Senza aggiornamento del SIOPE+ si rischia il blocco di incassi e pagamenti

lentepubblica.it

SIOPE+, cambia la sicurezza dei collegamenti: cosa devono fare enti e tesorieri entro il 28 settembre 2026.

Le amministrazioni pubbliche, gli istituti tesorieri e tutti i fornitori tecnologici coinvolti nella gestione degli incassi e dei pagamenti della PA sono chiamati a verificare tempestivamente i propri sistemi informatici. Dal 28 settembre 2026, infatti, entrerà in vigore un importante aggiornamento dell’infrastruttura SIOPE+, che comporterà l’abbandono definitivo dei protocolli di sicurezza TLS 1.0 e TLS 1.1, ormai considerati superati dagli standard internazionali di cybersicurezza.

La comunicazione arriva da AgID e riguarda un cambiamento esclusivamente tecnico, ma dagli effetti potenzialmente rilevanti per tutti gli enti che utilizzano quotidianamente la piattaforma. Chi non avrà adeguato i propri sistemi rischia infatti di non riuscire più a dialogare correttamente con l’infrastruttura gestita dalla Banca d’Italia, con possibili ripercussioni sull’invio degli ordinativi informatici relativi a incassi e pagamenti.

Cos’è SIOPE+ e perché è fondamentale per la Pubblica Amministrazione

SIOPE+ rappresenta oggi uno degli strumenti centrali per la gestione finanziaria della Pubblica Amministrazione italiana. Introdotto dalla Legge di Bilancio 2017, il sistema ha reso obbligatorio l’utilizzo degli ordinativi informatici per tutte le operazioni di incasso e pagamento effettuate dagli enti pubblici nei confronti dei propri tesorieri o cassieri.

Il funzionamento della piattaforma si basa sullo Standard OPI, definito dall’Agenzia per l’Italia Digitale, mentre l’infrastruttura tecnologica attraverso cui transitano tutti gli ordinativi è gestita dalla Banca d’Italia. In pratica, ogni pagamento o riscossione passa attraverso questo canale telematico, che garantisce uniformità, tracciabilità e interoperabilità tra amministrazioni e istituti finanziari.

Proprio perché SIOPE+ costituisce un’infrastruttura critica per il funzionamento della finanza pubblica, l’adeguamento continuo dei suoi sistemi di sicurezza rappresenta un passaggio indispensabile per garantire affidabilità e protezione delle comunicazioni.

Dal 28 settembre stop definitivo ai protocolli TLS 1.0 e TLS 1.1

L’aggiornamento annunciato riguarda nello specifico i protocolli utilizzati per proteggere le comunicazioni telematiche tra i diversi sistemi informatici che dialogano automaticamente con SIOPE+.

Dal 28 settembre 2026 saranno definitivamente disattivate le versioni TLS 1.0 e TLS 1.1 sugli indirizzi dedicati alle comunicazioni application-to-application (A2A), vale a dire:

a2a.siopeplus.it per l’ambiente di produzione e certa2a.siopeplus.it per l’ambiente di collaudo esterno.

La decisione segue un percorso ormai consolidato a livello internazionale. Le prime versioni del protocollo TLS, infatti, non sono più considerate adeguate a garantire un livello di protezione sufficiente contro le moderne minacce informatiche e sono già state progressivamente abbandonate da numerosi servizi digitali pubblici e privati.

L’obiettivo dell’intervento è quello di elevare ulteriormente gli standard di sicurezza delle comunicazioni senza modificare le funzionalità operative della piattaforma.

Quali sistemi dovranno essere aggiornati

L’adeguamento non riguarda soltanto la piattaforma centrale gestita dalla Banca d’Italia. La verifica della compatibilità dovrà essere effettuata da tutte le controparti che dialogano con SIOPE+.

In particolare, sarà necessario controllare che supportino esclusivamente i protocolli più recenti TLS 1.2 e TLS 1.3:

i sistemi gestionali degli enti pubblici, le piattaforme utilizzate dai tesorieri, i software degli istituti bancari e quelli dei prestatori di servizi di pagamento, oltre alle eventuali componenti sviluppate dai fornitori tecnologici.

Se uno solo di questi elementi dovesse continuare a utilizzare esclusivamente TLS 1.0 o TLS 1.1, la comunicazione con SIOPE+ non potrebbe più essere stabilita dopo l’entrata in vigore della nuova configurazione.

Per questo motivo AgID invita non solo gli enti pubblici, ma anche tutte le aziende che forniscono software e servizi ICT alla PA ad avviare immediatamente le verifiche tecniche necessarie.

Test disponibili dal 31 agosto 2026

Per consentire agli operatori di arrivare preparati alla scadenza, la Banca d’Italia metterà a disposizione un ambiente di collaudo aggiornato.

A partire dal 31 agosto 2026, infatti, sarà possibile effettuare prove utilizzando una configurazione che replica quella definitiva prevista per il mese successivo.

In tale ambiente saranno già attivi esclusivamente i protocolli TLS 1.2 e TLS 1.3, mentre le versioni precedenti risulteranno disabilitate. Questo consentirà agli enti e ai fornitori di verificare eventuali criticità prima dell’entrata in esercizio della nuova configurazione.

Si tratta di una fase particolarmente importante perché permette di individuare eventuali incompatibilità senza incidere sull’operatività quotidiana e di programmare eventuali aggiornamenti software o configurazioni infrastrutturali con sufficiente anticipo.

Perché l’aggiornamento è così importante

La sostituzione dei protocolli TLS meno recenti non rappresenta un semplice intervento di manutenzione tecnica. Negli ultimi anni la sicurezza delle infrastrutture digitali pubbliche è diventata uno degli elementi centrali delle strategie nazionali ed europee di cybersicurezza.

Le versioni TLS 1.0 e TLS 1.1 sono ormai considerate obsolete perché presentano caratteristiche non più adeguate rispetto agli attuali livelli di protezione richiesti per i servizi digitali critici. L’adozione di TLS 1.2 e soprattutto di TLS 1.3 garantisce invece comunicazioni cifrate più robuste, migliori prestazioni e una maggiore resistenza nei confronti delle vulnerabilità note.

L’intervento su SIOPE+ si inserisce quindi in un percorso più ampio di modernizzazione delle infrastrutture informatiche della Pubblica Amministrazione, orientato a rafforzare la sicurezza delle informazioni e la continuità operativa dei servizi essenziali.

Cosa devono fare subito enti e fornitori

Il messaggio rivolto da AgID è chiaro: non bisogna attendere la scadenza di settembre per intervenire.

Ogni amministrazione dovrebbe confrontarsi con il proprio fornitore software e con il tesoriere per verificare che tutte le componenti coinvolte nella trasmissione degli ordinativi informatici siano già compatibili con i nuovi standard di sicurezza.

La disponibilità dell’ambiente di test dal 31 agosto offre l’opportunità di effettuare verifiche preventive e correggere eventuali anomalie prima dell’aggiornamento definitivo.

Prepararsi per tempo significa evitare possibili interruzioni nei collegamenti telematici con SIOPE+, garantendo così la regolare gestione di incassi e pagamenti anche dopo l’entrata in vigore delle nuove configurazioni di sicurezza.

The post Senza aggiornamento del SIOPE+ si rischia il blocco di incassi e pagamenti appeared first on lentepubblica.it.