Il piano triennale di informatica (PTI) è il documento strategico che ogni ente locale deve redigere per definire gli investimenti, le risorse e le azioni di digitalizzazione per i prossimi tre anni. È un obbligo normativo (art. 21-bis del Codice dell’Amministrazione Digitale), ma soprattutto è lo strumento per guidare la trasformazione digitale in modo coerente, efficiente e trasparente, evitando sprechi e progetti avulsi dalla reale capacità operativa dell’ente.

Il piano triennale ICT per enti locali richiede una redazione meticolosa: analisi dello stato di partenza (gap analysis), definizione di obiettivi misurabili, programmazione delle attività e stima dei costi. Senza una struttura chiara, il rischio è creare un documento “burocratico” che non guida le decisioni operative. In questa guida pratica, ti proponiamo uno step-by-step concreto per la redazione del tuo piano triennale ICT, seguendo le linee guida AgID e le best practice del settore pubblico.

Procederemo per fasi: dalla raccolta dei dati (infrastruttura, personale, servizi digitali già attivi) alla stesura del contenuto (servizi, progetti, cronoprogramma), fino alla definizione del budget e alla valutazione dei rischi. Ti forniremo anche modelli e checklist pronti all’uso per snellire il lavoro e garantire coerenza con le normative vigenti.

Pronto a iniziare? Scarica subito il nostro template gratuito del piano triennale ICT per enti locali (in formato Word/Excel) e segui i passaggi descritti negli articoli successivi. Per una valutazione personalizzata del tuo caso, richiedi un mini-assessment gratuito ai nostri consulenti: valuteremo insieme lo stato della tua digitalizzazione e ti guideremo verso la redazione più efficace.

Introduzione: Perché il Piano Triennale ICT è strategico per gli Enti Locali

Il Piano Triennale per l’Informatica nella Pubblica Amministrazione (PT ICT) non è un semplice documento di spesa, ma la bussola strategica che guida gli Enti Locali (Comuni, Province, Città Metropolitane) verso una reale trasformazione digitale. Spesso percepito come un adempimento burocratico obbligatorio dalla Presidenza del Consiglio dei Ministri – Dipartimento per la Trasformazione Digitale, nella pratica è lo strumento fondamentale per allineare le risorse tecnologiche agli obiettivi istituzionali, migliorando i servizi ai cittadini e alle imprese.

Perché è strategico? Perché in un contesto di risorse limitate e crescente complessità normativa (si pensi al PNRR, al GDPR e alle nuove regole sull’interoperabilità), il PT ICT permette di evitare gli sprechi. Senza un piano, si rischia di accumulare soluzioni disomogenee, costi imprevedibili e vulnerabilità di sicurezza. Il piano introduce ordine, pianificando gli investimenti su tre anni con una visione di medio periodo che supera i vincoli del singolo esercizio finanziario.

Ecco perché è indispensabile: permette di trasformare la spesa ICT da “costo necessario” a “investimento produttivo”. Definisce chiaramente cosa serve, quando acquistare e come integrare i nuovi strumenti con i sistemi esistenti. Inoltre, garantisce che ogni progetto digitale sia coerente con la Strategia Digitale dell’Ente, massimizzando il ritorno sull’investimento.

In questa guida step-by-step, ti accompagneremo nella redazione del piano, evitando tecnicismi inutili. Scopriremo insieme come tradurre i bisogni operativi in un documento valido e vincolante.

Il valore del piano come mappa strategica e non solo obbligo normativo

Il valore del piano come mappa strategica e non solo obbligo normativo

Redigere il piano triennale ICT per enti locali è spesso percepito come un mero adempimento burocratico, ma rappresenta in realtà un opportunità strategica unica per l’organizzazione. Un piano ben articolato non si limita a descrivere gli investimenti tecnologici, ma diventa la mappa che guida la trasformazione digitale, allineando le risorse ICT agli obiettivi di servizio del Comune e ai bisogni dei cittadini.

Consideralo il “business plan” digitale dell’ente: permette di razionalizzare la spesa, evitando duplicazioni e investimenti non necessari, e di priorizzare i progetti che generano maggiore valore pubblico. Inoltre, un piano chiaro e condivisibile facilita l’accesso a fondi europei e bandi dedicati, dimostrando la capacità dell’ente di pianificare e gestire progetti complessi.

Passare dalla visione del “costo obbligatorio” a quella dello “strumento abilitante” è il primo passo per ottenere non solo la conformità normativa, ma anche risultati tangibili in termini di efficienza, innovazione e qualità dei servizi offerti alla cittadinanza.

I benefici attesi: efficienza, trasparenza e servizi al cittadino

La redazione di un piano triennale ICT per enti locali non è un mero esercizio contabile, ma un lever strategico per trasformare l’organizzazione. L’obiettivo è generare benefici tangibili che possano essere misurati nel tempo e comunicati in modo trasparente.

• Efficienza operativa: L’automazione dei processi amministrativi e l’interoperabilità tra sistemi (es. anagrafe, demografica, tributi) riducono drasticamente i tempi di risposta, minimizzano gli errori manuali e liberano risorse umane per attività a più alto valore aggiunto.
• Trasparenza e accountability: Piattaforme digitali aperte e dashboard interne permettono il monitoraggio in tempo reale dello stato di avanzamento dei progetti e dei costi, garantendo al consiglio e ai cittadini una visione chiara sull’uso delle risorse pubbliche e sul rispetto della normativa (es. PNRR).
• Servizi al cittadino e alle imprese: La digitalizzazione dei servizi (sportello unico, app del cittadino, pagamento online) migliora l’esperienza d’uso, rendendo l’ente più accessibile, moderno e reattivo alle esigenze del territorio.

Quadro Normativo e Riferimenti Obbligatori

Quadro Normativo e Riferimenti Obbligatori

La redazione del piano triennale per l’informatica nella pubblica amministrazione (PTIP), comunemente noto come piano triennale ICT, non è un mero esercizio di pianificazione tecnica, ma un atto di indirizzo strategico vincolato da un quadro normativo stringente. Per le amministrazioni locali, che operano in un ecosistema complesso e sovrapposto, comprendere questo quadro è il primo passo per evitare sanzioni e garantire che gli investimenti siano effettivamente sostenibili e conformi. Il riferimento principale è il Decreto del Presidente del Consiglio dei Ministri (DPCM) del 4 agosto 2023, che recepisce il PNRR e ridefinisce le regole per la pianificazione e la governance del sistema informativo delle amministrazioni pubbliche.

Il DPCM 2023 stabilisce che ogni amministrazione pubblica deve dotarsi di un PTIP, che copre un orizzonte temporale di tre anni. Questo documento non è facoltativo; è obbligatorio per tutti gli enti che utilizzano risorse economiche per progetti e servizi ICT. La sua approvazione è a carico dell’organo di indirizzo politico (ad esempio, il Consiglio comunale per i Comuni o il Consiglio di amministrazione per le aziende municipalizzate) e deve essere adottato entro il 31 dicembre di ogni anno, per il triennio successivo. Per la redazione del piano triennale ICT per enti locali, step fondamentale è verificare la data di scadenza prevista dal DPCM 2023, poiché i primi piani dovevano essere approvati entro il 31 dicembre 2023. Un errore comune è trascinare le scadenze del piano precedente senza allinearsi al nuovo calendario, rischiando di operare senza copertura normativa valida.

Un elemento cruciale che la nuova normativa introduce è il concetto di “Piano Triennale per l’Informatica nella PA” (PTIP) e “Piano di Gestione dei Rischi” (PGR). La distinzione è sottile ma operativa: il PTIP definisce la roadmap strategica, mentre il PGR è un documento allegato obbligatorio che gestisce i rischi associati ai progetti ICT, in particolare quelli di sicurezza informatica. Per gli enti locali, questo significa che la redazione del piano non può più limitarsi a elencare acquisti di hardware o software. Deve integrare necessariamente una valutazione dei rischi, conformemente al Regolamento Generale sulla Protezione dei Dati (GDPR) e alla direttiva NIS2 per la sicurezza delle reti e dei sistemi informativi. La NIS2, recepita in Italia con il Decreto Legislativo n. 237/2024, impone obblighi specifici di notifica degli incidenti e di adozione di misure di sicurezza tecnologiche e organizzative.

Per quanto riguarda la spesa informatica, il riferimento obbligatorio è il Decreto Ministeriale 10 novembre 2021 (aggiornato periodicamente), che disciplina la progettazione e l’approvazione dei progetti informatici. Ogni progetto contenuto nel piano triennale ICT deve rispettare i criteri di ammissibilità definiti da questo decreto, tra cui l’obbligo di utilizzare strumenti di progettazione definiti (come il Project Management Institute o standard di ingegneria del software) e di garantire l’interoperabilità. In particolare, il DM 2021 impone che gli investimenti siano “standardizzati” e siano inclusi nel catalogo dei prodotti e servizi abilitanti definiti da AgID (Agenzia per l’Italia Digitale). Se un ente locale vuole acquistare un software non presente in catalogo, deve giustificare la deroga attraverso un’analisi di mercato specifica, documentata nel piano.

Gli enti locali devono poi fare i conti con il vincolo del Patto di Stabilità e del Patto di Bilancio. La spesa ICT, pur essendo strategica, rientra nei vincoli di finanza pubblica. Il DPCM 2023, in sinergia con il Ministro dell’Economia e delle Finanze, stabilisce che gli investimenti ICT devono essere coerenti con la programmazione economica triennale (Bilancio di Previsione). Non è possibile approvare un piano triennale ICT che preveda spese non coperte da entrate proprie o da fondi specifici (come quelli PNRR). È fondamentale che la redazione del piano sia coordinata con l’Ufficio Ragioneria fin dalla fase di bozza.

Infine, il quadro normativo richiama esplicitamente il Cloud First Policy (DPCM 4 agosto 2023 e successive linee guida AgID). Per le amministrazioni locali, l’utilizzo del cloud non è più opzione, ma priorità. Il piano triennale ICT deve indicare chiaramente quali servizi verranno migrati sul cloud, secondo i livelli di servizio (SLA) definiti e la tipologia di cloud (pubblico, privato o comunitario). L’AgID fornisce linee guida specifiche per la valutazione dei fornitori e la gestione dei contratti cloud, che devono essere riflessi nel piano.

In conclusione, la redazione del piano triennale ICT per enti locali: step obbligatorio zero è la raccolta di tutti i riferimenti normativi vigenti. Ignorare anche uno di questi – dal DPCM 2023 alla NIS2, dal DM 2021 alla Cloud First Policy – espone l’ente a rischi di non conformità, blocco delle spese o sanzioni. La complessità normativa richiede un approccio strutturato: prima la legge, poi la pianificazione.

