– 2020 ASSE 2 - OBIETTIVO SPECIFICO 2.2 - AZIONE 2.2.1 – CUP: F66G23000300002

GARA EUROPEA A PROCEDURA APERTA PER PROGETTO “POTENZIAMENTO DEL SISTEMA DI SICUREZZA PER LA PROTEZIONE DEI DATI SANITARI DELL’AORN XXXXXXXXXX” - DGRC n. 354 del 19.06.2023 - POR CAMPANIA FESR 2014

– 2020 ASSE 2 - OBIETTIVO SPECIFICO 2.2 - AZIONE 2.2.1 – CUP: F66G23000300002

CAPITOLATO TECNICO

Allegato 1

INDICE

ART. 1 - Premessa

ART. 2 - Oggetto della fornitura ART. 3 – Obblighi dell’aggiudicatario

ART. 4 – Condizioni di partecipazione ART. 5 – Attività progettuali

ART. 6 - Configurazione attuale

ART. 6.1 - Infrastruttura tecnologica ART. 6.2 - Server e storage

ART. 6.3 - Switch

ART. 6.4 - Virtualizzazione

ART. 6.5 - Protezione end point

ART. 7 – Caratteristiche generali hardware minime oggetto della fornitura ART. 8 – Requisiti tecnici oggetto di valutazione

ART. 8.1 - Software di virtualizzazione ART. 8.2 - Sistema di backup

ART. 8.3 - Potenziamento infrastruttura sicurezza e monitoraggio ART. 8.4 - Device monitoraggio proattivo

ART. 8.5 - Service Level Agreement (SLA) dei componenti Storage e Switch ART. 9 – Affidabilità della fornitura

ART. 10 – Servizi di implementazione

ART. 11 – Valutazione qualitativa dei prodotti della fornitura ART. 11.1 - Criteri di valutazione dell’offerta tecnica

ART. 12 – Servizi connessi alla fornitura – Assistenza Tecnica e Garanzia ART. 13 – Installazione e Collaudo

ART. 14 – Formazione del Personale ART. 15 – Modalità di pagamento ART. 16 – Inadempimenti e Penalità

ART. 17 – Controversie - Foro Competente ART. 18 – Trattamento Dati

ART. 1 – Premessa

Con Deliberazione n. 354 del 19/06/2023 la Giunta Regionale ha programmato, nell’ambito del POR Campania FESR 2014-2020 – Obiettivo Specifico 2.2 – Azione 2.2.1, la somma di 60 milioni di euro, da destinare alle ASL ed alle Aziende Ospedaliere campane, nonché all’IRCSS Xxxxxxx.

A valle dell’approvazione da parte della Regione Campania, della Scheda Progetto presentata per il potenziamento dell'infrastruttura informatica dei servizi sanitari, l’AORN Xxxxxxxxxx di Napoli (Stazione Appaltante di seguito SA) intende acquisire quanto necessario in termini di hardware e software per poter procedere all'evoluzione dell'infrastruttura tecnologica già presente nell'attuale Server Farm che eroga i servizi verso il personale interno e verso il cittadino.

La UOC Gestione Sistemi Informatici dell’AORN Xxxxxxxxxx ai fini della Direttiva 2022/2555 del Parlamento Europeo e del Consiglio del 14 Dicembre 2022, ha necessità di aumentare la protezione dei dati contro minacce Cyber.

I sistemi forniti dovranno supportare l’Azienda nella cybersecurity posture, mitigare in modo efficace i rischi di data-breach, essere aderenti alle misure minime Agid, garantire la compliance al GDPR, riversare log su un sistema centralizzato, prevedere ed implementare un’integrazione con i sistemi firewall perimetrali al fine di fronteggiare anche attacchi su protocolli individuati dai sistemi IDS a bordo dei medesimi.

Le caratteristiche e le qualità dei dispositivi hardware e software oggetto della presente fornitura sono indicate nell’ ART. 7 e ART. 8 del presente Capitolato.

La SA si riserva la facoltà di non procedere all’aggiudicazione qualora lo ritenga necessario e ove intervengano variazioni di attività e altre cause contingenti.

ART. 2 - Oggetto della fornitura

Le imprese partecipanti dovranno predisporre una offerta che preveda la fornitura di Hardware e Software di base che sia capace di supportare a livello tecnologico/prestazionale i servizi applicativi attualmente erogati.

Tenendo conto della complessità dell’infrastruttura preesistente (vedasi art. 6 del presente Capitolato), nella quale il potenziamento dovrà essere integrato, e i tempi brevi entro i quali il progetto dovrà essere completato, si è preliminarmente proceduto alla scelta di una parte della soluzione tecnologica nonché al dimensionamento e alla configurazione ottimale per le esigenze dell’Azienda. A tal riguardo, ricorrere a configurazioni analoghe ma non correttamente armonizzate risulterebbe particolarmente gravoso all’Azienda sia in termini di gestione operativa che di rispetto dei tempi previsti dal POR CAMPANIA FESR 2014-2020 per l’implementazione del progetto, con il rischio di inficiare la continuità delle rutinarie operazioni aziendali amministrative e sanitarie.

A tal proposito sussistono delle caratteristiche generali hardware minime oggetto della fornitura meglio dettagliati all’art.7 del presente Capitolato.

Ogni altra configurazione con caratteristiche hardware equivalente alla soluzione richiesta sarà valutata purché la configurazione offerta possieda le medesime caratteristiche in ogni singola componente elencata all’ART.7 del presente Capitolato, pena l’esclusione.

L’aggiudicazione dovrà avvenire a unico lotto, non frazionabile, in quanto i componenti e le modalità che caratterizzano il servizio non possono essere gestiti separatamente, in quanto per unicità di processo, fanno parte di un'unica offerta comprendente i processi di configurazione e di analisi,

nonché per consentire il rispetto dei tempi di cui al cronoprogramma approvato in fase di finanziamento del progetto.

La fornitura è da intendersi “chiavi in mano”, ovvero, ove necessario, è richiesto che siano incluse tutte le opere propedeutiche all’installazione, se richieste, delle applicazioni software e di tutto quanto necessario per garantirne la corretta funzionalità. In particolare, deve comprendere tutti i componenti e gli accorgimenti atti ad assicurare le prestazioni e funzionalità attese, prevedendo le necessarie personalizzazioni e l’assistenza a soluzione delle problematiche di funzionamento che si dovessero manifestare nel periodo successivo all’installazione.

La fornitura dovrà prevedere delle componenti che garantiscano capacità elaborativa e di Storage adeguate e che siano, in ogni caso, intrinsecamente scalabili e ampliabili visto che dovrà garantire la gestione della crescente mole di dati che l’infrastruttura dovrà trattare.

Il sistema storage dovrà garantire RPO e RTO prossimi allo 0 così da assicurare la funzionalità contro attacchi ransomware, malware e cryptolocker. Lo storage, oltre a offrire le garanzie di affidabilità e sicurezza citate, avrà anche lo scopo di immagazzinare i dati forniti dagli strumenti software della digitalizzazione documentale.

L’architettura, di tipo convergente, dovrà soddisfare alti standard di sicurezza e affidabilità, con l’ausilio di connettività FC al fine di garantire anche la separazione delle comunicazioni tra le varie componenti server e quelle client. Il tutto dovrà essere connesso attraverso appositi switch che garantiranno l’alta affidabilità sia dal punto di vista della connessione che delle performance.

I servers, attraverso apposito software e hardware, dovranno avere a loro volta una connessione in fibra dedicata, utile alla sicurezza e affidabilità del dato, e della comunicazione storage server.

