Che verifica di sicurezza chiede il capitolato: CHECK, ITHC e PTaaS

CHECK, ITHC, PTaaS, CREST e Cyber Essentials non sono cinque livelli dello stesso incarico, ma cinque oggetti diversi. Come capire quale di essi i documenti di gara chiedono davvero, e se riguarda Lei.

Lei apre i documenti di gara, trova nel capitolato tecnico la sezione sulla sicurezza e vi legge cinque nomi: CHECK, ITHC, PTaaS, CREST e Cyber Essentials Plus. Accanto stanno le parole «audit di sicurezza» e «penetration test», scritte come se fossero i gradi dello stesso incarico — dal più economico al più caro.

Non sono gradi, ma cinque oggetti diversi, che rispondono a cinque domande diverse: chi può testare, che cosa si fa con una rete concreta, come si fattura il test, se il fornitore stesso ha messo in ordine la propria infrastruttura, e se il sistema è conforme a una norma. Un’offerta che ne confonde due promette ciò che non si può promettere, oppure paga per ciò che non era richiesto.

Questo articolo non vende CHECK, ed è onesto dirlo subito: non siamo partecipanti allo schema CHECK, e questo testo non lo afferma. Spiega che cosa i documenti di gara chiedono davvero, perché Lei possa capire se La riguardano — e soltanto se il requisito si rivela una verifica ordinaria di sicurezza di un sito web, indica il nostro audit di sicurezza.

Il prezzo qui non differisce di una percentuale, ma di diverse volte: un’offerta che risponde a Cyber Essentials e una che risponde a un penetration test completo di un sistema a più ruoli sono due budget, e il committente che li mette nella stessa tabella confronta ciò che non si può confrontare. Così il concorrente che legge il requisito un grado più in alto di come è scritto perde la gara con un’offerta corretta, soltanto inutilmente cara.

Cinque nomi che non sono cinque livelli dello stesso incarico

• CHECK — schema per imprese del Centro nazionale britannico per la sicurezza informatica (NCSC). Stabilisce chi può testare i sistemi del settore pubblico e delle infrastrutture critiche, e in quale forma va redatto il report.
• ITHC — un incarico di verifica con un perimetro concreto, richiesto per il collegamento alla rete della pubblica amministrazione britannica. È un incarico, non uno schema.
• CREST — associazione internazionale di settore, con status di membro ed esami. Non è un sinonimo di CHECK, e proprio questa confusione è la più frequente nelle offerte.
• PTaaS — penetration testing as a service, ossia un modello di consegna e di fatturazione: piattaforma, abbonamento, reperti più frequenti. Non dice nulla su chi testa e secondo quale norma.
• Cyber Essentials e Cyber Essentials Plus — certificazione dei cinque controlli di base del fornitore stesso, non del sistema che viene consegnato.

Tutti e cinque sono strumenti britannici o internazionali, e nessuno esiste nella normativa italiana: è la prima cosa da tenere a mente quando in un capitolato italiano ne compare uno.

CHECK è uno schema per imprese, non un metodo di test

CHECK è uno schema gestito dall’NCSC, nel quale viene ammessa un’impresa, non un metodo che qualunque esecutore potrebbe applicare. Le indicazioni NCSC per i committenti prevedono che il lavoro lo esegua un partecipante allo schema, che il gruppo sia guidato da un CHECK Team Leader e vi lavori un CHECK Team Member, che queste persone abbiano un’abilitazione britannica di sicurezza del personale, e che il report sia redatto nel formato dello schema; sotto un determinato livello di classificazione, una copia arriva all’NCSC. CHECK non è qualcosa che si «soddisfa» con un test di qualità sufficiente: l’impresa o è nello schema o non lo è, e nessuna metodologia nell’offerta sostituisce questo fatto. Non è neppure una legge: l’NCSC lo scrive come indicazioni dello schema, e per la rete della pubblica amministrazione britannica è una delle vie riconosciute, non un requisito di un articolo.

