annuale, per adeguare il canone al cambio del costo delle materie prime o delle energie, previa documentazione giustificativa.

Bisogna evitare clausole che vincolino il prezzo per l’intera durata contrattuale senza meccanismi di adeguamento, specialmente in contratti di durata superiore ai 24 mesi.

Salvataggio e copertura finanziaria

Nei contratti pubblici, la copertura finanziaria è un requisito imprescindibile. Il disciplinare deve specificare:

• Il capitolato d’appalto deve essere coerente con l’importo messo a disposizione dal SIOPE (Sistema Informativo dei Pagamenti della PA).
• Le impreviste vanno gestite tramite riserva di fondi (es. riserva del 10% sull’importo a base d’asta) per fare fronte a richieste non preventivate.
• Il variamento contrattuale deve rispettare le soglie di legge (solitamente il 20% del valore originario) per evitare l’annullamento della procedura di gara.

Una cattiva gestione finanziaria qui può bloccare il pagamento delle fatture, creando tensioni con il fornitore e ritardi nel servizio.

Aggiornamenti tecnologici e variazioni in corso d’opera

Il capitolo dedicato agli aggiornamenti contrattuali è cruciale per la flessibilità. Nell’IT, le tecnologie diventano obsolete in pochi mesi. Il disciplinare deve prevedere:

1. Clause di Upgrade Obbligatori: Il fornitore si impegna a mantenere le versioni software entro una certa “finestra” di supporto (es. non più di 2 versioni indietro rispetto alla release ufficiale del vendor).
2. Protocolli di Variante: Per ogni modifica richiesta dall’amministrazione (es. aggiunta di 50 nuovi utenti, migrazione su nuova piattaforma cloud), deve esistere un processo formale:
   • Richiesta formale della PA.
   • Preventivo del fornitore.
   • Valutazione dell’impatto su costi e tempi.
   • Stipula di un verbale di accordo (variante).
3. Adeguamento Normativo: Se nel corso del contratto entrano in vigore nuove normative (es. NIS2, GDPR evoluto, AgID), il fornitore è tenuto ad adeguare il servizio a proprie spese, salvo varianti sostanziali che richiedano un aggiornamento economico.

Penali, garanzie e modalità di pagamento

L’equilibrio economico si regge anche sulle sanzioni e sulle garanzie. È fondamentale che il disciplinare specifichi:

• Penali per inadempimento: Devono essere proporzionate (max 10% del valore contrattuale per il fornitore, garantite tramite polizza fideiussoria) e applicabili sia per disservizi tecnici che per ritardi nella consegna.
• Garanzie di buon esecuzione: Il fornitore deve presentare una fideiussione bancaria o polizza assicurativa a copertura dei rischi di insolvenza o mancata esecuzione.
• Modalità di pagamento: Il disciplinare deve indicare i termini di pagamento (solitamente 30/60 giorni dalla ricezione fattura) e la documentazione necessaria per l’emissione del Mandato di Pagamento (es. verbale di collaudo, certificato di regolare esecuzione).

Per evitare liti, si consiglia di inserire un escrow (deposito a garanzia) per la documentazione e il codice sorgente, da rilasciare alla PA in caso di fallimento del fornitore.

Una gestione economico-finanziaria solida e aggiornamenti contrattuali ben strutturati sono la garanzia che il servizio IT continui a erogarsi con efficienza, senza sorprese per il bilancio dell’Amministrazione.

Metodi di calcolo del corrispettivo: Salario minimo e oneri sociali

Il calcolo del corrispettivo nelle gare per la PA non può prescindere dalla verifica del rispetto dei minimi salariali e degli oneri sociali. La normativa vigente impone l’osservanza dei contratti collettivi nazionali di lavoro (CCNL) e la corresponsione di contributi previdenziali e assicurativi.

Per garantire trasparenza e conformità normativa, il disciplinare assistenza informatica PA deve prevedere specifiche metodologie di calcolo:

• Riferimento ai CCNL: Indicazione esplicita del contratto applicabile (es. Terziario, Servizi, IT) per determinare la voce “costo del lavoro”.
• Oneri sociali e contributi: Inclusione obbligatoria dei costi INPS, INAIL e altre contribuzioni legali nella base di calcolo.
• Voci di costo trasparenti: Definizione di costi aggiuntivi (es. sostituzione, premi, indennità) per evitare gare al ribasso non sostenibili.
• Meccanismi di adeguamento: Inserimento di clausole per l’aggiornamento automatico del corrispettivo in caso di rinnovi contrattuali o variazioni normative.