L’infrastruttura dovrà essere realizzata con 2 coppie di sistemi storage, ognuno in un diverso edificio, che replicano in modo sincrono le variazioni dei dati scritti. Gli storage dovranno essere connessi alle componenti server attraverso 4 coppie di switch SAN al fine di garantire l’HA sulla connettività storage-server. I server a loro volta saranno connessi agli switch tramite apposite schede HBA dual port. L’implementazione delle componenti virtuali dovrà essere effettuata tramite tecnologie pienamente integrabili con quelle attualmente in uso presso l’Azienda (Vedi art. 6.4).

La soluzione dovrà altresì prevedere il backup dei dati come meglio descritto nel relativo articolo xxx e il monitoraggio proattivo, l’inventorying e la protezione di tutte le risorse connesse alla rete, incluse le apparecchiature elettromedicali, pienamente integrabili con quelle attualmente in uso presso l’Azienda (Vedi art. 6.4).

La fornitura e posa in opera di tutti i materiali previsti deve essere completata in maniera integrale; le caratteristiche del materiale fornito devono corrispondere totalmente alle specifiche tecniche richieste anche al fine di rispettare la compatibilità con i sistemi già in esercizio.

Importo totale posto a base d’asta € 1.640.000,00 oltre IVA e/o altre imposte e contributi di gara.

ART. 3 – Obblighi dell’aggiudicatario

La Ditta Aggiudicataria (di seguito DA) è tenuta ad eseguire tutte le prestazioni oggetto dell’appalto con la debita cura e diligenza.

La DA deve attenersi a tutto quanto disposto in tale bando ed è tenuto a rispettare ed applicare tutte le leggi e i regolamenti vigenti compresi quelli dell’AORN A. Xxxxxxxxxx e ad assicurare il rispetto da parte del proprio personale o del personale inviato per suo tramite.

Nel formulare l’offerta economica l’operatore economico deve tener conto che il prezzo indicato dovrà considerarsi comprensivo di: fornitura, imballaggio, trasporto, consegna nel luogo indicato dal responsabile del procedimento, oneri di legge spese generali e utili di impresa, spese per mezzi d’opera e assicurazioni di ogni genere.

Data l’impossibilità di verificare i requisiti della merce all’atto della consegna, la firma per ricevuta della stessa da parte del personale dell’Azienda Ospedaliera non costituisce attestazione della regolarità della fornitura, ma indica solo che quanto consegnato corrisponde a quello indicato nei documenti di trasporto (D.d.T.). Quindi, fino al momento del collaudo positivo dell’apparecchiatura e relativi accessori, potrà essere contestata al Fornitore la non conformità dei prodotti consegnati rispetto a quelli aggiudicati/ordinati. In tal caso la fornitura si intende non eseguita e pertanto il Fornitore è obbligato a ritirare senza indugio la merce consegnata non conforme e sostituirla con quella conforme.

Entro la data di chiusura delle attività di collaudo, su tutte le apparecchiature dovranno essere apposte, a cura dell’aggiudicatario e con importo incluso nel prezzo offerto, apposite etichette permanenti in materiale metallico leggero o plastico, collocate in parti visibili del bene secondo il seguente modello:

Entro la medesima data e comunque a cura dell’aggiudicatario e con importo incluso nel prezzo offerto, nei locali di destinazione dei beni dovrà essere apposta idonea cartellonistica o targhe in conformità a “linee guida e manuale d’uso per le azioni di comunicazione, informazione e pubblicità a cura dei beneficiari dei finanziamenti del POR FESR 2014-2020”, come reperibile al seguente link: xxxxx://xxxxxxx.xxxxxxx.xxxxxxxx.xx/xx/xxxxxxxxxx/xxxxxxxxxxxxx/xxxxx-xxxxx-x-xxxxxxx-x-xxx-xxx- leazioni-di-comunicazione-informazione-e-pubblicita-a-cura-dei-beneficiari. Il formato minimo è A4 per la targa e 100 cm di base x 150 cm di altezza per il cartellone. La targa o cartellone, se esposti all’esterno, devono essere inoltre adatti sia per materiali di realizzazione, sia per caratteristiche di stampa. In ogni caso, la bozza della cartellonistica o delle targhe e il relativo posizionamento dovranno essere preventivamente concordate con il personale dell’AORN Xxxxxxxxxx.

È fatto obbligo dell’aggiudicatario, inoltre, aver cura di riportare su tutta la documentazione prodotta a seguito della aggiudicazione (a titolo esemplificativo e non esaustivo, D.D.T., fattura, verbale di collaudo, ecc.) la dicitura “POTENZIAMENTO DEL SISTEMA DI SICUREZZA PER LA

PROTEZIONE DEI DATI SANITARI DELL’XXXX XXXXXXXXXX" - XXX X00X00000000000 - XXX XXXXXXXX FESR 2014 -2020 - ASSE 2 - OBIETTIVO SPECIFICO 2.2 - AZIONE 2.2.1.”

ART. 4 – Condizioni di partecipazione

Gli operatori economici dovranno offrire prodotti conformi ai requisiti tecnici, al confezionamento, all’etichettatura e alle richieste tecniche descritte nel presente capitolato tecnico.

Le specifiche tecniche costituiscono requisiti essenziali indispensabili pena l’esclusione.

ART. 5 – Attività progettuali

Le imprese partecipanti devono illustrare in modo chiaro e sintetico le componenti offerte e l'architettura tecnica proposta.

Il piano delle attività, che costituisce l'impegno contrattuale, nel quale devono essere evidenziate come milestones le date di:

• Disponibilità della infrastruttura hardware;

• Disponibilità della infrastruttura software;

• Disponibilità per il collaudo di accettazione.

Tale piano delle attività deve essere predisposto in modo da annullare o, ove questo non fosse possibile, minimizzare il fermo dei servizi applicativi.

ART. 6 - Configurazione attuale

- ART. 6.1 - Infrastruttura tecnologica

Il Centro Elaborazione Dati dove dovrà essere installata la fornitura è sito in Via Xxxxxxx Xxxxxxxxxx, 9 Padiglione N e Padiglione V.

Si ritiene opportuno rappresentare come tale CED non è stato oggetto di un'unica azione di costituzione bensì è il frutto di interventi manutentivi e di potenziamento che si sono susseguiti nel tempo.

Tale impostazione ha comportato l'acquisizione di macchinari e licenze che hanno concorso a creare l’infrastruttura complessa oggi esistente di cui si fornisce di seguito una sintetica rappresentazione.

- ART. 6.2 - Server e storage

L’attuale infrastruttura è costituita da:

• N° 14 server DELL PowerEdge R740XD

• N° 2 storage Fujitsu Eternus AF250S3

- ART. 6.3 - Switch

L’infrastruttura SAN è interconnessa dai seguenti apparati:

• N° 4 switch Brocade B300

- ART. 6.4 - Virtualizzazione

Il software di virtualizzazione in uso è VMware con licenze Enterprise Plus.

- ART. 6.5 - Protezione end point

Il progetto di Cyber Security finanziato con fondi PNRR prevede un servizio di protezione di parte degli endpoint in esercizio presso l’Amministrazione basato sul prodotto software Armis.

