111) Art.8 punto D (ambiente, sostenibilità e governance) è da intendersi caratteristica minima della gara? pertanto, se non si soddisfano è da ritenersi motivo di esclusione?

112) Art.8 punto D (ambiente, sostenibilità e governance) XXX è soggetta a direzione e coordinamento di YYY e quest’ultima è certificata ESG. Possiamo beneficiare senza contratto di avvalimento della certificazione di cui sopra essendo XXX partecipata da YYY? In caso, è sufficiente produrre copia della visura camerale?

113) Art.8 paragrafo “ avvalimento premiale” si intende avvalimento misto (formale e operativo) ovvero le risorse umane oggetto di avvalimento possono essere risorse operative che lavorano effettivamente al progetto?

114) Art.11 paragrafo “applicazione CCNL diverso rispetto a quello della stazione appaltante” si fa riferimento al punto 1 del disciplinare stesso ma non troviamo l’indicazione

115) Art.11 paragrafo “deposito cauzionale provvisorio” è da versare? se sì in che modalità e importo in quanto nello schema di contratto servizi si fa riferimento alla sola garanzia definitiva ( art. 7 schema di contratto servizi)

116) Come devono essere indicate nell’organigramma e nella dichiarazione della busta amministrativa ( art. 7.1 requisito minimo tecnico del disciplinare di gara) le figure tecniche che si rifanno ai servizi professionali erogati dai Vendor tecnologici di cybersecurity ( a titolo esemplificativo: servizi acquistati da XXXX e utilizzati ai fini dell’erogazione del servizio come parte del team di lavoro)?

117) Art.7 garanzia definitiva non essendo indicate le modalità di calcolo dell’importo relativo, trattasi di una % sul valore del contratto? Se sì, possiamo avere l’indicazione % ?

21) In attesa di ricevere da parte dei clienti le fatture quietanzate con firma autografa, chiediamo se possono essere accettati i seguenti documenti così composti: fattura con relativa contabile di avvenuto pagamento da home banking e a supporto, eventuale, ordine/offerta accettata dal cliente.

Tale richiesta si rende necessaria in considerazione del fatto che la restituzione delle fatture firmate non dipende dalla nostra organizzazione e può richiedere tempistiche non prevedibili.

1) Si chiede di specificare in modo puntuale quale sia esattamente lo schema certificativo previsto per la conformità a IEC 62443, indicando:

a) se si intende adottare uno schema di certificazione esistente e formalizzato da ente terzo (es. ISA Secure o altro schema accreditato) oppure uno schema proprietario/ibrido;

b) e la certificazione richiesta debba riguardare: l’intera infrastruttura OT ATM come “sistema unico”, una o più zone logiche/fisiche selezionate, specifici sistemi/impianti, oppure singoli componenti;

c) se il riferimento a IEC 62443-3-3 SLT=3 debba essere inteso come requisito per un singolo sistema target (System Under Consideration – SUC) o per una famiglia di SUC analoghi;

se siano già disponibili, o meno, linee guida o documentazione del certificatore che definiscano formalmente lo schema di certificazione applicabile al caso ATM


2) Si chiede di chiarire in modo esplicito e non ambiguo quale sia l’effettivo ambito infrastrutturale rispetto al quale ATM intende raggiungere il Security Level Target 3 (SLT=3) ai sensi della IEC 62443-3-3, precisando:

a) se SLT=3 debba essere applicato esclusivamente ai punti di interconnessione tra rete OT e rete di segnalamento (unico perimetro relativo al segnalamento incluso nella gara), e se tali punti debbano essere considerati come un “SUC” autonomo ai fini della certificazione;

b) se SLT=3 debba invece essere esteso all’intera rete OT non critica (stazioni, depositi, sottostazioni, APC, parcheggi, sistemi connessi via APN, ecc.), nonostante essa sia chiaramente distinta dalla rete di segnalamento e non classificata come “critica” nel Capitolo 5;

c) se ATM intenda definire uno o più Sistemi in Esame (SUC) specifici che dovranno essere certificati a SLT=3, e in tal caso di indicarne preliminarmente i confini logici e/o fisici;

d) se il riferimento allo SLT=3 nel Capitolo 5 sia da interpretarsi come indicazione generale di livello atteso per alcuni domini, e non come vincolo di certificazione applicabile al perimetro della presente gara.


3) Si chiede di chiarire quale documento debba essere considerato come riferimento primario e vincolante ai fini dello sviluppo dell’intero servizio: la BIA fornita da ATM oppure l’HLRA da realizzare secondo le attività previste dal capitolato.

Considerata la possibile eventuale assenza di informazioni circa la completezza e l’esaustività della BIA, si chiede conferma che:

a) l’HLRA svolto dall’Affidatario costituisca l’unico documento ufficiale e prevalente ai fini della definizione del rischio, della selezione delle contromisure, della determinazione degli SLT e della progettazione;

b) la BIA potrà essere utilizzata come riferimento informativo, ma non vincolante, e, qualora vi fossero discrepanze tra BIA ed HLRA, prevarranno i risultati dell’HLRA;

c) non sarà richiesto all’Affidatario di integrare o completare la BIA esistente oltre quanto necessario al fine di produrre un HLRA accurato secondo IEC 62443.

