Censimento ICT AgID: quali datacenter vanno censiti?

A fine settembre scade il termine entro il quale le Pubbliche Amministrazioni sono chiamate a completare sulla piattaforma PA Digitale 2026 il censimento ICT AgID. A pochi giorni dalla scadenza resta però aperto un dubbio che riguarda potenzialmente migliaia di enti pubblici: quando un’infrastruttura locale rimasta attiva dopo la migrazione al cloud deve essere considerata un datacenter o un CED e quindi censita?

Non si tratta di una questione puramente terminologica. Una risposta non uniforme può incidere sulla qualità dello stesso censimento, producendo dati difficilmente confrontabili e interpretazioni differenti di cosa significhi, nella pratica, aver realmente completato la migrazione al cloud.

Censimento ICT AgID: il caso dei server rimasti nei Comuni

È il caso, come si diceva, di migliaia di Enti, specie i piccoli comuni, che attraverso l’Avviso 1.2 del PNRR hanno migrato i propri gestionali (“servizi” nella terminologia adottata dal DTD) in cloud e ora, in teoria, si dovrebbero ritrovare senza più nessun datacenter.

Nella pratica però non è stato così, perché la migrazione parziale, dei soli gestionali, non ha comportato quasi mai una dismissione dell’infrastruttura interna, che è rimasta inalterata, al più alleggerita di qualche macchina virtuale.

Come deve rispondere quindi un Ente che si trovasse in questa situazione? Il classico sottoscala o sgabuzzino, dove da sempre molti piccoli Enti pubblici hanno tenuto i loro apparati va considerato datacenter, va censito o no? Il fatto che non vi siano più i gestionali cambia qualcosa nella valutazione?

Per essere più chiari: un comune che possieda ancora dei server, tipicamente con un sistema di virtualizzazione e spesso ridondati, con uno storage contenente file relativi al lavoro di interi uffici che lì depositano il risultato di decenni di attività amministrativa svolta senza l’ausilio di un gestionale specifico, va ancora considerato datacenter?

Sembrerebbe una domanda banale quanto fondamentale, vista la frequenza in cui questa situazione si presenta, ma ad oggi non esiste un’indicazione univoca che specifichi in modo chiaro e netto come rispondere e questo si sta traducendo in una marcata disomogeneità delle risposte, spesso, ahimè, guidata da motivazioni non proprio tecniche.

Cosa dicono AgID e DTD sui datacenter da censire

L’incertezza deriva da una serie di indicazioni ambigue e a volte anche contraddittorie date attraverso le istruzioni, le FAQ e le risposte ai quesiti specifici presentati dalle PA.

Ecco cosa dicono le istruzioni per la compilazione:

“Per data center si intende una struttura fisica dedicata all’alloggiamento e alla gestione di uno o più sistemi informatici utilizzati per l’erogazione di servizi interni ed esterni alle amministrazioni pubbliche. Il data center comprende risorse di calcolo, sistemi di memorizzazione di massa, apparati di rete per la connettività e dispositivi ICT, ed è normalmente dotato di impianti specifici per la sicurezza, la climatizzazione e la continuità operativa”.

Nelle FAQ presenti sul sito PaDigitale2026 troviamo poi quanto segue:

• “FAQ: Quali datacenter devono essere censiti?

È necessario censire tutte le infrastrutture fisiche che l’ente usa per erogare servizi digitalie per gestire dati e applicazioni: data center e centri di elaborazione dati (CED).

Non bisogna censire i data center e i CED usati solo per gestire l’infrastruttura tecnica interna, come firewall, reti e postazioni di lavoro.

L’obbligo deriva dalla delibera n. 306/2022 dell’Agenzia per la Cybersicurezza Nazionale (ACN), che stabilisce come classificare dati e servizi, e dall’articolo 33-septies del decreto-legge 179/2012.”

È proprio su questo punto che il censimento ICT AgID rischia di produrre risultati non omogenei tra amministrazioni che si trovano nelle stesse condizioni.

• FAQ: Quando si può affermare che un’Amministrazione possiede un proprio datacenter?

Un’amministrazione dispone di un proprio data center quando soddisfa tutte queste condizioni:

• possiede direttamente il data center, oppure lo possiede tramite una società controllata;
• gestisce la governance dell’infrastruttura, direttamente o tramite la società controllata;
• destina stabilmente l’infrastruttura all’erogazione di servizi pubblici.”