Il Piano Triennale per l’Informatica nella PA (PT) e il ruolo di AgID

Il Piano Triennale per l’Informatica nella PA (PT) e il ruolo di AgID

Il Piano Triennale per l’Informatica nella Pubblica Amministrazione (PT) è il documento strategico obbligatorio che ogni ente locale deve redigere per pianificare la trasformazione digitale su un orizzonte di tre anni. La sua redazione è regolata da AgID (Agenzia per l’Italia Digitale), che fornisce le linee guida, il modello di riferimento e gli standard tecnici da rispettare. Il PT non è un mero adempimento burocratico, ma la bussola per orientare gli investimenti, garantire l’interoperabilità dei sistemi e migliorare i servizi ai cittadini e alle imprese.

AgID svolge un ruolo centrale di supporto e controllo: fornisce il Catalogo Nazionale dei Servizi ICT, linee guida per l’accessibilità, la sicurezza e il cloud, e monitora l’avanzamento dei piani. La sua approvazione è spesso necessaria per accedere a fondi nazionali ed europei. Inserire nella redazione del piano Triennale per l’Informatica nella PA (PT) il ruolo di AgID è cruciale per garantire coerenza e conformità normativa, evitando il rischio di progetti disallineati e inefficienze operative.

CTA (Mid): Valuta il tuo piano triennale. Richiedi ora una call di 15 minuti con i nostri esperti per un’analisi preliminare su conformità AgID e punti critici.

Cybersecurity e NIS2: impatto sugli Enti Locali

Cybersecurity e NIS2: impatto sugli Enti Locali

Per gli enti locali, l’adozione della direttiva NIS2 rappresenta un cambiamento epocale. Non più solo obbligo di protezione, ma responsabilità diretta e sanzioni severe in caso di negligenza. La direttiva distingue tra “organismi essenziali” e “importanti”, includendo amministrazioni pubbliche, fornitura di acqua ed energia, e trasporti.

Se l’ente rientra in queste categorie (soglia > 50 dipendenti o fatturato > 10 milioni di euro), deve preparare una valutazione del rischio approfondita, implementare misure di sicurezza adeguate e nominare un responsabile della sicurezza informatica. Inoltre, è necessario segnalare eventuali incidenti entro 24 ore.

Il piano triennale ICT deve integrare questi requisiti normativi, prevedendo budget per audit, formazione del personale e aggiornamenti tecnologici. Ignorare la NIS2 significa esporsi a multe che possono arrivare fino al 2% del fatturato globale.

Non rischiare sanzioni pesanti: contattaci per un’analisi preliminare gratuita della tua situazione e scopri come adeguare il tuo piano ICT ai requisiti NIS2.

PNRR e Mission: condizionalità e finanziamenti legati al digitale

PNRR e Mission: condizionalità e finanziamenti legati al digitale

Il Piano Nazionale di Ripresa e Resilienza (PNRR) rappresenta oggi l’asset più decisivo per il digitale degli enti locali. Non si tratta solo di finanziamenti, ma di condizionalità stringenti: la realizzazione degli interventi è strettamente vincolata al rispetto di determinate milestone e target prefissati.

Le Missioni più rilevanti per il tuo Piano ICT sono la Missione 1 (Digitalizzazione) e la Missione 2 (Rivoluzione verde). In particolare, i Comuni devono concentrarsi sulle seguenti linee d’azione:

• Digitalizzazione dei processi amministrativi: obiettivo è rendere tutti i servizi cittadini accessibili online (Comune 100% digitale).
• Scuola e banda larga: implementazione di infrastrutture per la connettività in ambito educativo e territoriale.
• Innovazione del sistema di gestione rifiuti: introduzione di tecnologie IoT e sistemi intelligenti per il monitoraggio.

Consiglio pratico: nella redazione del piano, devi mappare rigorosamente le tue azioni ai progetti PNRR attivati o attivabili. Ogni voce di spesa deve essere giustificata come necessaria per il raggiungimento dei target europei. Non dimenticare che il mancato rispetto delle scadenze può comportare la revoca dei fondi. Integra nel tuo piano una sezione specifica di governance che monitori l’avanzamento PNRR mensilmente.

Step 1: Analisi dello Stato dell’Arte e Assessment (As-Is)

Cosa si valuta in questa fase?

La fase di analisi dello stato dell’arte, o assessment as-is, costituisce il fondamento su cui poggia l’intero piano triennale. Non è un mero inventario tecnico, ma un’indagine multidimensionale che deve abbracciare l’infrastruttura hardware e software, la governance dei dati, le competenze interne e il livello di digitalizzazione dei processi amministrativi. Un’analisi superficiale o parziale rischia di generare un piano disallineato dalla realtà operativa, rendendo inefficaci gli interventi futuri e vanificando le risorse investite.

Per un ente locale, questo significa andare oltre il semplice elenco dei server o delle licenze software. È necessario mappare come le tecnologie abilitano (o frenano) i servizi al cittadino, come le risorse umane interagiscono con gli strumenti digitali e come l’ente gestisce la sicurezza e la continuità operativa. Un assessment ben condotto permette di identificare il gap tra la situazione attuale e gli obiettivi strategici, rendendo tangibili le criticità da risolvere e le opportunità da cogliere nel triennio.

Primo consiglio operativo: Costituisci un Comitato di Indirizzo composto da dirigenti e responsabili di servizio. La loro partecipazione garantisce che l’analisi sia il più possibile aderente alle necessità dei reparti e facilita il reperimento delle informazioni necessarie.

Secondo consiglio operativo: Definisci fin da subito una roadmap temporale precisa per questa fase (solitamente 4-6 settimane). Senza scadenze chiare, l’analisi tende a dilatarsi, ritardando l’intero processo di pianificazione.

Checklist operativa per l’analisi as-is

Per strutturare l’analisi ed evitare omissioni, suggeriamo di utilizzare un modello basato su tre pilastri fondamentali: Tecnologia, Processi e Persone. Di seguito una checklist dettagliata da adattare alla propria realtà.

1. Architettura Tecnologica ed Infrastruttura (il “Sistema Nervoso”)

• Infrastruttura Hardware e Rete: Inventario aggiornato di server, workstation, stampanti, dispositivi mobili e infrastruttura di rete (cablaggio, switch, router, firewall, punti di accesso Wi-Fi). Verificare l’età media del parco macchine e la presenza di sistemi in end-of-life (EoL) o in prossimità della scadenza del supporto tecnico.
• Software e Licenze: Mappatura di sistemi operativi, applicativi di produttività (suite office), software gestionali (ERP, demografico, tributario, concorsuale), applicazioni verticali (urbanistica, sociale, L68/99) e strumenti di collaborazione. Monitorare la scadenza delle licenze e il costo ricorrente del software in cloud (SaaS).
• Cloud e Servizi Esterni: Verifica dei servizi in cloud (IaaS, PaaS, SaaS) già sottoscritti (es. Microsoft 365, Google Workspace, hosting PEC, storage). Valutare il livello di ridondanza e disastro recovery (RTO e RPO) garantito dai fornitori.
• Consolidamento Dati e Backup: Verificare la politica di backup (locali, remoti, immutabili) e gli strumenti di disaster recovery. È fondamentale conoscere la frequenza dei test di ripristino per garantire l’affidabilità del sistema.

2. Governance, Sicurezza e Dati (il “Sistema Immunitario”)

• Cybersecurity e Perimetri: Analisi delle policy di sicurezza, gestione delle identità (IdM), utilizzo di MFA (Autenticazione a più fattori), sistemi di protezione perimetrale (firewall NGFW), antivirus EDR (Endpoint Detection and Response) e gestione dei dispositivi (MDM). Valutare il livello di conformità al Decreto 159/2023 (Cybersecurity per la Pubblica Amministrazione) e alla normativa NIS2.
• Data Governance e Privacy: Mappatura dei database principali (anagrafica cittadini, tributi, protocollo), valutazione dello stato di conservazione digitale (Sistema di conservazione sostitutiva conforme alle specifiche AGID) e verifica della conformità al GDPR (mappatura trattamenti DPO, registri delle attività, DPIA).
• Interoperabilità e Piattaforme: Verifica dell’integrazione con le piattaforme nazionali (PagoPA, AppIO, SPID/CIE, CEPASS, sistema pubblico di connettività) e la presenza di API per lo scambio dati con altri sistemi (es. scuole, ASL, regione).

3. Processi e Digitalizzazione dei Servizi (il “Metabolismo”)

• Protocollo e Flussi Documentali: Valutazione del sistema di gestione documentale (GED), del protocollo elettronico e del livello di dematerializzazione dei procedimenti amministrativi. Verificare il tasso di cartaceo residuo e le tempistiche medie di gestione delle pratiche.
• Servizi al Cittadino e PA digitale: Analisi dei servizi erogati online (portale istituzionale, servizi dematerializzati, prenotazione appuntamenti, pagamento telematico). Valutare l’usabilità (UX) e l’accessibilità (WCAG) dei portali, nonché la presenza di sistemi di Chatbot o Assistenza Virtuale.
• Smart Working e Collaboration: Valutazione dell’adozione di strumenti per il lavoro agile, la condivisione documentale in cloud e le videoconferenze. Verificare se esistono policy definite per lo smart working e se l’infrastruttura supporta efficacemente il lavoro da remoto.

4. Competenze e Capacità Organizzativa (il “Capitale Umano”)

• Inventario delle Competenze IT: Identificazione del personale dedicato (ruolo, seniority, competenze specifiche, certificazioni). Valutare il carico di lavoro e la presenza di eventuali skill gap critici (es. cybersecurity, cloud architecture).
• Formazione e Cultura Digitale: Verifica dei piani formativi recenti, del livello di alfabetizzazione digitale del personale non tecnico e della propensione al cambiamento organizzativo. L’innovazione fallisce spesso per resistenza al cambiamento, non per motivi tecnici.
• Struttura Organizzativa e Gestione Progetti: Analisi dell’organigramma dell’area ICT, definizione dei flussi decisionali e valutazione delle metodologie di gestione progetti (Waterfall, Agile) attualmente in uso.

