urn:nir:consiglio.di.stato;sezione.5:.sentenza:00000-0000217IN20220238420221215110121820.xml20220238420221215110121820.docm202202384\202202384.xmlU:\DocumentiGA\Magistrati\54 Paolo Giovanni Nicolo' Lotti\ Sentenza00:00:00Annamaria Fasano21/12/2022 23:33:2312/01/2023NNFalsoIl Consiglio di Statoin sede giurisdizionale (Sezione Quinta)ha pronunciato la presenteDECISIONEPaolo Giovanni Nicolo' Lotti, Presidente FFStefano Fantini, ConsigliereAnna Bottiglieri, ConsigliereGiorgio Manca, ConsigliereAnnamaria Fasano, Consigliere, Estensore per la riformadella sentenza del Tribunale amministrativo regionale per la Liguria n. 64/2022, resa tra le parti. sul ricorso numero di registro generale 2384 del 2022, proposto da Thales Italia s.p.a. in proprio e quale mandataria del RTI con Pluservice s.r.l., in persona del legale rappresentante pro tempore, rappresentata e difesa dagli avvocati Giuliano Berruti e Francesco Dal Piaz, con domicilio digitale come da PEC da Registri di Giustizia e domicilio eletto presso lo studio Giuliano Berruti in Roma, via delle Quattro Fontane n. 161; AEP Ticketing Solutions s.r.l., Engineering Ingegneria Informatica s.p.a., in persona del legale rappresentante pro tempore, rappresentate e difese dall'avvocato Flavia Pozzolini, con domicilio digitale come da PEC da Registri di Giustizia e domicilio eletto presso lo studio Anna Mattioli in Roma, Piazzale Clodio n. 61; Liguria Digitale s.p.a., in persona del legale rappresentante pro tempore, rappresentata e difesa dagli avvocati Claudio Vivani e Elisabetta Sordini, con domicilio digitale come da PEC da Registri di Giustizia; AMT-Azienda Mobilità e Trasporti s.p.a., ATP Esercizio s.r.l., RT Riviera Trasporti s.p.a., TPL Linea – Trasporti Ponente Ligure s.r.l., ATC Esercizio s.p.a., Trenitalia s.p.a., non costituite in giudizio; Visti il ricorso in appello e i relativi allegati;Visti gli atti di costituzione in giudizio di AEP Ticketing Solutions s.r.l. e di Liguria Digitale s.p.a. e di Engineering Ingegneria Informatica s.p.a.;Viste le memorie delle parti;Visti tutti gli atti della causa;Relatore nell'udienza pubblica del giorno 6 ottobre 2022 il Cons. Annamaria Fasano e uditi per le parti gli avvocati Berruti, Dal Piaz, Vivani e Pozzolini;Ritenuto e considerato in fatto e diritto quanto segue. FATTO1.Con ricorso proposto dinanzi al Tribunale amministrativo regionale per la Liguria, AEP Ticketing Solutions s.r.l. (in seguito anche AEP), in proprio e nella qualità di mandataria del costituendo RTI con Engineering Ingegneria Informatica s.p.a., impugnava gli atti della procedura aperta indetta da Liguria Digitale s.p.a. per l’affidamento della realizzazione e manutenzione decennale del sistema di bigliettazione elettronica per il servizio di trasporto pubblico della Regione Liguria (“Smart Ticket Liguria”) e, segnatamente, i verbali di gara ed il provvedimento di aggiudicazione in favore del raggruppamento costituito di Thales Italia s.p.a. (in seguito anche Thales) e da Pluriservice s.r.l. La ricorrente, essendosi classificata seconda in graduatoria, chiedeva l’annullamento degli atti e la condanna di Liguria Digitale s.p.a. ad aggiudicare la gara in proprio favore, previa declaratoria di inefficacia del contratto eventualmente sottoscritto, o, in subordine, a risarcirle il danno subito per equivalente monetario. AEP lamentava che il lettore di carte bancarie contactless EMV offerto dal RTI controinteressato era privo della certificazione PCI-PTS, prescritta dalla lex specialis di gara come requisito minimo di carattere essenziale per garantire la sicurezza dei pagamenti. La necessità che il lettore della validatrice fosse certificato PCI- PTS discendeva anche dal DM n. 255/2016 e risultava confermata dalle “Linee guida per l’uso delle carte bancarie standard EMV c-less nella bigliettazione elettronica del trasporto collettivo”, pubblicate dall’associazione CLUB Italia. Né la certificazione PCI-PTS, avente ad oggetto il singolo terminale, poteva essere sostituita con la diversa certificazione PCI-DSS, concernente l’intero sistema che gestisce transazioni di pagamento con carte contactless, che l’aggiudicataria aveva dichiarato di poter conseguire. La