Panoramica

Architettura aziendale, interoperabilità, governance dei servizi, sicurezza, tutela della vita privata, accessibilità, appalti e vincoli istituzionali dell'UE.

Stato del modulo

•Percorso: Basi ICT comuni
•Ultima verifica: 2026-10-27
•Ambito: Formazione indipendente EPSOHQ allineata alle mansioni indicate nel bando; prevalgono le fonti ufficiali.

L'architettura prima dei prodotti

Un amministratore AD7 deve tradurre le esigenze istituzionali in servizi che rimangano gestibili, sicuri e interoperabili. Si parte dalle capacità, dai flussi informativi, dai livelli di servizio, dai vincoli e dai rischi. La selezione dei prodotti viene dopo la definizione dell'architettura di destinazione e dei criteri di valutazione. Una progettazione tecnicamente elegante, ma impossibile da gestire, acquisire, sottoporre a audit o dismettere, è incompleta.

Le decisioni architetturali devono documentare il contesto, le opzioni, la decisione adottata, le conseguenze e i fattori che ne determinano il riesame. La reversibilità è importante. Le interfacce e i formati di dati portabili riducono l'accoppiamento. Un radar tecnologico distingue tra tecnologie adottate, in sperimentazione, in valutazione e da evitare, affinché la sperimentazione non diventi inavvertitamente architettura di produzione.

Interoperabilità e vincoli del settore pubblico

Il regolamento sull'Europa interoperabile istituisce un quadro per l'interoperabilità transfrontaliera dei sistemi di rete e informativi del settore pubblico. L'interoperabilità comprende livelli giuridici, organizzativi, semantici e tecnici. Una API da sola non risolve le differenze nelle basi giuridiche, nella titolarità dei processi o nel significato dei dati.

L’accessibilità deve rientrare nei criteri di accettazione. La sicurezza e la protezione dei dati devono essere integrate nella progettazione. Gli appalti richiedono requisiti misurabili, una valutazione equa e una strategia di uscita. La gestione dei documenti, la trasparenza e la verificabilità incidono sui registri, sulla conservazione e sulle evidenze alla base delle decisioni.

Sicurezza e privacy fin dalla progettazione

Utilizzare il rischio come criterio per selezionare i controlli. La difesa in profondità combina identità, endpoint, reti, applicazioni, dati, monitoraggio e ripristino. Il principio del privilegio minimo limita l'accesso a ciò di cui un soggetto ha bisogno. La separazione delle funzioni riduce la possibilità che una singola identità possa avviare, approvare e occultare un'azione sensibile.

La protezione dei dati fin dalla progettazione implica la definizione, prima dell’attuazione, delle finalità, della base giuridica, della minimizzazione, della conservazione, dell’accesso, dei trasferimenti e dei diritti degli interessati. La cifratura tutela la riservatezza, ma da sola non rende lecito il trattamento. La pseudonimizzazione riduce la possibilità di collegare i dati a una persona, ma resta un trattamento di dati personali quando la reidentificazione è ancora possibile.

Governance dei servizi

Definire il responsabile del servizio, il responsabile del prodotto, il responsabile tecnico e il responsabile dei dati. Stabilire gli indicatori del livello di servizio prima degli obiettivi del livello di servizio. Monitorare i risultati per gli utenti insieme alla disponibilità. Un servizio può essere tecnicamente disponibile ma inutilizzabile a causa di problemi di autenticazione, latenza o di una dipendenza critica.

Ogni servizio in produzione necessita di monitoraggio, ruoli per la gestione degli incidenti, prove dell'efficacia delle procedure di backup e ripristino, presupposti di continuità, procedure di escalation verso i fornitori e un piano di dismissione. L'approvazione delle modifiche deve essere proporzionata al rischio. Le modifiche standard a basso rischio possono essere preautorizzate; anche quelle di emergenza devono essere tracciabili e sottoposte a riesame retrospettivo.

Insieme delle fonti principali

•Regolamento sull’Europa interoperabile — Regolamento (UE) 2024/903
•NIS2 — Direttiva (UE) 2022/2555
•GDPR — Regolamento (UE) 2016/679
•Direttiva sull’accessibilità del web — Direttiva (UE) 2016/2102
•Metodologia PM² della Commissione europea — Portale PM²

Politica digitale dell'UE: individuare il soggetto prima dell'obbligo

Integrazione verificata il 27 ottobre 2026. Queste distinzioni supportano il giudizio tecnico e la redazione su questioni europee. Sono uno strumento di ripasso, non una previsione delle domande EPSO o del dossier EUFTE.