Strumenti di raccolta dati e analisi

Per raccogliere le informazioni necessarie in modo strutturato ed evitare di basarsi su percezioni soggettive, è fondamentale utilizzare un mix di strumenti:

• Interviste strutturate: Condurre incontri one-to-one con i responsabili di servizio e i responsabili ICT. Utilizzare questionari a risposta chiusa (scala Likert) per quantificare la soddisfazione verso gli strumenti IT e la percezione del rischio.
• Scansioni tecniche e audit: Utilizzare software di inventario automatico (es. Lansweeper, GLPI) per mappare hardware e software. Eseguire scan di vulnerabilità perimetrali (previa autorizzazione e nel rispetto della normativa) per valutare il livello di esposizione ai rischi informatici.
• Analisi documentale: Rivedere i regolamenti organizzativi, i piani di formazione, i contratti con i fornitori e i report di audit precedenti (se disponibili).
• Focus group: Organizzare workshop trasversali con operatori di diversi uffici per comprendere le criticità operative reali e le aspettative di miglioramento.

Consiglio di risk management: Durante l’analisi, identifica le criticità che rappresentano un rischio immediato per la continuità operativa (es. server in scadenza entro 6 mesi, backup non testati da oltre un anno). Queste devono essere segnalate prioritariamente nel report as-is e, se necessario, gestite con azioni correttive immediate, a prescindere dal piano triennale.

Produzione del report As-Is e analisi SWOT

Il risultato tangibile di questa fase è un Report di Assessment dettagliato. Questo documento non deve essere una mera lista di hardware, ma un’analisi critica che si conclude con una matrice SWOT (Debolezze, Opportunità, Minacce, Forze) sintetica ma efficace.

• Forze (Strengths): Cosa funziona bene oggi? (Es. Protocollo elettronico efficiente, banda fibra già presente, team IT competente).
• Debolezze (Weaknesses): Cosa limita l’ente oggi? (Es. Sistemi non interconnessi, formazione insufficiente, parco PC obsoleto, mancanza di policy BYOD).
• Opportunità (Opportunities): Quali trend esterni possono aiutare? (Es. Nuovi finanziamenti PNRR, adozione di standard aperti, disponibilità di piattaforme cloud regionali).
• Minacce (Threats): Quali rischi esterni minacciano l’ente? (Es. Aumento degli attacchi informatici alla PA, normative sempre più stringenti, carenza di personale tecnico sul mercato del lavoro).

Questo report costituirà il punto di partenza ineludibile per i successivi step del piano: la definizione della strategia target (come vogliamo essere tra tre anni) e la pianificazione dei progetti specifici.

Mappatura del patrimonio hardware e software legacy

Valutazione delle infrastrutture di rete e data center (on-premise vs cloud)

Valutazione delle infrastrutture di rete e data center (on-premise vs cloud)

Per la redazione del piano ICT triennale, la scelta tra infrastrutture on-premise e soluzioni cloud è strategica per gli enti locali. Un’analisi attenta bilancia costi, flessibilità e compliance normativa.

Infrastrutture On-premise
Vantaggi: Controllo diretto su dati e sicurezza, adatto a enti con elevati requisiti di privacy o vincoli tecnici specifici. Rappresenta una soluzione matura per carichi di lavoro stabili.

Cloud Computing
Vantaggi: Scalabilità immediata, paghi-per-utilizzo e aggiornamenti automatici. Riduce l’hardware interno e supporta il lavoro agile. Attenzione ai costi di migrazione e alla gestione dei fornitori (vendor lock-in).

Modello Ibrido
La scelta più comune: dati sensibili on-premise, servizi pubblici in cloud. Ottimizza costi e flessibilità, ma richiede competenze per la gestione integrata.

Checklist per la Valutazione

• Budget: Calcola il TCO (Total Cost of Ownership) su 3 anni per entrambi i modelli.
• Requisiti Normativi: Verifica il rispetto del GDPR e delle linee guida NIS2 per la sicurezza dei dati.
• Performance: Valuta la banda di rete e la latenza necessaria per le applicazioni critiche.
• Disponibilità: Definisci il livello di servizio (SLA) richiesto per garantire la continuità operativa.

Questa valutazione informerà le decisioni di investimento per i prossimi tre anni.

Analisi dei processi amministrativi: dove il digitale manca o è inefficiente

L’analisi dei processi amministrativi è il punto di partenza obbligato per redigere un piano ICT efficace per il proprio Comune. Spesso, la digitalizzazione è solo superficiale: si è passati da protocollo cartaceo a digitale, ma i flussi di lavoro interni rimangono analoghi a vent’anni fa.

È fondamentale interrogarsi su dove il digitale manca o è inefficiente. I campanelli d’allarme tipici sono:

• Compresenza di dati: le stesse informazioni vengono reinserite manualmente in più software (anagrafe, tesoreria, ragioneria) senza integrazione automatica.
• Workflow bloccati: pratiche che rimangono in attesa di timbri fisici o firme cartacee, nonostante l’uso di strumenti digitali.
• Archiviazione disorganizzata: file sparsi su folder di rete locali o PC singoli, senza una struttura digitale sicura e consultabile.

Identificare questi colli di bottiglia è il primo passo per costruire una strategia di digitalizzazione che semplifichi davvero il lavoro dei dipendenti e migliori il servizio ai cittadini.

Gap analysis di sicurezza e conformità normativa

Questa fase è cruciale per la compliance normativa e la riduzione dei rischi. L’obiettivo è individuare le lacune rispetto agli standard richiesti (es. ISO 27001, GDPR, NIS2, standard AgID).

Per una Gap Analysis efficace, esegui questi passaggi operativi:

• Valutazione dei Rischii: Analizza le minacce informatiche e le vulnerabilità dei sistemi attuali.
• Rilevamento Normativo: Verifica il livello di adempimento ai requisiti di legge (privacy, sicurezza, accessibilità).
• Catalogazione: Mappa i processi e le infrastrutture critiche (es. portali cittadin*10, gestionali scolastici).
• Priorizzazione: Classifica i gap per impatto e urgenza.

Il report risultante costituisce la base per il piano di trattamento dei rischi e le azioni correttive.

CTA Soft (Mini-Assessment): Il tuo ente è conforme al NIS2? Scopri subito i requisiti essenziali con la nostra mini-checklist.

Step 2: Definizione della Vision e degli Obiettivi Strategici

Step 2: Definizione della Visione e degli Obiettivi Strategici

Terminata l’analisi preliminare ed acquisita la disponibilità dei dati per la valutazione dello stato dell’arte, la fase successiva nella redazione del piano triennale ICT per enti locali è quella di tradurre i requisiti normativi e le esigenze operative in una visione strategica chiara e in obiettivi misurabili. Molti Enti commettono l’errore di saltare questo passaggio, confondendo l’obiettivo tecnico (es. “aggiornare le workstation”) con l’obiettivo strategico (es. “rendere i servizi al cittadino accessibili al 100% da remoto”).

La visione non è solo un’esercitazione formale: è il faro che guiderà le scelte tecnologiche per i prossimi tre anni e determinerà la destinazione dei budget. Nel contesto degli Enti Locali, la visione deve rispondere a due soli fondamentali principi: migliorare l’efficienza interna (lato back-office) e aumentare la qualità della vita dei cittadini (lato servizi). Se uno dei due poli viene trascurato, il piano rischia di diventare un mero elenco di acquisti hardware o software.

Per definire una visione efficace, il team di progetto deve porsi tre domande fondamentali:

1. Come vogliamo che i cittadini interagiscano con il nostro Ente tra tre anni? (Esperienza utente, canali digitali, tempi di risposta).
2. Quali processi interni consumano più tempo e risorse oggi? (Punti critici, burocrazia, ridondanze).
3. Quali rischi tecnologici non possiamo più permetterci di ignorare? (Sicurezza, discontinuità dei servizi, conformità normativa).

Dal brainstorming iniziale si passa poi alla definizione degli Obiettivi Strategici. Consigliamo di adottare il framework SMART (Specific, Measurable, Achievable, Relevant, Time-bound), ma adattato al ciclo di vita di un progetto ICT: l’obiettivo deve essere realistico nel triennio e deve poter essere verificato in fasi intermedie.

Un punto critico nella redazione del piano triennale ICT per enti locali è la gestione del gap tra obiettivi di business e budget disponibile. Spesso la visione ambisce alla trasformazione totale, ma i fondi sono limitati. È fondamentale istituire un Prioritization Framework (matrice di priorità) che classifichi gli obiettivi su due assi: impatto operativo vs. complessità tecnica/rischio.

Per facilitare questo processo, proponiamo una checklist operativa per la definizione degli obiettivi strategici:

1. Principio di Economia: Ogni obiettivo deve prevedere la massimizzazione del valore degli investimenti esistenti (sunk cost). Evitare, se possibile, lo “strappo” tecnologico totale a favore di approcci di integrazione graduale.
2. Principio di Conformità Normativa: Gli obiettivi devono integrare esplicitamente i vincoli di cui al D.Lgs. 82/2005 (Codice dell’Amministrazione Digitale) e alle successive integrazioni (es. accessibilità, trasparenza, protezione dati).
3. Principio di Scalabilità: Le soluzioni progettate devono essere in grado di crescere con l’Ente senza costi di sostituzione prematuri (modularità del sistema).
4. Principio di Open Data: Gli obiettivi devono favorire l’apertura dei dati (Open Data) come risorsa per la trasparenza e per lo sviluppo di ecosistemi digitali locali.

Una volta definiti gli obiettivi, è necessario mapparli sulle aree di intervento tipiche del piano triennale: infrastruttura, sicurezza, applicazioni verticali (es. Ufficio Tributi, Anagrafe), formazione e cambiamento organizzativo. Questa mappatura garantisce che nessun aspetto dell’ICT venga trascurato.

Consigliamo infine di sottoporre la bozza di Visione e Obiettivi Strategici a un comitato di revisione interno che includa, oltre al Responsabile ICT e al Direttore Generale, anche i responsabili delle funzioni amministrative critiche (es. Ragioneria, Affari Generali). Solo con un allineamento trasversale il piano triennale ICT diventerà un documento vivo, condiviso e attuabile, capace di generare valore reale per l’Ente e per la collettività.

A questo punto, la struttura strategica del piano è delineata e si può procedere alla successiva fase di analisi tecnologica dettagliata.

Allineamento con gli obiettivi della Strategia per la Digitalizzazione della PA

Allineamento con gli obiettivi della Strategia per la Digitalizzazione della PA

La redazione del piano triennale ICT non può prescindere dal confronto diretto con la Strategia per la Digitalizzazione della Pubblica Amministrazione. Questo documento nazionale non è solo un riferimento, ma la mappa che guida ogni investimento tecnologico verso obiettivi condivisi. Ignorarla significa rischiare progetti isolati e sprecare risorse.

