Chi fornisce servizi di hosting o cloud a un ente pubblico finanziato con i fondi del PNRR si trova quasi sempre davanti alla stessa richiesta: dimostrare il rispetto del principio DNSH (Do No Significant Harm, cio\u00e8 \u00abnon arrecare un danno significativo all’ambiente\u00bb). \u00c8 un obbligo previsto dal regolamento europeo sul dispositivo per la ripresa e la resilienza: ogni misura finanziata deve evitare danni significativi ai sei obiettivi ambientali della Tassonomia europea, ovvero mitigazione e adattamento ai cambiamenti climatici, acque, economia circolare, inquinamento e biodiversit\u00e0.<\/p>\n\n\n\n\n\n\n\n
Per aiutare amministrazioni e imprese, il Ministero dell’Economia e delle Finanze (MEF) ha pubblicato una Guida operativa organizzata in schede tecniche, una per ogni tipo di intervento. La Scheda 6 \u00e8 quella dedicata ai servizi di hosting e cloud e contiene una semplificazione molto comoda: se il fornitore possiede una certificazione ISO 14001 o una registrazione EMAS, il DNSH si considera rispettato per tutti gli obiettivi, senza ulteriori verifiche.<\/p>\n\n\n\n
In questo articolo ci chiediamo da dove venga questa equivalenza. Rileggendo i testi europei di riferimento, la certificazione ambientale compare come uno degli elementi che possono sostenere la valutazione DNSH, ma non come prova sufficiente da sola. L’equivalenza tra ISO 14001 e DNSH \u00e8 quindi una scelta nazionale, che i documenti europei non contraddicono in modo esplicito ma nemmeno prevedono<\/strong> espressamente<\/strong>.<\/p>\n\n\n\n La nostra tesi, da leggere come ipotesi, \u00e8 che in caso di controllo da parte degli organismi europei il solo certificato potrebbe non bastare. Ad oggi non risultano esiti pubblici di controlli che la confermino o la smentiscano: lo scopriremo solo quando le verifiche arriveranno. Nel frattempo il consiglio \u00e8 di non fermarsi al certificato e di integrare il fascicolo con pochi documenti mirati, che indichiamo nella parte finale dell’articolo.<\/p>\n\n\n\n La Scheda 6 si applica ai servizi informatici di hosting e cloud, cio\u00e8 ai casi in cui un ente non compra fisicamente le macchine ma acquista un servizio: spazio di archiviazione, server virtuali, piattaforme su cui sviluppare applicazioni o software in abbonamento (i modelli IaaS, PaaS e SaaS). Le attivit\u00e0 interessate corrispondono al codice NACE J63.1, \u00abElaborazione dei dati, hosting e attivit\u00e0 connesse\u00bb. La scheda precisa che il suo ambito riguarda solo la componente dei data center, cio\u00e8 le strutture fisiche da cui il servizio viene erogato.<\/p>\n\n\n\n Il cuore della questione \u00e8 il cosiddetto \u00abrequisito trasversale\u00bb. La scheda stabilisce che il principio DNSH pu\u00f2 ritenersi verificato per tutti gli obiettivi ambientali se il fornitore dispone di un sistema di gestione ambientale conforme alla norma UNI EN ISO 14001 o registrato EMAS. La certificazione deve essere rilasciata da un organismo accreditato secondo il Regolamento (CE) n. 765\/2008, che in Italia significa un ente accreditato da Accredia o da un omologo europeo. Lo stesso certificato \u00e8 indicato come elemento di verifica sia prima dell’intervento (ex ante) sia dopo (ex post).<\/p>\n\n\n\n Le check-list che accompagnano la Guida traducono questo principio in modo molto netto. Il primo punto chiede se sia disponibile una certificazione ISO 14001 o EMAS; se la risposta \u00e8 s\u00ec, gli altri punti non vanno compilati. Le istruzioni DNSH del Dipartimento per la trasformazione digitale lo scrivono in modo esplicito: quel requisito verifica il DNSH in modo trasversale per tutti gli obiettivi rilevanti ed esonera dalla compilazione dei punti successivi.