Regole Tecniche per le Piattaforme di Approvvigionamento Digitale (PAD)

Con la Determinazione n. 267/2025 del 31 dicembre 2025, l’Agenzia per l’Italia Digitale (AgID) ha approvato le nuove regole tecniche per le Piattaforme di Approvvigionamento Digitale (PAD), come disposto dall’art. 26 del Codice dei Contratti pubblici.

Le PAD sono definite come l’insieme dei servizi e dei sistemi informatici, interconnessi e interoperanti, utilizzati dalle stazioni appaltanti e dagli enti concedenti per svolgere una o più attività del ciclo di vita dei contratti pubblici (di norma programmazione, progettazione e pubblicazione, affidamento ed esecuzione) e per l’interazione con la Banca Dati dei contratti pubblici.

In base all’art. 26 del Codice dei Contratti pubblici, AgID è incaricata di stabilire – d’intesa con l’Autorità Nazionale Anticorruzione (ANAC), il Dipartimento per la Trasformazione Digitale (DTD) e l’Agenzia per la Cybersicurezza Nazionale (ACN) – le modalità di certificazione dei requisiti tecnici delle PAD, sulla base di specifici criteri individuati dall’Agenzia stessa.

Tra i destinatari delle Regole tecniche, il primo è il Gestore PAD: il soggetto che garantisce il funzionamento e la sicurezza della piattaforma, assicurandone la conformità alle Regole tecniche e alla normativa vigente in materia di protezione dei dati personali.
Il Gestore PAD può coincidere con la stazione appaltante, l’ente concedente, la centrale di committenza, il soggetto aggregatore, la regione o la provincia autonoma responsabile della PAD, oppure essere un soggetto terzo da questi incaricato.

Come indicato al capitolo 4 delle Regole tecniche, “la certificazione delle Piattaforme di Approvvigionamento Digitale si basa su principi generali ispirati agli standard internazionali di settore e ha tra i suoi obiettivi principali, la verifica della conformità alle specifiche tecniche definite per l’interoperabilità con le piattaforme nazionali (PDND, BDNCP). Questo processo si basa su:

• Requisiti specifici funzionali, di interoperabilità e di sicurezza
• Modalità di test e verifica basate sugli standard internazionali di settore, per garantire trasparenza, affidabilità e replicabilità dei risultati
• Coinvolgimento di soggetti terzi accreditati, per condurre verifiche imparziali e oggettive.”

I requisiti richiesti al gestore PAD sono articolati in quattro classi:

• Classe 1: requisiti funzionali generali previsti all’articolo 22, comma 2, del Codice (Classe 1) e specificati nel paragrafo 3.3.1 delle Regole tecniche
• Classe 2: requisiti funzionali specifici, dettagliati al paragrafo 3.3.2
• Classe 3: requisiti di interoperabilità, specificati nel paragrafo 3.3.3
• Classe 4: requisiti di procedure end-to-end.

AgID ha definito delle checklist – contenute nell’Allegato 2 alle Regole tecniche – per disciplinare puntualmente le attività di verifica.

Il rispetto dei requisiti di Classe 4, in particolare, è soggetto alla valutazione di un organismo di valutazione della conformità accreditato ai sensi della UNI CEI EN ISO/IEC 17065, che accerta la corretta esecuzione dei test delle procedure end-to-end previste, in dettaglio, nella checklist di cui al paragrafo 2.4 dell’Allegato 2.

Con la verifica dei requisiti di Classe 4, sono accertati anche i corrispondenti requisiti di Classe 1 e 2 e il possesso delle attestazioni, rilasciate da ANAC, per i requisiti di Classe 3.

I requisiti di accreditamento specifici degli organismi di valutazione della conformità e le relative modalità operative, come le regole per il rilascio, mantenimento, rinnovo, sospensione, revoca e il contenuto del certificato di terza parte, saranno stabiliti da Accredia di concerto con AgID.

Particolarmente rilevanti, infine, sono le disposizioni transitorie, in base alle quali:

“La verifica del possesso dei titoli che prevede il coinvolgimento degli organismi di valutazione accreditati (CAB) è effettuata, fino alla piena operatività degli stessi e all’avvio delle conseguenti attività di verifica, con le seguenti modalità:

1. per le richieste di nuove certificazioni, i Gestori PAD dichiarano il possesso dei requisiti di Classe 1 e Classe 2 mediante un’autodichiarazione, secondo il modello definito da AgID basato sulle checklist di cui all’Allegato 2
2. per le certificazioni in scadenza nel 2026, entro 30 giorni dall’entrata in vigore delle Regole tecniche, i Gestori PAD devono trasmettere ad AgID l’elenco dettagliato e la pianificazione temporale degli eventuali interventi che si impegnano ad implementare gradualmente entro i successivi 180 giorni per garantire la piena conformità delle PAD alle presenti Regole tecniche.

La trasmissione degli elenchi e piani di cui al punto b) determina il rinnovo delle certificazioni già ottenute fino all’avvio delle attività di verifica da parte dei CAB, fatte salve le eventuali verifiche intermedie sulle autodichiarazioni di cui al punto a) e la documentazione di cui al punto b) che AgID, ANAC, DTD e ACN si riservano di valutare”.