Per un allineamento efficace, inizia mappando i punti di contatto tra le tue priorità locali e quelle nazionali. Ad esempio, se l’ente punta a semplificare i servizi al cittadino, deve collegarsi all’obiettivo strategico dell’interoperabilità dei sistemi e della data driven governance. Ogni iniziativa del tuo piano (dalla migrazione cloud alla sicurezza) deve essere inquadrata come un tassello di un disegno più ampio.

Consiglio operativo: Crea una tabella di tracciamento. Nella colonna sinistra elenca gli obiettivi della tua amministrazione, nella colonna destra i corrispondenti target della Strategia PA. Questo semplice esercizio garantisce coerenza e facilità nella comunicazione interna ed esterna (fondamentale per accedere a futuri finanziamenti).

Prioritizzazione delle iniziative: criteri e matrici di valutazione

Prioritizzazione delle iniziative: criteri e matrici di valutazione

Il Piano triennale ICT deve tradurre le tante possibili iniziative in una roadmap realistica, governata da criteri oggettivi. Senza priorità chiare, si rischia di disperdere risorse e di procrastinare progetti fondamentali. L’obiettivo è bilanciare urgenza, impatto e fattibilità per ottenere risultati rapidi e misurabili.

Step-by-step: come costruire la priorizzazione

1. Definire i criteri: Scegli 3-5 parametri misurabili. I più comuni sono: allineamento strategico (peso 30%), valore di business (20%), complessità tecnica (20%), rischio (15%), costi (15%).
2. Creare una matrice di valutazione: In un foglio Excel o Google Sheets, inserisci in colonna le iniziative proposte e in riga i criteri. Assegna un punteggio da 1 a 5 per ogni criterio (1=minimo, 5=massimo).
3. Ponderare i punteggi: Moltiplica il punteggio ottenuto per il peso del criterio e somma i risultati per ogni iniziativa. Questo darà un valore totale comparabile.
4. Tracciare la Matrice di Valutazione: Ordina le iniziative dal punteggio più alto al più basso. Le prime 3-5 propongono il core del piano.

Esempio pratico di criteri di valutazione

Per un ente locale, un progetto di digitalizzazione dei servizi al cittadino avrà punteggio alto su allineamento strategico e valore di business (migliora l’esperienza utente), ma medio-alto su complessità (richiede integrazione con sistemi legacy). Un upgrade infrastrutturale (server) avrà punteggio alto su rischio (se non fatto, si blocca tutto) ma basso su valore di business diretto.

Checklist operativa

• Usa una matrice 5×5 per una visualizzazione immediata: righe = iniziative, colonne = criteri.
• Condividi la matrice con il CdA e i direttori di settore: la trasparenza sui criteri riduce le resistenze.
• Revisita la matrice ogni 6 mesi: il contesto cambia e le priorità possono spostarsi.

Mini-assessment rapido (1 minuto)
Valuta l’attuale mappatura delle tue iniziative: i criteri sono espliciti e condivisi? Se non lo sono, rischi di subire scelte politiche o tecniche non supportate da dati. Scopri come implementare una valutazione strutturata.

Definizione di KPI e metriche di monitoraggio per il triennio

Definizione di KPI e metriche di monitoraggio per il triennio

Per misurare l’efficacia del Piano, definire KPI e metriche specifici, misurabili e allineati agli obiettivi strategici. Esempi pratici per enti locali:

• Disponibilità servizi digitali: target ≥99,5% su 12 mesi (minuti di downtime/anno).
• Tempi di risoluzione incidenti: SLA per servizi critici (es. raccolta rifiuti) entro 2h per priorità P1.
• Percentuale procedure digitalizzate: crescita del 15% annuo (es. da 60% a 90% in triennio).
• Qualità dati: riduzione errori anagrafici/istanze del 20% annuo tramite controlli automatizzati.
• Soddisfazione utenti: NPS ≥40 in triennio tramite survey semestrali.
• Costo per servizio digitale: riduzione del 10% triennale (TCO per servizio).
• Adozione formazione: >85% dipendenti formati su sicurezza ICT entro il primo anno.
• Energia/CO₂: riduzione del 5% annuo consumo server (efficienza green).

Per ogni KPI, specifica fonte dati (es. log, CRM, survey), frequenza di raccolta (mensile/semestrale) e responsabile del monitoraggio. Integra dashboard nel sistema di Business Intelligence per reportistica automatica trimestrale e revisione annuale.

Step 3: Progettazione dell’Architettura ICT di riferimento

Step 3: Progettazione dell’Architettura ICT di riferimento

Definire l’architettura ICT di riferimento è il ponte strategico tra la pianificazione dei bisogni (Step 1-2) e l’implementazione pratica (Step 4). Non si tratta di un mero diagramma tecnico, ma della traduzione operativa delle politiche digitali in componenti, flussi e standards condivisi, garanti di sicurezza, interoperabilità e sostenibilità. Per un ente locale, questo passaggio è critico: l’architettura deve essere robusta abbastanza per gestire dati sensibili e servizi pubblici essenziali, ma anche flessibile per adattarsi ai cambiamenti normativi e tecnologici.

Un’architettura ICT ben progettata riduce i costi operativi, mitiga i rischi di silos informativi e abilita l’innovazione. In questa guida step-by-step, ti mostriamo come strutturare un’architettura di riferimento solida, allineata alle normative NIS2 e ISO 27001, e pronta per il futuro.

3.1 I pilastri fondamentali dell’architettura

Ogni architettura ICT di riferimento per un ente locale si regge su cinque pilastri interconnessi. Immaginali come le fondamenta di un edificio: se uno manca, la struttura rischia crolli.

• Infrastruttura e Computatione: Il cuore fisico e virtuale (data center, server, cloud, reti). Deve garantire alta disponibilità e scalabilità.
• Gestione Dati e Applicazioni: Il layer logico che ospita database, ERP, applicativi gestionali e piattaforme citizen-facing. Deve essere standardizzato e integrabile.
• Sicurezza e Compliance: Lo strato trasversale che protegge asset, utenti e flussi. Deve essere “by design” e in linea con NIS2 e GDPR.
• Identità e Access Management (IAM): La governance su chi accede a cosa. Fondamentale per il principio del minimo privilegio.
• Interoperabilità e Integrazione: I ponti (API, ESB) che collegano sistemi interni ed esterni (PA, fornitori). Garantiscono che i dati fluiscano in sicurezza.

Un errore comune è progettare questi pilastri in modo isolato. Esempio: introdurre un nuovo software gestionale senza considerare l’impatto sulla sicurezza delle identità o sui requisiti di interoperabilità con il Registro Unico del Pubblico Impiego (RUP). Un approccio integrato evita questi gap.

3.2 Analisi dello stato attuale (as-is) e gap analysis

Prima di disegnare il futuro, fotografa il presente. Questa fase è cruciale per evitare investimenti inutili o sovrapposizioni.

1. Inventario hardware/software: Mappa server, workstation, dispositivi di rete, licenze software e applicativi in uso. Usa strumenti di discovery automatizzati dove possibile.
2. Valutazione maturità digitale: Usa la matrice dell’AgID per valutare lo stato dei servizi digitali (es. erogazione telematica, piattaforme di citizen engagement).
3. Gap analysis normativa: Verifica il gap rispetto a NIS2 (soprattutto per enti classificati come “altri critici” o “fondamentali”) e ISO 27001 (per la sicurezza informatica). Un ente che gestisce dati sanitari o anagrafici è sotto il perimetro NIS2 e deve pianificare la certificazione.
4. Analisi dei costi correnti: Calcola il TCO (Total Cost of Ownership) attuale, inclusi costi nascosti (manutenzione, downtime, inefficienze).

Il risultato di questa fase è un report di analisi che evidenzia criticità, opportunità di ottimizzazione e vincoli (es. banda larga insufficiente per i comuni rurali).

3.3 Definizione del target architetturale (to-be)

Sulla base dell’analisi as-is e delle strategie definite nello Step 2, definisci il modello target. Questo non è un disegno statico, ma una roadmap evolutiva su 3 anni.

Scelta Cloud vs. On-Premise vs. Ibrido:
Per la maggior parte degli enti locali, l’adozione di soluzioni cloud (soprattutto SaaS per applicativi standard come ERP, PEC, posta elettronica) è la scelta più efficiente. Tuttavia, dati altamente sensibili (es. archivi anagrafici storici) potrebbero richiedere soluzioni on-premise o cloud privato. Valuta:

• Compliance: Il provider cloud garantisce certificazioni ISO 27001, SOC 2 e risiede dati in UE?
• Vendor Lock-in: Preferisci standard aperti per evitare dipendenze eccessive da un singolo fornitore.
• Resilienza: Il piano di disaster recovery (DR) è incluso? Quali sono gli SLA (Service Level Agreement) garantiti?

Architettura di Rete (SD-WAN):
Per gli enti con più sedi (es. comandi di polizia municipale, uffici decentrati), l’adozione di una soluzione SD-WAN (Software-Defined Wide Area Network) permette di gestire la connettività in modo centralizzato, ottimizzando i costi e garantendo la priorità ai servizi critici (es. VoIP, ERP) rispetto al traffico non urgente.

Standard e Interoperabilità:
Ogni nuovo componente deve aderire agli standard tecnici dell’AgID (Agenzia per l’Italia Digitale). In particolare:

• Cloud: Utilizzo di API standard (RESTful, JSON) per l’integrazione.
• Identità: SSO (Single Sign-On) basato su protocolli SAML o OIDC, integrato con SPID/CIE.
• Dati: Formati aperti (XML, JSON) per lo scambio, in linea con il Codice dell’Amministrazione Digitale (CAD).

3.4 Progettazione dettagliata dei componenti

Passiamo alla progettazione tecnica. Dividiamo l’architettura in sotto-moduli per chiarezza.

3.4.1 Layer di Infrastruttura

Data Center & Cloud:
Se l’ente mantiene un data center locale, progetta la virtualizzazione (es. VMware, Hyper-V) per massimizzare l’uso delle risorse. Per i nuovi carichi di lavoro, pianifica la migrazione verso cloud pubblici (Azure, AWS, GCP) o provider italiani certificati AgID. L’obiettivo è ridurre la dispersione energetica e i costi hardware.

Backup e Disaster Recovery (DR):
Implementa la regola 3-2-1: 3 copie dei dati, su 2 supporti diversi, di cui 1 off-site. Per i dati critici, valuta soluzioni di backup incrementale e snapshot orari. Il piano DR deve prevedere tempi di ripristino (RTO) e punti di ripristino (RPO) definiti per ogni servizio (es. RTO < 4 ore per l'anagrafe).