Questa struttura tutela sia il fornitore, garantendo la sostenibilità economica dell’incarico, sia la stazione appaltante, assicurando la legalità e la qualità del servizio erogato.

Adeguamenti ISTAT e revisione prezzi per materiali di consumo

Per assicurare trasparenza e prevedibilità finanziaria nella fornitura di servizi IT, il disciplinare deve includere clausole chiare sugli adeguamenti ISTAT e sulla revisione dei prezzi dei materiali di consumo. Per i materiali di consumo (toner, cartucce, dispositivi periferici), è prassi prevedere una revisione annuale dei prezzi, vincolata a un meccanismo di adeguamento ISTAT che applichi la variazione dell’indice dei prezzi al consumo per le categorie merceologiche di riferimento, con una soglia di sblocco (es. variazione superiore al 3%). Per i materiali di consumo non standardizzati o soggetti a fluttuazioni di mercato (es. componenti hardware speciali), si suggerisce l’inserimento di una formula di revisione prezzi che consideri l’andamento dei listini ufficiali del fornitore o indici di settore specifici (es. IPC – Index PC), con obbligo di giustificazione documentale. Per entrambe le tipologie, è fondamentale definire una periodicità di revisione (es. annuale) e richiedere una notifica formale del fornitore con almeno 60 giorni di preavviso, corredata da documentazione contabile e listini aggiornati, prima dell’applicazione del nuovo prezzo. Questo approccio garantisce equilibrio tra interessi della PA e stabilità del servizio, evitando sorprese in bilancio.

Variazioni contrattuali e Ordini di Servizio (SOW)

Qualsiasi modifica al servizio richiesta dalla PA deve essere formalizzata per iscritto attraverso una procedura di variazione contrattuale chiara e tracciabile. La stesura di un Ordine di Servizio (SOW) dettagliato è il passaggio obbligatorio prima di qualsiasi variazione tecnica o economica.

• Richiesta formale di variazione: Avviata dalla PA con modulo standard, deve specificare motivazione, impatto su costi e tempi, e nuovi requisiti funzionali.
• Analisi di impatto e preventivo: Il fornitore deve fornire entro 10 giorni lavorativi una valutazione di impatto e un preventivo firmato.
• Approvazione e firma: La variazione è valida solo dopo approvazione formale da parte del responsabile del procedimento della PA.
• Aggiornamento SOW: Il SOW viene aggiornato con allegati specifici (dettagli tecnici, SLA aggiornati, costo totale, tempi di consegna).

Clausole di Recesso, Risoluzione e Garanzia Finale

Le clausole relative al recesso, alla risoluzione e alla garanzia finale costituiscono il capitolo conclusivo ma fondamentale di ogni disciplinare di assistenza informatica per la PA. Definiscono le condizioni per porre fine al contratto, le conseguenze di un eventuale inadempimento e il meccanismo di chiusura del servizio, garantendo chiarezza e tutela per entrambe le parti.

Recesso e Risoluzione del Contratto

È essenziale distinguere tra recesso e risoluzione. Il recesso è una facoltà unilaterale che può essere esercitata da entrambe le parti, di solito previo preavviso contrattuale (es. 60-90 giorni), anche in assenza di un inadempimento. Per la PA, è comune prevedere il recesso a fine esercizio finanziario o al verificarsi di specifiche condizioni (es. mancata approvazione del budget). La risoluzione, invece, scatta per inadempimento di una delle parti. Il disciplinare deve prevedere un obbligo di messaggio in mora formale, concedendo all’inadempiente un termine (es. 30 giorni) per sanare la violazione prima che il contratto sia risolto di diritto. È buona prassi includere una clausola di risoluzione per eccesso di costi, qualora il fornitore superi il budget preventivato senza autorizzazione scritta, e una clausola di risoluzione per forza maggiore, che esoneri le parti dalla responsabilità in caso di eventi eccezionali non imputabili (es. pandemie, calamità naturali). Per la PA, è fondamentale che il recesso o la risoluzione non compromettano la continuità del servizio pubblico: il fornitore è tenuto a garantire una transizione ordinata (grace period) di almeno 90 giorni, durante i quali manterrà il servizio fino all’avvenuto subentro di un nuovo operatore.