<\/p>\n\n\n\n Se invece la certificazione manca, per gli interventi in Regime 2 (vedremo tra poco cosa significa) la scheda chiede di dimostrare, uno per uno, diversi requisiti tecnici:<\/p>\n\n\n\n In pratica, quindi, la certificazione ISO 14001 sostituisce un elenco di prove tecniche piuttosto articolato. \u00c8 proprio per questo che vale la pena chiedersi su quali basi si regga questa sostituzione.<\/p>\n\n\n\n Nella scheda c’\u00e8 anche una piccola incongruenza. Nella parte dedicata ai vincoli, l’adattamento ai cambiamenti climatici \u00e8 indicato come \u00abnon pertinente\u00bb. Nella parte che spiega il perch\u00e9 dei vincoli, per\u00f2, tra le criticit\u00e0 \u00e8 citata proprio la ridotta resistenza agli eventi meteorologici estremi delle strutture che ospitano i data center.<\/p>\n\n\n\n La Guida MEF divide gli interventi in due regimi. Il Regime 1 riguarda gli investimenti che, secondo il PNRR, devono contribuire in modo sostanziale alla mitigazione dei cambiamenti climatici: non basta che non facciano danni, devono produrre un beneficio misurabile. Il Regime 2 riguarda tutti gli altri, per i quali \u00e8 sufficiente dimostrare di non arrecare un danno significativo. Questa distinzione non \u00e8 prevista dal Regolamento europeo sulla Tassonomia: \u00e8 lo strumento con cui la Guida italiana organizza gli obblighi, a seconda di come ciascuna misura \u00e8 stata descritta nel Piano.<\/p>\n\n\n\n La differenza pesa soprattutto sull’obiettivo della mitigazione. Secondo gli orientamenti della Commissione europea, una misura che contribuisce in modo sostanziale a un obiettivo ambientale \u00e8 automaticamente considerata conforme al DNSH per quello stesso obiettivo. Per un intervento in Regime 1, quindi, il DNSH sulla mitigazione \u00e8 gi\u00e0 coperto dai requisiti di contributo sostanziale. Nella Scheda 6 questi requisiti sono piuttosto precisi: applicare le pratiche attese del Codice di condotta europeo sui data center, con verifica di un soggetto terzo indipendente almeno ogni tre anni, e usare refrigeranti con un GWP non superiore a 675.<\/p>\n\n\n\n Per un intervento in Regime 2 questa copertura non c’\u00e8, e il requisito sulla mitigazione va costruito da zero. La Scheda 6 lo fa richiamando la normativa sui gas fluorurati e, in alternativa, le pratiche attese del Codice di condotta o i criteri europei per gli appalti verdi. Il limite di GWP pari a 675, invece, vale solo per il Regime 1.<\/p>\n\n\n\n \u00c8 proprio nel Regime 2 che la certificazione ISO 14001 ha l’effetto pratico pi\u00f9 rilevante: sulla carta, sostituisce l’intero insieme di requisiti appena descritto.<\/p>\n\n\n\n Il documento europeo di riferimento per applicare il DNSH nel PNRR \u00e8 la Comunicazione della Commissione 2021\/C 58\/01, pubblicata nel febbraio 2021 con il titolo \u00abOrientamenti tecnici sull’applicazione del principio non arrecare un danno significativo a norma del regolamento sul dispositivo per la ripresa e la resilienza\u00bb. \u00c8 qui che si trova l’unico riferimento esplicito alla ISO 14001 che abbiamo individuato nei testi europei sul DNSH nel PNRR.<\/p>\n\n\n\n Nell’Allegato II la Commissione propone un elenco di \u00abelementi di prova\u00bb che gli Stati membri possono usare per sostenere la propria valutazione DNSH. Tra quelli trasversali, validi cio\u00e8 per tutti gli obiettivi ambientali, c’\u00e8 il caso in cui la misura imponga alle imprese di adottare un sistema di gestione ambientale riconosciuto, come EMAS o in alternativa la ISO 14001 o un sistema equivalente, oppure di usare prodotti e servizi con marchio Ecolabel UE o altra etichetta ambientale di tipo I.