3.4.2 Layer di Sicurezza (Progettazione per Design)

La sicurezza non è un layer aggiuntivo, ma trasversale. In ottica NIS2, è fondamentale documentare la mappa dei rischi e le contromisure.

• Perimeter Defense & Network Segmentation: Firewalls di nuova generazione (NGFW) per ispezionare il traffico. Segmentazione della rete: le reti dei dipendenti, quelle dei dispositivi IoT (es. camere di sicurezza) e quelle dei server devono essere isolate. Un breach in un’area non deve compromettere l’intera infrastruttura.
• Endpoint Security: EDR (Endpoint Detection and Response) su tutti i dispositivi (PC, smartphone). Blocco di USB e dispositivi non autorizzati. Patch management automatizzato.
• SIEM & SOC: Implementare un Security Information and Event Management (SIEM) per raccogliere log da tutte le fonti (reti, server, app) e un Security Operations Center (SOC) per l’analisi delle minacce. Per piccoli enti, si può valutare un SOC gestito in outsourcing.
• Identity & Access Management (IAM): Politiche di password complesse, MFA (Multi-Factor Authentication) obbligatoria per l’accesso ai sistemi critici e per gli amministratori di sistema. Gestione del ciclo vita delle identità (onboarding/offboarding).

Esempio pratico: Per l’accesso al sistema gestionale della Ragioneria, oltre alla password e al PIN, il responsabile deve usare un token hardware o un’app di autenticazione. In caso di tentativo di accesso anomalo, il sistema blocca l’utente e notifica il SOC.

3.4.3 Layer di Dati e Applicazioni

Integrazione (ESB/API Gateway):
L’ente tipico ha ERP, gestionale protocollo, piattaforma dematerializzazione, sistemi di payment. Evitare connessioni punto-a-punto (spaghetti architecture). Utilizzare un Enterprise Service Bus (ESB) o un API Gateway per centralizzare le comunicazioni. Questo facilita la manutenzione e la tracciabilità.

Database:
Scegliere soluzioni adatte: SQL per dati strutturati (anagrafi, inventari), NoSQL per dati non strutturati o log. Garantire la crittografia a riposo (at rest) e in transito (in transit).

3.4.4 Layer di Governance e Controllo

Documentazione Architetturale:
Usa notazioni standard (es. ArchiMate o visio semplificato) per disegnare schemi di rete, diagrammi di flusso dati e matrici di dipendenza. Mantieni un “Architectural Decision Record” (ADR) per tracciare le scelte tecnologiche e le motivazioni.

SLA e Monitoraggio:
Definisci metriche di prestazione (KPI) per ogni servizio (es. uptime > 99.5%, tempo di risposta < 2 sec). Implementa tool di monitoraggio (es. Nagios, Zabbix o soluzioni cloud) per alert proattivi.

3.5 Mappatura delle minacce e gestione del rischio

Prima di approvare l’architettura, esegui una Threat Modeling (es. con metodo STRIDE). Identifica:

• Minacce: Phishing, ransomware, insider threat, guasti hardware, interruzioni di rete.
• Vulnerabilità: Sistemi non patchati, password deboli, mancanza di segmentazione.
• Contromisure: Firewall, antivirus, backup, formazione utenti, redundanza.

Per ogni rischio, calcola il punteggio (Likelihood x Impact) e priorità l’implementazione delle contromisure. Questo documento è essenziale per la compliance NIS2 e per il “Risk Assessment” obbligatorio.

3.6 Piano di migrazione e validazione

L’architettura non si implementa “Big Bang”. È necessario un piano di migrazione graduale.

1. Fase 1 (Mesi 1-6): Fondamenta. Migrazione della posta elettronica e dei file server su cloud. Implementazione basics di sicurezza (MFA, EDR). Migrazione della rete verso SD-WAN.
2. Fase 2 (Mesi 7-18): Cuore applicativo. Sostituzione del vecchio ERP o migrazione verso una versione SaaS. Integrazione via API Gateway.
3. Fase 3 (Mesi 19-36): Ottimizzazione e innovazione. Implementazione di Data Analytics, IoT per smart city, e automazione dei processi (RPA).

Validazione: Ogni fase deve essere validata tramite Penetration Testing (per la sicurezza) e User Acceptance Testing (UAT) da parte degli utenti finali.

Errori comuni da evitare

• Ignorare il legacy: Non pianificare la dismissione dei sistemi obsoleti porta a costi di manutenzione esorbitanti e vulnerabilità.
• Sottovalutare il fattore umano: Un’architettura complessa senza formazione adeguata del personale fallisce. Prevedi budget per la cybersecurity awareness.
• Mancanza di standard: Introdurre tecnologie eterogenee senza un governance chiara porta al caos gestionale.

Conclusioni dello Step 3

Progettare l’architettura ICT di riferimento è un atto di leadership strategica. Definisce il “come” si raggiungeranno gli obiettivi digitali, bilanciando sicurezza, efficienza e innovazione. Un’architettura solida non è un costo, ma un investimento che riduce il rischio operativo e abilita servizi pubblici di qualità.

Con l’architettura definita, sei pronto per passare allo Step 4: Selezione Tecnologica e Pianificazione degli Investimenti, dove tradurrai gli schemi in bandi, requisiti tecnici e preventivi.

Cloud Strategy: Public, Private o Hybrida? Decisioni e governance

Cloud Strategy: Public, Private o Hybrida? Decisioni e governance

La scelta dell’architettura cloud costituisce un pilastro centrale della tua infrastruttura ICT. Per un ente pubblico, l’opzione non è solo tecnica, ma legata a norme di sicurezza, riservatezza dei dati e continuità operativa. Analizziamo tre modelli: Public, Private e Ibrido, con focus su governance.

1. Cloud Public

Sfrutta servizi su infrastruttura condivisa (es. AWS, Azure, Google Cloud). È scalabile e spesso più economico, ma richiede attenzione alla data sovereignty. È preferibile per dati non sensibili o per ambienti di sviluppo/test. La governance deve garantire la conformità al Regolamento UE 2021/838 e alle linee guida AgID.

2. Cloud Private

Infrastruttura dedicata (on-premise o in data center certificati). Massimo controllo e sicurezza, ideale per dati altamente sensibili (es. anagrafici, sanitari). Costi di gestione più elevati e scalabilità limitata. La governance si focalizza sulle procedure di audit, accesso e disaster recovery.

3. Cloud Ibrido

Combinazione dei due modelli. Carichi di lavoro non critici vanno in Public, quelli critici in Private. Offre flessibilità, ma complica la governance. È necessaria un’orchestrazione unificata e policy coerenti per evitare “shadow IT”.

Checklist decisionale

• Analisi del livello di criticità dei dati (Classificazione)
• Valutazione requisiti di compliance (GDPR, NIS2, AgID)
• Definizione della roadmap di migrazione e revert
• Individuazione del responsabile della sicurezza del cloud (Cloud Security Officer)

Prossimo passo: definisci i criteri di valutazione fornitori e i requisiti contrattuali. Richiedi una demo per simulare scenari di migrazione.

Data Center e connettività: upgrade infrastrutturale e ridondanza

Data Center e connettività: upgrade infrastrutturale e ridondanza

La resilienza operativa del sistema informativo comunale è garantita da un’infrastruttura robusta che deve essere progettata per resistere a guasti e picchi di carico. La ridondanza è un requisito non negoziabile per evitare interruzioni dei servizi essenziali ai cittadini e alla PA.

Valuta un’architettura ibrida o multi-cloud per distribuire i carichi di lavoro e mitigare i rischi di vendor lock-in. È fondamentale assicurare la continuità del servizio attraverso l’implementazione di un piano di Disaster Recovery (DR) testato periodicamente, con tempi di ripristino (RTO) e punti di ripristino (RPO) allineati ai requisiti di business dell’ente.

Checklist operativa:

• Audit dell’attuale infrastruttura: Mappatura server, storage, reti e connessioni. Identificare i single point of failure.
• Definizione dei requisiti di Business Continuity: Stabilire RTO e RPO per ogni servizio critico (es. anagrafe, pagamenti).
• Progettazione della ridondanza: Valutare la duplicazione dei server, l’uso di storage a replica sincrona e connessioni internet multiple (diversi operatori e/o tecnologie).
• Creazione del piano di Disaster Recovery (DR): Documentare procedure, responsabili e risorse necessarie per il ripristino in caso di emergenza.
• Test e validazione: Eseguire esercitazioni semestrali per verificare l’effettiva efficacia del piano di DR.

Se la tua amministrazione deve pianificare l’upgrade della propria infrastruttura, possiamo supportarti nella valutazione e nel progetto tecnico. Richiedi una call di 15 minuti con i nostri esperti IT per una valutazione preliminare gratuita del tuo parco macchine e connettività.

Sistemi Operativi, Database e piattaforme comuni

Sistemi Operativi, Database e piattaforme comuni

La standardizzazione tecnologica è un pilastro del piano triennale ICT. Per le PA, l’adozione di sistemi operativi, database e piattaforme comuni riduce i costi di licenza, semplifica la manutenzione e garantisce l’interoperabilità tra servizi. L’obiettivo è evitare il proliferare di soluzioni eterogenee, fonte di inefficienze e vulnerabilità.

Selezione degli Sistemi Operativi: Valutare l’adozione di distribuzioni Linux open-source (es. Debian, Ubuntu Server) per i server, riducendo i costi di licenza. Per i desktop, pianificare la migrazione verso ambienti standardizzati (Windows 10/11 o Linux desktop), integrando strumenti di gestione centralizzata (es. Microsoft Intune o soluzioni open-source come Ansible). Assicurare la compatibilità con gli applicativi critici in uso.

Scelta del Database Management System (DBMS): Ottimizzare la governance dei dati con piattaforme consolidate. PostgreSQL è la scelta open-source più robusta per database relazionali (costo zero per licenza, elevata sicurezza). Per gestioni più semplici o applicazioni web, MariaDB è una validà alternativa a MySQL. È fondamentale pianificare il backup automatico, la ridondanza e l’aggiornamento delle versioni nel ciclo di vita del software.

Adozione di Piattaforme Comuni: Promuovere l’uso di suite condivise per aumentare l’efficienza e la collaborazione. Microsoft 365 (o alternative come Google Workspace) per produttività e posta elettronica; piattaforme ERP/CRM open-source (es. Odoo, SuiteCRM) per gestione integrata di amministrazione e servizi al cittadino. Questa standardizzazione agevola la formazione del personale e la manutenzione.

Pronto a definire nel dettaglio questi componenti per la tua PA? Richiedi una consulenza per redigere il tuo piano tecnologico: il nostro team di esperti ICT analizzerà il tuo contesto e proporrà soluzioni su misura.