ART. 7 – Caratteristiche generali hardware minime oggetto della fornitura

In base all’ampiezza dell’Azienda, la quantità di dati da gestire, della topologia di rete e dei target da monitorare, si richiede al Fornitore di fornire un sistema così configurato e composto da:

VSP E590H Appliance Product	Descrizione	Q.tà
JJLB3636005MFCI-S.P	50/125 LC/LC LSZH 5M 2f round SB 10gig OM4	24
043-100210-02-UL-S.P	POWER CORD IEC C14 TO IEC C13 250VAC 10A WORLDWIDE APPROVALS 0.7M	4
EDW-F900-2HS10S.P	VSP EXX0 Host I/O Module iSCSI 10Gbps SFP 2port	4
EDW-F900-CM32GL.P	VSP E590 Additional Cache (LRDIMM) Memory	24
E590-BASE-KIT.P	VSP E590 Base Kit	2
E590-15R2TBSP.P	XXX X000 00.0XX XXXx spare	2
E590-A-4X15R2TB.P	VSP E590 Advanced 4 x 15.2TB NVMe SSD Package	8
E590-A-BASE-EC.P	VSP E590 Advanced Package with Encryption	2
EDW-F900-4HF32R.P	VSP EXX0 Host I/O Module FC 16/32G 4port	4
EDW-F850-1PS32.P	VSP EXX0 SFP for 32Gbps Shortwave	16
EDW-F1000-DB60.P	4U LFF Drive Box (DB60)	2
E590-2R4J8MSP.P	VSP E590 2.4TB SFF SAS HDD for DB60 Spare	4
043-100210-04-UL-S.P	POWER CORD IEC C14 TO IEC C13 250VAC 10A WORLDWIDE APPROVALS 2.5M	4
EDW-F900-BS12GE.P	Encrypting SAS Disk Adapter	2
EDW-F1000-DBFB60.P	4U DB60 Drive Box Front Bezel	2
E590-A-7X2R4J8M.P	VSP E590 Advanced 7 x 2.4TB SFF SAS HDD for DB60 Package	16
000-000000-00.P	VSP E590 Adaptive Data Reduction Activation	2
000-000000-00.P	VSP E590 Hybrid Activation	2
HBA	Descrizione	Qtà
LPe35002	Xxxxxx XXx00000 Xxxx Xxxx XX00 Fibre Channel HBA	16
Switch Brocade	Descrizione	Qtà
HD-G720-24-32G-R-Z.P	G720,24P,32G SEC SWL SFP,AC,PORTSD EXH, ENT Bundle (TRK, FV, EF, IR, CUP)	4
043-100210-04-UL-S.P	POWER CORD IEC C14 TO IEC C13 250VAC 10A WORLDWIDE APPROVALS 2.5M	8
XBR-000438.P	FRU,SFP+,LWL,32G,10KM,1-PK,BR,SECURE	8

Ogni altra configurazione con caratteristiche hardware equivalente alla soluzione richiesta sarà valutata purché la configurazione offerta possieda le medesime caratteristiche tecniche in ogni singola componente sopra elencate, pena l’esclusione.

ART. 8 – Requisiti tecnici minimi oggetto di valutazione

I requisiti riportati nei seguenti sub-articoli rappresentano requisiti tecnici minimi e saranno oggetto di valutazione tecnica.

- ART. 8.1 - Software di virtualizzazione

Il sistema di virtualizzazione di tipologia 1 dovrà essere compatibile con quanto attualmente in essere sull'infrastruttura (vedasi articolo 6.4 del presente Capitolato).

Il Licensing con manutenzione dovrà includere 1 anno con SLA 10x5 nbd.

Le licenze dovranno soddisfare un numero totale di socket pari a 8.

- ART. 8.2 - Sistema di backup

La piattaforma di backup dovrà rispettare tutti i requisiti e le funzionalità di seguito elencati:

• Dovrà consentire sia il backup di macchine virtuali che la loro replica attraverso un’unica console, che si basa su una tecnologia integrata con gli hypervisor e che non prevede l’installazione di agenti software persistenti all’interno dei sistemi protetti.

• Dovrà consentire, attraverso la medesima console, di impostare una replica a carattere “continuo”, non basata su snapshot, al fine di ottenere un tempo di RPO (Recovery Point Objective) in termini di secondi e definibile dall’utente. Inoltre, dovrà permettere di mantenere la conservazione dei punti di ripristino per un intervallo di tempo configurabile, al fine di poter selezionare puntualmente da quale di essi avviare la replica di una macchina virtuale in caso di disastro.

• Dovrà offrire la possibilità di eseguire, in modalità pseudo-istantanea (nell’ordine di pochi minuti), una o più macchine virtuali direttamente dai file di backup precedentemente creati e consentire di migrare le macchine virtuali avviate verso qualsiasi volume dati di produzione direttamente dalla console di gestione del prodotto. La soluzione dovrà offrire la possibilità, a fronte di un unico backup a livello immagine, di esplorare il file system nel giro di secondi per recuperare file e/o cartelle, sia sul sistema originale che su destinazioni diverse. Per quanto concerne il backup di share di rete dovrà consentire ad utenti abilitati di accedere istantaneamente in lettura e scrittura a tutti i file protetti dalla soluzione durante le procedure di ripristino e ridurre in questo modo i tempi di RTO. Dovrà consentire di avviare database SQL ed Oracle direttamente dai loro backup per ridurre al minimo i tempi di RTO.

• Dovrà poter effettuare verifiche pianificabili e completamente automatiche, sull’effettiva possibilità di ripristinare i sistemi protetti, includendo anche test sul funzionamento dei servizi standard offerti dalle macchine virtuali oggetto della verifica (ad esempio: DNS, LDAP, SQL Server, web server) e di poter eventualmente personalizzare tali test per verificare servizi non standard.

• Dovrà includere tecnologie native di compressione e deduplicazione dei dati non legate ad un particolare sistema di archiviazione, potendo altresì integrarsi con sistemi di archiviazione che offrono funzionalità di deduplicazione proprietarie.

• Dovrà essere indipendente dai sistemi di archiviazione (in termini di vendor, famiglia o modello) per poter effettuare i backup dei dati. In particolare, consentendo di aggiungere all’infrastruttura nuovi e diversi sistemi di archiviazione (selezionando nuovi vendor, famiglie o modelli) senza che questo infici in alcun modo le funzionalità di protezione offerte.

• Dovrà consentire di utilizzare storage on-premises o su cloud protetti da attacchi esterni attraverso l’immutabilità dei dati.

• Dovrà permettere di gestire in modo unificato diversi spazi di archiviazione attraverso la creazione di “pool” logici all’interno dei quali si possono aggiungere e/o rimuovere dinamicamente sistemi di archiviazione senza dover modificare o riconfigurare i processi di backup. Inoltre, dovrà permettere l’inserimento dinamico e progressivo di nuovi ruoli orchestrati dedicati alle operazioni di backup, replica e ripristino (al fine di assecondare le eventuali evoluzioni dell’infrastruttura) senza che questi inserimenti richiedano aggravi economici in termini di licenze aggiuntive del prodotto.

• Dovrà permettere, a partire dai backup delle macchine virtuali, la creazione automatizzata di vere e proprie aree di test, isolate a livello di rete dall’ambiente di produzione ma comunque accessibili al fine di condurre attività di test, addestramento, analisi dei dati, verifiche di sicurezza, scansioni anti-malware, eccetera. Tali ambienti di test dovranno essere accessibili

finché richiesto dalle esigenze specifiche per poi essere dismessi senza conseguenze per la produzione.

• Dovrà consentire di definire ruoli per eseguire in totale autonomia il processo di ripristino di macchine virtuali, file e cartelle, elementi applicativi, tramite un’interfaccia web di semplice utilizzo.

• Dovrà permettere di creare flussi di lavoro completamente automatizzati per orchestrare le operazioni di ripristino, sia per le macchine virtuali protette in modalità agentless che quelle fisiche protette da agenti software.

• Dovrà effettuare la raccolta dati da ambienti di virtualizzazione e l’elaborazione di grafici, allarmi e report in modalità agentless senza installare software in alcun componente dell’infrastruttura virtuale (host, server di management, macchine virtuali). Dovrà poter valutare, producendo report on-demand o pianificabili, il corretto dimensionamento delle macchine virtuali sulla base dell’effettivo utilizzo delle risorse.