Garanzia Finale e Obblighi di Uscita

La Garanzia Finale (o performance bond) è uno strumento di tutela finanziaria a favore della PA. Si tratta di una fideiussione bancaria o polizza assicurativa, di solito pari al 5-10% del valore contrattuale, che il fornitore deve rilasciare a garanzia dell’adempimento delle sue obbligazioni fino all’ultimo giorno di efficacia del contratto. Questa garanzia viene svincolata solo dopo l’approvazione del Certificato di Regolare Esecuzione finale, che attesta l’assenza di inadempimenti o vizi riscontrati durante l’ultimo periodo di servizio. Il disciplinare deve specificare le tempistiche per lo svincolo (es. 30 giorni dalla richiesta della PA) e le condizioni di revoca in caso di contenzioso.

Inoltre, la sezione deve elencare gli obblighi di uscita del fornitore, che dovrà:

• Consegnare tutta la documentazione tecnica, operativa e amministrativa (manuali, schemi di rete, licenze software, report di monitoraggio).
• Restituire hardware e beni in leasing o noleggio, attestandone il buono stato di funzionamento.
• Disattivare gli accessi e trasferire le credenziali e i dati proprietari della PA, garantendo la conformità al GDPR.
• Fornire un report di chiusura con elenco delle attività residue e delle raccomandazioni per la gestione futura.

L’inosservanza di questi obblighi comporta la trattenuta della garanzia finale e l’insorgere di penali specifiche per ogni voce mancante.

Gestione del Contenzioso

Per evitare lunghe battaglie legali, il disciplinare dovrebbe includere una clausola di risoluzione bonaria. Si tratta di un obbligo di procedere a una mediazione o conciliazione formale (avanti a un organismo di conciliazione accreditato) prima di adire le vie legali. Per gli appalti pubblici, il reclamo amministrativo al Responsabile del Procedimento è spesso un passaggio obbligatorio prima del ricorso al Giudice Amministrativo. La clausola può anche prevedere l’arbitrato (es. arbitro unico) per dispute di importo ridotto, accelerando la risoluzione senza appesantire il contenzioso ordinario.

Casi di risoluzione per inadempimento e per eccesso di durata

La previsione di precise cause di risoluzione del contratto è essenziale per tutelare la PA da prestazioni inadeguate o non conformi ai tempi pattuiti. È fondamentale distinguere tra risoluzione per inadempimento e risoluzione per eccesso di durata.

• Risoluzione per inadempimento: è opportuno prevedere una clausola di risoluzione di diritto qualora il fornitore non adempia agli obblighi contrattuali, in particolare al mancato rispetto dei livelli di servizio (SLA) concordati. È buona prassi fissare un termine di diffida a sanare la violazione (ad esempio, 15 giorni) prima della risoluzione effettiva. Rientrano in questa casistica anche la mancata esecuzione degli interventi di manutenzione ordinaria o straordinaria, la non conformità dei prodotti o servizi rispetto alle specifiche, e la violazione degli obblighi di sicurezza e protezione dei dati.
• Risoluzione per eccesso di durata: per i contratti di manutenzione e assistenza, è cruciale disciplinare la risoluzione qualora il fornitore superi i tempi massimi di intervento stabiliti per la risoluzione dei guasti o per la chiusura dei ticket, superando di oltre il 20% i limiti contrattuali senza giustificato motivo.

Per la redazione di contratti robusti e conformi alle normative vigenti, è essenziale affidarsi a consulenti esperti. Contattaci per saperne di più.

Il periodo di garanzia post contrattuale e il trasferimento di conoscenza

La clausola sul periodo di garanzia post contrattuale e il trasferimento di conoscenza è essenziale per la continuità operativa dell’ente pubblico. È fondamentale definire un periodo di garanzia – solitamente tra i 30 e i 90 giorni successivi al termine del contratto – durante il quale il fornitore è tenuto a risolvere eventuali difformità o malfunzionamenti scoperti dopo l’installazione, senza costi aggiuntivi.