Più importante del contenuto dello schema è a chi CHECK è destinato, e l’NCSC lo scrive senza giri di parole: è costruito per l’amministrazione centrale, per gli enti del settore pubblico e per le infrastrutture critiche. Per i sistemi dell’amministrazione centrale che trattano dati con una determinata classificazione e oltre, l’NCSC raccomanda di affidare la valutazione a un partecipante allo schema; per gli altri enti pubblici lo raccomanda vivamente; per un’organizzazione che non è né settore pubblico né infrastruttura critica, l’NCSC stessa rinvia alle indicazioni ordinarie per l’affidamento, non a CHECK. Per un’impresa privata che offre a un committente commerciale, CHECK non è un obiettivo a cui tendere. È l’ordine interno del settore pubblico di un altro Stato, e menzionarlo in un’offerta commerciale indica più spesso che il nome è stato ricopiato, non che il lavoro sarà migliore.

ITHC è un incarico per una rete concreta

ITHC — IT Health Check — è ciò che un ente britannico deve avere per collegarsi, o restare collegato, alla rete della pubblica amministrazione. Le indicazioni di supporto del Cabinet Office del 2022, alle quali il processo di collegamento si richiama ancora, descrivono il perimetro minimo: verifica dall’esterno e dall’interno, nella parte interna con scansione e analisi manuale su tutto l’ambiente; negli ambienti grandi è ammesso un campione, e allora non inferiore a un decimo. Il processo di conformità chiede che il report non sia più vecchio di un anno e non sia già stato usato in una precedente domanda di collegamento. L’italiano non ha un termine proprio, e inventarlo non serve: il calco della metafora medica inglese non spiega nulla. È più preciso tenere ITHC e spiegare una volta che si tratta della verifica di sicurezza del collegamento a una rete concreta.

Il perimetro è descritto in modo assai più dettagliato di quanto di solito arrivi in un’offerta. Nella parte esterna si verificano i servizi raggiungibili da internet (posta, web, firewall), l’accesso remoto e i collegamenti di terze parti. Nella parte interna, accanto alla scansione, è richiesta un’analisi manuale, nonché la configurazione delle postazioni e dei server, lo stato delle patch, le reti wireless e il gateway di collegamento. Negli ambienti grandi è ammesso il campione, ed è lì che compare quel decimo che nelle offerte tende a sparire. Anche il risultato ha dei requisiti: numero, tipo e gravità dei reperti in un riepilogo comprensibile, per quanto possibile con un punteggio base CVSS. Questi numeri sono il requisito ITHC del Cabinet Office per una rete concreta — non è né una norma CHECK né una norma italiana, e non è corretto riportarli in una gara italiana come metro generale di qualità.

Tre nomi che più spesso si confondono con CHECK

Gli altri tre nomi compaiono nei capitolati accanto a CHECK come se ne fossero varianti, e ciascuno risponde a un’altra domanda: chi ha esaminato la persona, come il lavoro viene consegnato e pagato, se il fornitore stesso ha messo in ordine la propria infrastruttura. Proprio questi tre producono la maggior parte delle offerte scritte male.

CREST non è CHECK

Questo è l’errore più diffuso e insieme la differenza più utile che questo articolo possa dire, perché cambia il contenuto dell’offerta: CREST è un’associazione con status di membro ed esami, CHECK è lo schema NCSC con una propria adesione e ruoli propri. CREST stessa lo descrive come un percorso distinto — il suo certificato può essere uno dei modi in cui una persona dimostra la competenza, ma da ciò non segue che l’impresa sia partecipante a CHECK. Nel confronto delle offerte la conseguenza è semplice: se i documenti di gara chiedono CHECK, un certificato CREST non soddisfa il requisito, e viceversa — se chiedono CREST, l’adesione a CHECK è più di quanto era chiesto, e per questo, con ogni probabilità, si è pagato troppo.

PTaaS è un modello di fatturazione, non uno schema

PTaaS descrive come il servizio viene consegnato e pagato: una piattaforma con cruscotto, un abbonamento, reperti che compaiono in continuazione, e una nuova verifica dopo le correzioni. Le descrizioni di settore lo formulano come modello di consegna, e lì non c’è né un requisito di qualificazione né un’autorità che lo approvi. Alla domanda «se PTaaS soddisfa un requisito CHECK o ITHC» la risposta non è «sì» o «no»: è una domanda su due oggetti diversi. Un modello di fatturazione non può soddisfare un requisito su chi può testare e secondo quale metodologia; se nel capitolato stanno entrambi, vanno letti separatamente: uno dice il requisito di competenza, l’altro come il lavoro è organizzato nel tempo.