<\/p>\n\n\n\n Il riferimento c’\u00e8, dunque. Ma va letto insieme a quello che lo stesso documento dice sul suo valore. La Commissione precisa che l’elenco \u00e8 non esaustivo e che il suo uso \u00e8 facoltativo: gli elementi servono a corroborare, cio\u00e8 a rafforzare, la valutazione di fondo che lo Stato membro deve comunque svolgere, obiettivo per obiettivo. Aggiunge poi (sezione 2.3) che il rispetto della normativa ambientale, pur essendo un chiaro indizio, non implica automaticamente il rispetto del DNSH, perch\u00e9 alcuni obiettivi ambientali non sono ancora pienamente coperti dalle leggi europee.<\/strong> E ricorda (sezione 2.5) che nel contesto del PNRR gli Stati non sono obbligati a usare i criteri tecnici dei regolamenti sulla Tassonomia, anche se possono farlo.<\/p>\n\n\n\n C’\u00e8 per\u00f2 anche un dettaglio che gioca a favore della Guida italiana. L’elemento di prova non riguarda il semplice fatto che un’impresa sia certificata, ma una misura che impone la certificazione alle imprese. Una gara che richiede la ISO 14001 ai fornitori di servizi cloud, in questo senso, rientra esattamente nel caso descritto dalla Commissione.<\/p>\n\n\n\n La lettura pi\u00f9 equilibrata, quindi, \u00e8 questa: la certificazione ambientale pu\u00f2 legittimamente far parte del fascicolo che dimostra il rispetto del DNSH. Considerarla l’unica prova necessaria, per tutti e sei gli obiettivi, \u00e8 invece un passo ulteriore, compiuto dalla Guida nazionale e non dal documento europeo.<\/p>\n\n\n\n I criteri tecnici della Tassonomia europea sono contenuti in regolamenti delegati della Commissione, i cosiddetti \u00abcriteri di vaglio tecnico\u00bb. Per ciascuna attivit\u00e0 economica indicano cosa serve per contribuire in modo sostanziale a un obiettivo ambientale e cosa serve per non danneggiare gli altri. I principali sono due: il Regolamento delegato (UE) 2021\/2139, dedicato ai due obiettivi climatici (mitigazione e adattamento), e il Regolamento delegato (UE) 2023\/2486, dedicato agli altri quattro obiettivi (acque, economia circolare, inquinamento, biodiversit\u00e0).<\/p>\n\n\n\n L’attivit\u00e0 di hosting, \u00abElaborazione dei dati, hosting e attivit\u00e0 connesse\u00bb (sezione 8.1), \u00e8 espressamente citata nel Regolamento 2021\/2139, ma non nel 2023\/2486. Quest’ultimo contiene per\u00f2 altre attivit\u00e0 associate allo stesso codice NACE J63.1 della Scheda 6: la fornitura di soluzioni IT\/OT basate sui dati, per esempio software di monitoraggio, tracciabilit\u00e0 o valutazione del ciclo di vita (Allegato II, sezione 4.1), e i mercati virtuali per la compravendita di beni di seconda mano (Allegato II, sezione 5.6). Non si tratta di servizi di hosting e i loro criteri non si applicano direttamente ai servizi cloud acquistati da un ente. Sono per\u00f2 un buon esempio di come il legislatore europeo traduce, per il settore ICT, l’idea di \u00abnon arrecare danno significativo\u00bb.<\/p>\n\n\n\n La tabella che segue riassume i criteri DNSH di queste due attivit\u00e0, obiettivo per obiettivo. Le \u00abAppendici\u00bb richiamate sono criteri generici che il regolamento applica a molte attivit\u00e0: l’Appendice A, per esempio, chiede di valutare i rischi climatici fisici a cui l’attivit\u00e0 \u00e8 esposta, come ondate di calore, alluvioni o siccit\u00e0, e di individuare le soluzioni per ridurli.<\/p>\n\n\n\n Dalla lettura della tabella emergono tre aspetti.