CAPITOLATO D’ONERI ADOZIONE PIATTAFORMA PER AUTOMATED SECURITY VALIDATION E PENETRATION TEST PER LA DURATA DI 24 MESI
AREA DEI SERVIZI AI COMUNI
SETTORE DELLA INNOVAZIONE E DEI SERVIZI AI COMUNI
CAPITOLATO D’ONERI
ADOZIONE PIATTAFORMA PER AUTOMATED SECURITY VALIDATION E PENETRATION TEST
PER LA DURATA DI 24 MESI
CIG 8877082FCB
CPV 48730000-4
Sommario
DEFINIZIONI E GENERALITÀ 3
Art. 1 FINALITA’, OGGETTO E MODALITA’ DI ESECUZIONE DEL SERVIZIO 3
Art. 2 RESPONSABILE DEL PROCEDIMENTO 6
Art. 3 IMPORTO DEL SERVIZIO E MODIFICHE DEL CONTRATTO 6
Art. 4 DURATA DEL SERVIZIO 7
Art. 5 AVVIO DEL SERVIZIO 7
Art. 6 REQUISITI DI PARTECIPAZIONE 7
Art. 7 SCELTA DEL CONTRAENTE 8
Art. 8 GARANZIE 8
Art. 9 STIPULA DEL CONTRATTO 8
Art. 10 SUBAPPALTO E CESSIONE DEL CONTRATTO 9
Art. 11 OBBLIGHI DELL’APPALTATORE 9
Art. 12 SLA (Service Level Agreement) 9
Art. 13 SICUREZZA E TUTELA DEI LAVORATORI 9
Art. 14 MODALITA’ DI PAGAMENTO 9
Art. 15 INADEMPIENZE E PENALITA' 11
Art. 16 RISOLUZIONE DEL CONTRATTO E CLAUSOLA RISOLUTIVA ESPRESSA 12
Art. 17 RECESSO AI SENSI DELL’ART. 1, COMMA 13, DEL D.L. 95/2012 12
Art. 18 RECESSO UNILATERALE 13
Art. 19 TRATTAMENTO DATI PERSONALI 13
Art. 20 DEFINIZIONE DELLE CONTROVERSIE 14
Art. 21 DISPOSIZIONI FINALI 14
DEFINIZIONI E GENERALITÀ
Il presente Capitolato d’oneri viene redatto sotto l'osservanza delle norme di cui al D.Lgs. n. 50 del 18.04.2016 e successive modifiche e integrazioni nonché al D.L. 76/2020 convertito con modificazioni dalla Legge n. 120/2020.
Per "Appaltatore" si intende l’Operatore Economico partecipante alla procedura.
Per "Stazione Appaltante" (SA) si intende la Provincia di Brescia che affida all’Operatore Economico il servizio oggetto del presente appalto.
Per “RUP” si intende il Responsabile Unico del Procedimento di cui all’art. 31 del X.X.xx. 50/2016 e ss.mm.ii.
Per “Codice” si intende il D.Lgs. n. 50 del 18.04.2016 e ss.mm.ii.
Art. 1 FINALITA’, OGGETTO E MODALITA’ DI ESECUZIONE DEL SERVIZIO
La Provincia di Brescia, data l’attuale evoluzione delle tecnologie e delle relative minacce informatiche, ha valutato di dotarsi di un prodotto che le consenta di avere un maggiore controllo sulla sicurezza della propria infrastruttura attraverso un monitoraggio approfondito, automatizzato e continuo delle possibili minacce informatiche.
L’adozione di una soluzione software che consentirà alla Provincia di Brescia, avvalendosi del proprio personale sistemistico, di rendersi indipendente nelle verifiche periodiche e costanti delle vulnerabilità eventualmente presenti nell’infrastruttura informatica (continuous assessment), consentendo di valutare lo stato di sicurezza dell’infrastruttura (Security Assessment e Vulnerability Assessment) e di simulare attacchi informatici (Penetration Test). In questo modo la SA va a convalidare l’efficacia dei propri sistemi difensivi e aumenta la salvaguardia delle proprie risorse avendo la possibilità, in anticipo, di risolvere eventuali criticità evidenziate o introdurre eventuali misure di protezione o mitigazione e di rafforzare, quindi, la sicurezza dell’intera infrastruttura.
L’infrastruttura esistente e da monitorare è costituita da:
• Numero Utenti circa 700
• Numero Server circa 250
• Numero Client circa 850
• Numero Stampanti di rete multifunzione circa 150
• Numero IP Pubblici 64
• Firewall perimetrali: Fortigate 500E
• Protezione client: Sophos Endpoint Protection Advanced + Intercept X
Le caratteristiche minime della piattaforma proposta sono elencate nei punti seguenti. La piattaforma dovrà consentire, almeno, le seguenti funzionalità:
• Effettuare Security Assessment e, quindi, analizzare il livello di sicurezza dell’intero sistema informatico della SA attraverso la valutazione dei processi e delle tecnologie in uso, in modo da determinare l’efficacia delle misure di sicurezza adottate e da poter proporre un piano di azione per migliorare il livello di sicurezza dell’infrastruttura.