Richiedi una consulenza gratuita

Virtualizzazione e Containerizzazione: scenari evolutivi

Virtualizzazione e Containerizzazione: scenari evolutivi

Il percorso di maturazione digitale di un Ente Locale parte dalla virtualizzazione dei server fisici (VMware/Hyper-V) per garantire continuità operativa e ridurre costi hardware. La fase evolutiva successiva, operativa già nel triennio, è la containerizzazione (Docker, Kubernetes) per i nuovi sviluppi applicativi. Questa transizione permette di isolare microservizi, rendendo aggiornamenti e manutenzioni rapidi e senza downtime, cruciali per servizi online a cittadinanza.

Scenario A (Stabile): Mantieni il parco macchine virtualizzato, ideale per applicativi legacy. Scenario B (Innovativo): Introduci i container per le nuove funzioni (es. portali trasparenti, app cittadino). I due approcci coesistono: il cloud ibrido. Per l’Ente, la scelta tecnologica impatta su sicurezza, costi di gestione e competenze interne. Definire chiaramente chi gestirà l’orchestrazione (internamente o in outsourcing) è un passo obbligato per evitare il gap tecnico.

Sviluppo e integrazione applicativa: modelli e standard aperti

Per la redazione del piano triennale ICT per enti locali, la sottosezione Sviluppo e integrazione applicativa: modelli e standard aperti richiede un approccio strategico. È fondamentale adottare architetture modulari, basate su API RESTful e standard aperti (come JSON e XML) per garantire interoperabilità e futura scalabilità. Utilizzare metodologie agili (Scrum/Kanban) per lo sviluppo incrementale, integrando sistemi legacy attraverso middleware leggero. Questo approccio riduce i costi di manutenzione e facilita l’integrazione con servizi cloud e piattaforme di terze parti, in linea con il PNRR.

Pronto a definire le specifiche tecniche del tuo piano? Parla con i nostri esperti per una valutazione gratuita.

Step 4: Cybersecurity e Protezione dei Dati (Privacy by Design)

Step 4: Cybersecurity e Protezione dei Dati (Privacy by Design)

L’approccio Privacy by Design non è più una scelta, ma un imperativo normativo. Per gli enti locali, integrare la sicurezza informatica nella progettazione dei processi digitali significa mettere in sicurezza il patrimonio informativo (che include dati personali, catastali, sanitari) e garantire la continuità operativa, come richiesto da NIS2 e GDPR. La fase di redazione del piano triennale ICT deve tradurre questo principio in azioni concrete, tecnologie e procedure.

Questa sezione guida la redazione di un capitolo fondamentale del piano: Cybersecurity e Protezione dei Dati. L’obiettivo non è solo tecnico, ma strategico: integrare la sicurezza nel DNA dell’ente, proteggendo i cittadini e garantendo la resilienza operativa per trasformare l’ente pubblico in una organizzazione digitale sicura.

🔍 Valuta il tuo livello di sicurezza attuale

Prima di disegnare il nuovo piano, è essenziale capire da dove parti. Scarica la Checklist di Autovalutazione NIS2 e GDPR per identificare rapidamente gap critici e priorità operative.

Scarica la Checklist (PDF)

1. Analisi dei Rischi e Quadro Normativo di Riferimento

Ogni piano di sicurezza parte da un’analisi dei rischi che consideri sia le minacce informatiche (cyber attack, malware, data breach) sia i requisiti di compliance normativa. Per un ente locale, il quadro è complesso e sovrapposto:

• GDPR (Reg. UE 679/2016): Obblighi di sicurezza dei dati personali (art. 32), notifica violazioni (art. 33-34), DPIA (Valutazione d’Impatto sulla Protezione dei Dati).
• NIS2 (Direttiva UE 2022/2555 – recepita con D.Lgs. 138/2024): Obblighi di sicurezza informatica per “Enti Essenziali” (gli enti locali sono inclusi). Richiede misure tecniche, organizzative e procedurali specifiche, inclusa la notifica di incidenti significativi entro 24h.
• Regolamento eIDAS 2.0 (Reg. UE 910/2014): Sicurezza nell’identità digitale e firma elettronica.
• Codice dell’Amministrazione Digitale (D.Lgs. 82/2005 e s.m.i.): Linee guida per la gestione sicura dei sistemi informativi pubblici.

Passaggi operativi per la redazione del piano:

1. Mapping dei beni informativi: Classifica i dati per criticità (es. dati anagrafici, sanitari, economici, catastali) e identifica i sistemi che li trattano.
2. Valutazione del Rischio (Risk Assessment): Utilizza metodologie standard (es. NIST Cybersecurity Framework, ISO 27001) per valutare probabilità e impatto delle minacce.
3. DPIA obbligatoria: Per ogni nuovo progetto ICT che tratta dati sensibili o su larga scala, pianifica la redazione del DPIA. La DPIA deve essere integrata nel ciclo di vita del progetto, non una mera formalità post-progettazione.
4. Adozione di una Policy di Sicurezza Informatica: Definisci regole chiare per l’uso di dispositivi (BYOD), password, accessi fisici e logici, e gestione dei vendor.

Pro-Tip: Per semplificare l’analisi, crea una matrice Rischio vs Impatto. I sistemi con dati ad alto impatto (es. Registro di Anagrafe) e rischio medio-alto richiederanno controlli “sostitutivi” (es. autenticazione a due fattori obbligatoria, cifratura end-to-end, backup criptati e off-site).

2. Misure Tecniche e Tecnologiche (Privacy by Design)

Il piano deve elencare specifiche tecnologiche che implementano il Privacy by Design. Non si tratta solo di firewall, ma di architettura.

A. Gestione delle Identità e degli Accessi (IAM)

Il principio del minimo privilegio è fondamentale. Nessun utente o sistema deve avere accessi più ampi del necessario.

• Autenticazione Multi-Fattore (MFA): Obbligatoria per tutti gli accessi remoti (VPN, Portali cittadini) e per gli amministratori di sistema (come richiesto da NIS2 per gli enti essenziali). Implementare MFA robusta (es. app OTP o hardware token) e non solo SMS.
• Single Sign-On (SSO) integrato con l’Identità Digitale SPID/CIE: Semplifica l’accesso per i cittadini e riduce la superficie di attacco evitando password deboli su più servizi.
• Account privilegiati: Monitoraggio rigoroso degli accessi degli amministratori (Just-In-Time Access).

🚀 L’entità dei tuoi dati richiede protezione avanzata?

Se gestisci dati sensibili (sanitari, giudiziari) o operi in un contesto critico, l’MFA standard potrebbe non bastare. Verifica la tua postura di sicurezza con una valutazione mirata.

Prenota un Audit di Sicurezza (15 min)

B. Rete, Perimetri e Criptazione

La sicurezza di rete deve essere proattiva e segmentata.

• Segmentazione di rete (Micro-segmentation): Isola i sistemi critici (es. server di anagrafe) dalla rete generale. Una violazione sul web server non deve propagarsi al database centrale.
• Cifratura dei dati:
  • In transit: Protocolli TLS 1.3 per siti web, VPN crittografate (IPsec o WireGuard) per connessioni remote.
  • At rest: Cifratura dei database (es. TDE – Transparent Data Encryption) e dei backup. Le chiavi di cifratura devono essere gestite in modo sicuro (HSM o Key Management Services), non in chiaro.
• Web Application Firewall (WAF) e DDoS Protection: Indispensabile per i portali servizi online esposti a Internet, per prevenire attacchi di iniezione (SQL injection, XSS) e mitigare attacchi di congestione.
• Security Information and Event Management (SIEM): Strumento centrale per la raccolta e correlazione dei log di sicurezza (server, firewall, applicazioni) per identificare anomalie in tempo reale. NIS2 richiede capacità di rilevamento tempestivo.

C. Gestione dei Backup e Disaster Recovery

La sicurezza non è solo prevenzione, ma anche capacità di recupero. NIS2 impone procedure di Business Continuity e Disaster Recovery (BC/DR).

• Regola 3-2-1: 3 copie dei dati, su 2 supporti diversi, 1 copia off-site (remota e disconnessa).
• Backup Immutabili: Utilizzare tecnologie che impediscono la modifica o la cancellazione dei backup per un periodo definito (protezione contro Ransomware).
• Test di Ripristino: Pianificare test periodici (almeno semestrali) per verificare l’integrità dei dati e i tempi di RTO (Recovery Time Objective) e RPO (Recovery Point Objective).

3. Governance, Processi e Formazione

La tecnologia da sola non basta. Il piano triennale deve prevedere risorse umane e processi.

A. Ruoli e Responsabilità

• Data Protection Officer (DPO): Figura obbligatoria (GDPR). Deve essere coinvolto nella progettazione dei nuovi sistemi.
• Responsabile della Sicurezza Informatica (CISO): Figura chiave (consigliata/obbligatoria per enti di una certa dimensione sotto NIS2) con compiti di supervisione tecnica e gestione incidenti.
• Comitato di Sicurezza: Organo interno (o collegato alla Commissione ICT) che valuta rischi, approva policy e gestisce crisi.

B. Incident Management e Notifiche

Il piano deve includere un Piano di Risposta agli Incidenti (IRP):

• Definizione di “Incidente Significativo” (secondo criteri NIS2): Qualsiasi evento che comprometta la continuità dei servizi essenziali o la riservatezza/integrità dei dati.
• Tempi di notifica: Entro 24 ore dalla consapevolezza per una notifica preliminare a ACN (Agenzia per la Cybersicurezza Nazionale) e ANAC; entro 72 ore per la notifica completa. Il piano deve definire esattamente chi prende la decisione e come si compila il modulo.
• Simulazioni (Table-top exercises): Pianificare esercitazioni annuali con il team di crisi per testare la reazione.

C. Formazione e Consapevolezza

Il fattore umano è il vettore d’attacco più comune (Phishing). Il piano triennale deve prevedere:

• Corsi obbligatori per tutti i dipendenti: Sicurezza informatica base, Protezione dati, Uso consapevole dei sistemi.
• Formazione specifica per figure apicali e tecnici: Normativa NIS2, gestione crisi, cifratura.
• Simulazioni di Phishing periodiche per misurare l’efficacia della formazione.

Nota Normativa: Gli enti locali “Essenziali” (NIS2) devono garantire che i fornitori critici (cloud, data center) rispettino standard di sicurezza equivalenti. Verificare i contratti di SLA (Service Level Agreement) e chiedere certificazioni (ISO 27001, SOC 2).

