La sicurezza pubblica non si compra con requisiti generici.
Di Luca Leccisotti
Nel nuovo Codice dei contratti pubblici la costruzione dei requisiti di partecipazione non può più essere letta solo attraverso la lente del massimo ampliamento formale della platea dei concorrenti. Il favor partecipationis resta un valore essenziale, ma non è un feticcio. Quando l’appalto ha ad oggetto servizi tecnologici che incidono sulla sicurezza urbana, sulla protezione dei dati personali, sulla gestione di immagini, sulla continuità operativa, sull’interoperabilità con sale operative e sulla cybersicurezza di infrastrutture pubbliche, la stazione appaltante non solo può, ma deve selezionare operatori realmente qualificati. Una gara per videosorveglianza comunale non può essere costruita come un acquisto indistinto di telecamere. È un affidamento tecnologico complesso, collocato all’incrocio tra Codice dei contratti pubblici, sicurezza urbana, privacy, cybersecurity, infrastrutture digitali e disciplina settoriale sui servizi cloud della pubblica amministrazione.
Il parere di precontenzioso ANAC n. 103/2026 offre una chiave interpretativa di grande rilievo per questo tipo di affidamenti. L’Autorità ha chiarito che le stazioni appaltanti possono inserire nella lex specialis requisiti speciali ulteriori rispetto a quelli tipizzati dall’art. 100 del d.lgs. 36/2023, anche se particolarmente selettivi, quando tali requisiti trovino fondamento in una normativa speciale, siano pertinenti e proporzionati rispetto all’oggetto dell’appalto e risultino funzionali al conseguimento del risultato pubblico. Il caso esaminato riguardava servizi tecnologici in modalità cloud e requisiti come certificazioni ISO/IEC 27001, 27017, 27018 e qualificazione ACN del servizio cloud SaaS. Ma il principio ha ricadute dirette sulle gare di videosorveglianza e sicurezza pubblica, perché anche qui la prestazione non è meramente hardware, ma coinvolge sistemi informativi, dati, reti, conservazione, accessi, continuità, tracciabilità e sicurezza delle informazioni.
Il punto da cui partire è l’art. 100 del Codice. La norma tipizza i requisiti di ordine speciale, riconducendoli all’idoneità professionale, alla capacità economico-finanziaria e alla capacità tecnico-professionale, e impone che essi siano attinenti e proporzionati all’oggetto dell’appalto. Il comma 12, tuttavia, fa salve le ipotesi previste da leggi speciali. Questa clausola di salvaguardia è decisiva. Essa impedisce di trasformare la tassatività dei requisiti in una gabbia incapace di dialogare con settori ad alta specializzazione. Quando una disciplina speciale impone standard tecnici, qualificazioni, certificazioni o requisiti di sicurezza, la stazione appaltante può recepirli come condizioni di partecipazione, non limitarsi a considerarli elementi premiali o condizioni eventuali di esecuzione.
Il ragionamento è particolarmente evidente negli appalti di videosorveglianza. Un sistema comunale moderno non si esaurisce nella fornitura di telecamere, pali, staffe, monitor e registratori. Esso comprende dispositivi di acquisizione video, software di gestione, apparati di rete, sistemi di registrazione, eventuali piattaforme cloud, storage, credenziali di accesso, profili autorizzativi, log, cifratura, manutenzione, assistenza, aggiornamenti, sicurezza fisica e logica, integrazione con centrali operative, possibile lettura targhe, interoperabilità con sistemi di polizia locale e, talvolta, collegamenti con altri soggetti istituzionali nell’ambito di patti per la sicurezza. Parlare di “gara per telecamere” è, quindi, una semplificazione pericolosa. L’oggetto reale è una infrastruttura pubblica di sicurezza tecnologica.
In questo contesto, i requisiti speciali non possono essere generici. Richiedere una mera iscrizione camerale coerente, qualche fornitura analoga e un fatturato minimo può non essere sufficiente, soprattutto quando l’affidamento comprende software, cloud, gestione immagini, manutenzione evolutiva e misure di cybersecurity. La stazione appaltante deve chiedersi quali competenze siano effettivamente necessarie per evitare che il sistema, pur formalmente installato, sia fragile, non conforme, non interoperabile, esposto ad accessi indebiti, carente sotto il profilo privacy o incapace di garantire continuità operativa. Il principio del risultato, codificato dall’art. 1 del Codice, impone di guardare alla prestazione utile e sicura, non al mero completamento della procedura.