ricorrente deduceva, inoltre, che dagli spezzoni di filmato della prova pratica consegnati all’esponente emergevano numerosi mal funzionamenti del sistema offerto dal RTI Thales, che non aveva portato a compimento neppure una simulazione di transazione bancaria. Thales proponeva ricorso incidentale avverso gli atti di gara, mirando ad ottenere l’esclusione dalla selezione del raggruppamento con capofila AEP. La ricorrente principale proponeva istanza ex art. 116 c.p.a. ai fini dell’esibizione integrale dell’offerta tecnica ed il video della prova pratica, che veniva accolta dal Tribunale con ordinanza n. 73 del 25 marzo 2021. In seguito alle produzioni documentali effettuate in adempimento del provvedimento, AEP deduceva motivi aggiunti, assumendo che l’offerta aggiudicataria si rilevava carente sotto plurimi aspetti, mancando il servizio di housing del sito secondario, indicato da Thales come meramente opzionale, nonché la connettività WAN tra il nodo primario e secondario. La ricorrente sosteneva che non erano state fornite le SIM per i mezzi e per le rivendite esterne e non risultava contemplata la conduzione sistemica e applicativa del sistema, mentre la macchina emettitrice di biglietti, c.d. TVM, non era conforme ai requisiti capitolari. Contestava l’assegnazione dei punteggi sotto vari profili, rilevando che il progetto vincitore risultava affetto da numerose manchevolezze. 2. Il T.A.R. per la Liguria, con sentenza n. 64 del 2022, previo espletamento di una verificazione, rilevava la fondatezza del primo motivo di ricorso principale, precisando che era incontrovertibile che la certificazione PCI-PTS costituiva un requisito minimo, elencato fra le specifiche tecniche essenziali richieste dalla legge di gara, pertanto, nella procedura in esame, l’offerta tecnica doveva comprendere un lettore della validatrice munito del predetto certificato, a pena di esclusione dal confronto competitivo. Il Collegio accoglieva il ricorso, ritenendo che l’offerta del RTI aggiudicatario fosse ‘non conforme alle specifiche tecniche di minima stabilite dall’Amministrazione per l’affidamento in contestazione, con la conseguenza che, in ragione di tale difformità, il raggruppamento temporaneo capeggiato da Thales avrebbe dovuto essere escluso dalla procedura competitiva”. Il Tribunale adito concludeva accogliendo il ricorso principale e, per l’effetto, annullava gli atti impugnati; rigettava, altresì, il ricorso incidentale, condannando Liguria Digitale s.p.a. a disporre l’aggiudicazione della gara in favore della parte ricorrente, previa verifica dei requisiti previsti ex lege. 3. Con ricorso in appello, notificato nei termini e nelle forme di rito, Thales Italia s.p.a. ha impugnato la suddetta pronuncia, chiedendone l’integrale riforma, denunciando: “Error in procedendo e in judicando. Difetto di istruttoria e di motivazione. Violazione e/o erronea applicazione artt. 68, 83, 95 d.lgs. n. 50/2016. Violazione e/o erronea applicazione Linee Guida ANAC. Violazione e/o erronea applicazione Direttive 2014/24/UE. Violazione e/o erronea applicazione artt. 34, 66 e 120 c.p.a. Violazione e/o erronea applicazione D.P.R. n. 445/2000. Violazione e/o erronea applicazione art. 97 Cost. Violazione e/o erronea applicazione art. 1362 c.c. Eccesso di giurisdizione, violazione dei limiti estranei e del principio di separazione dei poteri, denegata giustizia. Erroneità sotto il profilo della violazione e/o erronea applicazione della lex specialis, violazione di legge, difetto di istruttoria, erronea valutazione dei presupposti di fatto e di diritto, sviamento, illogicità, contraddittorietà, perplessità, irragionevolezza, ingiustizia grave e manifesta. Violazione ed erronea applicazione dei principi eurocomunitari in materia di appalti pubblici, nonché dei principi di par condicio, trasparenza, buon andamento, imparzialità ed efficacia dell’azione amministrativa”.L’appellante ha concluso formulando istanza istruttoria, chiedendo a questa Sezione, ove opportuno, di disporre i mezzi di prova necessari ai fini del decidere, ai sensi e per gli effetti degli artt. 63 e ss. c.p.a., ivi compresa l’integrazione della verificazione già disposta