Chiedo gentilmente un chiarimento su "Il luogo di erogazione del servizio è situato presso i CED in Arsenale e alle bocche di porto lagunari." E' da intendersi con presenza in loco, oppure è possibile proporre l'offerta con servizio di assistenza da remoto, o anche in modalità ibrida con alcuni interventi in presenza combinati con servizio da remoto.
Al fine di poter formulare l'offerta economica, è necessario conoscere l'orario di lavoro e il numero di ore settimanali.
Considerando che l'affidamento avverrà dopo il giorno 01/09, si chiede gentilmente di specificare la data di inizio e conclusione del servizio.

Il capitolato riporta "3. Ritardi nella gestione delle incombenze relative all’allineamento normativo che portino a sanzioni al Gestore MOSE, verrà applicata una penale pari alla sanzione ricevuta. "
A tal proposito si chiede gentilmente conferma se il Gestore Mose è soggetto importante o essenziale NIS 2, e se l'allineamento normativo deve avvenire entro il 31 ottobre 2026.
Considerata l'imminente scadenza, è necessario stabilire quali politiche e procedure sono già ultimate indicando il riferimento alle misure tecniche di base riportate all'indirizzo https://www.acn.gov.it/portale/nis/modalita-specifiche-base .

Si richiedono i seguenti chiarimenti:
1. Data di avvio — Il documento indica come periodo base 01/09/2026 – 31/12/2026, mentre il termine per la presentazione delle offerte è l'11/09/2026: la data di inizio è quindi anteriore alla scadenza della procedura. Si chiede di confermare se si tratti di un refuso e di comunicare l'effettiva data di avvio del servizio.


2. Importo e proroga — Si chiede di confermare se il corrispettivo massimo di € 60.000 indicato al p. 4 sia riferito al solo periodo base ovvero comprenda anche l'eventuale proroga fino al 30/06/2027; in caso di proroga, di precisarne le modalità di remunerazione (medesimo rateo mensile o importo aggiuntivo).


3. Modalità di erogazione — Preso atto del luogo di erogazione indicato al p. 2.4, si chiede di precisare il modello di presenza richiesto: se sia prevista presenza on-site continuativa ovvero attivabile su richiesta, e se le attività di analisi, qualificazione e advisory possano essere erogate prevalentemente da remoto.


4. Ambito Perimetro — Considerata l'inclusione dell'infrastruttura nel Perimetro di Sicurezza Nazionale Cibernetica, si chiede di precisare: (i) se il perimetro operativo (reti, sistemi e servizi ICT oggetto del servizio) e la relativa classificazione degli incidenti applicabile saranno resi disponibili all'aggiudicatario, anche in regime di riservatezza/NDA; (ii) se gli adempimenti verso il CVCN per l'approvvigionamento di beni e servizi ICT rientrino nell'ambito del servizio; (iii) se sarà resa disponibile la baseline delle misure di sicurezza di riferimento adottata dal Gestore.


5. Contesto SOC esistente — Rilevato che il documento presuppone strumenti e fornitori già presenti (p. 2.1 e p. 3.1), si chiede di indicare se sia già operativo un Fornitore SOC e quali piattaforme (SIEM/SOAR e strumenti di sicurezza) siano in esercizio, nonché quali interfacce, accessi e livelli di autorizzazione saranno resi disponibili al Fornitore.


6. Penali — imputabilità — Con riferimento alle penali di cui alla sezione 5, si chiede di confermare che si applichino esclusivamente ai ritardi imputabili al Fornitore e in rapporto di causa diretta con le attività di propria competenza (analisi, verifica, classificazione ed escalation), con esclusione delle concause e delle fasi di esecuzione, contenimento e ripristino in capo a terzi (Fornitore SOC, Incident Response, Gestore MOSE).


7. Penali — massimale e quantificazione — Si chiede l'introduzione di un massimale complessivo alle penali, commisurato all'importo contrattuale, e l'indicazione dei criteri di determinazione dell'"importo di ripristino del sistema" e dei "costi di sollevamento" di cui alla sezione 5, trattandosi di importi non predeterminati.


8. Dimensionamento delle attività on-demand — Ai fini del dimensionamento di un servizio a prezzo fisso, si chiede di fornire una stima dei volumi attesi (numero indicativo di eventi/incidenti e di richieste on-demand su base mensile) e/o l'eventuale tetto di ore o giornate previsto.


9. Livelli di servizio — Si chiede di indicare se siano richiesti livelli di servizio minimi (es. tempi massimi di presa in carico ed escalation) e i relativi valori, in quanto correlati all'applicazione delle penali.


10. Documentazione di offerta — Preso atto che il p. 2.2 invita a proporre il modello di servizio e considerato il criterio del minor prezzo, si chiede di precisare se sia richiesta e valutata anche una relazione tecnica (e con quale eventuale peso) ovvero la sola offerta economica, e quale set documentale e formato siano previsti.