Si chiede di confermare che ATM metterà comunque a disposizione dell’Affidatario, in forma completa e aggiornata, la seguente documentazione:

a) Business Impact Analysis (BIA) già svolta;

b) eventuali Risk Assessment precedenti, report del Politecnico, indicazioni su security level già definiti o desiderati;

c) eventuali mappature di zone/conduits già abbozzate internamente.

d) Si chiede tuttavia di confermare che tale documentazione sia semplicemente funzionale a fini informativi, ma che se considerata "incompleta" o non adeguata, non risulti vincolante per l'affidatario e che sia suscettibile di revisione/esclusione nell'ambito del nuovo HLRA richiesto in capitolato.


4)
a) Si chiede conferma che l’Affidatario debba concentrare il proprio operato sul set di policy elencato nel paragrafo 8.4.3.

b) Si chiede inoltre conferma che il livello di dettaglio della documentazione da produrre debba essere conforme alle prassi degli standard internazionali quali ISO 27001.


5) Si chiede conferma che:

a) i FAT e i SAT in carico all’Affidatario debbano essere limitati esclusivamente agli aspetti di Cybersecurity previsti dal progetto, e riguardanti solo le componenti oggetto delle attività di design e supervisione;

b) l’Affidatario non sia responsabile della stesura integrale dei FAT/SAT di impianto relativi a componenti sviluppati e installati da altri fornitori, bensì della sola integrazione delle sezioni Cybersecurity nei FAT/SAT predisposti dagli installatori;

c) l’esecuzione dei collaudi da parte dell’Affidatario sia da intendersi come attività di supervisione, validazione e verifica del rispetto dei requisiti Cybersecurity, mentre l’esecuzione materiale dei test funzionali, infrastrutturali e impiantistici rimanga responsabilità dei fornitori implementativi;

eventuali non conformità derivanti da errata implementazione fisica da parte di terzi non siano imputabili all’Affidatario


6) Si chiede di chiarire l’ambito di applicazione dell’obbligo di remediation senza costi aggiuntivi per ATM, chiedendo conferma del fatto che tale obbligo si applichi esclusivamente alle non conformità riconducibili a errori di progettazione prodotti dall’Affidatario nell’ambito del presente contratto


7) Si chiede di confermare che la responsabilità dell’Affidatario sia circoscritta alle attività e agli ambiti sui quali egli ha controllo effettivo (progettazione, specifiche tecniche, indicazioni di configurazione, supervisione ai collaudi).


8)
a) Si chiede di precisare come ATM intenda organizzare il processo di relazione tra ATM, Affidatario e certificatore.

b) Si chiede conferma del fatto che il certificatore verrà coinvolto fin dalle fasi iniziali di High Level Design e Low Level Design, con sessioni di revisione intermedie (approccio “in parallelo” al design) e che l’Affidatario sia autorizzato a proporre e gestire un piano di allineamento periodico col certificatore.


9) Si chiede di fornire un quadro puntuale e aggiornato dello stato di avanzamento, alla data di avvio del servizio, delle principali iniziative di separazione IT/OT già avviate da ATM, di seguito riepilogate:

(a) migrazione della VRF BME da rete Office a rete Impianti;

(b) creazione e messa in produzione di una Farm VoIP su Impianti per telefoni “di impianto”;

(c) migrazione di sistemi oggi collegati in modo promiscuo (TVCC, controllo accessi, PLC sottostazioni, ecc.) su rete Impianti o su rete Office, secondo il modello target;

(d) stato delle attività di separazione della diagnostica IT da quella OT;

(e) eventuali interventi già realizzati sui collegamenti tra OT e segnalamento.

Si chiede inoltre di chiarire se tali attività siano da considerarsi:

i) parte integrante del perimetro contrattuale della presente gara (e quindi modificabili/estendibili dall’Affidatario),

oppure

ii) iniziative autonome di ATM da considerarsi come vincoli di fatto non modificabili


10) Si chiede di specificare quali siano le condizioni operative e i vincoli che ATM pone rispetto alle finestre di indisponibilità degli impianti, indicando:

a) se ATM sia in grado di fornire, per ciascuna categoria di sito (stazioni, depositi, control room, data center, parcheggi), una stima indicativa della durata massima e della frequenza delle finestre di intervento programmabili;

b) se esistano periodi dell’anno o fasce orarie in cui non è ammessa alcuna indisponibilità (ad es. ore di punta, eventi particolari, periodi di esercizio critico);

c) se eventuali interventi che richiedano interruzione completa dei servizi OT debbano essere limitati a specifici giorni/orari concordati o se debbano essere totalmente evitati.

d) Si chiede inoltre di chiarire come tali vincoli influenzino la valutazione delle tempistiche previste nel GANTT di gara.


11) Si chiede di chiarire in modo esplicito la natura vincolante delle indicazioni contenute nel paragrafo 8.4.4 e, in particolare:

a) se le attività e tematiche elencate ai punti 8.4.4.1–8.4.4.7 debbano essere intese come azioni obbligatorie e comunque da implementare sull’intero perimetro OT, indipendentemente dagli esiti dell’High Level Risk Assessment (HLRA), dalle analisi di dettaglio e dalle prescrizioni del certificatore;

oppure

b) se tali punti debbano essere intesi come input, vincoli e raccomandazioni da utilizzare come base di partenza per le fasi di assessment e design, suscettibili di conferma, rimodulazione o sostituzione in funzione dei risultati delle analisi di rischio e dei requisiti “certificativi” effettivamente applicabili.