Cyber Essentials verifica il fornitore, non ciò che viene fornito

Cyber Essentials è una certificazione di cinque controlli di base nell’infrastruttura del fornitore stesso, e la versione Plus vi aggiunge una verifica con strumenti standard. Il certificato si rinnova una volta all’anno, e l’indicazione di politica sugli appalti PPN 014 la collega alla sicurezza della catena di fornitura. Da qui il confine che nelle offerte si supera spesso: Cyber Essentials Plus non è il penetration test che il capitolato chiedeva sul sistema da realizzare. È un’attestazione sui computer e sugli account del fornitore, quindi un’impresa può essere certificata Cyber Essentials Plus e consegnare un sistema che non è mai stato testato.

Tre affermazioni alle quali non conviene credere

Intorno a questi nomi si è formato uno strato di affermazioni ricopiate da una descrizione di servizio all’altra, e le tre più diffuse sono o false o superate: conviene leggerle accanto a ciò che la fonte dice davvero.

«CHECK lo impone la legge britannica.» Nessuna legge nomina CHECK, e l’NCSC usa le parole «dovrebbe» e «raccomandiamo vivamente»; anche il manuale dei servizi digitali britannici ammette un livello equivalente. L’unico punto in cui il requisito è rigoroso sono le condizioni di collegamento a una rete concreta, e anche lì lo schema è una delle vie riconosciute.

«Per diventare partecipante a CHECK, l’impresa deve prima essere accreditata CREST.» Era vero per un percorso di ammissione più vecchio e viene ancora ripetuto nei testi dei fornitori, ma nello standard più recente dello schema, a livello di impresa, è chiesto altro. Resta in parte vero per le persone, perché un esame CREST può essere una delle prove di competenza sotto il relativo titolo professionale. Proprio questa differenza tra livello di impresa e livello di persona è quella che gli annunci tacciono.

«Senza CHECK non si possono testare i sistemi pubblici britannici.» Il confine giuridico non lo traccia lo schema, ma l’autorizzazione: l’accesso non autorizzato a un sistema informatico è un reato, che il tester sia nello schema o no — in Italia, l’accesso abusivo di cui all’articolo 615-ter del codice penale. CHECK è la politica del committente su a chi affidare il lavoro, non un sostituto dell’autorizzazione, e queste due domande conviene tenerle distinte. Il significato pratico è che l’autorizzazione scritta serve sempre, anche quando nessuno schema e nessuna norma la chiedono espressamente.

Che cosa chiedono davvero i documenti di gara italiani

In Italia conviene prima capire da dove nasce un requisito del genere, perché la risposta non sta dove di solito la si cerca: il Codice dei contratti pubblici disciplina la procedura, la trasparenza, la parità di trattamento e ciò che rientra nelle specifiche tecniche, ma non nomina né il penetration test, né CHECK, né ITHC, né PTaaS. Neppure l’articolo 87 del Codice, che indica il contenuto del disciplinare e del capitolato speciale, prevede un tipo concreto di verifica di sicurezza. Il requisito sta nei documenti di gara perché il committente lo ha scritto lui — di solito perché ha un obbligo che viene da un’altra parte. La domanda giusta non è «che cosa chiede il Codice dei contratti», ma «quale obbligo ha il committente, e se con questo contratto viene trasferito a me».

Quando esiste, questo obbligo lo creano il decreto legislativo 4 settembre 2024, n. 138 e la determinazione dell’Agenzia per la Cybersicurezza Nazionale (ACN) n. 379907 del 19 dicembre 2025. Il decreto, che recepisce la direttiva (UE) 2022/2555, non nomina il penetration test. A nominarlo è l’allegato 2 della determinazione, misura ID.RA-01, e soltanto per i soggetti essenziali: per almeno i sistemi informativi e di rete rilevanti, periodicamente e comunque prima della messa in esercizio, vanno eseguite attività di identificazione delle vulnerabilità che comprendano almeno un vulnerability assessment e/o un penetration test. Gli articoli 35 e 37 prevedono inoltre che l’Autorità possa intimare audit o scansioni di sicurezza, da svolgere da organismi indipendenti. Più in dettaglio sul lavoro in sé è scritto in un articolo a parte su che cos’è un penetration test.