dal T.A.R. o l’ammissione di apposita nuova verificazione e di consulenza tecnica d’ufficio.4. Si è costituita in resistenza la società AEP Ticketing Solutions s.r.l. e Engineering Ingegneria Informatica s.p.a., chiedendo la reiezione dell’appello e dell’istanza istruttoria proposta ex adverso, e, in subordine, in accoglimento delle censure dichiarate assorbite e non esaminate dal T.A.R. Liguria, concludendo per l’annullamento dell’aggiudicazione della gara impugnata in prime cure. 5. Si è costituita Liguria Digitale s.p.a. chiedendo l’accoglimento dell’appello con integrale riforma della sentenza n. 64/2022 emessa dal T.A.R. Liguria e, per l’effetto, che sia dichiarato inammissibile e/o respinto il ricorso di primo grado proposto dalla società AEP Ticketing Solutions, mandataria del costituendo RTI con Engineering Ingegneria Informatica s.p.a..6. Questa Sezione, con ordinanza cautelare n. 1666/2022, ha respinto la domanda di sospensione dell’efficacia della sentenza del Tribunale amministrativo regionale di accoglimento del ricorso di primo grado, presentata in via incidentale dalla parte appellante. 7. All’udienza pubblica del 6 ottobre 2022, la causa è stata trattenuta in decisione.DIRITTO8. Con un unico articolato motivo, l’appellante denuncia l’errore della sentenza impugnata nella parte in cui ha accolto il primo motivo di ricorso di AEP, assumendo che l’offerta di RTI aggiudicatario non era conforme alle specifiche tecniche di minima stabilite dall’Amministrazione per l’affidamento in contestazione, con la conseguenza che, in ragione di tale difformità, il raggruppamento temporaneo andava escluso dalla procedura competitiva. Il Collegio di prima istanza avrebbe erroneamente ritenuto che la validatrice offerta da Thales non risultava conforme ai requisiti di legge, in quanto non certificata per la sicurezza dal PCI – PTS, con la conseguenza che detta validatrice non sarebbe utilizzabile in Italia per il processo delle carte di credito contacless e, quindi, non potrebbe ritenersi conforme alle presunte ‘caratteristiche minime’ richieste dal Capitolato Tecnico. Thales Italia s.p.a. ritiene, al contrario, che la lex specialis non prevedeva quale requisito essenziale di carattere tecnico (ovvero quale requisito minimo a pena di esclusione) che il lettore della validatrice del sistema di bigliettazione elettronica ‘Smart Ticket Liguria’ dovesse essere munito di certificazione PCI-PTS. Ciò in quanto gli unici elementi inderogabili previsti dal Capitolato Tecnico, elencati a pagina 2, non si riferiscono a dei ‘requisiti minimi’ delle componenti hardware e software del sistema proposto dai concorrenti, bensì alle finalità ed agli obiettivi del medesimo, tenendo conto della particolare natura dell’appalto in questione, in relazione al fabbisogno espresso da Liguria Digitale e sotteso all’indizione della gara. L’esponente argomenta che il Disciplinare di gara, in ordine all’offerta tecnica, prevedeva che: “Potranno essere accettate esclusivamente soluzioni che prevedano opzioni di natura migliorativa e non opzioni alternative o condizionate, in parte o totalmente, fermo restando l’obbligo di presentare un’offerta tecnica conforme alle condizioni di base”. In linea con questa indicazione, la soluzione proposta da Thales sarebbe senz’altro conforme alle condizioni di base ed addirittura migliorativa proprio per quanto concerne i pagamenti mediante carte di credito. Ciò in ragione anche dei chiarimenti resi da Liguria Digitale s.p.a. che confermerebbero la disponibilità, per i concorrenti, di proporre soluzioni equivalenti, coerenti con l’architettura del sistema offerto nell’ambito della fornitura ‘full service’. Tali chiarimenti farebbero comprendere che l’intento della Stazione appaltante era quello di sollecitare un progetto relativo ad un sistema ‘flessibile e modulabile’, compliance alla normativa di settore, in grado di svolgere delle ‘funzioni minime’ ed in possesso di caratteristiche ‘di base’ conformi (non identiche) a quelle indicate nel Capitolato Tecnico.Secondo la ricorrente, laddove la lex specialis dovesse essere interpretata nel senso accolto dal TAR, ovvero tale da comportare comunque l’esclusione