Si chiede inoltre di precisare:

c) se, qualora l’HLRA, l’assessment di dettaglio o il confronto con il certificatore evidenzino che una o più tra le azioni “di default” previste al punto 8.4.4 non siano ottimali, sufficienti o, al contrario, eccessivamente restrittive rispetto allo schema di certificazione adottato, l’Affidatario sia autorizzato a proporre soluzioni alternative (di sicurezza equivalente o superiore) senza che ciò costituisca inadempimento rispetto alle prescrizioni del capitolato;

d) se, ai fini della stima dell’effort, ATM si aspetti che tutte le attività indicate in 8.4.4 siano considerate come ambito certo e integralmente da dimensionare e quotare sull’intero perimetro, oppure se debbano essere considerate condizionate agli esiti di HLRA e design (con eventuali rideterminazioni in corso d’opera;

e) se ATM abbia già effettuato una valutazione circa la compatibilità complessiva delle prescrizioni del punto 8.4.4 con i requisiti dello schema di certificazione IEC 62443 che intende adottare (es. certificazione SLT=3 su specifico SUC) e, in caso contrario, se possa essere esplicitamente previsto che l’esito del processo di HLRA e l’allineamento con il certificatore possano comportare l’adeguamento o la parziale revisione delle azioni “di default” 8.4.4, senza che ciò venga considerato una violazione contrattuale da parte dell’Affidatario.


12) Si chiede di chiarire se ATM consenta espressamente:

a) l’installazione temporanea di sonde IDS o di dispositivi di monitoraggio passivo in stazioni, data center, depositi e control room, specificando eventuali limiti relativi alla posizione fisica, ai punti di mirroring o alle interfacce SPB utilizzabili;

b) l’utilizzo di tecniche di active scanning o safe-query su apparati ALE, PLC, RTU, server OT e altri dispositivi, precisando se vi siano classi di dispositivi per le quali l’uso di tali tecniche sia vietato o fortemente sconsigliato;

c) l’esistenza di eventuali linee guida o policy interne di ATM rispetto a test di vulnerabilità o penetration test in ambienti OT in esercizio, che l’Affidatario dovrà obbligatoriamente rispettare.


13) Si chiede di chiarire puntualmente quanto segue:

a) confermare che l’acronimo BAS, utilizzato nel Cap. 8.2.1, non faccia riferimento al Building Automation System, bensì alla metodologia e agli strumenti di Breach Attack Simulation, coerentemente con la natura delle prove previste nel PoC;

b) confermare che la selezione dei 5 siti “significativi” sarà proposta dall’Affidatario sulla base di criteri tecnico-operativi e risk-based (eterogeneità tecnologica, esposizione al rischio, tipologia di flussi OT), e successivamente validata da ATM, fermo restando che la definizione puntuale dei siti non è richiesta in sede di offerta;

c) confermare che l’Affidatario non potrà essere ritenuto responsabile del mancato superamento delle attività di PoC, qualora tali esiti dipendano da vulnerabilità o carenze infrastrutturali degli asset ATM, e che il PoC abbia valore esplorativo/diagnostico senza impatto penalizzante sull’esecuzione del contratto;

d) indicare se ATM fornirà una lista formale dei success criteria, comprensiva di obiettivi, scenari di attacco, soglie di accettazione e modalità di valutazione degli esiti del PoC, affinché l’Affidatario possa predisporre in modo coerente la progettazione delle attività, l’esecuzione dei test e la successiva reportistica.


14) Si chiede di confermare se ATM metterà a disposizione dell’Affidatario, in fase iniziale di progetto, una descrizione strutturata e aggiornata della propria organizzazione interna, comprendente almeno:

a) organigramma dei reparti IT, OT, Cybersecurity, Operations ed eventuali funzioni di sicurezza fisica;

b) elenco dei ruoli chiave che interagiscono con le attività OT (es. responsabili impianti, responsabili conducibilità, responsabili sicurezza ferroviaria);

c) eventuali organi già esistenti quali SOC, CSIRT, team di Incident Response o similari.

d) Si chiede inoltre di confermare che modello di governance proposto dall’Affidatario dovrà essere limitato alla dimensione OT ed eventualmente solo integrato con il sistema di gestione IT già esistente.


15) Si chiede di specificare se le durate indicate nel GANTT di gara debbano essere considerate:

a) vincolanti e inderogabili, salvo cause di forza maggiore, oppure

b) orientative, con possibilità per l’Affidatario di proporre una diversa articolazione temporale delle attività, mantenendo comunque la durata complessiva di progetto entro i due anni indicati.

c) Si chiede inoltre di chiarire se eventuali variazioni delle durate delle singole fasi (es. estensione della Fase 2 e riduzione di altre fasi) debbano essere oggetto di specifica approvazione formale da parte di ATM in sede di offerta o solo in fase esecutiva.


16) Si chiede di confermare che il termine di due anni dall’avvio del progetto debba essere inteso come termine entro il quale l’Affidatario deve completare progettazione, supervisioni e collaudi, mentre la conclusione formale della certificazione da parte dell’ente terzo potrebbe avvenire successivamente, senza costituire ritardo imputabile all’Affidatario.

Si chiede inoltre di chiarire come eventuali ritardi del certificatore, non imputabili all’Affidatario, verranno gestiti in relazione alle scadenze contrattuali.


17) Si chiede di confermare che tutte le attività di progettazione, assessment e supervisione alla remediation riguardanti le reti di segnalamento, le linee M4/M5 e le reti interne dei mezzi siano da intendersi escluse dal perimetro della presente gara, fatta eccezione per:

a) l’analisi e la messa in sicurezza dei punti di interconnessione/collegamento tra OT e tali reti (ad es. tramite firewall, iDMZ, proxy, data diode), e

b) la modellizzazione logica ai fini del blueprint (es. definizione di zone e conduits ai confini con tali reti).