In Italia non c’è un CHECK a cui iscriversi

Questa è la differenza che spiega la maggior parte dei malintesi intorno a CHECK, ed è scritta nella norma: il decreto n. 138 e le misure ACN nominano l’attività, non uno schema di imprese a cui iscriversi, e lo formulano attraverso l’organismo o la persona che esegue il lavoro. La prima via, quando l’Autorità intima un audit o una scansione ai sensi degli articoli 35 e 37, sono organismi indipendenti. La seconda, nella gara ordinaria, è l’articolo 100 del Codice dei contratti, che consente alla stazione appaltante di chiedere capacità tecniche e professionali proporzionate all’oggetto — di solito i certificati o l’esperienza delle persone nominate nell’offerta, non l’adesione a uno schema britannico.

La seconda via si divide secondo chi è il committente. A un sito aziendale ordinario, che non è soggetto essenziale NIS e non rientra nel Perimetro di sicurezza nazionale cibernetica, nessuna legge italiana elenca chi può testare. Se il committente è un soggetto essenziale, le misure ACN riguardano i suoi sistemi rilevanti, non uno schema a cui il concorrente dovrebbe iscriversi. Se il sistema appartiene a un soggetto del Perimetro, sulle forniture ICT interviene in più il Centro di Valutazione e Certificazione Nazionale (CVCN), e quella è un’altra procedura. Lì non c’è uno schema di imprese di tipo CHECK, né un registro di adesione, né un elenco di ditte accreditate per i penetration test a cui unirsi. In Italia non c’è un CHECK a cui iscriversi, e l’elenco di certificati che compare nei capitolati — CEH e OSCP, di solito — è un esempio del committente, non un elenco chiuso di legge. Per un’impresa che offre a un capitolato italiano, va dimostrata la qualificazione e l’indipendenza delle persone nominate, non lo status della ditta.

Che cosa inserire nell’offerta

Dal fatto che in Italia non c’è un CHECK a cui iscriversi segue anche ciò che l’offerta deve dimostrare, e una descrizione generale dell’impresa qui non aiuta; aiuta il certificato o la descrizione di esperienza della persona nominata, e l’attestazione di indipendenza dallo sviluppo e dalla manutenzione di quel sistema. Se nel gruppo ci sono più tester, conviene dire chi di loro soddisfa quale condizione, perché il committente deve poterlo verificare senza leggere tra le righe.

Conviene anche non scambiare un elenco di esempi per un requisito chiuso: i certificati nominati nei capitolati sono esempi, e un altro certificato internazionalmente riconosciuto di penetration test soddisfa il requisito altrettanto bene quando il documento dice «o equivalente»; due anni di esperienza negli ultimi cinque, se il capitolato li ammette come via autonoma, restano una via autonoma e equivalente. Un’offerta che lo spiega in un paragrafo agevola la valutazione più di una pila di copie di certificati senza spiegazione.

L’audit di conformità non è un penetration test neanche in Italia

Accanto al penetration test, nelle misure ACN e nei capitolati, sta l’audit di conformità, e sono due incarichi con due metri diversi. Il penetration test cerca fino a dove arriva un aggressore; l’audit di conformità verifica se il sistema e i processi sono conformi a una norma, e il risultato è un giudizio di conformità, non un elenco di debolezze tecniche.

Lo mostrano nel modo più chiaro i requisiti di qualificazione, scritti in modo diverso nei due casi: a chi deve eseguire un penetration test si nominano come esempi certificati come CEH e OSCP, ossia di tecnica d’attacco; per l’audit di conformità se ne nominano di tutt’altro tipo — certificati di gestione e di audit. Se nel capitolato è chiesto un insieme di certificati, ma è descritto il contenuto dell’altro incarico, è una contraddizione, di cui conviene accorgersi prima dell’offerta, perché di solito significa che il committente stesso non ha ancora deciso che cosa sta comprando.