<\/p>\n\n\n\n Il primo \u00e8 che i requisiti europei sono puntuali e riguardano il prodotto o il progetto: server conformi alle norme sulla progettazione ecocompatibile, assenza di sostanze pericolose oltre le soglie della direttiva RoHS, gestione dei rifiuti elettronici secondo le regole sui RAEE, pratiche di efficienza energetica nei data center. Nessuno di questi requisiti si considera soddisfatto per il semplice fatto che l’organizzazione abbia un sistema di gestione certificato.<\/p>\n\n\n\n Il secondo \u00e8 che, quando il Regolamento 2023\/2486 cita la ISO 14001, lo fa come requisito per il contributo sostanziale e non come prova dell’assenza di danno. Succede in due casi. Per la preparazione al riutilizzo dei rifiuti elettronici (Allegato II, sezione 5.3, punto 7) l’operatore deve essere autorizzato al trattamento dei rifiuti e avere sia un sistema ISO 14001 o EMAS sia un sistema qualit\u00e0 ISO 9001. Per le strutture ricettive con pi\u00f9 di 50 dipendenti (Allegato IV, sezione 2.1, punto 3.2) un sistema di gestione certificato o un marchio Ecolabel sono una delle condizioni richieste. In entrambi i casi la certificazione si aggiunge ad altri requisiti, non li sostituisce.<\/p>\n\n\n\n Il terzo riguarda l’adattamento ai cambiamenti climatici. Per le attivit\u00e0 ICT del Regolamento 2023\/2486 \u00e8 richiesta la valutazione dei rischi climatici prevista dall’Appendice A, mentre la Scheda 6 considera questo obiettivo non pertinente (ma in effetti il Regolamento 2023 \u00e8 uscito “dopo” l’avvio del PNRR e quindi non \u00e8 stato sostanzialmente integrato nei successivi aggiornamenti della Guida MEF).<\/p>\n\n\n\n Per capire se la ISO 14001 possa sostituire le prove tecniche richieste dalla Scheda 6 conviene ricordare che cosa certifica. La norma non attesta che un servizio abbia un determinato impatto ambientale: attesta che l’organizzazione dispone di un sistema per gestire i propri aspetti ambientali. In particolare, richiede di individuare gli obblighi normativi applicabili (paragrafo 6.1.3), di verificarne periodicamente il rispetto (paragrafo 9.1.2) e di impegnarsi nel miglioramento continuo. Non fissa per\u00f2 livelli minimi di prestazione: due data center entrambi certificati possono avere consumi energetici o refrigeranti molto diversi.<\/p>\n\n\n\n La tabella confronta, per ciascun requisito DNSH della Scheda 6 in Regime 2, quello che il certificato pu\u00f2 ragionevolmente dimostrare e quello che resta scoperto.<\/p>\n\n\n\n L’ultima riga \u00e8 quella con le conseguenze pi\u00f9 concrete. Una certificazione pu\u00f2 essere perfettamente valida ma riferirsi, per esempio, alla sede amministrativa o a un solo data center di un gruppo, mentre i server che erogano il servizio acquistato si trovano in un altro data center, magari gestito da un terzo. Per questo \u00e8 sempre utile leggere il campo di applicazione riportato sul certificato, e non limitarsi a verificarne l’esistenza.<\/p>\n\n\n\n L’equivalenza tra sistema di gestione ambientale e DNSH non si limita alla Scheda 6: si \u00e8 diffusa in molti bandi e avvisi pubblici. Un’analisi pubblicata da Arpae Emilia-Romagna nell’ottobre 2023 riporta diversi esempi regionali. In Campania l’avviso Startup 2023 riconosce la piena conformit\u00e0 al DNSH per l’acquisto di beni funzionali all’elaborazione dei dati e all’hosting. In Emilia-Romagna, in un bando per la riqualificazione energetica e sismica degli edifici pubblici, il possesso della registrazione EMAS permette di considerare assolti in anticipo i requisiti DNSH per forniture e posa in opera. In Piemonte, in un bando per interventi di sistemazione idrogeologica, EMAS \u00e8 valorizzato nella valutazione dei candidati.