18)
a) Si chiede conferma che il piano di gestione degli incidenti richiesto dal Capitolato debba essere redatto e formalizzato esclusivamente per il perimetro OT, oggetto del presente servizio.

b) Si chiede inoltre conferma che il riferimento al perimetro IT/OT, presente nella documentazione di gara, debba essere inteso unicamente nel senso che il piano OT sviluppato dall’Affidatario sarà integrato — a cura di ATM — con il piano di gestione incidenti relativo al perimetro IT già esistente o che ATM provvederà autonomamente a predisporre


19) Si chiede di chiarire in modo esplicito che il Piano di Disaster Recovery richiesto debba riguardare esclusivamente l’ambiente OT, in coerenza con il perimetro di gara e con quanto indicato nel capitolo relativo alle esclusioni. Si chiede altresì conferma che:

a) l’Affidatario non sia tenuto a redigere o aggiornare piani di DR relativi all’ambiente IT;

b) eventuali integrazioni tra piano IT e piano OT saranno limitate a indicazioni di coordinamento sui punti di interconnessione, senza che ciò implichi attività di analisi o progettazione sull’infrastruttura IT;

c) la responsabilità della definizione e del mantenimento del DR IT rimanga in capo ad ATM.


20) Si chiede di confermare che l’Affidatario, nell’ambito del presente contratto, non sarà in alcun modo responsabile per la fornitura, la posa in opera, la configurazione di base e la manutenzione fisica di apparati hardware o infrastrutture, ma dovrà limitarsi a:

a) progettare architetture, blueprint, LLD, specifiche tecniche di apparati e configurazioni;

b) verificare l’operato di altri fornitori incaricati da ATM, supervisionando ai collaudi;

c) supportare ATM nell’analisi delle offerte dei fornitori di apparati (ove richiesto).

d) Si chiede altresì di confermare che eventuali non conformità derivanti da errata esecuzione fisica, non in linea con le specifiche dell’Affidatario, saranno imputabili ai fornitori implementativi e non all’Affidatario.

22) Si richiede conferma circa la facoltà di sottoporre, nella fase di gara e in sede di presentazione dell’offerta, eventuali proposte di modifica o integrazione alla bozza di schema di contratto di servizi

25) Si chiede di confermare puntualmente l’elenco dei sistemi OT inclusi ed esclusi dal perimetro di progetto, specificando i punti di interfaccia con domini esclusi (es. linee M4/M5, segnalamento, reti a fune, reti a bordo mezzo). Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 7.1 “Perimetro attività”, pag. 38-39

26) Si richiede di dettagliare i criteri vincolanti per la selezione del campione rappresentativo del SUC e la dimensione minima attesa per ciascuna tipologia di sito. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.1 “Fase 1 – High Level Risk Assessment”, pag. 42-43

27) Si chiede se sono disponibili template e matrici di rischio aziendali preferiti per la HLRA o se è lasciato al fornitore proporli. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.1, pag. 43

28) Si richiede conferma degli SL-T definitivi per zona/condotto e dei criteri per eventuali deroghe. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 5.3, pag. 29-30

29) Si chiede di dettagliare i link fisici residui tra IT e OT previsti a regime e le tempistiche di dismissione dei transiti attuali su rete “Servizi”. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 6.1.2, pag. 34

30) Si richiede di specificare eventuali requisiti di continuità (RTO/RPO) per la piena erogazione del servizio OT in caso di isolamento dell’IT e le modalità di test previste. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 6.1.4, pag. 35

31) Si chiede di elencare i flussi applicativi obbligatori che devono transitare in iDMZ e i pattern architetturali preferiti (proxy, jump server, data diode). Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 6.1.5, pag. 35

32) Si richiede di specificare eventuali naming standard e policy di risoluzione DNS da rispettare per IT, OT e iDMZ. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.4.6, pag. 50

33) Si chiede di dettagliare i VRF attivi lato MPLS/operatore, i volumi di traffico stimati e i requisiti di latenza per APN Impianti, BME, Office e Pensiline. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 3.4, pag. 24-25

34) Si richiede di chiarire se è previsto il mantenimento della tecnologia SPB come fabric di trasporto per OT e “Servizi” o se sono valutate alternative. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 3.1, pag. 8-12

35) Si chiede se lo scorporo BME dalla farm Office richiede nuovi domini di autenticazione/PKI o inter-trust già definiti e quali dipendenze applicative restano. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.4.2, pag. 50

36) Si richiede conferma dell’elenco definitivo delle VRF e indicazione di quali saranno migrate, consolidate o dismesse, con relative tempistiche. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 3.1.8, pag. 13-16

37) Si chiede di indicare eventuali strumenti preferiti per acquisizione passiva/attiva e limitazioni sui metodi intrusivi in ambiente OT. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.2.1, pag. 44

38) Si richiede di specificare tipologie e location candidate per il POC e gli obiettivi misurabili attesi. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.2.1, pag. 44

39) Si chiede se sono richieste attività di penetration test mirato su componenti OT o solo vulnerability assessment e hardening. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.2.1, pag. 44

40) Si richiede se esistono template ATM di FAT/SAT o check-list minime obbligatorie da rispettare. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.2, pag. 47

41) Si chiede se il Blueprint dovrà includere runbook operativi e criteri di conformità misurabili (KPI/KRI) per il mantenimento nel tempo. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.1, pag. 46