• Effettuare Vulnerability Assessment e, quindi:
o effettuare un’analisi dello stato attuale (AS-IS) attraverso uno scanning di sicurezza dei sistemi informatici in uso nella SA per ottenere un’immagine precisa dei punti deboli, dal punto di vista tecnico, da sanare all’interno dell’infrastruttura che evidenzi le vulnerabilità attaccabili, le configurazioni errate e le eventuali lacune nella sicurezza (patch mancanti, varchi attivi ecc.);
o effettuare una GAP Analysis che permetta di determinare e confrontare lo stato attuale del Cyber Security Framework rispetto alle normative e obiettivi interni;
o misurare e monitorare le prestazioni di sicurezza, valutando le vulnerabilità della rete in base al punteggio Common Vulnerability Scoring System (CVSS);
o effettuare la correlazione dei risultati ottenuti e avere indicazioni sulle possibili procedure di mitigazione da applicare (Remediation Plan).
• Effettuare Penetration Test e, quindi:
o simulare attacchi in modalità “Black Box” e, pertanto, in maniera automatizzata full stack, senza necessità di credenziali iniziali per l’esecuzione del test;
o simulare attacchi in modalità “Gray Box” e, pertanto, eseguire scenari di ethical hacking granulari con punto di partenza specifico e definizione dell’obiettivo finale;
o simulare attacchi ripetibili e schedulabili;
o simulare attacchi e violazioni tramite, a titolo esemplificativo e non esaustivo, lancio di campagne di phishing, smishing, ransomware, ecc.;
o testare in modo mirato la forza delle password di Active Directory, tramite un test di cracking delle password offline, in modo da individuare gli account che, nonostante aderiscano alle policy di sicurezza definite dalla SA, possono ancore essere facilmente decifrate dagli hacker;
o testare l'integrità della segmentazione, le apparecchiature di rete e i controlli degli accessi privilegiati.
• Prioritizzare le vulnerabilità organizzandole in funzione del rischio che esse rappresentano per la SA. Dovrà essere possibile distinguere le priorità in base alle azioni che la SA dovrà intraprendere per sanare le eventuali criticità rilevate secondo lo schema di seguito riportato:
Severità | Descrizione |
ALTA | Grave impatto sull’operatività della SA: - Compromissione di sistemi o reti in grado di permettere l’accesso incontrollato a informazioni riservate - Compromissione che determina l’impossibilità tecnica di fornire uno o più servizi critici per la SA |
MEDIA | Medio impatto sull’operatività della SA: - Funzionamento parziale o intermittente di rete/sistemi/applicazioni - Compromissione di server e degrado delle prestazioni con conseguenti servizi parzialmente interrotti o degradati |
BASSA | Moderato impatto sull’operatività della SA: - Segnalazione del rischio di intrusione da parte di un attaccante - Segnalazione del rischio di contaminazione da virus |
L’Appaltatore dovrà presentare un’offerta nella quale dovrà mettere a disposizione una piattaforma che, a titolo esemplificativo e non esaustivo:
• permetta di effettuare controlli Pre-Exploitation (Email Gateway; Web Gateway; Web Application Firewall), controlli Exploitation (Endpoint Security; Phising Awarness), controlli Post-Exploitation (Lateral Movement; Data Exfiltration);
• vada a coprire tutti i segmenti di rete, trovando le eventuali vulnerabilità di rete in tutti gli host, Active Directory, Database, web hosting, dispositivi di rete, ecc., eseguendo exploit completi e attacchi post-exploitation per mostrare l'impatto completo della vulnerabilità;
• sfidi la sicurezza degli endpoint con ethical exploit del payload per emulare scenari di attacco reali end to end;
• fornisca una visualizzazione delle vulnerabilità basata sull’impatto reale delle violazioni della rete, definendo quali siano le vulnerabilità più critiche nella kill chain in base all’impatto aziendale complessivo e indicando le azioni correttive da intraprendere;
• permetta di gestire diverse fasi temporali e diverse fasi di attacco dinamico contro i segmenti di rete di destinazione, secondo lo schema di seguito riportato:
Fasi | Descrizione |
Scanning Enumeration Vulnerability Scan | - Riconoscimento di ciò che è presente sulla rete (identificazione indirizzi IP attivi e porte, individuazione di tutti gli host, server e dispositivi correlati) - Estrazione dei dati del computer, dati utente, nomi host, risorse e condivisioni di rete, file system e altri servizi per creare una connessione attiva al sistema - Analisi degli host attivi alla ricerca di vulnerabilità note - Mappatura della superficie di attacco |
Exploitation | Sfruttamento dinamico delle vulnerabilità ed estensione della superficie di attacco: - sniffing delle credenziali - cracking delle password - intercettazione del traffico tra due parti - Tentativo di bypassare le soluzioni Endpoint Detection & Response (EDR)/ NextGeneration AntiVirus (NGAV) per convalidarne l’efficacia |