dalla gara, anche in assenza di una espressa comminatoria, essa risulterebbe affetta da nullità per contrasto con il principio di tassatività dei motivi di esclusione di cui all’art. 83 del d.lgs. n. 50 del 2016, nonché con il principio etero-integrativo di equivalenza di cui all’art. 68 del d.lgs. n. 50/2016, che attua nell’ordinamento nazionale l’art. 42 della Direttiva 2014/24/UE. Le specifiche tecniche consentirebbero pari accesso degli operatori economici alla procedura di aggiudicazione e non devono comportare direttamente o indirettamente ostacoli ingiustificati all’apertura degli appalti pubblici alla concorrenza. La validatrice offerta dal RTI aggiudicatario è di modello BV600 prodotto dalla stessa mandataria Thales, che, come dimostrato dalla Relazione tecnica della Cryptonet, totalmente ignorata dal giudice di prime cure, garantirebbe un sistema EMV opportunamente certificato con l’introduzione di una scheda B-SAM che, nel consentire l’utilizzo delle carte di pagamento per l’acquisto del titolo di viaggio (come prescritto dalla lex specialis) non richiede mai l’immissione del PIN. La certificazione dei principali circuiti di cui dispone la validatrice offerta dal RTI Thales assicurerebbe il livello di sicurezza richiesto dal Capitolato Tecnico e sarebbe perfettamente rispondente alla necessità della Stazione appaltante di dotarsi di un sistema sicuro di pagamento mediante carte di credito. Secondo la società ricorrente, il TAR sarebbe incorso in un errore di valutazione nella lettura del Capitolato Tecnico, posto che la certificazione PCI-PTS non sarebbe affatto ‘indispensabile’ per accettare pagamenti con carte di credito ai fini del sistema di bigliettazione, tanto è vero che la validatrice BV600 sarebbe già in possesso di tutte le richiamate certificazioni di livello superiore emesse dai medesimi circuiti VISA, MASTERCARD e AMERICAN EXPRESS per i pagamenti mediante carte bancarie. La società contesta le osservazioni contenute nella Relazione del Prof. Baiardi, depositate dalla AEP, che avrebbero dovuto essere dichiarate inammissibili dal TAR, in quanto contenenti nuove censure in violazione dei termini decadenziali, e comunque sarebbero infondate, in quanto non supportate da alcun principio di prova. Il TAR, inoltre, avrebbe immotivatamente disatteso le eccezioni di Thales in merito all’utilizzo improprio, da parte di AEP, delle risposte rese in ordine alle FAQ di Liguria Digitale, con particolare riferimento al quesito ed alla risposta 102. Fermo restando che per il validatore BV600 non è necessaria la certificazione PCI-PTS in quanto certificato EMV Level 1 e Level 2, risulta comunque confermato dalla Stazione appaltante, ai sensi del Capitolato Tecnico giuridico, che le certificazioni devono essere possedute al momento della installazione, e non della presentazione dell’offerta. In punto di validatrici, il giudice di prime cure avrebbe omesso di considerare che AEP descrive e presenta il Futura 3M come l’evoluzione del Futura 3° BIP, in ambito BIP Piemonte, ma questa non risulta fornita al momento della demo relativa alla presente procedura, essendo un prototipo. Il TAR, pertanto, non avrebbe considerato che accogliendo l’errata interpretazione della risposta alla FAQ 102, AEP avrebbe dovuto essere esclusa, non potendo immettere sul mercato una validatrice non certificata. La società esponente precisa che la scheda B-SAM utilizzata da Thales si basa su un elemento fisico NXP SmartMX2 la cui architettura intrinseca può raggiungere una certificazione EAL6+ e con il formato SIM card viene inserita nello slot SAM del lettore contactless del validatore, allo scopo di rendere sicuri i dati captati tramite il reader del lettore. In sostanza, secondo l’appellante, i dati CHD risulterebbero protetti nello stesso identico modo che in un lettore certificato PTS, come sarebbe stato dimostrato dalla documentazione allegata. L’esponente contesta i risultati della verificazione, assumendo che la stessa consisterebbe in un mero strumento processuale cognitivo e non valutativo che costituisce un parere tecnico, ma non è espressione di discrezionalità amministrativa. Il giudice di primo grado avrebbe