4. Mappatura degli Interventi nel Piano Triennale

Tradurre i requisiti in progetti concreti. Ecco un esempio di come inserire la cybersecurity nel cronoprogramma:

Audit certificato (Accreditato)

Anno	Intervento Chiave	Obiettivo / Compliance	Tecnologia / Tool suggerito
Anno 1	Valutazione Gap & DPIA	Baseline sicurezza, Identificazione rischi (GDPR/NIS2)	Framework NIST, Tool di mappatura risorse
Anno 1	Implementazione MFA obbligatoria	Riduzione accessi non autorizzati	Soluzione IAM (Okta, Microsoft Entra ID)
Anno 2	SIEM & SOC (Security Operations Center)	Monitoraggio proattivo e rilevamento tempestivo	SIEM (es. Splunk, Elastic, soluzioni cloud native)
Anno 2	Backup Immutabili e Test DR	Resilienza contro Ransomware (NIS2)	Storage con immutabilità (es. AWS S3 Object Lock)
Anno 3	Formazione avanzata & Simulazioni	Security Culture e riduzione errori umani	Piattaforme LMS + Tool di Phishing Simulation
Anno 3	Audit di conformità esterno	Verifica terza parte su ISO 27001 / NIS2

🛡️ Vuoi un Piano ICT Sicuro e Conforme?

Redigere un piano triennale che soddisfi i requisiti NIS2 e GDPR non è semplice. Richiedi una consulenza specializzata per trasformare gli obblighi normativi in un piano d’azione concreto e fattibile.

• ✅ Analisi gap normativi (NIS2/GDPR)
• ✅ Definizione budget e roadmap tecnologica
• ✅ Supporto nella redazione del DPIA e Policy

Richiedi un Preventivo per la Redazione del Piano

Checklist di Sintesi: Domande da porsi nello Step 4

Prima di chiudere questa sezione del piano, rispondi a queste domande critiche:

• Abbiamo identificato tutti i sistemi che trattano dati personali sensibili?
• Il nostro piano di disaster recovery garantisce il ripristino entro tempi accettabili?
• Il personale ha ricevuto formazione aggiornata sugli ultimi requisiti NIS2?
• Abbiamo un processo chiaro per la notifica di incidenti entro 24h?
• I nostri fornitori critici sono conformi agli standard di sicurezza richiesti?

Integrando la cybersecurity come “by design” nel tuo piano triennale ICT, non solo mitighi i rischi (multe fino al 2% del fatturato globale per NIS2), ma costruisci la fiducia dei cittadini verso i servizi digitali del tuo ente.

← Step Precedente: Interoperabilità
Step Successivo: Formazione e Change Management →

Risk Assessment e gestione del rischio: metodologia e strumenti

Risk Assessment e gestione del rischio: metodologia e strumenti

Il risk assessment (valutazione del rischio) è il processo sistematico di identificazione, analisi e valutazione dei rischi informatici che possono minacciare gli obiettivi dell’ente. Per una redazione efficace del piano triennale, è fondamentale adottare una metodologia strutturata.

Metodologia consigliata:

• Identificazione delle minacce: Mappare tutti i beni digitali (server, database, applicazioni) e le vulnerabilità associate (es. configurazioni errate, mancanza di aggiornamenti).
• Analisi dell’impatto e probabilità: Valutare la gravità di un potenziale incidente (es. perdita dati, interruzione servizi) e la sua probabilità di accadere. Si utilizzano spesso matrici di rischio (basso, medio, alto).
• Valutazione e prioritàzione: Determinare i rischi accettabili, da mitigare urgentemente o da trasferire (es. assicurazione cyber).

Strumenti pratici:

• MATRICE RISCHI: Tabella Excel o software dedicato (es. GRC) per tracciare rischio, impatto, probabilità e contromisure.
• Framework di riferimento: ISO 27005 o NIST SP 800-30 per standardizzare il linguaggio e il processo.
• Checklist di conformità: Verifica allineamento con GDPR e NIS2 (per gli enti critici).

Action: Scegli lo strumento più adatto alla complessità del tuo ente. Per una valutazione rapida, scarica la nostra Checklist Risk Assessment enti locali (Word/Excel).

Piano di continuità operativa e Disaster Recovery (BC/DR)

BC/DR: mettere al riparo i servizi essenziali

Il Piano di continuità operativa e Disaster Recovery (BC/DR) garantisce che i servizi cittadini non si interrompano, anche in caso di guasti gravi o attacchi informatici. Per gli enti locali, non è un optional ma un obbligo normativo (d.lgs. 82/2005 e successive integrazioni).

Step operativi

• Identificazione dei processi critici: mappare i servizi (anagrafe, stato civile, pagamenti) e classificarli in base a RTO (Recovery Time Objective) e RPO (Recovery Point Objective). Ad esempio, l’anagrafe richiede un RTO < 2 ore e RPO quasi zero.
• Valutazione dei rischi: incendio, guasto hardware, ransomware, outage elettrico. Valutare l’impatto su dati, personale e cittadini.
• Definizione delle strategie di recovery: scegliere tra backup su cloud crittografato, replica in sito secondario o soluzioni ibride. Definire chi avvia la procedura e chi la verifica.
• Documentazione del piano: creare un documento chiaro con checklist, ruoli e contatti di emergenza. Inserire procedure step-by-step per il ripristino dei sistemi e per la comunicazione agli utenti.
• Test e manutenzione: eseguire almeno due simulazioni l’anno (es. restore da backup, failover) e aggiornare il piano almeno una volta l’anno.

Consiglio pratico: non affidarti solo al backup. Verifica regolarmente che i dati siano effettivamente recuperabili. Una cassetta degli attrezzi senza chiavi è inutile: analogamente, un backup senza test di restore è un’illusione di sicurezza.

Call to action: Se vuoi un piano BC/DR allineato alle best practice e personalizzato per la tua amministrazione, contatta Culture Digitali Srl per una consulenza dedicata.

Mappatura dei trattamenti e DPIA per i servizi al cittadino

Mappatura dei trattamenti e DPIA per i servizi al cittadino

Nella fase di definizione del Piano Triennale ICT, la mappatura dei trattamenti di dati personali è fondamentale per identificare i rischi. Per i servizi al cittadino (es. anagrafe, concorsi, pagamenti), è essenziale censire ogni operazione che coinvolge dati sensibili.

• Identifica titolare, responsabili e finalità del trattamento.
• Valuta la base giuridica (es. obbligo di legge, consenso).
• Mappa i flussi di dati tra sistemi interni ed esterni.

Se il trattamento presenta rischi elevati per i diritti e le libertà degli interessati (es. accesso massivo, dati sanitari), è obbligatorio effettuare una DPIA (Valutazione di Impatto sulla Protezione dei Dati). Integrare questi risultati nel Piano ICT garantisce compliance normativa e una progettazione sicura dei nuovi servizi digitali.

Pronti a strutturare la compliance nel vostro Piano ICT? Richiedi una consulenza specifica per la mappatura dei trattamenti.

Formazione del personale: ruolo chiave nella sicurezza

Formazione del personale: ruolo chiave nella sicurezza

La sicurezza informatica non è solo un problema tecnologico, ma prima di tutto un fattore umano. Per questo, il piano triennale ICT deve prevedere un capitolo dedicato alla formazione continua del personale, insegnando il “perché” dietro ogni regola.

• Alfabetizzazione informatica di base per tutti: riconoscere email sospette e seguire procedure semplici.
• Formazione specifica per ruoli: approfondimenti per amministratori, segretari e tecnici (es. gestione password, uso del VPN).
• Simulazioni di attacchi (phishing): esercizi realistici per testare la vigilanza, non per punire errori.
• Aggiornamento continuo: sessioni annuali brevi per mantenere alto l’allerta su nuove minacce.

Investire in formazione riduce drasticamente il rischio di violazioni involontarie e costruisce una cultura della sicurezza che protegge l’intera amministrazione. L’obiettivo non è la perfezione, ma un miglioramento continuo e consapevole di ogni dipendente.

Step 5: Governance, Organizzazione e Competenze

Il quinto passo nella redazione del piano triennale ICT per enti locali riguarda la definizione di governance, organizzazione e competenze. Senza una struttura decisionale chiara e un modello organizzativo adeguato, anche le soluzioni tecnologiche più avanzate rischiano di non essere utilizzate in modo efficace o di generare inefficienze. Questa fase è il perno che collega la strategia digitale alla gestione operativa quotidiana, garantendo che le risorse umane, i processi e le responsabilità siano allineati agli obiettivi del piano.

Definire una Governance Chiara e Documentata

La governance non è solo una questione formale: è il sistema di regole, processi e responsabilità che stabilisce chi decide, cosa si decide e come si decide. Per un ente locale, questo significa creare un modello che garantisca trasparenza, tracciabilità e allineamento con le direttive nazionali (come il PNRR o le linee guida AgID).

La governance del piano ICT prevede solitamente tre livelli:

• Comitato Strategico (o CdA): organo di indirizzo politico-amministrativo (es. Giunta, Assessore alla trasformazione digitale). Definisce gli obiettivi strategici, approva il budget e valuta i risultati. Si riunisce con cadenza semestrale o annuale.
• Comitato Tecnico (o ICT Board): organo operativo composto dal Responsabile della transizione digitale, dal Responsabile della protezione dei dati (RPD/DPO), dal responsabile finanziario e da rappresentanti delle funzioni business (es. personale, tributi, servizi sociali). Valuta la fattibilità tecnica, le priorità e monitora l’avanzamento dei progetti.
• Ufficio ICT (o equivalenti): team esecutivo che gestisce la realizzazione, la manutenzione e il supporto agli utenti finali.

Consiglio pratico: formalizzare questi ruoli in un Regolamento di Governance ICT, allegato al piano. Definire chiaramente le soglie decisionali (es. progetti sopra i 50.000€ richiedono approvazione del Comitato Strategico) per evitare blocchi decisionali.

Organizzazione: Ruoli, Responsabilità e Flussi

L’organizzazione si traduce nel come le persone sono strutturate per eseguire la strategia. Due modelli sono diffusi negli enti locali italiani:

1. Modello Centralizzato: un unico Ufficio ICT gestisce tutte le infrastrutture, i software e il supporto. È efficace per enti di piccole dimensioni o per garantire omogeneità, ma rischia di creare colli di bottiglia.
2. Modello Ibrido (Federato): l’Ufficio ICT gestisce l’infrastruttura core e la governance, mentre i singoli reparti (es. Ufficio Tributi, Scuole) gestiscono applicazioni verticali e la relazione con i propri utenti, seguendo linee guida comuni. È più agile ma richiede coordinamento forte.