Post-Exploitation | - Movimento Laterale (gestione di una procedura di estrazione per poter ruotare lateralmente verso nuovi endpoint in tutta la rete) - Escalation dei privilegi (funzionalità remote e locali per passare da un utente non privilegiato alla possibilità di eseguire codice con autorizzazioni elevate) - Esfiltrazione dei dati (trasferimento di dati da un endpoint di destinazione innescato dall'acquisizione di un dispositivo) |
Reporting | - Creazione di report dettagliati che esplicitino le informazioni sulle criticità, sui risultati dei test effettuati e sulle azioni da intraprendere (remediation plan) - Creazione di relazioni esecutive, di stampo manageriale, che diano una panoramica di alto livello della posizione di sicurezza dell'organizzazione |
Il software proposto dovrà avere, inoltre, le caratteristiche tecniche di seguito esposte:
• La piattaforma applicativa deve essere on-premise e dovrà permettere in modo automatico di simulare attacchi verso la rete della SA stessa;
• Non dovrà essere necessaria l’installazione, la configurazione, la manutenzione o l’aggiornamento di alcun agente ma solo di un’eventuale appliance fisica/virtuale presso la server farm della SA stessa (nel caso in cui questa sia necessaria dovrà essere inclusa nel costo della soluzione e non deve essere, in alcun modo, a carico della SA);
• I dati raccolti dall’appliance non dovranno essere trasmessi o salvati su sistemi esterni alla server farm della SA;
• Il prodotto offerto dovrà essere aperto, a pena di esclusione, a integrazioni esterne, includendo sia delle RestAPI, che integrazioni già disponibili verso SIEM (Security Information & Event Management);
• L’aggiornamento della piattaforma dovrà avvenire in modalità automatica e dovrà essere garantito senza interruzioni (24x7x365) per tutta la durata contrattuale.
Dovranno essere garantiti la continuità di servizio e gli SLA di cui all’Art. 12. L’Appaltatore dovrà essere in grado di garantire il supporto necessario all’utilizzo e alla configurazione della piattaforma, secondo gli SLA di cui all’Art. 12. L’Appaltatore dovrà mettere a disposizione, per tutta la durata contrattuale, un sistema di trouble ticketing al quale verranno segnalati eventuali malfunzionamenti e richieste di assistenza.
Dovrà essere garantita la manutenzione software per l’intera durata contrattuale.
Il servizio prevede inoltre un minimo di 15 giornate di assistenza specialistica al personale della SA finalizzate all’avvio e configurazione del software. Le giornate potranno essere erogate anche da remoto. Ogni giornata dovrà essere di almeno 6 (sei) ore lavorative.
Nel corso della durata contrattuale potranno essere richieste dalla SA ulteriori giornate di assistenza, per un massimo di 10. Le giornate verranno richieste con un preavviso di almeno 5 (cinque) giorni solari.
In considerazione della natura del servizio in oggetto e delle modalità di svolgimento del contratto, non sussistono rischi da interferenze ulteriori rispetto a quelli specifici dell'attività propria della Provincia, pertanto non è necessaria l'elaborazione del documento unico di valutazione dei rischi da interferenze.
Art. 2 RESPONSABILE DEL PROCEDIMENTO
Il Responsabile unico del procedimento, ai sensi dell'art. 31 comma 1 del D.Lgs. 50/2016, è l’istruttore direttivo amministrativo del Settore della Innovazione e dei Servizi ai Comuni della Provincia di Brescia, Xxxx. Xxxxxxx Xxxxxx.
Art. 3 IMPORTO DEL SERVIZIO E MODIFICHE DEL CONTRATTO
L’importo stimato del servizio posto a base di gara ammonta ad € 76.000,00 (al netto dell’IVA di Legge).
L’importo dell’onere della sicurezza è pari a zero in quanto non sono previsti rischi da interferenze (art. 26, comma 5, d. lgs. 81/2008 e Determinazione Autorità di Vigilanza sui contratti pubblici di lavori, servizi e forniture n. 3 del 5/3/2008).
Il contratto potrà essere modificato ai sensi dell’art. 106 comma 1 lett. a) del Codice fino all’ammontare di
€ 15.000,00 oltre IVA di legge.
Il contratto potrà essere rinnovato ai sensi dell’art. 106 comma 1 lett a) del Codice per un periodo di 12 mesi. Il valore del rinnovo è pari ad € 38.000,00 oltre IVA di legge. Il contratto di rinnovo, qualora in corso di esecuzione si renda necessario, potrà essere modificato ai sensi dell’art. 106 comma 1 lett. a) del Codice fino all’ammontare di € 7.500,00 oltre IVA di legge.
Pertanto, ai sensi dell’art. 35 comma 4 del Codice il valore complessivo della procedura ammonta ad € 136.500,00 (€ 76.000,00 + € 38.000,00 + € 15.000,00 + € 7.500,00) oltre IVA di legge.
Ai sensi dell’art. 106 comma 12 del D.Lgs. 50/2016 e ss.mm.ii., qualora in corso di esecuzione si renda necessario un aumento o una diminuzione delle prestazioni fino a concorrenza del quinto dell'importo del contratto pari ad € 15.200,00 oltre IVA, la Stazione Appaltante può imporre all'appaltatore l'esecuzione alle
stesse condizioni previste nel contratto originario, senza che l'appaltatore possa far valere il diritto alla risoluzione del contratto.