Nel caso specifico illustrato precedentemente queste definizioni rappresentano un grado di interpretabilità tale da dare origine a risposte differenti a parità di condizioni.

Ad esempio, l’uso di termini come “normalmente”, la necessità di avere un alloggiamento fisico dedicato, l’uso di termini come “infrastruttura tecnica interna” o la presenza del solo termine “servizi digitali” senza inserire anche quelli “informatizzati” (che nella discutibile accezione del termine usata nel censimento significa, cito testualmente “il servizio utilizza strumenti informatici, ma non piattaforme digitali dedicate. Rientrano in questa categoria anche strumenti di base come i fogli elettronici (ad esempio Excel) o i documenti di testo (ad esempio Word)” aprono spazi interpretativi decisamente troppo ampi.

Il tutto poi si complica quando, essendo incerte su come rispondere, le PA aprono ticket specifici sulla piattaforma, aspettandosi un sì o un no ma ricevendo risposte di questo tenore:

“Premesso che il data center va censito solo se è di proprietà dell’ente o di una società da esso controllata in modo maggioritario, ti informiamo che è necessario censire tutte le infrastrutture fisiche che l’ente usa per erogare servizi digitali e per gestire dati e applicazioni: data center e centri di elaborazione dati (CED). 

Precisiamo che per Data Center si intende una struttura che ospita sistemi ICT completi (calcolo, storage, rete, non semplici locali con PC o apparati minori), che ospita dati della pubblica amministrazione ed eroga servizi dell’amministrazione interni o offerti ad altre amministrazioni, ai cittadini o alle imprese.  

Cosa occorre censire

Occorre pertanto censire una struttura fisica dedicata all’alloggiamento e alla gestione di uno o più sistemi informatici utilizzati per l’erogazione di servizi interni ed esterni alle PA. In generale, vanno censiti i data center che ospitano dati e servizi effettivamente forniti a PA, cittadini o imprese (anche backup e business continuity laddove contengano dati in produzione), normalmente dotati di impianti specifici per la sicurezza, la climatizzazione e la continuità operativa. 

L’obbligo deriva dalla delibera n. 306/2022 dell’Agenzia per la Cybersicurezza Nazionale (ACN), che stabilisce come classificare dati e servizi, e dall’articolo 33-septies del decreto legge 179/2012.  

Cosa non bisogna censire

Non bisogna invece censire i server e i CED usati solo per gestire l’infrastruttura tecnica interna, come firewall, reti e postazioni di lavoro, piccoli apparati (switch, modem), Active Directory, File Server, DHCP, infrastrutture/data center di staging/test, a meno che non eroghino servizi o dati.  

In questi casi, la risposta alla domanda 2.1 sarà quindi 0 e non saranno da compilare le informazioni correlate (ad esempio utilizzo delle CPU).”

Qui la confusione aumenta perché, applicato al nostro caso il datacenter va censito in quanto ospita dati e servizi, compresi backup e business continuity, ma rientra anche fra quelli che non vanno censiti perché tali dati (che in realtà sono documenti) sono memorizzati in un file server (inserito nella risposta, contrariamente a quanto presente nelle FAQ dove file server non è mai citato).

La domanda a questo punto è: perché è così difficile rispondere in modo netto (sì, va censito, no non va censito) a fronte di una domanda ben dettagliata?

Perché non inserire, vista la grande diffusione del caso citato, una FAQ specifica?

L’impressione è che non vi sia accordo fra Agid e DTD.

Perché nasce il censimento dei CED della PA

Ripercorrere la storia che ha condotto al censimento ICT AgIDv aiuta a capirne meglio il senso e anche, in mancanza di indicazioni chiare, a darsi una risposta in autonomia.

Come anche indicato nelle risposte fornite da Agid e DTD, il censimento origina da una vecchia disposizione di legge, l’ormai mitico art. 33-septies del decreto-legge 18 ottobre 2012 (!), n. 179, rubricato come “Consolidamento e razionalizzazione dei siti e delle infrastrutture digitali del Paese”. Riporto qui l’art. 1-bis, che è attinente al caso trattato:

 “Le amministrazioni locali […], nel rispetto dei principi di efficienza, efficacia ed economicità dell’azione amministrativa, migrano i loro Centri per l’elaborazione delle informazioni (CED) e i relativi sistemi informatici, privi dei requisiti fissati dal regolamento di cui al comma 4, verso l’infrastruttura di cui al comma 1 o verso altra infrastruttura già esistente in possesso dei requisiti fissati dallo stesso regolamento di cui al comma 4. Le amministrazioni locali, in alternativa, possono migrare i propri servizi verso soluzioni cloud nel rispetto di quanto previsto dal regolamento di cui al comma 4.”