La lezione del parere ANAC n. 103/2026 è proprio questa: la concorrenza non coincide con l’ammissione indiscriminata di operatori non qualificati. La concorrenza serve a selezionare l’operatore migliore tra soggetti idonei, non a imporre alla stazione appaltante di abbassare artificiosamente gli standard tecnici in nome di una partecipazione meramente numerica. Nei settori tecnologici e sensibili, la qualità dell’operatore è parte dell’interesse pubblico. Se l’appalto riguarda un sistema che tratta dati della pubblica amministrazione, immagini di cittadini, flussi informativi e componenti digitali, la stazione appaltante può legittimamente pretendere certificazioni e qualificazioni coerenti con la normativa di settore.
Nel caso della videosorveglianza comunale, il primo blocco normativo da considerare è quello della sicurezza urbana. Il decreto-legge n. 14/2017, convertito dalla legge n. 48/2017, ha rafforzato il ruolo degli enti locali nelle politiche integrate di sicurezza urbana, valorizzando anche strumenti pattizi e sistemi di videosorveglianza nell’ambito del controllo del territorio e della prevenzione dei fenomeni di illegalità. I patti per l’attuazione della sicurezza urbana, stipulati con il coinvolgimento delle Prefetture, possono costituire la cornice strategica entro la quale il Comune decide di potenziare o realizzare impianti di videosorveglianza. Ma quella cornice non sostituisce la gara. Serve a definire l’interesse pubblico e gli obiettivi di sicurezza; la lex specialis deve poi tradurre tali obiettivi in requisiti tecnici, prestazionali e giuridici coerenti.
Il secondo blocco è quello privacy. Un sistema di videosorveglianza comporta trattamento di dati personali, perché le immagini possono identificare persone fisiche direttamente o indirettamente. Ne discende l’applicazione del Regolamento UE 2016/679, del Codice in materia di protezione dei dati personali e delle indicazioni del Garante. La stazione appaltante deve assicurare che il sistema sia progettato e gestito secondo principi di liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione, limitazione della conservazione, integrità, riservatezza e accountability. Non è un tema separato dalla gara. È un contenuto dell’appalto. Il fornitore deve essere in grado di realizzare un sistema tecnicamente compatibile con tali principi.
Questo significa che la lex specialis può e deve prevedere requisiti e condizioni coerenti: esperienza specifica in sistemi di videosorveglianza per pubbliche amministrazioni; competenze documentate in progettazione, installazione e manutenzione di sistemi video; capacità di configurare profili autorizzativi e log di accesso; misure di cifratura e segregazione degli ambienti; procedure per la gestione degli incidenti; capacità di supportare l’amministrazione nella redazione delle informative e nella configurazione dei tempi di conservazione; eventuale esperienza in DPIA quando il trattamento lo richieda; disponibilità a essere nominato responsabile del trattamento ove tratti dati per conto dell’ente. Tali elementi non sono orpelli. Sono parte della corretta esecuzione del contratto.
Il terzo blocco è quello della cybersicurezza. Se il sistema di videosorveglianza è collegato a reti comunali, utilizza piattaforme cloud, consente accesso remoto, integra software di gestione centralizzata o conserva immagini su infrastrutture digitali, la sicurezza informatica diventa elemento essenziale della prestazione. È qui che il principio affermato da ANAC sul cloud assume piena rilevanza. Le certificazioni ISO/IEC 27001, relative ai sistemi di gestione della sicurezza delle informazioni, e ISO/IEC 27017 e 27018, riferite ai controlli di sicurezza per servizi cloud e alla protezione dei dati personali nel cloud, possono essere richieste quando l’oggetto dell’appalto rende tali standard pertinenti e proporzionati. Analogamente, ove la soluzione offerta preveda servizi cloud destinati alla pubblica amministrazione, la qualificazione ACN diventa un requisito strettamente connesso alla normativa speciale in materia di cloud della PA.
Il Regolamento ACN per le infrastrutture digitali e i servizi cloud della pubblica amministrazione, adottato con Decreto direttoriale n. 21007/2024, si inserisce in un quadro volto a garantire che le amministrazioni utilizzino infrastrutture e servizi qualificati secondo livelli di affidabilità, sicurezza, resilienza e controllo coerenti con la criticità dei dati e dei servizi pubblici. La stazione appaltante che acquista un sistema di videosorveglianza con componenti cloud non può ignorare questo quadro. Se la piattaforma di gestione video, l’archiviazione, la consultazione o la conservazione delle immagini avvengono tramite servizi cloud, la lex specialis deve governare il tema della qualificazione, della localizzazione e gestione dei dati, dei livelli di servizio, della sicurezza e della conformità alla disciplina ACN.