Art. 4 DURATA DEL SERVIZIO
Il servizio avrà una durata di 24 mesi decorrenti dalla data di stipula, con esclusione di qualsiasi opzione tacita o comportamento concludente.
Il contratto si perfezionerà alla data di sottoscrizione che verrà effettuata secondo quanto previsto all’Art. 9 del presente documento.
Non è ammesso il rinnovo tacito.
La Provincia di Brescia potrà recedere dal contratto in qualunque momento, avendone dato preavviso scritto di almeno 20 giorni al fornitore. In tal caso, ai sensi dell’articolo 109 del Codice, l’Appaltatore avrà diritto alla retribuzione delle sole prestazioni eseguite oltre ad un decimo del servizio non eseguito, rinunciando, ora per allora, ad ogni ulteriore pretesa risarcitoria e ad ogni ulteriore compenso e/o indennizzo.
Art. 5 AVVIO DEL SERVIZIO
La messa a disposizione della piattaforma per l’avvio del servizio di Security Assessment, Vulnerability Assessment e Penetration Test dovrà avvenire entro e non oltre i 30 giorni solari e consecutivi dalla data di stipula del contratto (che avverrà sul portale MEPA).
Entro tale data l’Appaltatore dovrà:
• mettere a disposizione la piattaforma descritta all’Art. 1 del presente documento;
• comunicare i riferimenti per l’apertura e il monitoraggio dei ticket di assistenza in caso di guasti alla piattaforma;
• pianificare, in accordo con la SA, le 15 (quindici) giornate di assistenza per la configurazione. Le prime 6 (sei) giornate dovranno essere erogate entro 15 (quindici) giorni solari dalla data di messa a disposizione della piattaforma. Le restanti 9 (nove) dovranno essere erogate entro i 60 (sessanta) giorni solari dalla stessa data.
Art. 6 REQUISITI DI PARTECIPAZIONE
Possono partecipare alla procedura gli operatori economici indicati all’art. 45 del Codice, che possiedono i seguenti requisiti:
• iscrizione al Mercato elettronico della Pubblica Amministrazione (MePa);
• Requisiti di ordine generale - di non trovarsi nelle condizioni previste dall’articolo 80 del Codice e dell’articolo 53, comma 16 ter, del Decreto Legislativo n. 165/01;
• Requisiti di idoneità professionale
o di essere iscritto nel registro tenuto dalla Camera di Commercio Industria, Artigianato e Agricoltura per attività corrispondenti con quelle oggetto della presente procedura di gara;
o di essere in possesso della certificazione ISO 27001 in corso di validità, rilasciata da organismi accreditati ai sensi delle norme europee della serie UNI XXX XX XXX/XXX 00000;
Art. 7 SCELTA DEL CONTRAENTE
L’affidamento avverrà mediante affidamento diretto ai sensi dell’articolo 1, comma 2, lett. a) del D.L. 76/2020, convertito con modificazioni con Legge n.120/2020 e novellato dal D.L. 77/2021, convertito con modificazioni con L. 108/2021.
L’affidataria sarà tenuta a presentare la documentazione amministrativa per procedere alle verifiche di cui all’art. 80 e 83 del Codice in capo all’affidatario.
A seguito dell’esito positivo delle verifiche, nel rispetto delle Linee Guida n. 4 di ANAC, verrà stipulato il contratto.
Nel caso di mutate esigenze di servizio la Provincia di Brescia si riserva la facoltà di non procedere in tutto o in parte all’affidamento, di reindire, sospendere o annullare la procedura, nonché di prolungarne i termini di scadenza. In ogni caso il concorrente non ha diritto a compensi, indennizzi, rimborsi spese o altro.
Non saranno accettate offerte pari o superiori all’importo negoziabile posto a base di gara, pena l’esclusione dell’offerta. L’importo deve intendersi comprensivo dello svolgimento completo del servizio secondo il presente Capitolato.
Art. 8 GARANZIE
Ai fini della partecipazione non è prevista alcuna forma di garanzia provvisoria.
Ai fini della sottoscrizione del contratto, non è prevista alcuna forma di garanzia definitiva.
Art. 9 STIPULA DEL CONTRATTO
Il contratto verrà stipulato tramite apposita funzione del portale MEPA di Consip.
Il presente contratto è soggetto a registrazione, solo in caso d’uso, ad imposta fissa ai sensi degli artt. 5 e 40 del DPR 26/4/1986 n. 131.
Tutte le spese inerenti e conseguenti al presente atto sono a carico del contraente incaricato. Ai sensi dell'art. 53 comma 3 del Regolamento Consip l’appaltatore provvederà all’assolvimento dell'imposta di bollo, per un importo pari a € 16,00. Tale pagamento è da effettuarsi nelle modalità indicate all’art. 3 del D.P.R. 26/10/1972 n. 642 (sostituito dal D.P.R. 955/82). Si precisa che trattandosi di procedura gestita con docu- menti firmati digitalmente, l’imposta di bollo deve essere assolta in modo virtuale.