Negli altri Paesi ci sono strumenti propri

L’Italia non ha un CHECK proprio, ma diversi Paesi europei hanno le proprie risposte alla stessa domanda, e se Lei legge un capitolato in un’altra lingua, trovarvi CHECK sarebbe altrettanto sospetto che in uno italiano. In Francia l’Agenzia nazionale per la sicurezza dei sistemi informativi qualifica i prestatori di audit di sicurezza, e questa qualificazione copre cinque attività di audit, tra le quali i penetration test sono un’attività distinta, accanto all’audit di architettura, di configurazione, del codice sorgente e organizzativo. Un capitolato francese tende a nominare un’attività concreta, non l’intera qualificazione in blocco, e il concorrente deve leggere quale delle cinque è chiesta.

In Spagna lo schema nazionale di sicurezza chiede un audit di sicurezza almeno ogni due anni per i sistemi di categoria superiore, e le indicazioni metodologiche distinguono l’audit tecnico, in cui il gruppo lavora davvero sul sistema, dall’audit di conformità, che si basa su interviste e prove. L’audit di conformità può chiedere di esibire un report precedente di penetration test, ma non diventa esso stesso tale. In entrambi i casi la conclusione è la stessa che in Italia: il nome appartiene a un Paese concreto, e trasferito su un altro mercato non significa più nulla.

Se nel capitolato c’è comunque scritto «CHECK»

Se in un capitolato italiano compaiono CHECK, ITHC o Cyber Essentials, ci sono due spiegazioni credibili, e conviene distinguerle prima di scrivere l’offerta. La prima è che il committente è davvero un acquirente britannico o lavora con un sistema britannico, e allora il requisito è genuino, riguarda un partecipante allo schema e per la maggior parte degli esecutori italiani non è soddisfacibile. La seconda — e in pratica la più frequente — è che la specifica è stata presa da un modello inglese, e l’autore non si è accorto di aver copiato lo strumento di un altro Paese.

Li si distinguono dal resto del documento: se accanto stanno rinvii al decreto n. 138 o al Codice dei contratti, si tratta di un obbligo italiano e CHECK vi è arrivato per errore. Questo conviene porlo come quesito al committente nella fase dei chiarimenti di gara, non indovinarlo nell’offerta, perché la risposta cambia sia il prezzo sia se Lei può concorrere affatto.

Che cosa significa la parola «equivalente»

In molti capitolati accanto al nome dello schema sta la clausola «o equivalente», ed è il paragrafo più importante di tutta la sezione sulla sicurezza, perché decide se Lei può concorrere. Il problema è che «equivalente» nei documenti è di rado definito, e perciò significa cose diverse a seconda di chi lo legge.

In pratica l’onere della prova passa al concorrente: Lei deve mostrare in che senso ciò che offre è equivalente. La risposta non è il nome di un certificato, ma un confronto tratto per tratto — chi testa e con quale qualificazione, se le vulnerabilità trovate vengono sfruttate, quale è il perimetro, quale è la forma del report e se dopo le correzioni c’è una nuova verifica. Se questi tratti coincidono, l’equivalenza è descrivibile; se ne differisce anche uno solo di sostanziale, è più onesto dirlo che sperare che nessuno confronti. L’assenza della clausola «o equivalente» è un segnale altrettanto chiaro nell’altra direzione: un capitolato che chiede un solo schema estero concreto, senza alternativa, restringe la platea a poche imprese, ed è una domanda che conviene porre al committente prima di dare per scontato che non si possa partecipare.

Per quanto tempo il report resta valido

I termini nei capitolati compaiono in tre modi, che vengono da posti del tutto diversi e non sono intercambiabili: nel collegamento alla rete della pubblica amministrazione britannica il report non può essere più vecchio di un anno e non si può riusare nella domanda successiva. In Italia le misure ACN, per i sistemi rilevanti dei soggetti essenziali, legano il termine al ciclo di vita del sistema, chiedendo la verifica periodicamente e comunque prima della messa in esercizio; in un contratto commerciale il termine è quello che le parti hanno scritto, e se ne può convenire.