Il quarto blocco è quello del Codice dell’amministrazione digitale, che impone alle pubbliche amministrazioni di gestire i sistemi informativi e i servizi digitali secondo criteri di sicurezza, interoperabilità, affidabilità, accessibilità, continuità e protezione dei dati. Anche se la gara è formalmente per una fornitura o un servizio di videosorveglianza, la componente digitale non può essere considerata accessoria quando incide sulla gestione del sistema. La lex specialis deve prevedere requisiti coerenti con l’architettura digitale dell’ente, evitando soluzioni proprietarie chiuse, prive di interoperabilità, non documentate o non governabili dall’amministrazione.
Il quinto blocco è la normativa sugli impianti e sulla regolare esecuzione. Un sistema di videosorveglianza comprende spesso installazioni fisiche, cablaggi, alimentazioni, apparati, pali, opere accessorie e collegamenti. L’operatore deve possedere abilitazioni, competenze e capacità coerenti con la natura delle prestazioni. La stazione appaltante deve distinguere correttamente tra lavori, servizi e forniture, verificare se vi siano prestazioni accessorie di posa in opera, manutenzione, configurazione o assistenza, e costruire i requisiti in modo proporzionato rispetto alla componente prevalente e alle prestazioni secondarie. Anche qui la genericità è pericolosa: una gara scritta come semplice fornitura di telecamere può rivelarsi inadeguata se, in realtà, l’appalto richiede progettazione esecutiva, installazione, integrazione software, manutenzione e gestione dati.
Ne deriva un principio operativo: nei bandi di videosorveglianza e sicurezza pubblica i requisiti speciali devono essere costruiti a partire dal rischio. La stazione appaltante deve chiedersi quali rischi l’appalto deve presidiare. Rischio di installazione non conforme. Rischio di accessi abusivi alle immagini. Rischio di perdita o alterazione dei dati. Rischio di indisponibilità del sistema. Rischio di fornitore non qualificato sul cloud. Rischio di mancata interoperabilità. Rischio di non conformità privacy. Rischio di dipendenza tecnologica da soluzioni proprietarie. Rischio di mancata manutenzione. Rischio di contestazioni sulla sicurezza urbana. I requisiti non devono essere costruiti per restringere il mercato, ma per governare tali rischi.
In questa prospettiva, la stazione appaltante può prevedere requisiti di capacità tecnico-professionale quali l’esecuzione di servizi analoghi di videosorveglianza urbana o sistemi di sicurezza pubblica presso enti pubblici; esperienza nella realizzazione di sistemi integrati con sale operative; possesso di personale tecnico certificato o qualificato sulle tecnologie offerte; disponibilità di un centro di assistenza con tempi di intervento coerenti con la criticità del servizio; certificazioni di qualità e sicurezza informatica pertinenti; qualificazione ACN per i servizi cloud eventualmente impiegati; procedure documentate di gestione degli incidenti; capacità di garantire manutenzione preventiva, correttiva ed evolutiva; esperienza nella configurazione di sistemi conformi alla disciplina privacy. Ciascun requisito, però, deve essere motivato, proporzionato e collegato all’oggetto.
Il confine tra requisito legittimo e clausola restrittiva illegittima passa proprio da qui. È legittimo chiedere ISO/IEC 27001 se l’appalto comporta gestione di informazioni e sicurezza dei sistemi. È legittimo chiedere requisiti cloud se il sistema si basa su piattaforma SaaS o storage remoto. È legittimo pretendere esperienze analoghe in videosorveglianza urbana se il servizio richiede conoscenza di contesti pubblici, sale operative e gestione di immagini in ambito comunale. È invece problematico chiedere certificazioni sproporzionate rispetto a una mera fornitura di pochi apparati non connessi; pretendere fatturati enormi non giustificati; richiedere esperienze identiche e non analoghe; imporre marchi o soluzioni proprietarie; estendere requisiti indistintamente a tutti i componenti di un RTI quando sarebbe sufficiente una ripartizione coerente con le prestazioni assunte da ciascun operatore.