Nel caso venisse utilizzato il modello F23, si danno alcune indicazioni per la compilazione:
• Ufficio o Ente: “TMJ”
• Estremi dell’Atto o del Documento: Anno “2021” e Numero della RDO MEPA
• Codice Tributo: “456T”
• Descrizione: “Imposta di Bollo”.
Art. 10 SUBAPPALTO E CESSIONE DEL CONTRATTO
In relazione all'affidamento di cui alla presente procedura il subappalto è disciplinato dall'art. 105 del D.Lgs. 50/2016. Il contratto non può essere ceduto a pena di nullità.
Art. 11 OBBLIGHI DELL’APPALTATORE
Nello svolgimento del servizio l’Appaltatore si impegna a rispettare tutte le norme europee e nazionali attinenti alle materie gestite dagli applicativi, oggetto del servizio, oltre che quelle indirizzate ai servizi di outsourcing, quelle previste nel Piano Triennale per l’Informatica nella PA, quelle relative alla privacy (D.Lgs. n. 196/03 e GDPR n. 679/2016), al diritto d'autore, all'accessibilità e usabilità degli applicativi e al Codice di Amministrazione Digitale (CAD) e alle relative linee guida per l'attuazione, le norme ISO relative alla gestione della sicurezza dell'informazione e agli standard di qualità dei software.
Il servizio si dovrà svolgere inoltre nel rispetto dei regolamenti interni della Provincia di Brescia, delle prescrizioni impartite all'avvio del servizio oltre che del presente capitolato.
Art. 12 SLA (SERVICE LEVEL AGREEMENT)
Per l’attività di help-desk dovrà essere garantito il seguente orario di servizio: tutti i giorni feriali, dal lunedì al venerdì, dalle 8:00 alle 17:30. La SA aprirà i ticket di richiesta assistenza o segnalazione malfunzionamenti tramite il sistema di trouble ticketing messo a disposizione dall’Appaltatore. I ticket dovranno essere risolti entro le 48 ore lavorative successive (misurate dal momento dell’apertura di ciascun ticket fino alla sua chiusura tecnica, al netto del tempo durante il quale ciascun ticket è posto in pending se in attesa di riscontro da parte della SA).
Il calcolo delle penali per il mancato rispetto degli SLA avverrà sulla base delle informazioni memorizzate nel software di gestione ticket, con le modalità previste dal successivo Art. 15.
Art. 13 SICUREZZA E TUTELA DEI LAVORATORI
Nell’esecuzione del servizio, l’Appaltatore si obbliga a rispettare puntualmente tutte le norme in materia di prevenzione infortuni e di igiene sul lavoro, con particolare riguardo al D.Lgs. n. 81/2008; si obbliga, inoltre, ad applicare, nei confronti dei lavoratori dipendenti, condizioni non inferiori a quelle risultanti dal contratto collettivo della categoria e della zona; l’Appaltatore è, altresì, tenuto ad osservare tutte le disposizioni in materia di assicurazione e assistenza dei lavoratori.
Art. 14 MODALITA’ DI PAGAMENTO
Il compenso spettante all’Appaltatore verrà corrisposto entro 30 giorni dal ricevimento di regolare fattura, secondo le seguenti modalità:
• Primo acconto pari al 50% dopo 30 giorni dalla messa a disposizione della piattaforma
• Secondo acconto pari al 30% al 31 marzo 2022
• Saldo pari al 20% a fine contratto
Per il pagamento dell’IVA si applica l’Istituto dello split payment o scissione dei pagamenti.
Ai sensi del Decreto Ministero dell’Economia e delle Finanze 2.4.2013 n. 55 e dell’art. 25 del D.L. n. 66/2014, convertito con modificazioni dalla legge 23 giugno 2014 n. 89, dal 31 marzo 2015 la Provincia di
Xxxxxxx accetta solo fatture trasmesse in forma elettronica secondo le specifiche tecniche di cui all’allegato A “Formato della fattura elettronica” del citato D.M. n. 55/2013 e reperibili sul sito xxx.xxxxxxxxx.xxx.xx.
La Stazione Appaltante effettuerà i pagamenti, anche parziali, solo dopo aver ricevuto la fattura in formato elettronico, secondo i requisiti tecnici stabiliti dal DM n. 55/2013. Il Codice Univoco Ufficio, da inserire obbligatoriamente nell'elemento “Codice Destinatario” del tracciato della fattura elettronica, per quanto riguarda la Provincia di Brescia, è il seguente:
UF95O3
Codice Univoco Ufficio
Si ricorda che con il citato D.L. n. 66/2014 è stato inoltre disposto che, al fine di assicurare l'effettiva tracciabilità dei pagamenti da parte delle pubbliche amministrazioni, le fatture elettroniche emesse verso le stesse pubbliche amministrazioni riportano il Codice identificativo di gara (CIG), tranne i casi di esclusione dell'indicazione dello stesso nelle transazioni finanziarie così come previsto dalla determinazione dell'Au- torità di vigilanza sui contratti pubblici di lavori, servizi e forniture 7 luglio 2011, n. 4, e i casi di esclusione dall'obbligo di tracciabilità di cui alla legge 13 agosto 2010, n. 136, previsti dalla tabella 1 allegata al de- creto; detta tabella è aggiornata con decreto del Ministro dell'economia e delle finanze, sentita l'Autorità di vigilanza sui contratti pubblici di lavori, servizi e forniture.