42) Si richiede di elencare le policy già esistenti da integrare/aggiornare e quelle nuove ritenute obbligatorie. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.3, pag. 48

43) Si chiede di specificare le log source OT e le retention minime richieste, nonché i canali di inoltro verso SIEM. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 4.3, pag. 23

44) Si richiede di indicare eventuali SLA operativi per il monitoraggio e strumenti preferiti. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 4.3, pag. 23

45) Si chiede se sono previsti domini AD separati per OT o bastion forest e quali metodi di MFA sono ammessi/obbligatori. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.3, pag. 48

46) Si richiede di specificare RPO/RTO e test periodici richiesti per apparati di rete OT, firewall, server iDMZ e sistemi critici. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.3, pag. 48

47) Si chiede se vi sono preferenze tecnologiche o se la scelta è technology-agnostic purché conforme a IEC 62443 e ai requisiti prestazionali. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 10.2, pag. 55

48) Si richiede di specificare la presenza di protocolli industriali legacy o OS non supportati che vincolano il disegno dell’iDMZ o dei proxy. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 3.1.8, pag. 13-16

49) Si chiede quale target-state organizzativo desiderate raggiungere e con quali interfacce RACI. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.3, pag. 45

50) Si richiede di dettagliare le modalità di validazione della capacità di isolare l’IT senza degradare OT. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 6.1.4, pag. 35

51) Si chiede di fornire l’elenco dei servizi OT esterni/cloud con modello di trust e requisiti di egress control. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 6.1.5, pag. 35

52) Si richiede di specificare i requisiti di interoperabilità per la migrazione PBX corporate su IT e creazione PBX “Impianti”. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.4.7, pag. 50

53) Si chiede di dettagliare i requisiti RF e di segregazione SSID/VRF per la copertura Wi-Fi nei depositi “Full Electric”. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 6.1.2, pag. 34

54) Si richiede conferma del modello target per parcheggi con co-hosting multirete e i controlli tra domini previsti. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 4.4, pag. 28

55) Si chiede di specificare gli indicatori tecnici di successo che saranno misurati. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.1, pag. 46

56) Si richiede di dettagliare eventuali limitazioni su configurazione apparati che impattano i tempi di progetto. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 11, pag. 60

57) Si chiede se l’HLD deve considerare una futura integrazione/allineamento architetturale con M4/M5. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 7.1, pag. 38

58) Si richiede se esiste un CMDB/inventario preferito e schema attributi da popolare come deliverable di progetto. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.2.1, pag. 44

59) Si chiede se l’analisi deve includere una valutazione formale del rischio di single point of failure logici e relative contromisure. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 5.4, pag. 30

60) Si chiede conferma che l’importo massimo a base gara copre tutte le sette fasi fino al supporto alla certificazione, inclusi POC e collaudi. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 1, pag. 1

61) Si richiede di dettagliare come saranno rimodulati tempi, deliverable e milestones in caso di variazioni ±20% dell’importo contrattuale. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 1, pag. 1

62) Si chiede se è richiesto prezzo unico complessivo o breakdown per fasi/macrofasi. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 9, pag. 12

63) Si richiede conferma che i costi manodopera/oneri sicurezza vanno indicati a zero nel form economico. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 13, pag. 17

64) Si chiede di dettagliare la struttura dei SAL e i tempi di liquidazione dopo l’approvazione della documentazione. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 12, pag. 17

65) Si richiede di specificare eventuali penalità economiche per ritardi sulla consegna dei deliverable o sul mancato raggiungimento degli SL-T o SLA. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 12, pag. 17

66) Si chiede se travel, test notturni e trasferte sono da includere nel prezzo o saranno rimborsate a piè di lista. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 12, pag. 17

67) Si chiede come saranno stimati e remunerati eventuali extra richiesti dal certificatore nella Fase 7. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.7, pag. 52

68) Si chiede di dettagliare il processo di approvazione e la base prezzi per modifiche al perimetro tecnico durante le fasi 4–6. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.5, pag. 51

69) Si chiede se sono richieste scomposizioni del costo per figura professionale e curve di carico coerenti con il GANTT. Riferimento: DSOT-020-081-003-00-R00 GANTT.pdf, pag. 1-2

70) Rispetto a quale ambito ICS/IT/OT ed interazione tra essi è richiesto di produrre procedure e policies elencate al Policies e procedure? Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.2 sez 4.3, pag. 47

71) Si richiede di confermare se secondo le norme citate in 7.2 e 7.3 in caso di valutazione e/o modifica di rischio di scenario cibernetico ISA/IEC 62443 sia a carico del fornitore, in caso di necessità, integrare anche la valutazione secondo UE 402/2013 Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 7.1-7.3, pag. 39

72) Si chiede di specificare eventuali limiti massimi di dimensione per il caricamento dell’offerta tecnica e best practice per upload multipli. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 6, pag. 6

73) Si richiede conferma degli schemi dei modelli “Documentazione Amministrativa”, “Dichiarazione Impresa”, “SA8000” e delle sezioni da compilare

74) Si chiede conferma che il contributo ANAC è pari a € 33,00, il CIG è B93AC2BE22 e che la ricevuta va allegata nella Busta Amministrativa

75) Si chiede se sono richiesti i CV nominativi delle 6 figure già in offerta o è sufficiente indicare profili tipo con impegno formale

76) Si chiede se sono accettate fatture quietanzate in alternativa alle attestazioni di regolare esecuzione per i contratti richiesti

77) Si chiede conferma che sono ammissibili certificazioni scadute da non oltre 4 anni sia individuali sia aziendali ai fini del punteggio