Strumento	Domanda principale	Prove concrete da richiedere	Trappola sull'ambito di applicazione
Regolamento sull'IA	Qual è la finalità prevista del sistema, la sua classificazione di rischio e il ruolo dell'organizzazione?	Inventario dei casi d'uso, motivazione della classificazione, registri di supervisione e valutazione	L'etichetta "conforme alla normativa sull'IA" di un fornitore non può risolvere ogni implementazione
NIS2	L'organizzazione è un soggetto che rientra nell'ambito della direttiva e delle norme nazionali pertinenti?	Gestione dei rischi, procedura per gli incidenti, controlli sulla catena di approvvigionamento e governance	Non applichi per impostazione predefinita una direttiva rivolta agli Stati membri a ogni istituzione dell'UE
Regolamento (UE, Euratom) 2023/2841	Quali obblighi di cibersicurezza riguardano istituzioni, organi e organismi dell'Unione?	Quadro istituzionale di gestione dei rischi, responsabilità e coordinamento degli incidenti	Il regime istituzionale richiede una propria analisi dell'ambito di applicazione
DORA	Si tratta di un'entità finanziaria soggetta o di un accordo pertinente con un fornitore terzo di servizi ICT?	Controlli dei rischi ICT, registro dei contratti, test di resilienza e strategie di uscita	DORA è settoriale; non è la regola generale per ogni progetto informatico del settore pubblico
Regolamento sulla ciberresilienza	Un prodotto con elementi digitali e un operatore economico rientrano nell'ambito di applicazione?	Gestione delle vulnerabilità, informazioni sull'assistenza e prove di conformità	Un controllo di sicurezza operativo e la conformità del prodotto rispondono a domande diverse
GDPR / Regolamento (UE) 2018/1725	Quale regime dei dati personali e quali ruoli di titolare/responsabile del trattamento si applicano?	Registri su finalità, base giuridica, minimizzazione, conservazione e accesso	L'ubicazione del cloud o un'impostazione di cifratura da sole non possono rendere lecito un trattamento
Data Act	Quale norma su accesso ai dati o passaggio tra servizi di trattamento dei dati è pertinente?	Formati di esportazione, dipendenze, uscita contrattuale e test di transizione	La portabilità non significa che ogni applicazione si trasferisca senza adattamenti
Data Governance Act / Direttiva sui dati aperti	La questione riguarda il riutilizzo di dati protetti del settore pubblico, un intermediario di condivisione o informazioni del settore pubblico riutilizzabili?	Condizioni di autorizzazione, garanzie di accesso e classificazione dei set di dati	Questi strumenti non trasformano tutti i dati detenuti in dati aperti senza restrizioni
Programma strategico per il decennio digitale	Quale capacità o risultato di servizio 2030 si intende perseguire?	Indicatori relativi a competenze, connettività, imprese o servizi pubblici	Un obiettivo politico non è il certificato di sicurezza di un singolo sistema

Legga il testo applicabile e le modifiche in vigore prima di memorizzare una data di attuazione. Entrata in vigore, applicazione generale, obblighi scaglionati e obblighi di segnalazione effettivi di un soggetto possono differire. Ad esempio, la Commissione distingue gli obblighi di segnalazione del CRA dai suoi obblighi principali successivi. Consideri obblighi giuridici, obiettivi politici, norme tecniche e quadri di governance volontari come fonti di autorità di natura diversa.

Gaia-X può fornire un contesto sugli ecosistemi cloud e dei dati. Non è un regolamento dell'UE né una certificazione giuridica generale. Un'affermazione di sovranità richiede comunque prove sul controllo di chiavi, accessi, subappaltatori, portabilità ed esposizione giuridica. Il Chips Act europeo riguarda la capacità produttiva di semiconduttori e la resilienza dell'approvvigionamento; non certifica un singolo carico di lavoro cloud. Abbini lo strumento alla decisione da prendere.

Quattro decisioni originali sull'ambito di applicazione

Infrastruttura: un produttore offre un dispositivo connesso con marcatura CE. Ciò non dimostra un ripristino collaudato del servizio dell'istituzione. Richieda separatamente le prove relative al prodotto e quelle relative al ripristino locale.
Gestione di progetti: un fornitore promette la "conformità a tutta la normativa UE". Prima di approvare il requisito, chieda una mappa dell'ambito per soggetto e strumento, i responsabili, le prove di accettazione e le dipendenze irrisolte.
Cloud e reti: due fornitori utilizzano servizi diversi di gestione delle identità e di database gestiti. Un'esportazione dei dati da sola non dimostra un piano di uscita eseguibile. Verifichi dipendenze, tempi di ripristino, accessi e integrità dei dati.
Scienza dei dati: un benchmark di accuratezza non dimostra un uso lecito dei dati né una supervisione adeguata. Chieda separatamente informazioni su finalità prevista, norme applicabili, provenienza dei dati, prestazioni per sottogruppi e decisioni umane.

Governance condivisa delle TIC, sicurezza ed erogazione dei servizi da parte delle istituzioni dell'UE