Con determinazione n. 137/2023, l’Agenzia per l’Italia Digitale (AGID) ha adottato il provvedimento contenente i requisiti tecnici e le modalità di certificazione delle Piattaforme di approvvigionamento digitale, ai sensi dell’art. 26 del decreto legislativo 31 marzo 2023, n. 36 recante il Codice dei contratti pubblici.
Le piattaforme di approvvigionamento digitale sono l’insieme dei servizi e dei sistemi informatici, interconnessi e interoperanti, che le stazioni appaltanti e gli enti concedenti dovranno obbligatoriamente utilizzare dal 1° gennaio 2024 per svolgere le attività di programmazione, progettazione, pubblicazione, affidamento ed esecuzione dei contratti pubblici.
La digitalizzazione del ciclo di vita dei contratti di acquisto pubblico si fonda sul rispetto dei principi e delle disposizioni del Codice dell’amministrazione digitale (CAD) di cui al d.lgs. 7 marzo 2005, n. 82, e sulla formazione, acquisizione e gestione di documenti nativi digitali mediante le piattaforme e i servizi digitali infrastrutturali che compongono l’ecosistema nazionale di approvvigionamento digitale di cui all’articolo 22 del Codice.
Il Codice Appalti 2023 (d.lgs. 36/2023), all’articolo 26, commi 1 e 2 del decreto legislativo 31 marzo 2023 n. 36, ha rimandato ad AgID la specificazione dei requisiti tecnici e delle modalità di certificazione delle piattaforme di approvvigionamento digitale. L’Agenzia per l’Italia digitale ha provveduto con il citato provvedimento n. 137/2023.
Il processo di certificazione delle piattaforme di approvvigionamento digitale si pone l’obiettivo di definire una linea di base chiara e precisa dei requisiti legali, di sicurezza, funzionali e tecnici che le piattaforme devono rispettare al fine di garantire affidabilità, sicurezza, uniformità di funzionamento ed aumentare la qualità dei sevizi forniti.
Conseguentemente anche la piattaforma nazionale “Acquisti in rete PA”, gestita da Consip e all’interno della quale si trova il MePA (Mercato elettronico della PA), dovrà adeguarsi alle recenti disposizioni dettate dall’AGID.
La determinazione AGID n. 137/2023, indica, tra l’altro, come deve avvenire l’accesso digitale degli utenti alle piattaforme digitali.
La piattaforma deve consentire l’identificazione degli utenti tramite i meccanismi di identificazione elettronica SPID e CIE (carta d’identità elettronica), oppure anche tramite altri meccanismi, in conformità alla normativa vigente, ma assicurando un livello di garanzia pari almeno ai livelli LoA2, LoA3 o LoA4 dello standard ISO/IEC 29115.
In particolare, per gli utenti europei, la piattaforma dovrebbe utilizzare le funzionalità del nodo eIDAS italiano.
Viene poi sancito che:
- la piattaforma deve garantire l’univocità del soggetto identificato indipendentemente dal meccanismo di identificazione elettronica utilizzato,
- l’identificazione elettronica dell’utente deve essere garantita al momento dell’accesso e rimane valida fino al termine della sessione di lavoro fermo restando il rispetto dei requisiti di sicurezza.
Consip ha quindi reso noto che a partire dal 1 gennaio 2024 non sarà più possibile accedere alla piattaforma “Acquisti in Rete” utilizzando le credenziali generate in sede di registrazione (utenza e password), ma si dovranno utilizzare unicamente le modalità di autenticazione di tipo LoA3 equivalenti a SPID di livello 2 e alla CIE, nonché le funzionalità del nodo eIDAS italiano per gli utenti appartenenti a Stati membri della Comunità Europea.
Per accedere sarà dunque necessaria la generazione di un codice temporaneo di accesso (one time password), fornito attraverso sms o con l’uso di un’app fornita dal gestore di identità digitale.
Le nuove modalità di accesso alle piattaforme, in particolare con riferimento al Mepa (Mercato elettronico della Pubblica Amministrazione), hanno destato parecchio allarme tra gli operatori economici, abituati a utilizzare tale strumento mediante una semplice password.
In particolare, si è posto il dubbio se per accedere al Mepa sarà necessario chiedere uno Spid ad uso professionale, ovvero se l’operatore economico dovrà essere dotato del cosiddetto elDup PG (elDup ad uso professionale per persone giuridiche): si tratta dello SPID che viene rilasciato alla persona fisica che rappresenta una persona giuridica. In questa Identità Digitale sono inseriti i dati della persona fisica e gli identificativi dell’entità giuridica per la quale opera.
Su questo aspetto il provvedimento non entra nel merito, non precludendo l’utilizzo di SPID ad uso personale, ma afferma semplicemente che la piattaforma deve prevedere un sistema di profilazione che consenta di associare un profilo applicativo alle singole utenze delle rispettive organizzazioni: Stazione Appaltante, Operatore Economico, Gestore della piattaforma.
Inoltre, la piattaforma deve prevedere, in relazione all’Operatore Economico, un profilo applicativo per il ruolo di legale rappresentante o suo delegato e può rendere disponibili funzioni di creazione e revoca di ulteriori profili applicativi.
Attraverso un Registro di sistema, costituito da uno o più log, si dovrà garantire la registrazione di ogni accesso (utente e profilo applicativo) e degli eventi significativi in relazione al ciclo di vita del contratto.
Di conseguenza ogni persona fisica che entrerà nella Piattaforma dovrà essere identifica secondo un preciso profilo applicativo:
- legale rappresentante,
- delegato del legale rappresentante,
- collaboratore.
Le persone fisiche potranno entrare con il loro SPID personale, o con lo SPID professionale, ma sembra logico attendersi che solo il soggetto registratosi come legale rappresentate o il suo delegato potrà compiere determinate azioni, ad esempio firmare l’offerta o il contratto.
Si noti che secondo il provvedimento AGID, la messa a disposizione di funzioni di creazione e revoca di ulteriori profili applicativi (per i collaboratori) è una mera possibilità per la piattaforma, che potrebbe anche non prevederli.
Ci si domanda quindi come dovranno organizzare il loro lavoro gli uffici gare, dove i collaboratori (normalmente privi di poteri di rappresentanza dell’impresa) da sempre preparano i documenti che poi materialmente firma il legale rappresentante.
Forse sarebbe stato più opportuno indicare come obbligatoria la messa a disposizione, nella piattaforma, di funzioni di creazione e revoca di ulteriori profili applicativi per i collaboratori, al pari del “punto istruttore” previsto per le pubbliche amministrazioni.
Oppure le piattaforme potrebbero prevedere diverse figure di “delegati” del legale rappresentante, ricomprendendovi non solo i soggetti muniti di legale rappresentanza, ma anche figure destinate alla mera compilazione dei documenti.
Del resto, il provvedimento AGID, quando parla di “delegato del legale rappresentate” non definisce compiutamente tale soggetto. La delega e la procura sono cose ben diverse: solo il procuratore può vantare la legale rappresentanza dell’impresa.
Certo è che anche i meri collaboratori (che possiamo chiamare anche delegati senza procura) dovranno utilizzare lo SPID per entrare nella piattaforma.
Ahimè senza uno smartphone, dal 1 gennaio prossimo, non si potrà più accedere alle piattaforme di e-procurement per formulare un’offerta in modalità telematica!