78) Si chiede di fornire l’elenco completo delle certificazioni premianti e altamente premianti per ciascuna figura professionale (Project Manager, OT Specialist, Risk Assessor, Network Architect, ecc.) con i relativi punteggi

79) Si chiede conferma che una singola risorsa può coprire al massimo due ruoli e che il relativo punteggio è comunque limitato a un massimo globale per risorsa

80) Si chiede se il layout e i contenuti minimi dell’organigramma (RACI, escalation, competenze) sono vincolati a un template ATM o lasciati a discrezione dell’offerente

81) Si chiede di specificare fino a quando è possibile richiedere la rettifica di errore materiale su offerta tecnica/economica e la procedura da seguire in piattaforma

82) Si chiede di dettagliare come devono essere predisposte le versioni “parziali/oscurate” dell’offerta tecnica e quali criteri giustificano il segreto industriale

83) Si chiede di dettagliare i limiti percentuali, le pre-autorizzazioni (20 gg) e la modulistica “MOD 01 – PG DAAG 05” richiesti in caso di subappalto

84) Si chiede conferma della ripartizione 70/30 (tecnica/economica) e dei criteri di scoring come da tabella (A: Referenze, B: Descrizione tecnica, C: Struttura, D: ESG)

85) Si chiede di specificare quali evidenze documentali sono considerate idonee per la voce Governance (strumenti di conciliazione), ad esempio policy interne, accordi, report audit

86) Si chiede conferma che la durata dell’appalto è di 24 mesi e se il GANTT di massima (511 gg lavorativi) è vincolante o modificabile purché si rispetti il termine contrattuale[CM1]

87) Si chiede conferma che la Stazione Appaltante può esaminare le buste tecnica/economica anche prima della verifica amministrativa e che gli esiti saranno pubblicati in piattaforma

88) Si chiede conferma che l’avvio decorre dalla sottoscrizione del contratto e se sono ammesse anticipazioni di attività prima della stipula in caso di urgenza

89) Si chiede di dettagliare modalità e tempi di recesso senza oneri in caso di subentro di nuovo gestore e i criteri di liquidazione delle prestazioni eseguite

90) Si chiede di specificare eventuali indicazioni aggiuntive sul trattamento di log, PCAP, configurazioni (pseudonimizzazione, retention, trasferimenti) durante il progetto Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 16, pag. 19

91) Si chiede se è già stato selezionato l’ente certificatore per la Fase 7, quale sarà il perimetro di certificazione (IEC 62443-3-3 su quali zone/sistemi) e lo schema adottato. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.7, pag. 52

92) Si chiede di definire l’ambito e i limiti dell’onere a carico dell’affidatario per la risoluzione di eventuali non conformità emerse in sede di assessment del certificatore. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.7, pag. 52

93) Si chiede di dettagliare eventuali finestre manutentive standard, black-out period e requisiti H24 per accessi ai siti. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 12, pag. 61

94) Si chiede conferma dell’assenza di oneri da interferenza e di specificare le misure richieste per accessi in campo (DPI, formazione, permessi speciali in galleria). Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 13.1, pag. 17

95) Si chiede di chiarire in che termini le classificazioni NCSN, NCCSN e CCSN debbano essere integrate rispetto alla metodologia degli standard ISA/IEC 62443 e con con quali conseguenze e variazioni eventuali rispetto al resto dell'impianto metodologico

96) Si cita la IEC 63452, che tuttavia risulta ancora non approvata (https://standardsdevelopment.bsigroup.com/committees/50304210#in-progress). Si chiede di chiarire se sia da prendere in considerazione e precisamente in che termini e con quali conseguenze e variazioni eventuali rispetto al resto dell'impianto metodologico

97) I Security Level Target indicati nello schema sembrano differire da quanto indicato a pagina 29. Si chiede di chiarire quali prendere in considerazione

98) Non sono evidenti gli obblighi NIS 2. Si chiede di chiarire in che termini prenderli in considerazione

99) A pagina 5 viene richiesta l’attuazione della ISA/IEC 62443-3-3 sino alla certificazione ISASecure® System Security Assurance (SSA); invece, a pagina 45, viene richiesta l’attuazione della ISA/IEC 62443-2-1 senza arrivare alla certificazione ISASecure® ACS Security Assurance (ACSSA). E' corretto in questi termini?

100) Si chiede se la sequenza Fase 1→2→3→4 richiede approvazioni formali alla fine di ciascuna fase e quali sono i lead time di revisione/approvazione da parte di ATM. Riferimento: DSOT-020-081-003-00-R00 GANTT.pdf, pag. 1-2

101) Si chiede di dettagliare eventuali dipendenze esterne (altri progetti ATM: VoIP, migrazione BME, DR San Donato) che potrebbero impattare la pianificazione applicativa. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.4, pag. 49-50

102) Si chiede conferma che le 6 figure richieste in ST costituiscono il team minimo da impiegare continuativamente o se è ammessa una composizione variabile per fasi

103) Si chiede di dettagliare come si quantifica la penale per sostituzione con risorsa di minore esperienza e i tempi per l’approvazione della nuova risorsa. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 10.3, pag. 56

104) Si chiede di specificare i tempi medi per ottenere autorizzazioni/logistica (badge, scorte, finestre operative) per sopralluoghi nelle stazioni, depositi e data center. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.2.1, pag. 44