• Dovrà consentire di valutare scenari ipotetici sulla base dei dati acquisiti, come il guasto di uno o più host fisici oppure la stima del numero di macchine virtuali che è possibile aggiungere all’infrastruttura con le attuali risorse a disposizione.

• Dovrà fornire, per ogni allarme o evento censito, una nota informativa, con descrizione dell’evento e indicazioni di possibili cause e soluzioni.

• Dovrà consentire di eseguire il backup e il ripristino dei seguenti dati gestiti dalle organizzazioni Microsoft 365 (Exchange, SharePoint, OneDrive for Business e Teams, nonché dei dati on-premises di Microsoft Exchange e Microsoft SharePoint).

• Dovrà consentire di programmare e gestire da un’unica console, il backup dei seguenti servizi offerti da Microsoft 365: Exchange Online, SharePoint Online, OneDrive for Business, Teams ma anche dei servizi on-premises Exchange Server e SharePoint Server, anche in modalità ibrida.

• Dovrà consentire di creare job di backup con possibilità di specificare:

o Oggetto del backup: ad esempio, a livello servizio, di utente, gruppo, sito, eccetera

o Frequenza: definibile ad intervalli di minuti o di ore

o Conservazione (retention): definibile in termini di giorni, mesi, anni o anche a tempo indeterminato

• Dovrà essere possibile archiviare copie dei backup immutabili su qualsiasi repository object storage.

Inoltre si specifica quanto segue:

• Si richiede la possibilità di effettuare gratuitamente i backup dei workload afferenti a nuove utenze con una tolleranza di almeno il 10% in più rispetto alle licenze acquisite;

• Il software dovrà prevedere almeno 300 istanze di backup comprensive di macchine virtuali, server fisici e dati NAS;

• Il software dovrà prevedere il backup di almeno 500 utenze Office 365;

• Il software dovrà comprendere il servizio di assistenza e manutenzione a copertura per almeno 1 anno.

- ART. 8.3 - Potenziamento infrastruttura sicurezza e monitoraggio

Tenendo in considerazione il continuo aumento della numerosità e della tipologia di apparati connessi alla rete, l’amministrazione intende incrementare la protezione degli end point in dotazione, dotandosi di una soluzione di cybersecurity e asset management che gestisca dispositivi di diversa tipologia

(IT, IoT, BMS, Elettromedicali) per un minimo di 3000 unità, di cui almeno il 40% possano essere dispositivi elettromedicali (almeno 1200).

Il sistema dovrà essere compatibile con quanto attualmente in essere sull'infrastruttura (vedasi articolo

6.5 del presente Capitolato).

La piattaforma offerta dovrà rispettare tutti i requisiti e le funzionalità di seguito elencati:

• L’intera infrastruttura dovrà avere la certificazione SOC II type 2;

• La soluzione dovrà prevedere la possibilità di essere implementata in cloud (all’interno della Comunità Europea), in modalità SaaS (software as service), inclusa l’elaborazione dei metadati, con istanza dedicata all’Amministrazione;

• L’architettura proposta deve prevedere delle sonde da posizionare nella rete dell’infrastruttura per la raccolta delle informazioni;

• Le sonde dovranno poter essere attive contemporaneamente in modalità fisica (con hardware fornito direttamente dal vendor) o in modalità virtuale;

• La raccolta delle informazioni dovrà avvenire in modalità passiva, continuativa, real time; senza effettuare alcuna informazione o mapping attivo della rete;

• La piattaforma dovrà garantire l’identificazione tramite meccanismi di machine learning di tutte le tipologie dei dispositivi connessi alla rete (device elettromedicali, OT, BMS, IT, IoT). Per ogni tipologia di device devono essere evidenziati dati come:

1. Inventory (tipologia, categoria, brand, hardware, software, applicazioni installate);

2. Attività (connessioni, traffico in ingresso ed in uscita, quantità di traffico scambiato per ogni specifica porta/protocollo);

3. Applicazioni attive (intese come le applicazioni che generano traffico);

4. Vulnerabilità collegate alle applicazioni del punto precedente;

5. Fattore di rischio, che deve essere calcolato in base a parametri comportamentali/dinamici e a parametri legati al profilo del device (vendor, vulnerability score, etc..);

• Per ogni tipologia di dispositivo dovrà essere possibile inserire l’importanza del device (business/service impact) al fine di prioritizzare anomalie e vulnerabilità;

• Dovrà essere possibile inserire manualmente o in maniera automatica, tramite policy proprietà, specifiche del dispositivo (non strettamente legate all’ambito IT/rete, ad esempio manutentore, numero di assistenza…);

• L’eventuale elaborazione nel cloud dovrà essere effettuata in base a sistemi di Threat Intelligence che verifichino se il comportamento del dispositivo possa essere assimilabile ad una botnet/malware/etc. Il servizio di threat intelligence dovrà essere disponile per tutti le tipologie di apparati (elettromedicali, IT, IoT, OT, BMS, etc..);

• Dovrà prevedere l’analisi del comportamento dell’apparato rispetto ad una baseline predefinita;

• Il database delle baseline al punto precedente dovrà contenere almeno 3 miliardi di dispositivi. Si chiede di condividere documentazione pubblica al riguardo;

• Il database dovrà essere dinamico, quindi a fronte di un nuovo dispositivo connesso dopo il tempo di learning, la baseline comportamentale del nuovo apparato deve essere automaticamente aggiornata;

• La soluzione dovrà proporre delle regole di controllo su device, connessioni e attività. Tali regole dovranno essere presenti di default nell’istanza dell’amministrazione; dovrà essere possibile abilitare o disabilitare l’implementazione di queste regole;

• Al fine di semplificare la gestione di queste regole; le policy di proposta della soluzione devono essere presentate divise per:

1. tipologia di apparati: ad esempio devono necessariamente esserci delle policy specifiche per il gruppo di dispositivi Medical, IT e per OT;

2. use case: è obbligatorio che le regole di controllo proposte siano divise ad esempio per Security e Asset Inventory;

• Dovrà essere possibile cancellare, modificare o creare nuove regole di controllo;

• Le regole create dovranno essere basate su diverse condizioni che possono essere inserite in “and” e “or” logico;

• L’attivazione di una policy di sicurezza dovrà prevedere la possibilità di inviare una mail ad alias specifici, l’invio di alert e contemporaneamente la capacità di applicare almeno altre due azioni. Tali azioni dovranno prevedere, ad esempio, l’etichettatura del device con un tag, l’associazione del dispositivo ad un segmento logico della rete, l’attivazione di specifiche azioni su tecnologie di rete e di sicurezza pre-esistenti;

• Le policy dovranno poter essere schedulate e attivate per specifico sensore;

• La console dovrà essere disponibile e accessibile allo staff dell’amministrazione differenziando le autorizzazioni di lettura/scrittura per utente/gruppi di utente;

• Dovranno essere disponibili per ogni utente diverse decine di dashboard dove sia possibile rappresentare graficamente i risultati delle ricerche effettuate;

• Ogni dashboard dovrà poter contenere alcune decine di rappresentazioni grafiche differenti, le rappresentazioni presenti nella stessa schermata, dovranno poter riguardare contemporaneamente tematiche differenti come inventory, vulnerabilità, connessioni, tipo di traffico, threat, etc.;

• La piattaforma dovrà mettere a disposizione un linguaggio grafico e testuale per poter in maniera assolutamente custom impostare i differenti criteri di ricerca e classificazione. La ricerca dovrà poter essere impostata in maniera gerarchica su diversi campi da popolare. Il risultato di queste ricerche dovrà poter essere rappresentato in formato grafico nelle dashboard, scegliendo fra diversi formati di rappresentazione, ad esempio devono essere disponibili almeno le seguenti opzioni: lineare, tabellare, torta, istogramma;

