Bando di gara per procedura aperta per l'acquisto di servizi di sicurezza per il csirt regionale della durata di 48 mesi

DESCRIZIONE PUBBLICA

Descrizione completa del bando

La Regione del Veneto ha indetto una procedura aperta telematica, ai sensi dell’art. 71 del D.Lgs. 36/2023, per l’acquisto di servizi integrati di cybersicurezza a supporto del CSIRT Regionale e degli Enti appartenenti alla relativa Constituency. L’appalto, della durata complessiva di 48 mesi, è suddiviso in due lotti e prevede una gestione “chiavi in mano” ed End-to-End di persone, processi e piattaforme. Il Lotto 1, di importo a base di gara pari a € 4.043.970,51 IVA esclusa, riguarda i servizi di governance, controllo, supporto normativo e reperibilità in caso di crisi. Il Lotto 2, di importo pari a € 20.214.960,12 IVA esclusa, comprende SOC, incident management, cyber threat intelligence, vulnerability management, gestione del rischio, Third Party Risk Management, business continuity, disaster recovery, formazione e security awareness. I servizi sono destinati agli Enti pubblici e agli altri soggetti della Constituency del CSIRT regionale, comprendente strutture sanitarie e sociali, enti pubblici regionali strumentali, società a partecipazione regionale maggioritaria, il Consiglio regionale del Veneto e ulteriori enti autorizzati. La procedura mira a rafforzare la resilienza cibernetica, l’allineamento alla direttiva NIS2 e alla normativa nazionale ed europea, il monitoraggio di infrastrutture on-premise e cloud, la gestione coordinata degli incidenti e la continuità operativa. Sono previste attività di threat intelligence, SOC con impiego dell’intelligenza artificiale, automazione SOAR, vulnerability assessment su larga scala fino a 13.000 indirizzi IP annui, penetration test, purple teaming, gestione degli SBOM, DevSecOps, sicurezza della supply chain, TPRM e campagne di phishing etico. Il contratto prevede un periodo iniziale di subentro e presa in carico non retribuito di 3 mesi, seguito da 45 mesi di erogazione dei servizi, oltre alle attività di trasferimento del know-how a fine fornitura. L’aggiudicazione avviene con il criterio dell’offerta economicamente più vantaggiosa, sulla base del miglior rapporto qualità/prezzo, con un massimo di 80 punti per l’offerta tecnica e 20 per quella economica. I fornitori devono rispettare specifici requisiti tecnici e organizzativi, tra cui la qualificazione ACN almeno di livello AC1 per i servizi da remoto e cloud e le certificazioni UNI EN ISO 9001 e UNI EN ISO 27001 negli ambiti pertinenti.