11. Orario di servizio e reperibilità — Si chiede di precisare la finestra di copertura richiesta per le attività on-demand e per il supporto agli incidenti (es. orario lavorativo 8×5 ovvero reperibilità H24×7), tenuto conto che il mancato sollevamento del MOSE di cui alla sezione 5 può verificarsi in qualsiasi fascia oraria.


12. Fatturazione e pagamenti — Si chiede di precisare le modalità di corresponsione del corrispettivo (canone mensile per le attività continuative e/o consuntivo per le attività on-demand), i termini di pagamento e l'eventuale articolazione in stati di avanzamento.


13. Garanzie — Si chiede di precisare se, trattandosi di affidamento diretto, sia richiesta la prestazione di una garanzia definitiva e/o di una garanzia provvisoria, ovvero se ne sia previsto l'esonero.


14. Coperture assicurative — Si chiede di indicare se il contratto preveda specifiche coperture assicurative a carico dell'affidatario (es. responsabilità civile professionale) e i relativi massimali minimi.


15. Requisiti del personale — Considerata la natura di infrastruttura critica inclusa nel Perimetro e l'accesso ai CED e agli ambienti OT, si chiede di precisare se, per il personale impiegato, sia richiesto il possesso di nulla osta di sicurezza (NOS), verifiche dei precedenti o altri requisiti di idoneità all'accesso.


16. Perimetro delle attività VA/PT — Il p. 3.2.4 richiama remediation derivanti da vulnerability assessment e penetration test: si chiede di confermare se l'esecuzione di tali attività rientri nell'oggetto del servizio ovvero sia svolta da terzi, con il presente servizio limitato al governo delle relative remediation.


17. Strumenti di ticketing/GRC — Si chiede di indicare se sia resa disponibile una piattaforma (ticketing/GRC) per la registrazione centralizzata di remediation ed eccezioni di cui ai p. 3.2.4 e 3.2.5, ovvero se debba essere fornita dall'affidatario.

In allegato le richieste di chiarimenti

Il §4 indica la decorrenza del servizio dal 01/09/2026, data anteriore al termine di presentazione delle offerte (11/09/2026). Si chiede di confermare la reale data di avvio del servizio e se la durata contrattuale resti di 4 mesi pieni.Si chiede di fornire dati volumetrici storici indicativi: numero medio di alert gestiti al mese, numero di incidenti gestiti su base annua, numero di asset ed endpoint monitorati, numero di utenze.Si chiede di indicare le piattaforme di sicurezza già in uso (SIEM, SOAR, EDR/XDR, ticketing, strumenti GRC e di vulnerability management) e di confermare che licenze e accessi siano forniti dalla Stazione Appaltante senza oneri per il Fornitore.Il servizio SOC attualmente in essere è gestito internamente o affidato a un fornitore terzo? Si chiede di indicare i soggetti con cui il Fornitore dovrà interfacciarsi e il relativo modello di interazione.Con riferimento agli ambienti OT presso le bocche di porto, si chiede di indicare la tipologia dei sistemi (SCADA, PLC, sistemi di controllo), il soggetto che ne cura la gestione e il livello di accesso previsto per il Fornitore.Si chiede di confermare che le attività di Incident Response in senso proprio (contenimento, eradicazione, forensics) siano escluse dal perimetro, essendo previsto al §3.1.4 il solo affiancamento fino al passaggio all'Incident Response.Si chiede di indicare se siano già disponibili policy, procedure operative, risk register, esiti di vulnerability assessment/penetration test e gap assessment NIS2 da cui il servizio dovrà partire.Si chiede di quantificare la presenza on-site richiesta presso i CED in Arsenale e presso le bocche di porto (giornate/mese o percentuale di attività) e di indicare se le trasferte siano da intendersi incluse nel corrispettivo o rimborsate separatamente.Il §7 prevede che i requisiti di ordine speciale, di capacità economico-finanziaria e tecnico-professionale "saranno oggetto di successiva definizione". Si chiede di confermare che, ai fini della presente presentazione di offerta, siano richiesti i soli requisiti di cui ai §§7.1 e 7.2, senza requisiti di fatturato minimo, servizi analoghi o certificazioni.Considerato che il servizio ha natura di supporto e affiancamento, mentre le decisioni operative restano in capo al Gestore MOSE e agli altri fornitori, si chiede di confermare l'esclusione della responsabilità del Fornitore per scelte, ritardi o omissioni non riconducibili alla propria sfera di controllo.

I chiarimenti forniti sono discordanti:

Al quesito 1 del 27/08/2026 18:59 avete risposto:
Inizio del servizio: non appena si chiude l’affidamento, conclusione al momento 31/12/26.

Va bene offerta in modalità ibrida, è da considerarsi prevalente l’assistenza in sito, può essere quotata l’assistenza da remoto, con quotazioni economiche diversificate.

mentre al quesito 1. Data di avvio (del 01/09/2026 18:28)
"Si devono considerare 4 mesi dalla data di affidamento" e al quesito 3. Modalità di erogazione avete risposto:
Prevalentemente da remoto

In merito alla procedura in oggetto, con la presente si intende sottoporre all'attenzione di codesta Spett.le Stazione Appaltante rilevanti profili di difformità giuridica e tecnico-operativa presenti al Capitolo 5 del Capitolato Tecnico, richiedendo un tempestivo intervento in sede di autotutela amministrativa.