In parole povere la norma prevede una migrazione dei CED non in possesso dei requisitifissati (attualmente dal Regolamento ACN n. 21007/24). Il successivo comma 1-ter è quello che prevede che Agid, in collaborazione con il DTD realizzi un censimento triennale dei datacenter, sostanzialmente mirato ad individuare quelli oggetto di dismissione:

“L’Agenzia per l’Italia digitale (AgID), effettua con cadenza triennale, […], il censimento dei Centri per l’elaborazione delle informazioni (CED) della pubblica amministrazione di cui al comma 2 e, d’intesa con la competente struttura della Presidenza del Consiglio dei ministri, […], definisce nel Piano triennale per l’informatica nella pubblica amministrazione la strategia di sviluppo delle infrastrutture digitali delle amministrazioni […], e la strategia di adozione del modello cloud per la pubblica amministrazione, alle quali le amministrazioni si attengono. […]”

Ma la cosa più interessante è che al comma 2 è definito cosa si intende, almeno relativamente all’applicazione di questa norma, per CED. Da notare inoltre che nella normativa non si parla di Datacenter, termine che in qualche modo potrebbe richiamare particolari infrastrutture fisiche, ma più propriamente di CED (Centri Elaborazione Dati). Se nel censimento si fosse adottata la stessa terminologia forse avremmo avuto minori difficoltà interpretative.

Ecco cosa si intende per CED:

“Con il termine CED è da intendere il sito che ospita uno o più sistemi informatici atti alla erogazione di servizi interni alle amministrazioni pubbliche e servizi erogati esternamente dalle amministrazioni pubbliche che al minimo comprende risorse di calcolo, apparati di rete per la connessione e sistemi di memorizzazione di massa.”

Definizione questa che fin da subito scioglierebbe ogni dubbio riguardo al nostro caso e che, onestamente, non si capisce come mai non si sia adottata, come avrebbe dovuto essere, nel censimento.

La storia della razionalizzazione e dismissione dei CED della PA, della migrazione in cloud e dei PSN è ondivaga e confusa (ne ho scritto più approfonditamente qui). Ma al nostro scopo basta sapere che l’ultimo censimento effettuato nel 2018 censì TUTTI i CED delle PA, senza distinzioni, e che quelli rappresentati qui nel nostro caso trovarono tutti collocazione nel gruppo B, soggetti a dismissione immediata.

Da quanto risulta da questa disamina si capisce molto meglio quale sia il contesto di questo censimento e il suo scopo e si ricava anche, con certezza, la risposta al nostro quesito: quei datacenter (CED) vanno censiti – perché lo furono anche nei precedenti censimenti e comunque rientrano nell’ambito della norma di riferimento.

Non solo, quei datacenter sono ancora oggetto di migrazione in cloud e di fatto da dismettere.

Non vanno censiti solo i datacenter (che a questo punto datacenter non sono) che contengano solo apparati di rete e in generale infrastrutture tecniche che non eroghino nessun tipo di servizio e non gestiscano nessun dato/documento. In altre parole, quelli in cui la migrazione al cloud sia effettivamente completa.

Per essere ancora più espliciti, potranno ancora essere presenti dei server, ad esempio dei primary domain controller o anche delle NAS che ad esempio servano da cache per servizi cloud.

Perché il censimento ICT AgID è decisivo per la migrazione cloud

Forse vi chiederete per quale motivo essere così attenti a questo censimento ed in particolare a questo caso.