erroneamente valutato anche l’esito della verificazione che, diversamente da quanto statuito nell’appellata sentenza, confermerebbe invece la tesi sostenuta dalla Thales, ovvero che la validatrice offerta sarebbe equivalente e superiore a quella offerta dalla AEP, essendo già inserita in certificazione di sistema PCI-DSS ed approvata dai circuiti Visa American Express e Mastercard. Thales lamenta che il Collegio di prime cure avrebbe disatteso erroneamente l’istanza formulata dalla ricorrente al fine di disporre un supplemento istruttorio, chiedendo al Verificatore di riscontrare esattamente il quesito n. 4 che riguardava l’equipollenza o meno dei lettori delle validatrici offerte dalla ricorrente e dalla aggiudicataria, relativamente alla sicurezza delle transazioni mediante carte di credito, debito, contactless EMV, pertanto per effetto devolutivo dell’appello ripropone a questa Sezione la medesima istanza. In ogni caso, la società rileva che il Verificatore in risposta ai precedenti quesiti avrebbe comunque affermato che i lettori delle validatrici sarebbero equipollenti, ossia equivalenti relativamente alla sicurezza delle transazioni mediante carte di credito, debito, contactless, sebbene dal raffronto emerga che le certificazioni analizzate riguardano perimetri differenti. Thales ripropone con l’impugnazione le medesime censure proposte con ricordo incidentale, assumendo che il Collegio di prima istanza le avrebbe erroneamente rigettate.9. L’appello va respinto per i principi di seguito enunciati.Con la sentenza impugnata, il Tribunale adito ha accolto il ricorso proposto da AEP Ticketing Solutions s.r.l. e Engineering Ingegneria Informatica s.p.a. sulla base del rilievo che l’offerta di Thales non ha soddisfatto i requisiti minimi imposti dalla lex specialis per mancanza della certificazione PCI-PTS relativamente al lettore del validatore, pertanto l’aggiudicataria doveva essere esclusa dalla gara. 9.1. L’appellante ha contestato l’assunto sotto vari profili. Esaminando con ordine gli argomenti difensivi illustrati, rappresenta questione dirimente stabilire i requisiti minimi individuati dalla lex specialis per l’offerta tecnica. Il Collegio, a tale riguardo, precisa che non può essere condiviso l’assunto difensivo proposto con il primo mezzo, ribadito anche da Liguria Digitale s.p.a., secondo cui la certificazione PCI-PTS del validatore non era richiesta dalla legge di gara come requisito minimo, né la sua mancanza era sanzionata dall’esclusione. Il Capitolato a pag. 2 descrive chiaramente le finalità del progetto di Liguria Digitale s.p.a. consistente essenzialmente nel dotarsi di un sistema di bigliettazione elettronica, che consenta l’uso di carte bancarie, diretto ad agevolare ed incentivare tutti i servizi di mobilità collettiva. Si legge a pag. 14 del Disciplinare che “verranno esclusi dalla gara i concorrenti che abbiano presentato offerte che… sostituiscono, modifichino e/o integrino le condizioni indicate nella documentazione di gara nonché offerte parziali. Potranno, invece, essere accettate esclusivamente soluzioni che prevedano operazioni di natura migliorativa e non opzioni alternative o condizionate, in parte o totalmente, fermo restando l’obbligo di presentare un’offerta tecnica conforme alle condizioni di base”. Ne consegue che l’offerta tecnica doveva essere conforme alle condizioni di base e i requisiti tecnici minimi, la cui mancanza avrebbe comportato l’esclusione dalla gara (“verranno esclusi dalla gara…”), sono stati indicati sia nel Capitolato che nei numerosi allegati. In particolare, il paragrafo 7 del Capitolato Tecnico Giuridico ha statuito specificamente che “il Sistema proposto dovrà consentire la gestione delle applicazioni e delle carte di Debito e di Credito contactless EMV. Il sistema dovrà pertanto essere predisposto ed essere in grado di abilitare la transazione PO/apparato di validazione (livelli EMV1 e 2, PCI-PTS)”, al paragrafo 7.4.1. relativo alla ‘Validazione”; viene, inoltre, precisato che “Quando la carta di credito viene presentata al lettore della validatrice, che deve essere certificato EMV livello 1, livello 2 e PCI-PTS, il modulo di sicurezza integrato