• Le pagine con i diversi grafici dovranno poter essere salvate in formato standard pdf;

• I grafici dovranno poter esser interattivi, in modo che cliccando su un valore, un istogramma o un punto sia possibile fare il drill-down sul device selezionato;

• Le query di ricerca dovranno poter essere memorizzate per poter essere richiamati in qualsiasi momento con nomi scelti dall’utente;

• La tabella con i risultati delle query dovrà poter essere esportata in formato csv e xlsx;

• Selezionando la categoria dei dispositivi elettromedicali dovrà essere possibile vedere le percentuali di utilizzo delle diverse categorie;

• Selezionando una specifica categoria di apparati elettromedicali all’interno della stessa schermata dovranno essere presenti i valori della numerosità totale di dispositivi (della categoria), quanti di questi sono stati utilizzati, quanti non sono utilizzati e qual è l’utilizzo medio dei dispositivi;

• Al fine di poter gestire eventuali apparati OT direttamente dall’inventario totale degli apparati dovrà essere possibile visualizzare graficamente il modello Purdue con i diversi livelli e le connessioni fra i diversi livelli del modello;

• Per poter meglio visualizzare la configurazione fisica della rete e della collocazione dei device la soluzione dovrà fornire una mappa interattiva con tutti gli switch di rete e con i device (MIOT, IT, OT, BMS, etc) connessi;

• Dovrà essere possibile muoversi sulla mappa al punto precedente da uno switch ad un altro visualizzando i dispositivi connessi all’apparato di rete;

• La console di asset inventory sarà un repository completo di tutte le informazioni disponibili sul dispositivo; quindi, è assolutamente necessario garantire l’integrazione con altre tecnologie;

• La console della soluzione proposta deve essere in grado di arricchire i dati sui device con metadata e campi specifici ricevuti da altre tecnologie;

• Tutte le integrazioni devono essere già presenti e facilmente abilitabili e configurabili dalla dashboard centrale. Non è ammessa la possibilità di connessioni tramite API o connettori che dovranno essere sviluppati e manutenuti dall’amministrazione stessa o da terze parti.

• Le tecnologie da integrare in modalità INPUT sono almeno tutte le seguenti:

1. Active Directory (tecnologia Microsoft)

2. DHCP Server (tecnologia Microsoft)

3. Vmware Vcenter

4. EDR, vendor principali quali SentinelOne, Crowdstrike, MS Defender

5. Firewall Fortinet

6. Principali tool di vulnerability Assesment, come Qualys, Tenable, Rapid7

• Il sistema dovrà essere in grado di proporre delle modalità di visualizzazione specifiche e selezionabili in base alle tecnologie effettivamente integrate (ad esempio informazioni da Active Directory o Vcenter, o EDR, etc…);

• La soluzione dovrà proporre delle regole di controllo delle informazioni in base alle integrazioni specifiche attive (ad esempio Vcenter, Active Directory, etc..);

• Al fine di aumentare il livello di cooperazione fra le varie tecnologie, le nuove integrazioni disponibili nelle release successive dovranno poter essere già visibili sulla console della piattaforma in dotazione all’amministrazione;

• La soluzione dovrà prevedere, integrata nella console, una funzionalità di vulnerability management degli apparati che sia in grado di riportare, per ogni vulnerabilità, informazioni sul device, il ruolo, l’owner del dispositivo, la tipologia di dati trattati, etc.;

• La raccolta delle informazioni relative alle vulnerabilità deve prevedere la possibilità sia di raccogliere informazioni da altri tool (come sistemi ad hoc di Vulnerability management) sia tramite ispezione passiva del traffico effettuata dalle sonde;

• Sulla console dovranno esserci delle dashboard dedicate alla vulnerabilità;

• Le informazioni relative alle vulnerabilità (ad esempio score, severity) dovranno sempre poter essere utilizzate nelle query di ricerca;

• In fase di visualizzazione delle specifiche vulnerabilità dovranno essere sempre presenti campi come, Score, Exploitability, Impact;

• In fase di visualizzazione delle specifiche vulnerabilità dovranno essere presenti informazioni relative al patching del vendor;

• Deve essere sempre possibile modificare la priorità delle specifiche vulnerabilità in base all’impatto stimato sui servizi erogati dall’amministrazione.

- ART. 8.4 - Device monitoraggio proattivo

A corredo dell’infrastruttura di sicurezza dovranno essere forniti i device necessari al monitoraggio proattivo della soluzione, di cui si elencano le caratteristiche minime:

Device	Tipo Device	Caratteristiche minime	Qtà
Scanner portatili		Scanner per documenti portatile DIN: A4 Interfacce: Micro USB 3.0 Scansione: fronte/retro in un solo passaggio Velocità di scansione: Monocromatico: 25 ppm/50ipm - Colore: 25 pagine/min A4, risoluzione: 200 / 300 dpi Supporto driver: TWAIN, WIA (Microsoft), SANE (Linux), ICA (Mac) Software operativi: inclusi Risoluzione di scansione massima: 1200 dpi x 1200 dpi (Orizzontale x Verticale) Formati carta: A4 (21.0x29,7 cm), A5 (14,8x21,0 cm), A6 (10,5x14,8 cm), Lettera, Biglietti plastificati, Biglietti da visita, B5 (17,6x25,7 cm), B6 (12,5x17,6 cm), Cartolina, Lettera Legale, C4 (busta), C5 (busta), C6 (busta), N. 10 (busta) Profondità di colore: Input: 48 Bit Colore / 16 Bit Monocromatico , Output: 24 Bit Colore / 8 Bit Monocromatico Formati di output: BMP, JPEG, TIFF, multi-TIFF, PDF, Scansione su PDF con funzione di ricerca, JPEG (Colori/Scala di grigi), PDF (Colori/Scala di grigi) Caratteristiche: Salto pagine vuote, Rimozione dei fori, Correzione automatica inclinazione immagine, Rotazione immagine automatica, Ottimizzazione testo, Riconoscimento codici a barre Sistemi operativi supportati: Windows 10 Dimensioni massime: 300 x 90 x 60 mm (LxPxA)	9
Video Wall Il Video Wall sarà composto da 4 display aventi ciascuno le medesime caratteristiche, riportate in tabella.		Display: 55” Tecnologia schermo: S-IPS con retroilluminazione LED diretta Display area (LxH): 1.209,63 x 680,34m Pixel Pitch: 0,630 Risoluzione: 1920 x 1080 Screen Ratio: 16:9 Luminosità [cd/m²] 500	4
		Rapporto di contrasto (predefinito) > 1700:1
		Angolo di visualizzazione [°] 178 orizzontale / 178 verticale (tip. con
		rapporto di contrasto 10:1)
		Tempo di risposta (tip.) [ms] 8
		Frequenza d'Aggiornamento [Hz] 60
		Haze Level [%] Pro (28)
		Risoluzione nativa
		1920 x 1080
		Supportato su DisplayPort e HDMI
		1080i; 1080p; 3840x2160; 1024x768;
		Rapporto di sincronizzazione
		Frequenza orizzontale [kHz] 26 - 134
		Frequenza verticale [Hz] 23 – 86

Connettività

Input Video Analogico 1 x VGA; 1 x Composite (RCA)

Input Video Digitale 1 x DVI-D (con HDCP); 1 x OPS Slot; 2 x DisplayPort (HDCP); 2 x HDMI (HDCP)

Input Audio Analogico 1 x 3,5 mm jack

Controllo Input 1 x Remote Control; 1 x RS232; 2 x LAN 100Mbit

Input Data 1 x microSD (MediaPlayer); 1 x USB 1.0 (Downstream); 1 x

USB 1.0 (MediaPlayer); 1 x USB 2.0 (Upstream); 2 x USB 1.0 (Compute Module, 1 x 5V/2A powered)