I dati da inserire in fattura tramite i campi previsti sono:
• nella sezione "dati del contratto" riportare il numero e data della determinazione dirigenziale di affidamento e il riferimento al Settore della Innovazione e dei Servizi ai Comuni.;
• nel campo CIG: riportare il numero CIG;
• nella sezione “dati relativi alle linee di dettaglio della fornitura” indicare: l'oggetto esatto dell'ap- palto (vedere oggetto del contratto);
• nella sezione "Dati di riepilogo per aliquota IVA e natura": selezionare S in quanto si applica l'isti- tuto dello split payment o scissione dei pagamenti;
• nella sezione "Dati relativi al pagamento": selezionare modalità di pagamento tramite bonifico ban- cario o postale e riportare il cod IBAN del C/C che deve corrispondere alla dichiarazione di traccia- bilità dei flussi finanziari rilasciata in fase di stipula del contratto
• nel campo “altre informazioni” riportare il numero della determinazione dirigenziale con la quale è stata commissionata la prestazione/fornitura.
Si precisa, che questa Amministrazione non potrà procedere al pagamento della fattura elettronica qualora non venga in essa riportato il predetto codice CIG.
La Provincia di Brescia non risponde per eventuali ritardi o sospensioni nei pagamenti imputabili al mancato rispetto da parte dell’Appaltatore della procedura sopra indicata.
A completamento del quadro regolamentare, si segnala che l'allegato B “Regole Tecniche” al citato D.M. 55/2013, contiene le modalità di emissione e trasmissione della fattura elettronica alla Pubblica Amministrazione per mezzo dello SDI, mentre l'allegato C “Linee Guida”, del medesimo decreto, riguarda le operazioni per la gestione dell'intero processo di fatturazione.
Si informa inoltre che le informazioni relative al pagamento delle fatture saranno reperibili attraverso la piattaforma per la Certificazione dei Crediti messa a disposizione dal Ministero dell'Economia e Finanze (MEF) Ragioneria Generale dello Stato.
Ai sensi dell’art. 3 della L. 136/2010 e del Decreto Legge 187 del 12/11/2010 “Misure urgenti in materia di sicurezza” i pagamenti devono avvenire esclusivamente tramite lo strumento del bonifico bancario o postale ovvero con altri strumenti di pagamento idonei a garantire la piena tracciabilità delle operazioni. I contraenti hanno l’obbligo di comunicare alla stazione appaltante gli estremi identificativi dei conti correnti dedicati entro sette giorni dalla loro accensione o, nel caso di conti correnti già esistenti, dalla loro prima
utilizzazione in operazioni finanziarie relative ad una commessa pubblica. Inoltre, hanno l’obbligo di indicare le generalità e il codice fiscale delle persone delegate ad operare su di essi. Gli stessi soggetti provvedono, altresì, a comunicare ogni modifica relativa ai dati trasmessi. Il contraente assume l’obbligo di tracciabilità dei flussi finanziari.
L’appaltatore, il subappaltatore o il subcontraente che ha notizia dell’inadempimento della propria controparte agli obblighi di tracciabilità finanziaria di cui all’art. 3, c. 8 della L. 136/2010 ne dà immediata comunicazione alla Provincia di Brescia e alla prefettura di Brescia.
La violazione degli obblighi previsti dal suddetto art. 3 della L. 136/2010 determina la risoluzione di diritto del presente contratto.
Le cessioni di crediti possono essere effettuate a banche o intermediari finanziari disciplinati dalle leggi in materia bancaria e creditizia, il cui oggetto sociale preveda l’esercizio dell’attività di acquisto di crediti di impresa. Ai sensi del comma 2 del medesimo articolo le suddette cessioni devono essere stipulate mediante atto pubblico o scrittura privata autenticata e devono essere notificate alla Provincia di Brescia.
Art. 15 INADEMPIENZE E PENALITA'
Tenuto conto delle specifiche modalità di erogazione dei servizi oggetto del presente Capitolato, la Stazione Appaltante si riserva la facoltà di applicare, a suo insindacabile giudizio, una penale pecuniaria, ove si verifichino inadempienze da parte dell’Appaltatore nell’esecuzione degli obblighi previsti, formalmente contestate dal RUP e riguardanti la qualità dei servizi forniti oppure i tempi o le modalità di esecuzione, fatti salvi i casi di forza maggiore e quelli non addebitabili all’Appaltatore riconosciuti come tali dal RUP
Ai sensi dell’art. 113 bis comma 4 del Codice le penali dovute per il ritardato adempimento ed il mancato rispetto degli “S.L.A.” di cui al precedente Art. 12 sono calcolate sull'ammontare netto contrattuale annuo da determinare in relazione all'entità delle conseguenze legate al ritardo secondo quanto di seguito specificato:
• 97% è il valore di soglia definito per i ticket che devono essere chiusi entro i tempi previsti all’Art.