Insieme a ciò, la stessa clausola deve prevedere un obbligo di trasferimento formale della conoscenza. Questo processo deve includere la consegna di tutta la documentazione tecnica aggiornata (manuali, schemi, configurazioni), l’accesso ai codici sorgente (se applicabile) e l’erogazione di corsi di formazione dedicati al personale interno. Una checklist operativa per questa fase dovrebbe includere:

• Verifica del corretto funzionamento in ambiente di collaudo;
• Consegna della documentazione tecnica e delle credenziali di accesso;
• Svolgimento di sessioni formative teorico-pratiche;
• Definizione chiara dei limiti della garanzia e delle procedure di escalation.

Senza un trasferimento strutturato, l’ente rischia di dipendere esclusivamente dal fornitore esterno, vanificando l’investimento in formazione interna.

Checklist e Modello di Riferimento

Per facilitare la stesura del vostro disciplinare, proponiamo una checklist operativa per la verifica dei requisiti minimi e un modello di struttura che potete personalizzare. Queste risorse sono pensate per ottimizzare il processo di valutazione e per assicurare che nessun aspetto cruciale venga trascurato.

Checklist operativa: I requisiti non negoziabili

Utilizzate questa lista per verificare la presenza delle clausole fondamentali nel vostro bando o contratto. Una risposta negativa suggerisce una criticità che va immediatamente corretta.

• Definizione chiara di SLA: Sono specificati i target di disponibilità (es. 99.9%) e i tempi massimi di intervento (MTTR) per ogni livello di criticità?
• Composizione dell’equipe: Sono indicati nominativi, ruoli e qualifiche dei soggetti incaricati? È prevista la notifica preventiva in caso di sostituzione?
• Processo di escalation: Esiste una catena di comunicazione definita per la gestione delle emergenze, con contatti diretti dedicati?
• Metriche di performance (KPI): Sono definiti indicatori quantitativi misurabili (es. tempi di risposta, numero di incidenti risolti al primo contatto)?
• Reportistica e transparency: Sono previste dashboard mensili o report dettagliati che mostrino l’andamento degli SLA rispetto ai KPI?
• Penali e incentivazioni: Sono presenti clausole che legano il compenso al raggiungimento degli obiettivi, con penalità per il mancato rispetto e bonus per l’eccellenza?
• Exit strategy e passaggio di consegne: Sono regolamentati i tempi e le modalità per la restituzione dei dati e della documentazione tecnica in caso di scadenza o risoluzione?

Modello di Riferimento: Struttura suggerita

Di seguito un template base da adattare alle specifiche esigenze dell’ente. Ogni capitolo dovrebbe essere integrato con gli allegati tecnici necessari.

1. Introduzione e Oggetto del servizio: Descrizione sintetica del servizio di assistenza e degli obiettivi generali.
2. Definizioni e Abbreviazioni: Glossario per uniformare il linguaggio tra le parti.
3. Caratteristiche del Servizio: Dettaglio delle attività (manutenzione ordinaria, straordinaria, gestione utenza, sicurezza).
4. Service Level Agreement (SLA): Tabella con i livelli di servizio attesi (disponibilità, tempi di risposta, tempi di ripristino) per ogni tipologia di segnalazione.
5. Governance e Comunicazione: Pianificazione delle riunioni, reportistica, gestione delle richieste di change.
6. Compenso e Modalità di fatturazione: Struttura dei costi, eventuale costo fisso vs variabile, condizioni di pagamento.
7. Penali: Calcolo delle penali in caso di mancato raggiungimento degli SLA.
8. Obblighi dell’Ente: Risorse da fornire, accessi, forniture hardware/software necessarie.
9. Allegati: Mappa degli apparati, contatti delle figure di riferimento, procedure di sicurezza.

Questo framework garantisce trasparenza e definizione chiara dei ruoli, elementi essenziali per qualsiasi fornitura ICT nella Pubblica Amministrazione.

