Cos'è la qualificazione cloud ACN e chi deve occuparsene?

La qualificazione cloud ACN è il percorso gestito dall'Agenzia per la Cybersicurezza Nazionale che classifica i servizi cloud in base al livello di garanzia che possono offrire: QC1-QC4 per la classificazione dei dati trattabili, QI1-QI4 per l'infrastruttura che li ospita. È lo strumento con cui l'Italia decide chi può erogare servizi cloud alla Pubblica Amministrazione e a quale classe di dati, in attuazione della strategia cloud Italia e, più di recente, del Polo Strategico Nazionale. In pratica, il livello di garanzia richiesto cresce con la sensibilità del dato: un'autodichiarazione basta per i casi meno critici, mentre i dati classificati come strategici richiedono una verifica indipendente sia dell'infrastruttura sottostante sia del servizio applicativo che vi gira sopra, un percorso pensato per non lasciare alla sola parola del fornitore la sicurezza dei dati più sensibili della PA.

A chi serve davvero

Non riguarda solo la PA. Ogni fornitore software (ISV) o system integrator che vuole vendere alla Pubblica Amministrazione italiana deve verificare se il proprio servizio, o quello del cloud provider su cui si appoggia, è qualificato al livello richiesto dalla classe di dati che andrà a trattare. Un gestionale costruito su un hyperscaler non qualificato per dati critici semplicemente non è vendibile a un'amministrazione che tratta quella classe di dati, indipendentemente dalla qualità del prodotto.

Come funziona in pratica

Il fornitore presenta un'autodichiarazione per i livelli più bassi, o si sottopone a una verifica più approfondita per i livelli più alti, tipicamente richiesti per dati critici o strategici. Il livello di qualificazione necessario dipende dalla classificazione del dato trattato: ordinario, critico o strategico. Più alta la classe del dato, più stringente il livello di garanzia richiesto sia all'infrastruttura (QI) sia al servizio applicativo (QC).

Il collegamento con il Polo Strategico Nazionale

Il PSN è l'infrastruttura cloud pubblica-privata italiana pensata per i dati e i servizi critici della PA, il cui listino pubblico è oggi alla release di aprile 2026. La qualificazione ACN è il prerequisito che definisce chi può erogare servizi su quella classe di dati, dentro o fuori dal perimetro del PSN: senza il livello giusto di qualificazione, l'accesso a quel mercato resta precluso a prescindere dal canale.

Perché conta per un'azienda che vuole vendere alla PA italiana

Un fornitore che ambisce al mercato pubblico italiano deve pianificare la qualificazione come parte della strategia commerciale, non come dettaglio tecnico dell'ultimo minuto: i tempi di verifica per i livelli alti non sono brevi, e un contratto perso per assenza di qualificazione è un problema commerciale, non solo di compliance. Il tema si intreccia direttamente con le scelte di cloud sovrano e sovranità digitale: la classe di garanzia richiesta dal cliente pubblico determina, a monte, quale infrastruttura è persino proponibile.

Questa voce è informativa e non costituisce consulenza legale: per decisioni su appalti pubblici e classificazione dei dati rivolgiti al tuo legale o il tuo team di compliance.