La direttiva NIS2 trasposta nel diritto francese cambia le regole del gioco per le direzioni dei sistemi informativi territoriali. Le collettività non scelgono più di investire nella cybersicurezza: sono giuridicamente obbligate a farlo, con sanzioni in vista. Questo quadro normativo ridistribuisce le priorità di bilancio e tecniche dell’intero settore pubblico locale.
Obblighi NIS2 e cybersicurezza delle collettività territoriali
La classificazione delle collettività in due livelli di esigenza rappresenta il cambiamento strutturale principale. Le regioni, i dipartimenti, le metropoli, le comunità urbane e i comuni con più di 30.000 abitanti sono ora classificati come entità essenziali, soggetti al regime più rigoroso. Le comunità di agglomerato, le comunità di comuni e alcuni SDIS rientrano nello status di entità importanti, con un livello intermedio.
Gli obblighi non si limitano a una dichiarazione di intenti. Ogni collettività interessata deve formalizzare una politica di sicurezza dei sistemi informativi, condurre un’analisi dei rischi documentata e implementare un piano di continuità operativa per i suoi servizi digitali critici.
La notifica degli incidenti significativi all’ANSSI entro 24 ore, seguita da un rapporto dettagliato entro 72 ore, trasforma la gestione della crisi. Le DSI territoriali che operavano con procedure informali devono ora strutturare un servizio di reperibilità e circuiti di escalation operativi. Osserviamo che questa pressione temporale spinge molte collettività a esternalizzare tutto o parte della loro supervisione della sicurezza presso centri operativi di sicurezza condivisi.
Per approfondire le questioni tecniche che ne derivano, l’informatica su Collectivité Numérique dettaglia le architetture adatte alle esigenze del settore pubblico locale.
Governance dei dati territoriali e open data
La frammentazione dei sistemi informativi rimane il principale ostacolo a una governance coerente dei dati nelle collettività. Ogni direzione di settore (urbanistica, stato civile, finanze, viabilità) ha storicamente implementato i propri strumenti, spesso senza interoperabilità. Unificare i riferimenti dei dati prima di parlare di open data è un prerequisito tecnico non negoziabile.
L’apertura dei dati pubblici impone inoltre di conciliare due quadri giuridici in tensione. Da un lato, l’obbligo di pubblicazione dei documenti amministrativi e delle banche dati. Dall’altro, le esigenze del RGPD sulla protezione dei dati personali. La CNIL ricorda che le collettività devono anonimizzare o pseudonimizzare i set di dati prima della pubblicazione, il che richiede competenze e strumenti che molte piccole intercomunalità non possiedono internamente.
- Cartografare tutte le banche dati di settore e identificare i duplicati, i formati proprietari e i dati personali da trattare prima di qualsiasi apertura
- Designare un referente per la governance dei dati distinto dal DPO, incaricato di gestire la qualità, l’aggiornamento e l’interoperabilità dei set di dati
- Privilegiare formati aperti e API standardizzate piuttosto che esportazioni CSV occasionali, per consentire un reale riutilizzo da parte degli attori del territorio
Cloud sovrano e modalità SaaS per i servizi pubblici locali
La migrazione verso il cloud in modalità SaaS sta progredendo rapidamente nelle collettività, sostenuta dalla riduzione dei costi di infrastruttura e dalla semplificazione della manutenzione applicativa. La questione della sovranità digitale struttura ora la scelta dei fornitori. Ospitare i dati dei cittadini presso un fornitore soggetto a legislazioni extraterritoriali espone la collettività a un rischio giuridico diretto.
Raccomandiamo di distinguere chiaramente i dati sensibili (stato civile, assistenza sociale, fiscalità locale) dai dati di funzionamento corrente. I primi richiedono un’ospitalità qualificata SecNumCloud o equivalente. I secondi possono tollerare un livello di certificazione inferiore, a condizione che il contratto specifichi la localizzazione dei dati e le condizioni di reversibilità.
Il classico tranello del SaaS territoriale risiede nella dipendenza dal fornitore. Una collettività che migra la propria gestione finanziaria o i propri strumenti HR verso una piattaforma proprietaria senza una chiara clausola di reversibilità si trova in una situazione di cattività. L’esigenza di esportare i dati in un formato aperto, testata in condizioni reali prima della firma del contratto, dovrebbe figurare in ogni capitolato.
Intelligenza artificiale e digitale responsabile nelle collettività
L’intelligenza artificiale arriva nelle collettività attraverso casi d’uso mirati piuttosto che attraverso dispiegamenti massivi. Trattamento automatizzato della corrispondenza in entrata, classificazione delle richieste degli utenti, rilevamento di anomalie nel consumo energetico degli edifici pubblici: queste applicazioni generano guadagni misurabili senza richiedere una revisione completa del SI.
Il principale ostacolo non è tecnologico ma organizzativo. Formare gli agenti all’uso di strumenti potenziati dall’IA, definire i casi in cui la decisione automatizzata deve essere convalidata da un umano, documentare gli algoritmi utilizzati per rispettare gli obblighi di trasparenza: questi progetti richiedono tempo e competenze che gli attuali organici delle DSI territoriali faticano a reperire.
Il tema del digitale responsabile aggiunge un ulteriore livello di vincoli. La legge REEN impone alle collettività con più di 50.000 abitanti una strategia di riduzione dell’impronta ambientale del digitale. Concretamente, ciò si traduce in criteri ambientali nei contratti pubblici informatici, un allungamento della vita utile delle attrezzature e una razionalizzazione delle infrastrutture server.
- Integrare criteri ambientali nei contratti pubblici informatici, in conformità con gli obblighi derivanti dalla legge Climat e Resilienza
- Misurare l’impronta di carbonio del parco digitale esistente prima di fissare obiettivi di riduzione quantitativi
- Favorire il riutilizzo e il ricondizionamento delle postazioni di lavoro, in relazione con le filiere locali dell’economia circolare
- Documentare gli algoritmi di IA implementati per garantire la trasparenza nei confronti dei cittadini e degli eletti
L’articolazione tra questi quattro assi (cybersicurezza normativa, governance dei dati, sovranità cloud, IA responsabile) delinea il perimetro reale della trasformazione digitale territoriale per gli anni a venire. Le collettività che trattano questi temi in silos ripetono gli errori di frammentazione che hanno reso i loro sistemi informativi così difficili da evolvere. Gestire questi progetti in modo trasversale, sotto l’autorità di una direzione del digitale e non solo di una DSI tecnica, rimane la condizione affinché questi investimenti producano risultati duraturi.