Indipendentemente dal modello scelto, ogni progetto ICT deve avere un Project Manager (PM) interno o esterno, un Product Owner (rappresentante del business che definisce i requisiti) e un Responsabile della Qualità. È cruciale evitare il conflitto di ruoli: il tecnico non deve decidere unilateralmente su cosa serve al business.

Esempio di struttura organizzativa per il piano triennale:

Ruolo	Responsabilità Principali	Dipendenza
Responsabile Transizione Digitale	Coordinamento generale, relazione con fornitori, reporting al Comitato Strategico	Dirigente Generale / Assessore
Project Manager ICT	Pianificazione dettagliata, monitoraggio tempi/costi/qualità dei progetti specifici	Responsabile Transizione Digitale
Product Owner Business	Definizione requisiti funzionali, validazione soluzioni, formazione utenti finali	Responsabile dell’Ufficio di Appartenenza
Responsabile Infrastruttura	Gestione server, cloud, reti, sicurezza perimetrale	Responsabile Transizione Digitale

Competenze e Profili Professionali Necessari

Il successo del piano dipende dalle competenze interne. Spesso gli enti locali soffrono di un digital skill gap critico. La strategia delle competenze deve prevedere sia il potenziamento interno che l’acquisizione di competenze esterne (per progetti specifici o periodi di picco).

Analizziamo i profili chiave necessari per l’attuazione di un piano ICT triennale:

• Architetto del Sistema Informativo: competenze elevate in progettazione integrata, analisi del dato, conoscenza standard AgID. Figura chiave per evitare il “silos” dei sistemi.
• Cybersecurity Specialist: requisito ormai obbligatorio (si veda il percorso di conformità NIS2). Deve gestire la valutazione del rischio, le policy di sicurezza e le simulazioni di attacco.
• Data Manager / Open Data Officer: figura dedicata alla pulizia, catalogazione e valorizzazione dei dati (es. apertura dei dati ai cittadini).
• Change Manager: figura dedicata alla gestione del cambiamento organizzativo e all’accompagnamento degli utenti finali nella transizione verso i nuovi strumenti.
• Funzione Acquisti ICT: esperti in gare pubbliche digitali (DL 36/2023) capaci di redigere capitolati tecnici precisi per evitare clausole di lock-in tecnologico.

Checklist per la valutazione delle competenze: (scarica il template completo nel download finale)

1. Mappatura delle competenze attuali vs. quelle richieste dal piano.
2. Identificazione dei gap critici (es. nessuno con competenze in cloud computing).
3. Piano di formazione interna (es. corsi su sicurezza informatica per tutto il personale).
4. Ricerca di talenti esterni (contratti a progetto, tirocini, convenzioni con università).

Rapporti con Fornitori e Service Level Agreement (SLA)

Nessun ente locale, piccolo o grande, può fare tutto da solo. La governance deve definire chiaramente come interagire con il mercato.

• Vendor Lock-in: evitare di legarsi a un unico fornitore per tutto. Promuovere l’open source e formati aperti.
• SLA (Service Level Agreement): nei contratti con fornitori (es. per la manutenzione di sistemi gestionali o data center), definire metriche chiare: tempi di risoluzione guasti (es. < 4 ore per criticità), disponibilità del servizio (es. 99.9%), penali per inadempienza.
• Cloud Strategy: definire se optare per soluzioni IaaS (Infrastructure as a Service), SaaS (Software as a Service) o PaaS, e quali garanzie chiedere al fornitore riguardo alla localizzazione dei dati (GDPR) e alla portabilità.

Esempio di metriche per il monitoraggio del fornitore:

• Tempo medio di risoluzione (Mean Time To Repair – MTTR).
• Numero di incidenti mensili.
• Soddisfazione utenti finale (tramite survey NPS).

Il Piano di Formazione e la Cessione dei Diritti

Un piano tecnologico senza formazione è un progetto fallito. La governance deve vincolare il budget per la formazione (consigliato tra il 5% e il 10% del budget ICT totale).

È fondamentale strutturare percorsi differenziati:

• Formazione di Base: obbligatoria per tutti i dipendenti (uso sicuro della posta, password, strumenti comuni).
• Formazione Specifica: per i responsabili di progetto e i super user (approfondimento sui nuovi sistemi implementati).
• Formazione per il Management: sull’interpretazione dei dashboard e sulle metriche di performance.

Inoltre, bisogna prestare attenzione alla clausola di cessione dei diritti sui software sviluppati su misura. Spesso gli enti locali danno in appalto lo sviluppo ma si ritrovano senza i codici sorgenti o senza la licenza di utilizzo libera in caso di cambio fornitore. Il piano triennale deve stabilire che ogni sviluppo su misura sia rilasciato con licenza open source (es. MIT o AGPL) o comunque con cessione piena dei diritti all’ente.

Punti di Attenzione e Errori Comuni da Evitare

• Errore 1: Governance solo formale. I comitati si riuniscono senza potere decisionale reale o senza seguire azioni correttive.
• Errore 2: Ignorare il fattore umano. Introdurre nuovi strumenti senza coinvolgere i sindacati o i rappresentanti del personale, portando a resistenze culturali.
• Errore 3: Underestimare la manutenzione. Il budget di implementazione (Capex) è spesso sovvenzionato, ma il budget di manutenzione (Opex) per aggiornamenti e sicurezza viene tagliato negli anni successivi.
• Errore 4: Ruoli sovrapposti. La mancanza di chiarezza su chi è il Product Owner porta a richieste di modifica contrastanti e ritardi.

Costi e Tempo Stimati per Questo Step

La definizione di governance, organizzazione e competenze richiede solitamente 1-2 mesi di lavoro (dipendenza dalla dimensione dell’ente). I costi sono prevalentemente interni (ore lavoro dirigenti/uffici). L’unico costo esterno significativo può essere la consulenza specializzata per la stesura del regolamento di governance (stimabile tra 3.000 e 10.000€ a seconda della complessità).

Ricordiamo che investire in una governance solida ripaga riducendo il rischio di progetti falliti (che costano mediamente il 20-30% in più del previsto) e di penali contrattuali.

Questa struttura permette all’ente di passare dalla teoria alla pratica, garantendo che la trasformazione digitale sia sostenibile nel tempo.

Ruoli e responsabilità: RUP, Responsabile ICT, DPDR e Organo Politico

Ruoli e responsabilità: RUP, Responsabile ICT, DPDR e Organo Politico

Il successo del piano dipende dalla chiarezza dei ruoli. Il RUP (Responsabile Unico del Progetto) guida la procedura di acquisto, definisce i lotti e garantisce il rispetto delle regole contrattuali. Il Responsabile ICT traduce le esigenze operative in requisiti tecnici, seleziona le soluzioni e ne cura l’implementazione. Il DPDR (Delegato alla Protezione dei Dati) vigila sulla conformità al GDPR, inserendo nella valutazione di impatto le misure di sicurezza richieste. L’Organo Politico (Giunta o Consiglio) approva il piano e ne garantisce il finanziamento, allineando la strategia ICT agli obiettivi di programmazione politica. La collaborazione tra questi attori è cruciale: un piano tecnicamente valido ma privo di sostegno politico rischia di arenarsi. Per questo, al primo step di redazione del piano triennale ICT per enti locali, definiremo una matrice di responsabilità (RACI) che assegni a ciascun ruolo specifiche decisioni e deliverables, evitando sovrapposizioni e garantendo tracciabilità.

Modelli di gestione dei progetti: linearità vs agilità nel pubblico

Relazione con i fornitori: SLA, gare e contratti quadro

Step 6: Piano Economico Finanziario e Tempistico

Stima dei costi: CAPEX, OPEX e costi nascosti (ownership)

Fonti di finanziamento: fondi propri, PNRR, FSC e altri bandi

Roadmap temporale: fasi di implementazione e quick wins

Step 7: Redazione formale e Validazione del Piano

Struttura del documento: dal Sommario esecutivo alle Appendici tecniche

Processo di approvazione: Giunta e Consiglio Comunale

Caricamento su Piano Triennale della PA e pubblicazione

Step 8: Monitoraggio, Revisione e Aggiornamento (Ciclo di vita del Piano)

Dashboard di monitoraggio e reportistica periodica

Revisione straordinaria: quando rivedere il piano prima della scadenza triennale

Allineamento con gli aggiornamenti normativi annuali

Consigli Pratici e Best Practices per la Redazione

Comunicazione interna: coinvolgere la politica e i dirigenti fin dall’inizio

Evitare il ‘copia-incolla’: personalizzare il piano sul contesto locale

Utilizzo di strumenti di project management per la stesura

Checklist Finale: Controllo di Congruenza prima della Definitiva

Domande Frequenti (FAQ)

Enti locali: cos’è e a cosa serve il piano triennale per l’informatica?

Il piano triennale ICT è il documento strategico-obbligatorio che ogni ente pubblico deve redigere per pianificare gli investimenti tecnologici, allinearsi alle linee guida di AgID e soddisfare i requisiti di sicurezza e digitalizzazione richiesti dalla PA.

Chi è il responsabile della redazione del piano triennale ICT?

La responsabilità politica è dell’Organo di indirizzo (Giunta/Consiglio), mentre la responsabile operativa e tecnica è il Responsabile del Sistema Informativo (RSI) o il Dirigente designato, spesso con la collaborazione di un RUP per i progetti specifici.

Il piano triennale ICT è obbligatorio per tutti i comuni?

Sì, è obbligatorio per tutte le pubbliche amministrazioni, inclusi i piccoli comuni. Tuttavia, la complessità del documento può essere proporzionata alla dimensione dell’ente e alla mole di dati e servizi gestiti.

Quanto tempo serve per redigere il piano triennale?

Indicativamente, servono dai 2 ai 4 mesi per una redazione accurata, che include l’assessment, l’analisi dei gap, la definizione della strategia e l’approvazione formale. Partire con anticipo è fondamentale.

Quali sono le sanzioni se il piano non viene redatto o aggiornato?

Mancata redazione o aggiornamento può comportare l’impossibilità di accedere a finanziamenti PNRR e bandi regionali, nonché il rischio di criticità in caso di verifiche da parte dell’organo di controllo (Corte dei Conti o organi di vigilanza).

Come si inserisce il PNRR nel piano triennale ICT?

Le iniziative finanziabili tramite PNRR (es. migrazione cloud, digitalizzazione dei servizi, formazione) devono essere integrate nella roadmap del piano triennale, evidenziando tempi, costi e allineamento con le specifiche missioni e linee guida del PNRR.

Contattaci

contattaci per saperne di più