nel lettore dovrà generare un Tokem univoco ed irreversibile “; mentre al paragrafo 7.4.2, relativo al ‘Controllo’ viene chiarito che “Il terminale di controllo dovrà a sua volta avere un lettore certificato EMV Livello 1, Livello 2 e PCI –PTS con lo stesso algoritmo di generazione del Tokem utilizzato dalle validatrici”. L’allegato B1 del Capitolato, al paragrafo 3.1.4, nel descrivere gli elementi che compongono gli apparati di bordo da installare sui mezzi di trasporto, prescrive sulla ‘Gestione della validazione ‘ dei titoli di viaggio che, per le carte contactless di tipo bancario, l’operazione deve avvenire in conformità ‘allo standard EMV L1 e L2 e PCI-PTS’, così come l’allegato B2 al Capitolato, dispone che “tutti i sistemi/sottosistemi/apparati oggetto della fornitura dovranno essere certificati secondo gli standard di riferimento bancari (EMV Liv 1-2 PCI-PTS 4.0) per la gestione delle carte bancarie in modalità contactless’. Ne consegue che, come correttamente precisato dal Tribunale adito “E’ dunque incontrovertibile che la certificazione PCI – PTS integra un requisito minimo, in quanto elencata fra le specifiche tecniche essenziali richieste dalla legge di gara e viepiù espressamente qualificata tale nel paragrafo 7 del capitolato”.In difetto di un elemento indispensabile, il progetto proposto da Thales ha evidenziato l’inadeguatezza dell’offerta tecnica pena l’esclusione dalla procedura di gara, anche in mancanza di una esplicita comminatoria di esclusione. Gli atti di gara hanno chiarito le specifiche tecniche, consentendo agli operatori economici di individuare le caratteristiche che la prestazione o il prodotto avrebbe dovuto avere per poter concorrere alla procedura competitiva. Secondo l’indirizzo sostenuto dalla giurisprudenza prevalente, l’operatore economico che offre una prestazione o un prodotto privo dei requisiti minimi di carattere tecnico deve essere escluso dalla procedura di gara (Cons. Stato, 1 luglio 2015, n. 3275; Cons. Stato 11 dicembre 2019, n. 8429). E’ stato, infatti, affermato che la difformità dell’offerta rispetto alle caratteristiche tecniche previste dal capitolato di gara per i beni da fornire può risolversi in un ‘aliud pro alio’ idoneo a giustificare, di per sé, l’esclusione dalla selezione (Cons. Stato, sez. V, 5 maggio 2016, n. 1818; Cons. Stato, sez. V, 5 maggio 2016, n. 1809; Cons. Stato, sez. V, 28 giugno 2011, n. 3877).9.2. Anche le altre obiezioni alla sentenza impugnata non possono trovare accoglimento.La società deduce di avere fornito una certificazione, la PCI – DSS, diversa dalla PCI-PTS, ma appartenente allo stesso sistema internazionale di standard di sicurezza nei pagamenti, creato dagli stessi titolari dei circuiti di carte di credito e concepita allo scopo di garantire la sicurezza dei pagamenti con carta. La validatrice offerta sarebbe di propria produzione, e raggrupperebbe in sé due funzionalità di validazione del titolo di viaggio e di gestione del pagamento. Il RTI Thales ha proposto una validatrice che integra un dispositivo di lettura di carte di credito OR500 dotato delle certificazioni dei principali circuiti (EMV Level 1 e Level 2) e di una condizione di certificabilità PCI- DSS relativa al sistema complessivamente offerto.Secondo l’appellante, il TAR avrebbe errato nel non considerare che l’accertata mancanza della certificazione PCI-PTS è superata dal rilievo che il sistema oggetto della propria offerta è migliorativo ed innovativo rispetto a quello previsto in Capitolato. La tesi viene sostenuta anche allegando le conclusioni della relazione Criptonet depositata nel giudizio di primo grado e le conclusioni della relazione tecnica redatta nell’ambito del procedimento di verificazione. Viene precisato che la soluzione di Thales consisterebbe in un unico apparecchio, denominato validatore BV 600 che, grazie alla tecnologia B-SAM, unisce le due funzioni di validazione e di pagamento, effettuando transazioni contactless no PIN: di conseguenza, il lettore interno ‘OR500’ non necessiterebbe di essere certificato PCI-PTS. La validatrice ‘BV600’ assicurerebbe un livello di sicurezza adeguato, in quanto (oltre ad avere le certificazioni EMV