105) L'Affidatario dovrà anche gestire la comunicazione tra i vari team tecnici e gli stakeholder aziendali per garantire il buon esito dell'intero progetto. Si richiede se è prevista l’elezione di uno SPOC interno ad ATM che coordini le comunicazioni Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 7.4, pag. 38

106) Si chiede se esiste un indice suggerito e limiti dimensionali/formato (pagine, font, allegati grafici) per la relazione tecnica da inserire in offerta. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 8, pag. 10

107) Si chiede se sono preferiti formati sorgente (Visio, draw.io) oltre al PDF per favorire il riuso interno e se sono valutati positivamente laboratori/demo architetturali. Riferimento: DSOT-020-081-001-00-R00 - ST.pdf, Cap. 8.4.1-8.4.3, pag. 46-48

108) Si chiede di esplicitare i criteri qualitativi che distinguono “Ottimo” da “Buono/Sufficiente” nella voce B) 30 punti della valutazione tecnica. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 10, pag. 14

109) Si chiede se sono richiesti documenti terzi (certificazioni, audit) o sono sufficienti policy interne firmate e indicatori annuali per la voce ESG. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 10, pag. 16

110) Si chiede se, per la voce “Industrial Automation Vendor”, è accettabile una partnership letter del vendor oltre ai certificati, considerando che ne viene conteggiata una sola. Riferimento: disciplinare.di.gara.sottosoglia.segregazione.reti.it.ot.pdf, Cap. 10.2, pag. 55 ST

23) si chiede cortesemente di precisare:
1) se, in fase di esecuzione del contratto, i deliverable tecnici relativi alle prestazioni oggetto di avvalimento debbano essere formalmente prodotti e sottoscritti esclusivamente dall’operatore economico aggiudicatario, ovvero se sia ammissibile che tali deliverable siano prodotti e/o sottoscritti dall’impresa ausiliaria, nell’ambito degli obblighi assunti con il contratto di avvalimento ai sensi dell’art. 104 del D.Lgs. 36/2023;
2) se l’avvalimento premiale sia soggetto a limiti quantitativi analoghi a quelli previsti dall’art. 14 del Disciplinare, ovvero se il suo utilizzo sia ammissibile indipendentemente dalla rilevanza quantitativa delle risorse messe a disposizione dall'impresa ausiliaria.

24) Con riferimento alla possibilità di partecipare in aggregazione, siamo a chiedere se e quali sono i documenti preliminare necessari da produrre in fase di gara

118) Per l'inizio del progetto, si suppone che i seguenti documenti saranno resi disponibili. Potete darci conferma?

a) Diagrammi di reti / architettura dei sistemi – logici,

b) diagrammi di rete / architettura dei sistemi – fisici,

c) inventari di asset e liste di sistemi se esistenti

d) valutazioni esistenti di rischio/sicurezza/architettura per il perimetro OT se esistenti

e) BIA completo e approvato per i sistemi di ambito


119) Come riportato nella specifica, considerata la complessità ed eterogeneità del contesto OT del committente, al fine di sviluppare un piano di security OT totalizzante e valido per la copertura dell’intero perimetro definito, si prevede che le attività di analisi saranno svolte su un numero limitato di siti considerati significativi del SUC. La valutazione della nostra proposta dovrà basarsi sulla definizione preliminare dei siti significativi da analizzare che ci aspettiamo essere definito in questa fase dal committente

120) La valutazione in termini di tempo a confermare o ottimizzare quanto previsto nei documenti di gara della Fase 4 per sviluppare un modello complessivo che rappresenti la struttura e la logica operativa di tutte le componenti coinvolte potrà essere valutata solo una volta a conoscenza in dettaglio degli impianti e dei sistemi coinvolti per ogni sito. Si richiede questo dettaglio o le assunzioni che possono essere prese in considerazione per la relativa valutazione

121) La valutazione in termini di tempo a confermare o ottimizzare quanto previsto nei documenti di gara della Fase 5 per fornire il supporto nell'implementazione dei requisiti OT di Cyber Security potrà essere valutata solo una volta a conoscenza in dettaglio degli impianti e dei sistemi coinvolti per ogni sito oltre che dei fornitori e il numero d'impianti che il dato fornitore è coinvolto. Si richiede questo dettaglio o le assunzioni che possono essere prese in considerazione per la relativa valutazione

122) La valutazione in termini di tempo a confermare o ottimizzare quanto previsto nei documenti di gara della Fase 6 per la Supervisione attività d'implementazione e collaudo infrastruttura potrà essere valutata solo una volta a conoscenza in dettaglio degli impianti e dei sistemi coinvolti per ogni sito oltre che dei fornitori e il numero d'impianti che il dato fornitore è coinvolto. Si richiede questo dettaglio o le assunzioni che possono essere prese in considerazione per la relativa valutazione

123) Per favore, chiarire: se lo standard di certificazione obiettivo è IEC 62443-3-3, allora queste attività dovrebbero iniziare con la progettazione, poiché dobbiamo prima ottenere l'approvazione, poi la progettazione, poi la conformità arriverà dopo la nostra progettazione, Quanto previsto a calendario per la Fase 7 dovrebbe essere rivisto e lo sforzo allocato risulta non sufficiente per l'ambito di studio

124) Quali parti della norma IEC 62443 sono destinate alla certificazione (Fase 7) (ad esempio IEC 62443-3-3, IEC 62443-2-4) e per quali sistemi/famiglie di siti (stazioni, ecc.) nel SUC?