12. Nell’arco del trimestre potrà essere applicata una penale pari al 1‰ (uno per mille) per ogni punto percentuale in diminuzione rispetto al sopracitato valore soglia;
• Per ogni giorno di ritardo nella messa a disposizione della piattaforma di cui all’Art. 5, per cause non imputabili alla SA, potrà essere applicata una penale pari all’0,5‰ (zerovirgolacinque per mille);
• Per ogni giorno di indisponibilità dell’aggiornamento automatico di cui all’Art. 1 potrà essere applicata una penale pari al 1‰ (uno per mille).
Le penalità applicate non possono comunque superare, complessivamente, il 10 per cento di detto ammontare netto contrattuale.
Gli eventuali inadempimenti contrattuali che daranno luogo all’applicazione delle penali saranno contestati all’appaltatore, dalla Provincia, per iscritto tramite posta elettronica certificata. L’appaltatore potrà comunicare per iscritto le proprie deduzioni alla Provincia di Brescia nel termine massimo di 5 (cinque) giorni solari dalla stessa contestazione. Qualora dette deduzioni non siano accoglibili a giudizio della Provincia di Brescia, ovvero non vi sia stata risposta o la stessa non sia giunta nel termine indicato potranno essere applicate all’appaltatore le penali come sopra indicate a decorrere dall’inizio dell’inadempimento, fatto salvo il risarcimento dell’eventuale maggior danno.
Nei casi di servizi forniti con modalità diverse da quelle concordate e/o aventi contenuti non corretti e con riflessi pregiudizievoli per la Stazione Appaltante, questa potrà avvalersi della facoltà di risolvere il contratto fermo restando il diritto di risarcimento dell'eventuale maggior danno.
Nell’ipotesi in cui l’importo delle penali applicabili superi l’ammontare del 10% dell’importo contrattuale complessivo, la Stazione Appaltante potrà risolvere il contratto in danno dell’Appaltatore, fatto salvo il diritto al risarcimento dell’eventuale maggiore danno.
Tutte le penalità e le spese a carico dell’Appaltatore saranno trattenute dai corrispettivi dovuti. In ogni caso, l’applicazione delle penali non sarà condizionata all’emissione di nota di debito o di altro documento.
L’Appaltatore non potrà chiedere la non applicazione delle penali, né evitare le altre conseguenze previste dal presente Capitolato per le inadempienze contrattuali, adducendo che le stesse siano dovute a forza maggiore o ad altra causa indipendente dalla propria volontà ove lo stesso Xxxxxxxxxxx non abbia provveduto a denunciare dette circostanze al Settore committente entro 5 (cinque) giorni lavorativi da quello in cui ne ha avuta conoscenza. Oltre a ciò, l’Appaltatore non potrà invocare la non applicazione delle predette penali adducendo l’indisponibilità di personale, di mezzi, di attrezzature od altro, anche se dovuta a forza maggiore o ad altra causa indipendente dalla sua volontà, ove non dimostri di non aver potuto evitare l’inadempimento.
L’applicazione delle penali non limita l’obbligo, da parte dell’Appaltatore, di provvedere all’integrale risarcimento del danno indipendentemente dal suo ammontare ed anche in misura superiore rispetto all’importo delle penali stesse. Resta inteso, inoltre, che la richiesta e/o il pagamento della penale non esonera, in alcun caso, l’Appaltatore dall’adempimento dell’obbligazione per cui questi si è reso inadempiente e che ha fatto sorgere l’obbligo di pagamento della medesima penale.
Art. 16 RISOLUZIONE DEL CONTRATTO E CLAUSOLA RISOLUTIVA ESPRESSA
La risoluzione del contratto è disciplinata dall'articolo 108 del Codice.
Ai sensi dell’articolo 3, comma 9 bis, della legge n. 136/2010, il mancato utilizzo da parte dell’Appaltatore per i movimenti finanziari relativi al servizio oggetto del presente Capitolato del bonifico bancario o postale, ovvero di altri strumenti idonei a consentire la piena tracciabilità delle operazioni, costituisce causa di risoluzione del contratto.
La dichiarazione di risoluzione del contratto è adottata dal dirigente del Settore della Provincia di Brescia competente.
Resta ferma l'applicabilità delle disposizioni del Codice Civile in materia di risoluzione per inadempimento, per impossibilità sopravvenuta o per eccessiva onerosità sopravvenuta del contratto, in quanto compatibili.
In applicazione dell’art, 1456 del Codice Civile il contratto è risolto in caso di grave inadempimento al verificarsi anche di uno solo dei seguenti casi:
• l’Appaltatore non intenda sottostare alle penalità previste nell'Art. 15;
• grave dispersione dei dati di titolarità della Provincia a cui l’Appaltatore ha accesso per lo svolgi- mento del servizio;
• gravi violazioni degli obblighi contrattuali, non eliminate a seguito di ripetuta diffida formale della Provincia (tre volte);
• violazione degli obblighi contenuti nel Patto d’Integrità.