Il Capitolo 5 prevede penali commisurate al "costo di ripristino del sistema", ai "costi vivi sostenuti per approntare un sollevamento mai verificato" e alla "traslazione integrali di eventuali sanzioni ricevute dal Gestore". Tali previsioni violano norme imperative e inderogabili dell'ordinamento dei contratti pubblici:

L'art. 126, comma 1 del D.Lgs. n. 36/2023 stabilisce inderogabilmente che "le penali dovute per il ritardato adempimento sono calcolate in misura giornaliera compresa tra lo 0,5 per mille e l'1 per mille dell'ammontare netto contrattuale [...] e non possono comunque superare complessivamente il 10 per cento di detto ammountare netto contrattuale". L'Art. 5 del capitolato ignora del tutto il tetto massimo del 10% (che nell'appalto specifico corrisponderebbe al limite massimo di € 6.000,00).

Prevedere l'addebito di penali potenzialmente milionarie a fronte di un importo massimo a base d'asta di € 60.000 si pone in aperto contrasto con il principio del risultato e dell'equità negoziale (art. 9 D.Lgs. 36/2023).

Il Capitolato definisce l'oggetto della prestazione in termini di mero "supporto operativo", "affiancamento" ed "assistenza" (Paragrafi 2.1, 3.1, 3.2).

La Penale n. 3 prevede la traslazione sul fornitore delle sanzioni amministrative ricevute dal Gestore MOSE. Si evidenzia che ai sensi del D.L. 105/2019 e del D.Lgs. 138/2024, la responsabilità amministrativa, istituzionale e penale per l'adeguamento e per le notifiche agli organi statali (ACN / CSIRT Italia) ricade ex lege ed in via esclusiva ed inderogabile sugli organi istituzionali del Soggetto Perimetro (Gestore MOSE).

Tali responsabilità di legge non sono giuridicamente trasferibili né traslabili su un soggetto esterno privato incaricato di svolgere attività di mero affiancamento e consulenza.

Il fornitore opera in regime di affiancamento "on demand" rispetto ad architetture complesse e soggetti terzi preesistenti (IT, OT, fornitori del SOC primario di prima linea, fornitori tecnologici). Attribuire la responsabilità esclusiva del guasto o del mancato sollevamento delle paratie al "ritardo nell'analisi di un alert" in capo al consulente di supporto viola i principi generali del nesso causale e della responsabilità contrattuale.

Tutto ciò premesso, si chiede formalmente a codesta Spett.le Stazione Appaltante di voler agire in via di autotutela, modificando o rettificando il Capitolo 5 del Capitolato Tecnico conformemente all’ art. 126 del D.Lgs. 36/2023, prevedendo espressamente l'ammontare massimo delle penalità definendo le regole di applicazione dei ritardi e specificando che la penale complessiva non potrà in alcun caso superare il 10% dell'importo contrattuale (€ 6.000,00). E’ richiesta l’eliminazione della Penale n. 3, risultando inapplicabile la rivalsa automatica per sanzioni amministrative ed istituzionali comminate da ACN, le cui responsabilità di legge rimangono in capo al Soggetto Perimetro/Gestore.

In attesa di riscontro tempestivo, essenziale per la formulazione di un'offerta sostenibile e conforme alle normative vigenti, si porgono distinti saluti.

A seguito delle modifiche apportate all'art. 5, evidenziamo che la nuova formulazione continua a non essere in linea con il Codice dei Contratti Pubblici.
La normativa sugli appalti prevede un quadro molto chiaro: la Stazione Appaltante può scegliere di non applicare penali oppure, se decide di inserirle, deve farlo seguendo rigorosamente l'art. 126 del D.Lgs. 36/2023.
Questo articolo stabilisce che le penali debbano essere calcolate su base giornaliera in proporzione al ritardo, entro il tetto massimo del 10% dell'importo netto contrattuale.
Sostituire la penale con una richiesta generica di risarcimento danni, senza criteri definiti e senza un limite massimo, non rispetta quanto previsto dal Codice.
Trattandosi di una gara aggiudicata con il criterio del minor prezzo, il capitolato dovrebbe definire in modo preciso e inequivocabile tutte le caratteristiche minime del servizio, mentre l'attuale documentazione lascia ampi margini di incertezza e non definisce chiaramente i livelli prestazionali richiesti, come confermato dai numerosi quesiti inviati dai concorrenti e dalle risposte fornite che spesso producono maggiore incertezza.
Alla luce di ciò, auspichiamo al ritiro della procedura e della riformulazione, riconducendo le penali nei limiti dell'art. 126 e integrando i documenti di gara con le specifiche tecniche minime necessarie per garantire la corretta partecipazione ed esecuzione dell'appalto.