Il tema dei raggruppamenti temporanei è rilevante. Nelle gare tecnologiche complesse, la partecipazione in RTI può favorire l’integrazione tra competenze diverse: impiantistica, software, cybersecurity, cloud, manutenzione, privacy, formazione. La stazione appaltante deve quindi evitare di costruire requisiti in modo tale da impedire, senza adeguata ragione, la partecipazione aggregata. Se una certificazione riguarda la gestione cloud, può essere ragionevole richiederla al soggetto che eroga o gestisce il servizio cloud, non necessariamente a tutti i componenti del raggruppamento. Se un requisito riguarda l’installazione impiantistica, deve gravare sull’operatore che esegue quella parte. Se riguarda la sicurezza delle informazioni dell’intero sistema, occorre valutare se e come debba essere posseduto dal mandatario o dal soggetto responsabile della componente digitale. La proporzionalità deve essere applicata anche nella distribuzione interna dei requisiti.
Il principio del risultato non autorizza requisiti arbitrari, ma consente requisiti esigenti. Questa distinzione è fondamentale. La stazione appaltante non può scrivere una lex specialis per favorire un operatore già conosciuto o una tecnologia predeterminata. Non può trasformare la cybersicurezza in un pretesto per blindare la gara. Deve, però, poter chiedere standard elevati quando l’oggetto lo richiede. In un appalto di videosorveglianza per sicurezza urbana, il risultato non è installare telecamere al prezzo più basso. Il risultato è realizzare un sistema sicuro, conforme, utilizzabile, manutenibile, interoperabile e difendibile sotto il profilo giuridico. Se per ottenere questo risultato servono requisiti tecnici qualificati, la lex specialis deve prevederli.
La stessa valutazione del criterio di aggiudicazione deve essere coerente. Per sistemi di videosorveglianza complessi, l’offerta economicamente più vantaggiosa è spesso il modello più adeguato, perché consente di valutare qualità tecnica, architettura di sistema, sicurezza informatica, manutenzione, tempi di intervento, interoperabilità, formazione del personale, gestione privacy, livelli di servizio e sostenibilità complessiva. Il prezzo più basso, se applicato a prestazioni tecnologiche complesse, rischia di comprimere gli elementi qualitativi e di produrre affidamenti apparentemente convenienti ma fragili. Quando però la stazione appaltante sceglie criteri qualitativi, deve costruirli con precisione, evitando punteggi generici o valutazioni impressionistiche.
Un capitolato serio dovrebbe distinguere almeno tra requisiti di partecipazione, requisiti di esecuzione e criteri premiali. I requisiti di partecipazione servono a selezionare operatori idonei. I requisiti di esecuzione definiscono obblighi che l’affidatario deve rispettare durante il contratto. I criteri premiali valorizzano offerte migliori rispetto al minimo richiesto. Confondere questi piani genera contenzioso. Se uno standard è indispensabile per eseguire legittimamente il servizio, può essere requisito di partecipazione o condizione essenziale di esecuzione. Se invece rappresenta un miglioramento non necessario, può diventare criterio premiale. Nel dubbio, la stazione appaltante deve motivare perché colloca quel determinato elemento in una categoria piuttosto che in un’altra.
Nel caso della videosorveglianza, ad esempio, la qualificazione ACN può essere requisito di partecipazione se l’oggetto dell’appalto comprende un servizio cloud che deve essere erogato alla PA secondo normativa speciale. La certificazione ISO/IEC 27001 può essere requisito di capacità tecnica se l’intera prestazione implica gestione strutturata della sicurezza delle informazioni. La disponibilità di funzionalità avanzate, come analytics, dashboard evolute o integrazioni ulteriori, può essere criterio premiale se non indispensabile. La formazione minima degli operatori della Polizia Locale può essere requisito di esecuzione, mentre una formazione aggiuntiva può essere elemento premiale. La differenza non è accademica: incide sulla legittimità della gara.
Particolare attenzione merita anche il rapporto tra videosorveglianza e Polizia Locale. La struttura di Polizia Locale definisce il fabbisogno operativo: aree da presidiare, finalità di sicurezza urbana, esigenze di controllo del territorio, priorità funzionali, modalità di utilizzo del sistema, rapporti con la sala operativa e con gli altri soggetti istituzionali. L’Area tecnica e il RUP traducono tale fabbisogno in progetto, capitolato e lex specialis. Il DPO presidia la conformità privacy. L’eventuale progettista esterno esperto può supportare la definizione dell’architettura tecnica. I requisiti di gara devono nascere da questa istruttoria integrata, non da un preventivo commerciale di un fornitore. Un preventivo di telecamere non è un progetto di videosorveglianza; allo stesso modo, un elenco di prodotti non è una lex specialis.
