La Continuità Operativa: un obbligo per tutti i comuni
Il Codice dell’Amministrazione Digitale (Decreto legislativo 7 marzo 2005, n. 82, alla luce del decreto-legge 22 giugno 2012 n. 83 e 6 luglio 2012 n 95 convertiti con modificazioni, rispettivamente, dalla L. 7 agosto 2012, n. 134 e L. 7 agosto 2012, n. 135 e del decreto-legge 4 ottobre 2012 sull’Agenda digitale) all’art. 50-bis rubricato “Continuità operativa” impone alle Pubbliche Amministrazioni, centrali e locali, di predisporre i Piani di Disaster Recovery e di Business Continuity a salvaguardia dei servizi erogati a cittadini e imprese.Le “Linee guida per il disaster recovery delle pubbliche amministrazioni ai sensi del comma 3, lettera b) dell’art. 50-bis del DLgs. n. 82/2005 e s.m.i.” pubblicate il 26/06/2011 da DigitPA (ora “Agenzia per l’Italia Digitale”), sentito il Garante per la protezione dei dati personali, dettagliano gli strumenti per ottemperare agli obblighi derivanti dall’art. 50-bis del CAD, a partire da un percorso di autovalutazione, dalla metodologia per l’individuazione dei rischi (Business Impact Analist BIA) al fine di produrre uno Studio di Fattibilità Tecnica per il Piano di Continuità Operativa e il Piano di Disaster Recovery, da presentare al DigitPA stesso per poi implementare le soluzioni previste nei piani anche sulla base dei pareri espressi dallo stesso DigitPA.La Circolare del Ministero dell’Interno n. 26 del 28-10-2011 nell’ipotesi di blocco del sistema informatico comunale ricorda che le pubbliche amministrazioni sono tenute ad adottare le misure previste dall'art. 50 bis sopra citato.La Circolare DigitPA 1 dicembre 2011, n. 58 (G.U. 27.12.2011 n. 300) fornisce le indicazioni necessarie ad adempiere a quanto previsto dal citato articolo 50-bis del CAD e, in particolare, riporta le informazioni che le amministrazioni devono inviare a DigitPA, ai fini del rilascio del Parere sugli Studi di Fattibilità Tecnica (SFT) come previsto dal comma 4, nonché le informazioni che le amministrazioni devono inviare ai fini dell’attività di verifica del costante aggiornamento dei Piani di Disaster Recovery (DR), previste dal comma 3, lettera b) anche al fine di predisporre una informativa annuale per il Ministro per la Pubblica Amministrazione e l’Innovazione.L' attuazione dell'art. 50-bis "continuità operativa" del CAD
La prima parte della Circolare n. 58/2011 riporta le informazioni che le Amministrazioni devono inviare all’Agenzia per l’Italia Digitale ai fini del rilascio del parere sugli Studi di Fattibilità Tecnica (SFT) e le modalità di presentazione delle richieste come previsto dal comma 4, art. 50 bis del CAD. La seconda parte della Circolare riporta le informazioni che le Amministrazioni devono inviare all’Agenzia per l’Italia Digitale ai fini dell’attività di verifica del costante aggiornamento dei Piani di Disaster Recovery (DR), previste dal comma 3, lettera b), art. 50 bis, del CAD.
Lo Studio di Fattibilità Tecnica (SFT) deve essere compilato dalla singola Amministrazione comunale e inviato da parte del “Responsabile della Continuità Operativa” all’Agenzia per l’Italia Digitale. Nel caso di una Amministrazione articolata in diverse strutture che operano in modo autonomo, lo SFT dovrà essere comunque unico
La richiesta di parere sullo SFT, predisposta in ottemperanza all’art. 50 bis del CAD, deve essere trasmessa mediante posta elettronica certificata (PEC) dal Responsabile della Continuità Operativa dalla casella PEC dell’Amministrazione. La richiesta di parere sullo SFT, deve essere inoltrata sia dai Comuni che non dispongono di Piani e soluzioni di Continuità Operativa / Disaster Recovery sia dai Comuni che già si sono dotate degli stessi.
Il messaggio di PEC deve avere in allegato:
- la richiesta di parere sullo SFT;
- la relazione su gli obiettivi complessivi che il Comune si propone di raggiungere ai fini della digitalizzazione e dell’attuazione degli adempimenti del CAD, nonché per assicurare il rispetto delle Regole Tecniche previste dal CAD;
- lo SFT in formato elettronico liberamente rielaborabile e uno o più file contenenti gli esiti della autovalutazione eseguita mediante lo strumento di autovalutazione descritto nelle Linee Guida;
- i riferimenti del “Responsabile della Continuità Operativa”, per eventuali richieste di informazioni e chiarimenti.
Per l’emissione del parere, l’Agenzia per l’Italia Digitale prende in considerazione elementi di natura sia tecnica che strategica.
Il Piano di Disaster Recovery (PDR) va definito dalle Amministrazioni comunali, una volta ricevuto il parere di Agenzia per l’Italia Digitale e va inviato, in formato elettronico, sempre dalla casella PEC dell’Amministrazione.Con cadenza annuale, entro il 31 dicembre di ogni anno, le Amministrazioni devono inviare all’Agenzia per l’Italia Digitale, da parte del Responsabile della Continuità Operativa dalla casella PEC del Comune, la versione aggiornata del Piano di DR in formato elettronico unitamente alla dichiarazione che, in relazione al Piano di DR trasmesso in precedenza, specifichi le modifiche intervenute e le motivazioni di tali modifiche.
La scadenza temporaleper questi adempimenti è il 31/12/2012
Avvio, realizzazione e manutenzione della Continuità Operativa
Nella figura seguente sono rappresentate le macro-attività di avvio, implementazione e manutenzione della Continuità Operativa in modo da evidenziare l’impegno delle Amministrazioni comunali di pianificazione, progettazione, realizzazione e gestione delle soluzioni organizzative e di ICT che sottendono la produzione del Piano di Continuità Operativa e del Piano di Disaster Recovery.