Output Video Digitale 1 x DisplayPort; 1 x HDMI Output Audio Analogico 1 x 3,5 mm jack Controllo Output LAN 100Mbit

Meccanico

Dimensioni (l x a x p) [mm] Senza supporto: max 1.250 x 690 x 100 mm

Peso [kg] Senza supporto: max 30 Kg

Larghezza cornice [mm] 0,44 sopra/sinistra; 0,44 sotto/destra;

Montaggio VESA [mm] 4 fori; 400 x 400 (FDMI);

File multimediali supportati: JPG, MP4, MOV, FLV, MP3 Accessori Altoparlanti; Comando a distanza; Piedi; Supporto a muro Compute Module Slot Modulo di elaborazione Raspberry Pi 1 e 3

Caratteristiche Specifiche Assegnazione Auto ID; Frame Comp; Funzione di auto-sovrapposizione; Funzione log leggibile dall'utente; Immagine con effetto flipping; Intelligent Wireless Data (basato su NFC); Mail d'Allarme Automatiche; NaViSet Administrator 2; PJLink Support; priorità input definita; Server HTTP; Simulazione DICOM; TileMatrix; USB Media Player

Cavetteria inclusa Cavo DisplayPort; Cavo elettrico; Cavo HDMI; Cavo LAN (RJ45);

Garanzia min. 2 anni di garanzia compresa retroilluminazione;

Ore di Funzionamento 24/7

Switcher scaler seamless 4K con 4 ingressi video (2x HDMI, 1x HDMI/DP e 1x HDMI/USB C)

Caratteristiche del prodotto

• HDMI 1.4, HDCP 2.2, 10.2G, fino a 4K a 30 Hz 4:4:4

• Tecnologia HDBaseT, 4K – Visualizzazione multipla con preimpostazioni e layout personalizzabili dall'utente

• Riposizionare e ridimensionare le finestre, passaggio continuo da una finestra all'altra

• POC unidirezionale dallo switcher al ricevitore

• Include ricevitore

Specifiche

• Ingresso video (4) HDMI femmina di tipo A, (1) DisplayPort, (1) USB di tipo C

• Risoluzione di ingresso HDMI: fino a 4K a 30 Hz 4:4:4

• DP: fino a 4K a 30 Hz 4:4:4

		• USB-C: fino a 4K a 30 Hz 4:4:4 • Connettore di uscita video (1) HDMI femmina di tipo A, (1) RJ45 • Risoluzione di uscita HDMI: fino a 4K a 30 Hz 4:4:4 • HDBaseT: fino a 4K a 30 Hz 4:4:4 • Norma HDMI Fino a 1.4 • Versione HDCP Fino a 2.2 • Ingresso audio (1) LINEA, (1) MIC • Uscita audio (1) S+D - Connettore di uscita audio (1) Morsettiera a 5 pin • Uscita audio SPDIF • Connettore di uscita audio (1) Toslink Controllo • Porta di controllo (1) CONTATTO IN, (1) IR IN, (1) IR OUT, (1) IR EYE, o FIRMWARE, (1) RS232, (1) TCP/IP • Connettore di controllo (1) morsettiera a 5 pin, (3) jack da 3,5 mm, (1) USB di tipo A, morsettiera a 3 pin, (1) RJ45 • Ingresso (1) INGRESSO HDBT - Connettore di ingresso (1) RJ45 • Produzione (1) USCITA HDMI - Connettore di uscita (1) HDMI femmina di tipo A • Controllo (1) INGRESSO IR, (1) USCITA IR, (1) RS232 - Connettore di controllo (2) jack da 3,5 mm, (1) morsettiera a 3 pin
Notebook	Notebook tipo 1	Computer portatile - Fattore di forma: Clamshell. Famiglia processore: Intel Core i7 Dimensioni schermo: 35,6 cm (14") Tipologia HD: Full HD Risoluzione del display: 1920 x 1080 Pixel RAM installata: 16 GB Capacità totale di archiviazione: 512 GB Supporto di memoria: SSD Dimensione SSD: M.2 Interfaccia SSD: PCI Express Sistema operativo incluso: Windows 11 Pro Localizzazione e layout tastiera: QWERTY italiana Jack combinato per microfono/auricolare: Sì Modalità alternativa DisplayPort USB di Tipo C: Sì USB 3.2 Gen 1 (3.1 Gen 1) di tipo A: 1 USB 3.2 Gen 1 (3.1 Gen 1) di tipo C: 1 Quantità porte Ethernet LAN (RJ-45): 1 Quantità porte HDMI: 1 Quantità porte USB 2.0: 1 Collegamento ethernet LAN: Sì Rapporto di contrasto: 500:1 Retroilluminazione a LED: Sì Schermo antiriflesso: Sì Tipo di pannello: IPS Lettore di schede integrato: Sì Fotocamera frontale: Sì Numero di celle della batteria: 3 Caricabatterie incluso: Sì	4
	Notebook tipo 2	Computer portatile - Fattore di forma: Clamshell. Famiglia processore: AMD Ryzen 7 Dimensioni schermo: 39,6 cm (15.6") Tipologia HD: Full HD Risoluzione del display: 1920 x 1080 Pixel RAM installata: 16 GB	11

		Capacità totale di archiviazione: 512 GB Supporto di memoria: SSD Dimensione SSD: M.2 Interfaccia SSD: PCI Express Sistema operativo incluso: Windows 11 Pro Localizzazione e layout tastiera: QWERTY italiana Jack combinato per microfono/auricolare: Sì USB 3.2 Gen 1 (3.1 Gen 1) di tipo A: 1 USB 3.2 Gen 1 (3.1 Gen 1) di tipo C: 1 Quantità porte Ethernet LAN (RJ-45): 1 Quantità porte HDMI: 1 Quantità porte USB 2.0: 1 Versione HDMI: 1.4 Collegamento ethernet LAN: Sì Rapporto di contrasto: 600:1 Retroilluminazione a LED: Sì Schermo antiriflesso: Sì Tipo di pannello: IPS Lettore di schede integrato: Sì Fotocamera frontale: Sì Numero di celle della batteria: 3 Caricabatterie incluso: Sì
Docking Station		Piena compatibilità con i notebook in fornitura, relativamente alle due tipologie Jack DC-in: Sì USB 3.2 Gen 1 (3.1 Gen 1) di tipo A: 3 USB 3.2 Gen 2 (3.1 Gen 2) di tipo C: 2 DisplayPorts: 2 (1.4) Ethernet LAN (RJ-45): 1 HDMI: 1 (2.0) Tecnologia di connessione: Wired Risoluzione (digitale massima): 5120 x 2880 Pixel	15
Monitor		Montaggio standard VESA: Sì Tipologia HD: Full HD Angolo di rotazione: -173 - 173° Girevole: Sì Inclinazione: -5 - 21° Inclinazione regolabile: Sì Regolazione altezza (mm): 130 Angolo di visualizzazione (orizzontale) (°): 178 Angolo di visualizzazione (verticale) (°): 178 Colori del display: 16.7 milioni di colori Densità di Pixel (ppi): 81.57 Dimensioni schermo ("): 27 Dimensioni schermo (cm): 68.6 Dot Pitch: 0,3114 x 0,3114 mm Forma dello schermo: Flat screen Luminosità del display (tipica) (cd/m²): 300 Rapporto di contrasto: 3000:1 Schermo antiriflesso: Sì Tecnologia display: LCD Tempo di risposta (veloce) (ms): 5 Tipologia di retroilluminazione: LED	15
KIT Tastiera e Mouse		Tastiera Funzione tasti rapidi: Volume, esclusione audio, riproduci/pausa, all'indietro, avanti Stile tasti: Tasti a isola	15