La stazione appaltante dovrebbe quindi costruire la gara con una metodologia precisa. Prima, atto di indirizzo e programmazione strategica sulla sicurezza urbana, ove necessario, con eventuale raccordo con patti per la sicurezza e finanziamenti. Secondo, documento di fabbisogno della Polizia Locale. Terzo, analisi tecnica dell’infrastruttura esistente. Quarto, valutazione privacy e cybersecurity. Quinto, progettazione tecnica e capitolato prestazionale. Sesto, definizione motivata dei requisiti speciali, distinguendo quelli imposti da normativa speciale da quelli derivanti dalla discrezionalità tecnica dell’amministrazione. Settimo, scelta della procedura e del criterio di aggiudicazione. Ottavo, disciplina della fase esecutiva, con collaudo, verifica di conformità, manutenzione, monitoraggio e gestione degli incidenti.
Un format di requisiti per una gara di videosorveglianza potrebbe prevedere, in termini generali e da adattare al caso concreto, alcuni nuclei essenziali.
a) Requisiti di idoneità professionale coerenti con l’attività di installazione, configurazione, manutenzione e gestione di sistemi di sicurezza, reti e impianti tecnologici.
b) Requisiti di capacità tecnico-professionale fondati su servizi analoghi in ambito pubblico o su sistemi di videosorveglianza urbana, con attenzione alla dimensione, complessità e continuità del servizio.
c) Certificazioni di sicurezza informatica, come ISO/IEC 27001, quando il sistema implica gestione di informazioni, software, reti, credenziali e accessi.
d) Certificazioni o qualificazioni cloud, inclusa qualificazione ACN, quando la soluzione prevede servizi cloud destinati alla pubblica amministrazione.
e) Competenze documentate in protezione dei dati personali, configurazione degli accessi, log, conservazione delle immagini, misure di sicurezza e supporto alla compliance privacy.
f) Requisiti organizzativi di assistenza, manutenzione e reperibilità, proporzionati alla criticità del sistema e agli obiettivi di sicurezza urbana.
g) Obblighi di esecuzione relativi a collaudo, formazione, documentazione tecnica, manuali, credenziali amministrative, aggiornamenti, gestione vulnerabilità, penali e livelli di servizio.
h) Presidi anti lock-in, interoperabilità e disponibilità della documentazione tecnica necessaria a evitare dipendenza ingiustificata da un unico fornitore.
Questo schema non deve diventare un modello rigido. Ogni requisito va calibrato sull’appalto concreto. Una piccola fornitura di apparati non richiede lo stesso livello di requisiti di una piattaforma cittadina integrata con cloud, lettura targhe, storage remoto e sala operativa. La proporzionalità resta il criterio guida. Ma proporzionalità non significa minimalismo. Significa adeguatezza del requisito rispetto al rischio e alla prestazione.
In conclusione, il parere ANAC n. 103/2026 segna un passaggio importante per tutte le gare tecnologiche della pubblica amministrazione e, in particolare, per quelle di videosorveglianza e sicurezza urbana. La stazione appaltante può introdurre requisiti speciali anche stringenti quando una normativa settoriale lo giustifica e quando la prestazione richiede standard elevati. Il nuovo Codice non chiede amministrazioni deboli, costrette a comprare sistemi sensibili con requisiti generici per paura del contenzioso. Chiede amministrazioni capaci di motivare, proporzionare e difendere tecnicamente le proprie scelte.
La videosorveglianza pubblica non è un acquisto da scaffale. È una infrastruttura di sicurezza, un trattamento di dati personali, un sistema digitale e un presidio operativo per il territorio. Per questo la lex specialis deve essere scritta con competenza. Requisiti speciali, certificazioni, qualificazioni cloud, standard di cybersecurity, esperienza specifica e obblighi di compliance non sono ostacoli alla concorrenza quando sono pertinenti e proporzionati. Sono il modo con cui la concorrenza viene indirizzata verso operatori realmente idonei. Perché nella sicurezza pubblica il mercato va aperto, ma non abbassando le difese dell’amministrazione.