<\/p>\n\n\n\n Questa diffusione ha due effetti. Da un lato rafforza la scelta della Guida, perch\u00e9 ne fa una prassi consolidata e condivisa da molte amministrazioni. Dall’altro significa che, se l’equivalenza venisse messa in discussione in sede di controllo europeo, il problema non riguarderebbe un singolo progetto ma un numero elevato di pratiche. Lo diciamo come ipotesi, non come previsione.<\/p>\n\n\n\n Alcuni punti sono chiari. Nel PNRR il rispetto del DNSH va dimostrato per ogni singola misura, alla luce dell’articolo 17 del Regolamento (UE) 2020\/852 sulla Tassonomia, che definisce che cosa significa \u00abdanno significativo\u00bb per ciascuno dei sei obiettivi ambientali. La Guida operativa \u00e8 uno strumento nazionale di supporto: la stessa Circolare MEF n. 22 del 2024, che ne ha approvato la terza edizione, ricorda che resta responsabilit\u00e0 di ciascuna amministrazione titolare assicurare il rispetto del DNSH, decidendo come recepire le indicazioni della Guida. E nei documenti europei, come abbiamo visto, la ISO 14001 \u00e8 un elemento di prova, non una presunzione di conformit\u00e0.<\/p>\n\n\n\n Altri punti, invece, non li conosciamo. Non sappiamo come la Commissione europea, la Corte dei conti europea o gli altri organismi di controllo valuteranno un fascicolo in cui il certificato \u00e8 l’unica prova del DNSH. E ad oggi non risultano esiti pubblici di controlli su questo specifico aspetto per i servizi di hosting e cloud.<\/p>\n\n\n\n Possiamo quindi immaginare tre scenari. Nel primo, il controllo accetta il certificato perch\u00e9 riconosce la Guida come un’interpretazione nazionale coerente con gli orientamenti europei. Nel secondo, il controllo chiede una prova nel merito, obiettivo per obiettivo, e il certificato da solo non basta. Nel terzo, l’esito dipende dal singolo progetto: dal perimetro del certificato, dal tipo di servizio acquistato, dal fatto che il beneficiario gestisca o meno data center propri.<\/p>\n\n\n\n In tutti e tre i casi il rischio concreto non \u00e8 che l’uso della ISO 14001 sia di per s\u00e9 un’irregolarit\u00e0. Il rischio \u00e8 trovarsi con un fascicolo fermo al certificato proprio nel momento in cui viene chiesto di dimostrare, nel merito, che il servizio non arreca danni significativi. \u00c8 un rischio che si pu\u00f2 ridurre con poco sforzo, come vediamo nella prossima sezione.<\/p>\n\n\n\n La Scheda 6 resta il riferimento ufficiale e la certificazione ISO 14001 o EMAS va comunque acquisita. Per ridurre il rischio, il consiglio \u00e8 di integrare il fascicolo con alcuni documenti che un fornitore di servizi cloud strutturato \u00e8 in genere in grado di produrre senza particolari difficolt\u00e0. Li elenchiamo indicando chi dovrebbe occuparsene.<\/p>\n\n\n\n Si tratta di documenti che un fornitore strutturato pu\u00f2 avere gi\u00e0 disponibili. Chiederli costa poco e rende il fascicolo molto pi\u00f9 solido.<\/p>\n\n\n\n La nostra tesi \u00e8 un’ipotesi prudente, non una conclusione, ed \u00e8 giusto tenere a mente alcune obiezioni.<\/p>\n\n\n\n La prima \u00e8 che la Guida operativa \u00e8 lo strumento ufficiale con cui l’Italia applica il DNSH. Chi ha seguito la Scheda 6 ha fatto esattamente ci\u00f2 che l’amministrazione gli ha indicato. Non sappiamo, inoltre, se la Commissione abbia esaminato questo specifico requisito durante il confronto sul Piano: se lo avesse accettato in quella sede, il rischio si ridurrebbe molto.<\/p>\n\n\n\n La seconda \u00e8 che l’Allegato II degli orientamenti europei offre un appiglio reale. Il riferimento ai sistemi di gestione ambientale come elemento di prova, soprattutto quando la certificazione \u00e8 imposta dalla misura, sostiene almeno in parte la scelta italiana.<\/p>\n\n\n\n La terza \u00e8 che una certificazione accreditata non \u00e8 un documento puramente formale. Gli auditor verificano anche il rispetto degli obblighi di legge, e un ente di certificazione che riscontrasse gravi non conformit\u00e0 normative non potrebbe ignorarle. \u00c8 un presidio concreto, anche se non copre le prestazioni ambientali del singolo servizio.<\/p>\n","protected":false},"excerpt":{"rendered":"Cosa prevede la Scheda 6 della Guida MEF<\/h2>\n\n\n\n