L1 ed EMV L2) risulterebbe già autorizzata da VISA, Mastercard e AmericanExpress a processare le carte nei circuiti. Le censure non hanno pregio.Con riferimento a tali rilievi di natura tecnica, il Collegio di primo grado ha disposto l’espletamento di una verificazione, al fine di accertare sia l’ambito di riferibilità e l’eventuale equivalenza e fungibilità delle certificazioni PCI-PTS e PCI-DSS, sia l’equipollenza dei lettori delle validatrici offerte dalle società partecipanti alla gara relativamente alla sicurezza delle transazioni mediante carte di credito/debito contactless EMV. Secondo la disciplina del codice del processo amministrativo, la verificazione è uno strumento istruttorio che può essere utilizzato al fine di acquisire fatti non desumibili direttamente dai documenti acquisiti al fascicolo di causa ovvero, come nella specie, per coadiuvare il giudice nella valutazione degli elementi acquisiti o nella soluzione di questioni necessitanti specifiche conoscenze. La verificazione è diretta ad appurare la realtà oggettiva delle cose, e si estrinseca in un ‘giudizio di risultato’ che, come tale, non richiede un momento di contraddittorio. Come la giurisprudenza ha affermato, il contraddittorio concerne esclusivamente gli sviluppi e le risultanze della verificazione (Cons. Stato n. 1571 del 2013; Cons. Stato n. 533 del 2015; Cons. Stato n. 2433 del 2016; Cons. Stato n. 4848 del 2017; Cons. Stato n. 2530 del 2021).Va, preliminarmente, precisato, come già evidenziato dal giudice di prime cure, che il RTI Thales non ha dimostrato di avere conseguito una certificazione PCI-DSS relativamente all’impianto di bigliettazione realizzato. La circostanza è stata puntualizzata anche dal Verificatore, che nella relazione precisa: “Per completezza di trattazione si ritiene utile precisare che, nell’offerta tecnica e nelle relazioni di parte presentate dal RTI controinteressato, è indicato che lo stesso dispone di certificazioni PCI-DSS. In sede di contraddittorio (cfr. relativo verbale 31), tuttavia, le parti hanno concordato che non è possibile disporre di una certificazione PCI-DSS per un sistema non ancora in esercizio, dunque la certificazione eventualmente posseduta non potrebbe riferirsi al ‘servizio di trasporto pubblico della Regione Liguria’”.Nella specie, in ossequio ai principi sopra enunciati, il Verificatore ha confutato tutte le argomentazioni sostenute dall’ appellante, le cui conclusioni, rese nella relazione definitiva in contraddittorio con le parti costituite, questa Sezione condivide. La tesi sostenuta dalla società, circa la superiorità o l’equipollenza del sistema offerto rispetto alla certificazione PCI – PTS non è stata provata. Il Verificatore, dopo aver individuato le differenze tra i dispositivi certificabili secondo lo standard PCI-PTS e PCI-DSS, ha precisato che “la certificazione PCI-DSS e la certificazione PCI-PTS non possono essere considerate equivalenti o fungibili, né possono essere gerarchicamente confrontate tra loro: entrambe sono relative alla protezioni delle transazioni finanziarie eseguite con carte di pagamento, ma gli ambiti di applicazione, le entità coinvolte, i processi di certificazione ed i requisiti di sicurezza indirizzati dai due standard sono differenti”.Inoltre, ha escluso qualsiasi forma di equipollenza relativamente alla sicurezza delle transazioni mediante carte di credito debito contactless EMV, chiarendo testualmente: “Visto che la certificazione PCI-PTS è l’unica a poter garantire l’effettiva implementazione dei requisiti previsti da questo specifico standard, proprio perché non vi sono ulteriori termini di equivalenza tra PCI-PTS e gli altri standard presenti in Tabella 2, risulta evidente che – in base al metodo di valutazione concordato in contraddittorio con le parti- i lettori delle validatrici offerte dalla ricorrente e dalla aggiudicataria non possano essere considerati equipollenti relativamente alla sicurezza delle transazioni mediante carte di credito debito contactless EMV”.Alle obiezioni del RTI Thales il Verificatore congruamente risposto, con motivazione immune da vizi logici, precisando nell’allegato D1 alla verificazione: “Il metodo