125) Se lo standard di certificazione obiettivo nella Fase 7 è IEC 62443-3-3, si prega di confermare se l'ATM concorda che:

a) Le attività di certificazione dovrebbero iniziare già durante la fase di progettazione (Fase 4), e

b) il calendario e lo sforzo di 45 giorni indicati per la Fase 7 dovrebbero essere rivisti di conseguenza

126) La valutazione in termini di tempo a confermare o ottimizzare quanto previsto nei documenti di gara della Fase 7 per la Supervisione attività di certificazione potrà essere valutata solo una volta a conoscenza in dettaglio degli impianti e dei sistemi coinvolti per ogni sito oltre che dei fornitori e il numero d'impianti che il dato fornitore è coinvolto. Si richiede questo dettaglio o le assunzioni che possono essere prese in considerazione per la relativa valutazione

127) Si chiede se il committente potrebbe considerare un modello commerciale misto:

a) prezzo fisso per le attività di base definite nella specifica, e

b) Prezzo su base giornaliera per attività aggiuntive (iterazioni di progettazione extra, turni extra SAT o certificazione, controlli fisici ecc.)

128) La valutazione a confermare o ottimizzare quanto previsto nei documenti di gara per il raggiungimento di un importo massimo presunto a base di gara sarà valutato sulla base dei chiarimenti che riceveremo

153) Si prega di confermare se la società di consulenza informatica dovrà agire solo come consulente di progettazione/supervisione
o se potrà essere selezionata in un secondo momento anche come fornitore OEM/di implementazione con contratti separati.

154)
L’offerente chiede di esplicitare all’interno dello schema di contratto i limiti di responsabilità dell’Impresa:
"Le responsabilità dell’Impresa sono circoscritte agli obblighi definiti nel Contratto.
Nonostante qualsiasi disposizione contraria contenuta nei Documenti Contrattuali, fatte salve le disposizioni di inderogabili di legge, le responsabilità dell’Impresa per danni, spese o pretese derivanti da o comunque connessi con i Documenti Contrattuali, in ogni caso:
(i) devono intendersi limitate al danno emergente che sia conseguenza diretta ed immediata di un evento risarcibile, restando esclusa la risarcibilità di mancati guadagni, di danni consequenziali, o indiretti, o immateriali; e
(ii) devono intendersi limitate in aggregato ad un ammontare non superiore al Prezzo Complessivo della Fornitura.
La Parte che invoca una qualche responsabilità dell’altra, nell’ambito dei propri obblighi, è tenuta ad agire con la diligenza necessaria al fine di ridurre i danni, e/o di impedire il verificarsi di ulteriori danni. ATM si impegna ad informare tempestivamente l’Impresa nel caso si verifichino situazioni tali da far ritenere che a carico del medesimo possano conseguire danni di qualsiasi natura"

155) La valutazione del rischio è richiesta per conformarsi a standard aggiuntivi o requisiti normativi oltre alla IEC 62443?

156) Esiste una documentazione completa, incluse le specifiche di tutti i sistemi esistenti che devono essere migrati alla rete?

157) Le politiche e le procedure esistenti sono relative all’OT?

158) La policy di hardening per le interfacce di gestione, sia dei sistemi esistenti sia di quelli da implementare, deve essere definita da noi nell’ambito della gara, oppure questa responsabilità ricade sul fornitore/integratore che realizzerà il progetto?

159) L’aver posto un obiettivo certificativo identificato in modo autonomo, non preventivamente validato o verificato con un ente certificatore, e demandato a una verifica esclusivamente nella fase finale del progetto, rende il percorso operativo non praticabile e introduce un elevato livello di incertezza metodologica.

160) La definizione a priori dell’obiettivo di certificazione dell’intero sistema secondo IEC 62443-3-3, con livellamento su Security Level Target 3, prima di aver verificato:
- il corretto e applicabile percorso certificativo;
- la compatibilità con schemi certificativi formalmente accreditati,
comporta le seguenti criticità:
a. potenziale non compatibilità con quanto effettivamente certificabile secondo schemi di certificazione accreditati;
b. sostanziale vanificazione dell’attività di Risk Assessment, che risulta invece correttamente prevista dal progetto e che, secondo l’impostazione della IEC 62443, dovrebbe costituire il presupposto per la definizione dei target di sicurezza.
Tale approccio non risulterebbe coerente con principi di appropriatezza, efficacia ed efficienza dell’intervento e del relativo investimento.

161) Per operare in modo corretto ed efficace, l’affidatario deve poter conoscere e interagire con il certificatore al fine di:
definire l’appropriato percorso certificativo;identificare il corretto schema certificativo di riferimento.
È necessario che tale interazione sia garantita in una fase iniziale del progetto, così da consentire, già in sede di gara, una stima adeguata:dei processi;delle attività;dei costi
delle responsabilità connesse al supporto alla certificazione
162) In assenza delle condizioni sopra descritte, non risulta possibile demandare all’affidatario la responsabilità del raggiungimento dell’obiettivo certificativo, in quanto tale obiettivo dipenderebbe da fattori non pienamente sotto il suo controllo.

163) Il piano di pagamento proposto non risulta sostenibile rispetto alle attività previste, trattandosi prevalentemente di attività a elevato contenuto intellettuale, che richiedono continuità operativa e un impegno significativo nelle fasi iniziali del progetto.

164) Alla data odierna non risultano ancora completate le risposte ai chiarimenti presentati, né sotto il profilo tecnico né sotto il profilo amministrativo. L’assenza di tali risposte rende di fatto non possibile procedere in modo consapevole e responsabile alla formulazione dell’offerta.