\n
Regime 1 e Regime 2: perch\u00e9 la distinzione conta<\/h2>\n\n\n\n
Cosa dicono gli orientamenti della Commissione europea<\/h2>\n\n\n\n
Cosa chiede il legislatore europeo per attivit\u00e0 simili: il Regolamento 2023\/2486<\/h2>\n\n\n\n
Obiettivo<\/th> Allegato II, 4.1 (soluzioni IT\/OT basate sui dati)<\/th> Allegato II, 5.6 (mercati virtuali)<\/th><\/tr> Mitigazione<\/td> Non pertinente<\/td> Pratiche attese del Codice di condotta UE sui data center o del CLC TR50600-99-1; attuate tutte quelle con valore 5<\/td><\/tr> Adattamento<\/td> Appendice A: valutazione del rischio climatico e della vulnerabilit\u00e0<\/td> Appendice A<\/td><\/tr> Acque<\/td> Appendice B<\/td> Appendice B<\/td><\/tr> Inquinamento<\/td> Apparecchiature conformi alla direttiva 2009\/125\/CE per server e archiviazione dati; nessuna sostanza RoHS oltre soglia<\/td> Appendice C (sostanze chimiche)<\/td><\/tr> Biodiversit\u00e0<\/td> Non pertinente<\/td> Non pertinente<\/td><\/tr> Apparecchiature e fine vita (criteri di contributo sostanziale)<\/td> Gestione e riciclaggio dei rifiuti a fine vita; trattamento dei RAEE secondo l’Allegato VII della direttiva 2012\/19\/UE<\/td> Server conformi all’Ecodesign, nessuna sostanza RoHS oltre soglia, piano di gestione dei rifiuti, trattamento dei RAEE secondo l’Allegato VII della direttiva 2012\/19\/UE<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n Cosa dimostra, e cosa non dimostra, una certificazione ISO 14001<\/h2>\n\n\n\n
Requisito DNSH (Scheda 6, Regime 2)<\/th> Cosa pu\u00f2 dimostrare il certificato ISO 14001<\/th> Cosa resta scoperto<\/th><\/tr> Refrigeranti e gas fluorurati<\/td> La Scheda 6 accetta un sistema di gestione che riporti l’uso dei refrigeranti, se verificato da terzi<\/td> Il calcolo del GWP medio ponderato, se non \u00e8 riportato<\/td><\/tr> Efficienza energetica del data center<\/td> Nulla di specifico<\/td> Le pratiche attese del Codice di condotta o del CLC TR50600-99-1 (la norma sull’energia \u00e8 la ISO 50001, non la ISO 14001)<\/td><\/tr> Server ed Ecodesign (Reg. 2019\/424)<\/td> L’esistenza di procedure di acquisto e di controllo dei fornitori<\/td> La conformit\u00e0 del prodotto, che \u00e8 un obbligo del produttore<\/td><\/tr> RoHS, REACH, compatibilit\u00e0 elettromagnetica<\/td> Come sopra<\/td> Le dichiarazioni del produttore ai sensi del D.P.R. 445\/2000<\/td><\/tr> RAEE a fine vita<\/td> Le procedure di gestione dei rifiuti, se previste dall’organizzazione<\/td> Un piano di gestione dei RAEE con accordi di riciclo o smaltimento<\/td><\/tr> Adattamento ai cambiamenti climatici<\/td> L’emendamento del 2024 alla norma ISO chiede di valutare se il cambiamento climatico sia una questione rilevante<\/td> Una valutazione del rischio fisico sul modello dell’Appendice A, che la norma non richiede<\/td><\/tr> Perimetro dell’attivit\u00e0<\/td> Solo i siti e le attivit\u00e0 compresi nel campo di applicazione<\/td> I data center che erogano davvero il servizio potrebbero essere fuori dal perimetro<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n Una prassi ormai diffusa nei bandi<\/h2>\n\n\n\n
Il rischio in fase di controllo: cosa sappiamo e cosa no<\/h2>\n\n\n\n
La documentazione consigliata<\/h2>\n\n\n\n
\n
Le obiezioni a questa lettura<\/h2>\n\n\n\n