		Localizzazione e layout: QWERTY italiana Connettività: Wireless Alimentazione: Batteria interna ricaricabile via USB Colore: Nero Mouse Connettività: Wireless Alimentazione: Batteria interna ricaricabile via USB Risoluzione movimento: 1000 dpi Colore: Nero Rotella di scorrimento: Sì Pulsanti: 2
Tablet		Caratteristiche Rugged: Certificazione MIL-STD-810H e IP66; Resistenza da caduta da 1,8 m; prodotto certificato nativamente da terze parti indipendenti (senza cover protettive); Processore: Qualcomm Snapdragon Display: WUXGA LCD da 10.1", 800 nits, leggibile alla luce del sole e touchscreen capacitivo, utilizzabile con i guanti OS: Android™ 12 AER (Android Enterprise Recommended). Garantito aggiornamento a una successiva versione Android in futuro. Aggiornamenti di sicurezza disponibili almeno ogni 90gg per almeno 3 anni Webcam: anteriore e posteriore Batteria: 2 batterie sostituibili a caldo (min. 4870mAh) Caricabatteria: incluso con cavo europeo VGA: GPU Qualcomm Storage: 64GB emmc RAM: 4GB Pulsanti: Pulsante di accensione - 4 programmabili Slot di Exp: predisposizione per 1D/2D lettore immagini codici a barre, Smart card reader, HF RFID/NFC combo reader Interfacce I/O: Audio in/out combo x 1; DC in Jack x 1 USB 3.2 Gen 1 Type-C w/ DP & PD x 1; USB 2.0 (Host) x 1; MicroSD x 1; Docking connector x 1; Kensigton Lock; Connettività: Wi-Fi 802.11 ac; Bluetooth v5.0; GPS; predisposizione per 4G LTE, Dual Micro SIM 4G LTE Specifiche Ambiente: Temperatura: Operativa: da -29°C a 63°C – Storage: da -51°C a 71°C; Umidità: – 95% RH, senza condensa Garanzia: 3 Anni danni accidentali inclusi e 0 franchigia gestiti direttamente dal vendor e riscontrabile sul sito del produttore. Programma di manutenzione che preveda, durante il periodo di garanzia (3 ANNI), la possibilità di richiedere gratuitamente fino a 2 parti di ricambio per ogni tablet autonomamente dall’ente nell’area dedicata del portale del vendor.	30

- ART. 8.5 - Service Level Agreement (SLA) dei componenti Storage e Switch

L’infrastruttura hardware oggetto del presente appalto ed elencata all’ART.7 del presente Capitolato dovrà offrire supporto del vendor, per le componenti Storage e Switch, con SLA di tipologia Standard (24x7x4) o Premium (24x7x2).

ART. 9 - Affidabilità della fornitura

L’Aggiudicatario si impegna a fornire hardware e licenze software originali rilasciate appositamente dal Costruttore per l'Amministrazione, apparati idonei allo scopo e non contraffatti, non rigenerati o di provenienza illegale (o da fonti non autorizzate) che non richiedano, per le funzioni richieste,

aggiunte successive di componenti hardware e/o software o comunque modifiche che comportino un aggravio economico per l’Amministrazione. Si precisa che, onde evitare eventuali forniture di licenze software illegali (in violazione dei diritti di proprietà intellettuale) ed apparati contraffatti, rigenerati, di provenienza illegale o comunque provenienti da canali non autorizzati, l'Amministrazione potrà richiedere preventivamente al costruttore ed ai suoi Uffici in Italia e/o all’estero opportune verifiche per documentarne l’origine, ciò affinché siano fornite tutte le necessarie certificazioni sull’originalità, provenienza e garanzia di supporto dello stesso Costruttore di riferimento e dai suoi Uffici e sedi in Italia.

I prodotti hardware e software forniti a seguito dell'aggiudicazione devono essere originali e recanti il marchio del Costruttore.

La non rispondenza, anche solo in parte, a quanto enunciato determinerà l'annullamento dell'aggiudicazione del procedimento e/o la non accettazione dei materiali eventualmente forniti, senza nessun onere per l’Amministrazione.

ART. 10 - Servizi di implementazione

Parte integrante dell’offerta saranno i servizi di implementazione dell’intera soluzione che dovrà essere fornita “chiavi in mano”.

Nella relazione tecnica dovranno essere descritte le modalità di implementazione della fornitura con indicazione del gruppo di lavoro impiegato e skills della risorsa deputata alla gestione del progetto che costituirà interfaccia unica verso il cliente.

Di seguito si riporta il gantt relativo alla messa in opera dell’infrastruttura oggetto di offerta:

Milestone	Attività	Xxxxxx/Termine ultimo
1	Consegna Progetto esecutivo	10
2	Consegna e implementazione fornitura	30
3	Collaudo	1

In particolare, il termine ultimo per la consegna del progetto esecutivo è di 10 giorni naturali e consecutivi dall’aggiudicazione; il termine ultimo per la consegna dei beni e l’implementazione della fornitura è di 30 giorni naturali e consecutivi dall’ordine di fornitura; il collaudo avverrà il giorno successivo al completamento dell’implementazione, salvo diversa disposizione.

ART. 11 – Valutazione qualitativa dei prodotti della fornitura

La valutazione dell’offerta tecnica e dell’offerta economica sarà effettuata in base ai seguenti punteggi:

	Punteggio Massimo
Offerta Tecnica	70/100
Offerta Economica	30/100
TOTALE	100

ART. 11.1 - Criteri di valutazione dell’offerta tecnica

n.	Criterio di valutazione	Punti Max		Sub-criteri di valutazione	Punti D max	Punti Q min	Punti Q max	Criterio
1	Progetto Generale	35	1.1	Qualità della Relazione Tecnica in termini di caratteristiche generali e completezza del progetto con particolare riferimento alla metodologia di implementazione, alla corrispondenza con le caratteristiche richieste, alla qualità del gruppo di lavoro preposto alle attività e a referenze di progetti analoghi e nonché alle proposte migliorative dei requisiti tecnici minimi delle componenti indicate all’art. 8 (ad esclusione dell’art. 8.5) del presente Capitolato tecnico	35			Discrezionale
2	Valore tecnico delle migliorie proposte	10	2.1	Tempi di consegna progetto esecutivo		0	5	Tabellare
			2.2	Tempi di consegna e implementazione della fornitura		0	5	Tabellare
3	Servizi	25	3.1	Caratteristiche e modalità di esecuzione del progetto	15			Discrezionale
			3.2	Service Level Agreement (SLA) di supporto Vendor per le componenti Storage e Switch di cui all’art. 8.5 del presente Capitolato tecnico		5	10	Tabellare
	Punteggio Totale				50		20

ART.12 – Servizi connessi alla fornitura – Assistenza Tecnica e Garanzia

L’aggiudicatario è obbligato a prestare, in relazione alle apparecchiature e ai dispositivi offerti, la garanzia per vizi e difetti di funzionamento (art. 1490 c.c.), quella per il difetto di qualità promesse o essenziali all’uso cui la cosa è destinata (art. 1497 c.c.), nonché la garanzia di buon funzionamento (art. 1512 c.c.) per il periodo indicato nelle specifiche tecniche minime (Art. 7 del presente capitolato)

a decorrere dalla data del collaudo esperito con esito positivo. Nel corso di tutto tale periodo l’aggiudicatario assicura, senza ulteriori oneri e spese oltre al prezzo corrisposto per l’aggiudicazione, mediante propri tecnici specializzati, il necessario supporto tecnico al fine di garantire il corretto funzionamento dei beni forniti, nonché, ove occorra, la fornitura gratuita di tutti i materiali di ricambio che si dovessero rendere necessari al fine di eliminare eventuali vizi o difetti di fabbricazione, ovvero, qualora necessario, la sostituzione delle apparecchiature e dei dispositivi consegnati ed affetti da vizi, difetti od altre difformità che rendano i beni forniti inidonei ad essere utilizzati all’uso per il quale sono naturalmente destinati.