Art. 17 RECESSO AI SENSI DELL’ART. 1, COMMA 13, DEL D.L. 95/2012
Qualora in vigenza di contratto intervenga una convenzione stipulata da Consip SpA, ai sensi dell’art. 26, comma 1, della Legge 23 dicembre 1999, n. 488, con parametri migliorativi – tenendo conto nella valuta-
zione del decimo delle prestazioni ancora da eseguire - e l’Appaltatore non aderisca alla proposta di xxxx- fica delle condizioni economiche previste dal presente contratto per riportarlo nel limite di cui all’art.26, comma 3, della Legge 23 dicembre 1999, n. 488, la Provincia recederà dal contratto previa comunicazione formale, con preavviso non inferiore a quindici giorni e pagamento delle prestazioni già eseguite, oltre al decimo delle prestazioni non ancora eseguite, ai sensi e per gli effetti dell’art. 1, comma 13, del D.L. 6 luglio 2012, n. 95, convertito in legge 7 agosto 2012, n. 135.
Art. 18 RECESSO UNILATERALE
Il recesso dal contratto è disciplinato dall'articolo 109 del Codice.
L'esercizio del diritto di recesso è preceduto da formale comunicazione all’Appaltatore da parte del RUP, con posta elettronica certificata, da darsi con preavviso non inferiore a 20 (venti) giorni, decorsi i quali la Provincia prende in consegna il servizio e ne verifica la regolarità.
Il preavviso di recesso indica le sopravvenute ragioni di pubblico interesse poste alla base del medesimo e prevede la facoltà, per l’Appaltatore, di far pervenire memorie e documenti entro 5 (cinque) giorni dalla data di ricevimento della comunicazione.
Il recesso è assunto con atto motivato del dirigente del Settore della Provincia di Brescia competente.
Art. 19 TRATTAMENTO DATI PERSONALI
I dati raccolti saranno trattati, ai sensi del GDPR n. 679/2016 (Codice in materia di protezione dei dati personali), esclusivamente nell’ambito della procedura cui si riferisce il presente atto. I dati raccolti sono destinati alla scelta del contraente ed il loro conferimento ha natura facoltativa, fermo restando che l’ope- ratore economico che intende partecipare alla gara o aggiudicarsi l’appalto deve fornire alla Provincia di Brescia la documentazione richiesta dalla vigente normativa e dal presente atto. La mancata produzione dei precitati documenti comporta l’esclusione dalla procedura o la decadenza dall’aggiudicazione.
I dati raccolti possono essere trattati dal personale della Provincia di Brescia che cura il procedimento di gara, dalla Commissione di gara ed esibiti ad ogni altro soggetto che vi abbia interesse nel rispetto della normativa vigente.
Per quanto riguarda la documentazione gestita tramite MePA di Consip, il responsabile del trattamento dei dati è il gestore della stessa piattaforma stessa che cura gli adempimenti in ordine alla operatività dei processi di accesso e utilizzo dei sistemi informatici.
Ai fini della regolare esecuzione del contratto, l’Appaltatore dovrà necessariamente trattare dati personali per conto della Provincia di Brescia. Per tale motivo, in osservanza di quanto stabilito dalla normativa vigente e, in particolare, dall’articolo 28 del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 e dall’articolo 29 del D. X.xx 30 giugno 2003, n. 196, così come modificato dalla legge 20 novembre 2017, n. 167, l’Appaltatore, all’atto della sottoscrizione del contratto, verrà designato quale Responsabile “esterno” del Trattamento, assumendo gli obblighi e le responsabilità connesse a tale ruolo. Relativamente a detto trattamento, si precisa che il Titolare è la Provincia di Brescia e che il Responsabile “interno” del Trattamento è il Dirigente del Settore della Innovazione e dei Servizi ai Comuni.
A seguito della designazione, l’Appaltatore dovrà impegnarsi all’osservanza della normativa in materia di protezione dei dati personali nonché alle istruzioni impartite dal Titolare del Trattamento, adottando le opportune misure atte a garantire la sicurezza dei dati personali che dovranno essere correttamente trattati.
A tal fine il contraente, prima dell’avvio delle attività, dovrà provvedere alla designazione degli “Incaricati del Trattamento” che saranno coinvolti nella realizzazione delle attività oggetto dell’appalto e comportanti il trattamento di dati personali, comunicando i relativi nominativi all’appaltante. Inoltre dovrà fornire idonee garanzie del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza dei dati così come previsti dalla normativa vigente, con particolare riferimento alle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza, adottate per minimizzare i rischi di distruzione o perdita, anche accidentale, dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.
Art. 20 DEFINIZIONE DELLE CONTROVERSIE
Per qualsiasi eventuale controversia tra le parti, in vigenza di contratto, ai sensi dell’art. 20 del c.p.c. sarà competente il Foro di Brescia.
Art. 21 DISPOSIZIONI FINALI
Per quanto non previsto nel presente Capitolato, si intendono richiamate e applicabili tutte le disposizioni di legge che regolano la materia.
Qualora entrassero in vigore delle norme in contrasto con quanto stabilito dal presente capitolato, gli articoli incompatibili risulteranno automaticamente decaduti.
Brescia, 20/08/2021
IL RESPONSABILE UNICO DEL PROCEDIMENTO
Xxxx. Xxxxxxx Xxxxxx