In tutti e tre i casi il solo termine di calendario non basta, perché il report di un penetration test descrive un sistema concreto in una data concreta: dopo un cambiamento sostanziale — una nuova integrazione, un nuovo schema di ruoli o la ricostruzione del flusso dei pagamenti — il report invecchia più in fretta di quanto faccia il tempo. Per questo sia i termini normativi sia gli standard di settore, accanto all’intervallo, di solito nominano anche il cambiamento.

In pratica significa due cose, che nell’offerta conviene scrivere separatamente. In primo luogo, dire con chiarezza a quale versione o rilascio del sistema il report si riferisce, perché è questo che in seguito decide se un reperto è nuovo. In secondo luogo, convenire a parte una nuova verifica dopo le correzioni, perché un reperto che è stato corretto e un reperto che qualcuno pensa sia stato corretto differiscono.

Come leggere il requisito prima di preparare l’offerta

In pratica bastano quattro domande, poste in un ordine fisso, perché ciascuna successiva ha senso soltanto quando la precedente ha risposta. La prima è quale sistema viene verificato — quello che si consegna, o quello del fornitore stesso, e questa sola domanda separa Cyber Essentials da tutto il resto, quindi conviene cominciare da lì. La seconda è se il requisito nomina lo status dell’esecutore o la qualificazione di una persona concreta: lo status punta quasi sempre a uno schema estero, la qualificazione all’articolo 100 del Codice dei contratti, ed è il confine tra un requisito che un’impresa italiana può soddisfare e uno che non può. La terza è se le vulnerabilità trovate vanno sfruttate, perché se sì si tratta di un penetration test, mentre se basta un elenco di reperti è una scansione, che costa tutt’altri soldi. La quarta è a quale norma il committente si richiama, e se a nessuna, allora il requisito è una sua scelta, e sul perimetro si può parlare.

Come appare in pratica, si vede meglio in una formulazione tipica: «Il concorrente deve assicurare un audit di sicurezza del sistema conforme a CHECK o a una metodologia equivalente.» La prima domanda risponde subito — il sistema verificato è quello che si consegna, quindi Cyber Essentials non si applica. La seconda mostra che è nominato lo status dell’esecutore, ed è uno schema estero. La terza resta senza risposta, perché «audit» non dice se le vulnerabilità verranno sfruttate. La quarta è decisiva: se più avanti nel documento non c’è rinvio a nessuna norma, il requisito è una scelta del committente, «o equivalente» è una porta aperta, e la domanda da porre è una sola — se le vulnerabilità trovate vanno sfruttate. Se le risposte nel capitolato non ci sono, conviene chiederle per iscritto, e non è una formalità: un capitolato che nomina uno schema ma non dice il perimetro produce offerte inconfrontabili, ed è una perdita del committente, non del concorrente.

Quando si rivela una verifica ordinaria di sicurezza del sito

In una parte dei casi, soprattutto nelle gare più piccole, dietro tutti questi nomi sta un bisogno assai più semplice: il committente vuole sapere se il suo sito web o la sua applicazione è sicuro prima della messa in esercizio. Lì non c’è un sistema rilevante NIS, né la rete della pubblica amministrazione britannica, né un requisito di catena di fornitura — c’è soltanto il desiderio di non mettere in esercizio qualcosa che viene compromesso nel primo mese.

Questo confine conviene riconoscerlo con onestà anche dal lato dell’esecutore, non soltanto da quello del committente. Se il capitolato chiede davvero l’adesione a uno schema estero, la risposta giusta è non partecipare, o partecipare in partnership con chi l’adesione ce l’ha — non descrivere la propria metodologia in modo che assomigli. La commissione di valutazione se ne accorge, e il danno di reputazione è più alto di una gara persa.

Proprio in questo caso ha senso il nostro audit di sicurezza, nel quale c’è spazio anche per una verifica manuale con autorizzazione scritta. Non è CHECK, non è ITHC e non viene spacciato per tale; è il lavoro che risponde alla domanda che è stata posta davvero. Se Lei ha i documenti di gara sul tavolo e non è chiaro in quale di queste categorie cadono, ci invii la sezione sulla sicurezza del capitolato, e Le diremo quale strumento vi è nominato — anche quando la risposta è che non è un lavoro per noi.