Tabella riepilogativa delle clausole obbligatorie per settore

Tabella riepilogativa delle clausole obbligatorie per settore

Per rendere il disciplinare efficace, è fondamentale adattare le clausole al contesto operativo specifico della Pubblica Amministrazione. Di seguito, un riepilogo delle clausole prioritarie da inserire per ciascun settore.

Settore	Clausole Fondamentali da Includere
Sanità	SLA su tempi di ripristino critici; gestione privacy (GDPR); audit di sicurezza; formazione su social engineering.
Scuola	Manutenzione preventiva; supporto remoto e in loco; gestione dispositivi studenti; report mensile su attività svolte.
Enti Locali	Presenza garantita; gestione apparati di rete; dichiarazione di conformità; monitoraggio 24/7 per servizi essenziali.
Amministrazione Centrale	Certificazioni specifiche; gestione cloud hibrido; continuità operativa (Disaster Recovery); reportistica avanzata.

Errori comuni da evitare nella stesura del disciplinare

Domande Frequenti (FAQ)

Qual è la differenza tra SLA (Service Level Agreement) e KPI (Key Performance Indicator) in un disciplinare per la PA?

Nel contesto della Pubblica Amministrazione, lo SLA rappresenta l’impegno contrattuale vincolante riguardante i livelli di servizio (es. disponibilità al 99.9%, tempo di risposta entro 4 ore). È strettamente legato a penali e premi. Il KPI è invece un indicatore di performance più ampio utilizzato per monitorare l’efficienza generale del fornitore (es. numero di chiamate risolte al primo contatto). Sebbene i KPI possano condizionare il rinnovo del contratto, solo gli SLA garantiscono il rimborso per inadempienza.

È obbligatorio inserire la clausola sulla navigazione per disabili in un disciplinare di assistenza IT generica?

Se il servizio di assistenza riguarda la manutenzione o lo sviluppo di portali web, applicativi o siti istituzionali accessibili al pubblico, la clausola di conformità al DPCM 12 gennaio 2017 (che recepisce le linee guida WCAG) è obbligatoria. La legge 4/2004 impone che tutti i prodotti informatici e i servizi digitali della PA siano accessibili. Se l’assistenza è limitata esclusivamente a hardware fisico (es. stampanti, PC), questa clausola non è necessaria, ma va valutata l’accessibilità dei sistemi operativi eventualmente gestiti.

Quali sono le conseguenze del mancato rispetto del GDPR nella subdelega dei servizi IT?

L’articolo 28 del GDPR richiede che il trattamento dei dati da parte di sub-fornitori avvenga solo con autorizzazione scritta e che il fornitore principale garantiscà adeguate misure di sicurezza. Se il fornitore delega un’attività (es. gestione cloud) senza il preventivo consenso della PA e in assenza di un accordo sulla protezione dei dati, la PA può risolvere il contratto, subire sanzioni del Garante della Privacy e, in caso di violazione dati, rivalersi sul fornitore per i danni subiti, con responsabilità solidale.

Come gestire le penali in un contratto di assistenza PA senza incorrere in profili penalistici?

Le penali devono essere proporzionate e non eccessive rispetto all’interesse leso. Per i contratti sotto soglia comunitaria (art. 36 D.Lgs. 50/2016), le penali sono liberalizzate e devono essere indicate chiaramente nel disciplinare. Per gli appalti sopra soglia, è necessario rispettare i criteri del Codice degli Appalti. Si sconsiglia l’inserimento di penali indiscriminate per ogni ritardo; è meglio legarle al mancato rispetto degli SLA critici o alla mancata disponibilità dei servizi essenziali, specificando il meccanismo di calcolo.

Il fornitore di assistenza può utilizzare dati raccolti durante la manutenzione per scopi di benchmarking?

No, a meno che non esista un consenso esplicito e specifico (con separata base giuridica) o che i dati siano rigorosamente anonimizzati. Il disciplinare deve specificare che i dati raccolti durante l’assistenza (log, configurazioni, incidenti) sono da considerarsi patrimonio esclusivo dell’amministrazione e non possono essere utilizzati dal fornitore per fini commerciali o di analisi statistica senza autorizzazione.

Contattaci

contattaci per saperne di più