La stazione appaltante avrà diritto, pertanto, alla riparazione o alla sostituzione delle apparecchiature e dei relativi dispositivi, senza altri oneri oltre al prezzo corrisposto per la fornitura, ogni qualvolta, nel periodo di garanzia, si verifichi il cattivo o mancato funzionamento delle apparecchiature stesse, senza bisogno di provare il vizio o difetto di qualità. L’aggiudicatario non potrà sottrarsi all’adempimento delle obbligazioni di garanzia, se non dimostrando che la mancanza di buon funzionamento sia dipesa da un fatto verificatosi successivamente alla consegna delle apparecchiature e dei dispositivi e che tale circostanza non sia dipendente da un vizio o difetto di produzione e/o sia imputabile, invece, all’Amministrazione.

Si rinvia, per quanto qui non espresso, alle norme del codice civile in materia di garanzia per vizi, difetti e/o mancanza di qualità, nonché alle altre norme del medesimo codice applicabili alla fattispecie.

ART. 13 – Installazione e Collaudo

Le apparecchiature hardware e software oggetto del presente appalto e relativi accessori saranno collaudate dalla Stazione Appaltante ai sensi della normativa vigente in contraddittorio con il Fornitore.

Le attrezzature rifiutate al collaudo dovranno essere sostituite a cura e spese del fornitore nel termine di cinque giorni dalla data di comunicazione del rifiuto.

Ai fini dell’espletamento delle attività di collaudo, il Fornitore dovrà produrre:

• dichiarazioni di conformità attestanti la rispondenza dell’apparecchiature fornite alle vigenti norme di sicurezza;

• eventuale ogni altro certificato, documento previsto dalla vigente normativa, relativo alla corretta installazione delle attrezzature;

• manuali d’uso delle apparecchiature installate, nonché manuale di manutenzione e schede tecniche dei materiali installati in formato digitale aperto;

• schede tecniche materiali di consumo, ove previsto;

• dichiarazione di piena rispondenza al GDPR – Reg 679/16 in materia di privacy, ove applicabile;

• ogni altro documento ritenuto utile ai fini del collaudo.

Tutta la documentazione deve essere in lingua italiana o accompagnata da traduzione.

Il collaudo sarà caratterizzato dalle fasi amministrativa e tecnica/funzionale e la fornitura si intenderà accettata in ogni sua parte se il collaudo avrà avuto esito positivo.

L’esito positivo del collaudo presuppone, pertanto, che il personale preposto abbia:

• verificato che la merce consegnata ed installata sia conforme a quanto aggiudicato, deliberato, ordinato e sia “pronta all’uso”;

• effettuato tutte le verifiche prescritte dalla normativa vigente in materia e dalla norma tecnica specifica con esito positivo;

• effettuato le prove di funzionamento di tutto le attrezzature hardware e software in loco con esito positivo (ivi comprese le verifiche di sicurezza ove previste);

• verificato che la documentazione tecnico/amministrativa, a corredo sia stata consegnata e risulti presente alla data del collaudo;

• verificata la presenza della cartellonistica/etichettatura POR-FESR 2014-2020 di cui all’art. 3 del presente capitolato.

Al termine delle operazioni di collaudo, effettuato in contraddittorio tra l’AORN Xxxxxxxxxx ed il Fornitore, dovrà essere redatto apposito “verbale di collaudo”.

In ogni caso, qualora dovessero emergere, anche successivamente all’esito positivo del collaudo, non conformità progettuali, di produzione, di sicurezza e di corrispondenza a quanto richiesto in gara, il Fornitore dovrà provvedere alla tempestiva eliminazione di tutti i difetti e/o vizi riscontrati ed eventualmente sostituire l’apparecchiatura e/o relativi accessori con beni aventi identiche caratteristiche tecniche e funzionali.

Per le evidenziate ragioni di urgenza, è espressamente richiesto che il collaudo sia effettuato in un solo giorno.

ART. 14 – Formazione del Personale

L’Aggiudicatario dovrà provvedere all’addestramento del personale utilizzatore, indicato dal Responsabile della Struttura utilizzatrice, prima del collaudo di accettazione. Tale formazione, finalizzata all’utilizzo e alla gestione corretta ed in sicurezza per operatori e lavoratori della struttura sanitaria destinataria coinvolta dalla fornitura in oggetto, dovrà essere certificata dalla compilazione di apposito verbale a cura dell’Aggiudicatario e sottoscritto dal personale formato. Durante le sessioni di formazione la Ditta Aggiudicataria dovrà fornire indicazioni e tutto il materiale didattico semplificato e sufficiente a supportare la formazione del personale.

ART. 15 – Modalità di pagamento

La fatturazione sarà relativa all’importo aggiudicato e dovrà essere emessa esclusivamente in seguito alla conclusione delle operazioni di collaudo con esito positivo. La fattura, compilata in ogni sua parte secondo le vigenti disposizioni di legge, nel rispetto della dicitura indicata all’articolo 3 del presente capitolato, dovrà essere trasmessa alla SA. Il pagamento verrà disposto dalla SA, previo concordamento, entro sessanta giorni decorrenti data.

ART. 16 - Inadempimenti e Penalità

Il Fornitore sarà soggetto a penale in caso di non puntuale adempimento delle condizioni della fornitura, che non comporti per la sua gravità l’immediata risoluzione della stessa.

Per ciascuna inadempienza accertata (es. ritardi rispetto alle tempistiche indicate nel presente Capitolato), la SA applicherà una penale, in ragione del danno causato, calcolata, ai sensi dell’art. 126 del D. LGS. 36/2023 e ss.mm.ii., in misura giornaliera compresa tra 0,3‰ e 1 ‰ dell’ammontare netto contrattuale salvo il maggior danno.

In particolare, in considerazione dei tempi ristretti legati al finanziamento POR Campania FESR 2014- 2020, in caso di ritardo nella consegna di ciascun bene rispetto ai termini previsti (30 giorni naturali e consecutivi a decorrere dalla data di trasmissione dell’ordine di fornitura) o eventuale offerta migliorativa, sarà applicata una penale pari al 1 % dell’ammontare netto contrattuale, per ogni giorno solare di ritardo, salvo il maggior danno.

La SA si riserva la facoltà di procedere alla risoluzione della fornitura nel caso in cui le penali raggiungessero un valore pari al 10% dell’importo del valore della fornitura.

La SA si riserva, altresì, la facoltà di applicare penali per qualunque inadempimento relativo alle prestazioni prescritte da valutare discrezionalmente in rapporto all’entità dello stesso.

ART. 17 – Controversie - Foro Competente

Per tutte le controversie che eventualmente dovessero insorgere fra le parti in merito al contratto oggetto del presente capitolato speciale di appalto, non risolte bonariamente, saranno devolute esclusivamente al Giudice Ordinario del Tribunale di Napoli.

ART. 18 – Trattamento Dati

Il fornitore dovrà inoltre confermare la Compliance al GDPR ed indicare il proprio titolare del trattamento nonché gli eventuali responsabili del trattamento dati.

Il Responsabile Unico del Progetto

Xxx. Xxxxxxxxx Xxxxxxx

Firma autografa sostituita da indicazione a mezzo stampa, ai sensi dell’art. 3, comma 2, del D.Lgs. n°39 del 1993.