Oltre a rappresentare un caso diffusissimo la cui corretta trattazione è prerequisito per rendere significativo il censimento, vi sono diversi e non meno importanti motivi per cui è necessario fare chiarezza:

• un corretto rilevamento dei CED esistenti, specie di quelli qui oggetto di discussione, è fondamentale per capire quanto realmente la migrazione in cloud avvenuta tramite il finanziamento PNRR di cui all’Avviso 1.2 abbia concorso a ridurne il numero e in sostanza sia stata efficace;
• censire queste strutture è fondamentale per far capire come queste debbano in realtà essere dismesse. Non è una questione da poco: la migrazione in cloud è stata fortemente voluta e pubblicizzata proprio con la promessa di ridurre i costi di gestione delle infrastrutture ICT. Laddove questa migrazione non venisse completata, come è nella maggior parte dei casi, non solo non si risparmia, al contrario, rimanendo di fatto la stessa infrastruttura come prima della migrazione dei gestionali in cloud, non si fa che raddoppiare i costi. Perché il costo del cloud non è compensato dal risparmio ottenuto eliminando i costi delle strutture interne (spesso vedo incrementi in spesa corrente elevatissimi, anche nell’ordine del 70-100%, decisamente insostenibili e al momento tamponati con i residui delle somme lump-sum erogate attraverso il PNRR).
• evitare speculazioni di fornitori scaltri che, terminati i progetti PNRR e consapevoli della presenza dei residui, hanno convinto i comuni che per mettersi in regola in ambito cybersecurity, NIS ecc. ecc. avrebbero dovuto sostituire tutti i server e le relative dotazioni software, proprio quelle cose che invece andavano dismesse migrandole totalmente in cloud; è un fenomeno molto diffuso che vedo con una frequenza allarmante, a volte condotto, ironia della sorte, utilizzando proprio le risorse finanziarie originariamente ottenute come finanziamento per la migrazione in cloud.

Una questione terminologica: Datacenter o CED?

Al di là di altre considerazioni rimarchiamo quanto l’uso poco preciso o aderente al senso comune dei termini, sia alla base della maggior parte dei fraintendimenti che hanno reso problematico il questionario.

Perché usare Datacenter quando la legge parla espressamente di CED e ne dà una definizione molto più precisa? L’uso del termine scorretto cambia radicalmente il senso del censimento stesso e anche, per chi lo compila, la comprensione del dettato normativo.

La stessa definizione di Datacenter, data sulle caratteristiche che un vero datacenter dovrebbe avere è fuorviante. E fa pensare, erroneamente, che le infrastrutture non a norma non siano datacenter e quindi non siano oggetto di censimento e migrazione.

Nel censimento poi si ritrovano definizioni di termini che non rispecchiano affatto il loro significato comune. Il già citato termine “servizio informatizzato” definito come “il servizio che utilizza strumenti informatici, ma non piattaforme digitali dedicate. Rientrano in questa categoria anche strumenti di base come i fogli elettronici (ad esempio Excel) o i documenti di testo (ad esempio Word)”, è ben lontano, come si può verificare consultando qualsiasi vocabolario, dal suo significato comunemente accettato. L’uso che se ne fa è davvero deprecabile. E fa anche un po’ arrabbiare quelli che, come per chi scrive, per anni hanno speso tempo e risorse per informatizzare la PA. Se si voleva rimarcare la differenza fra informatizzazione e digitalizzazione, si poteva fare molto meglio.

L’uso del termine ha poi una ricaduta pratica, perché dalle domande successive si potrebbe dedurre che mentre i servizi digitalizzati sono necessariamente da migrare in cloud, quelli informatizzati possono non esserlo …ma è davvero così? La norma non fa affatto questa distinzione.

La stessa definizione di “servizio” e il suo voler ricondurre tutto a questo è come minimo opinabile e non aiuta a fare chiarezza.

Riassumendo, quali datacenter devono quindi essere censiti?

Con queste considerazioni si spera di aver fatto chiarezza su come comportarsi nel rispondere al censimento quando ci si trova di fronte ad un caso come quello descritto, tipico di migliaia di PA.

La risposta non può che essere un netto sì. Con annessa la consapevolezza di essere in presenza di un’infrastruttura che, seguendo il dettato normativo (che può piacere o meno) andrebbe, almeno al netto di oggettive difficoltà tecniche (es. una connettività insufficiente) migrata totalmente. Anche per evitare di accollarsi costi per una doppia infrastruttura, locale e cloud. Nonché a mettere in guardia le piccole amministrazioni a diffidare da proposte che, con scuse varie, mirano a investire su apparati che in linea di massima non dovrebbero più esistere e che generano costi duplicati.

La corretta compilazione del censimento ICT AgID assume quindi un valore che va ben oltre il semplice adempimento amministrativo.