condiviso in contraddittorio con le parti – e quindi adottato per la risposta al quesito 4- permette di accertare in maniera oggettiva se i dispositivi implementano i requisiti di sicurezza proposti dagli standard di riferimento rilevanti rispetto al contesto in esame, come ampiamente trattato nel capitolo VI… la Tabella 2 mostra chiaramente che i due dispositivi possiedono le medesime certificazioni, ad eccezione della certificazione PCI-PTS, che garantisce l’implementazione dei requisiti di sicurezza previsti dallo standard ed applicabili al dispositivo stesso – ad es. i requisiti di sicurezza logica e fisica (Core Requirements), di protezione dei ‘dati di account’ (SRED), di gestione dei dispositivi (Device Management) 42. L’applicazione del metodo condiviso al caso di specie consente quindi di desumere che i lettori delle validatrici offerte dalla ricorrente e dalla aggiudicataria non possano essere considerati equipollenti relativamente alla sicurezza delle transazioni mediante carte di credito debito contactless EMV”. Thales deduce che, in riscontro al quesito 4 della verificazione, considerato che nessun brand di carte (VISA, Mastercard, AMEX) richiede la certificazione PCI-PTS poiché non è giudicata discriminante per la sicurezza e/o il trattamento delle carte in ambito in Transit, e tantomeno ai fini dell’equivalenza tra i sistemi sotto il profilo della sicurezza delle transazioni con carte di credito, i lettori delle validatrici offerti da AEP e Thales risulterebbero tecnicamente equipollenti, ossia equivalenti, in ordine alla sicurezza delle transazioni mediante carte di credito debito contactless EMV.Come correttamente evidenziato dal giudice di prime cure, le conclusioni del Verificatore non possono essere superate dalla circostanza che VISA, Mastercard e AmericanExpress abbiano approvato la soluzione progettuale di Thales. Invero, risulta dagli accertamenti tecnici che i requisiti imposti dalla lex specialis per la gara in discussione non siano stati soddisfatti dalla società appellante, pertanto, l’offerta del RTI Thales si appalesa “non conforme alle specifiche tecniche di minima stabilite dall’Amministrazione per l’affidamento in contestazione, con la conseguenza che, in ragione di tale difformità, il raggruppamento temporaneo capeggiato da Thales avrebbe dovuto essere escluso dalla procedura competitiva”.Da siffatti rilievi consegue il rigetto di tutte le censure proposte. 9.3. Con il secondo mezzo, la società appellante denuncia che il giudice di primo grado avrebbe erroneamente respinto il ricorso incidentale dalla stessa promosso. Viene censurata la sentenza impugnata nella parte in cui ha statuito la non esclusione dalla gara della società AEP per false dichiarazioni in ordine alle referenze.L’esponente lamenta che, diversamente da quanto dichiarato in occasione della gara, il sistema di bigliettazione di cui al contratto analogo oggetto di avvalimento da parte di AEP non era stato messo in completo esercizio nel quinquennio antecedente alla gara, come invece richiesto a pena di esclusione dalla lex specialis, poiché la relativa accettazione da parte della committente Città di Astana è avvenuta soltanto dopo i test terminati nel mese di giugno 2019: ovvero quasi due anni dopo rispetto al termine di presentazione delle offerte ed alla dichiarazione in data 27.10.2017.AEP avrebbe dovuto essere esclusa in applicazione dell’espressa sanzione di cui all’art. 5 del Disciplinare, atteso che dalle risultanze processuali emergerebbe che: a) il sistema della Città di Astana non era stato messo in completo esercizio nel 2017; b) il sistema non era completamente funzionante alla data della partecipazione alla gara (soltanto parzialmente in ragione del servizio commerciale per l’EXPO 2017); c) il sistema in questione, comunque, non era stato accettato dalla committente ed il collaudo definitivo era intervenuto nel 2019, a distanza di due anni rispetto alla partecipazione alla procedura.La sanzione espulsiva, secondo Thales, dovrebbe scaturire quale atto vincolato perché la falsa dichiarazione resa da AEP con riferimento all’avvalimento del requisito speciale ai sensi dell’art. 89 del d.lgs. n. 50 del 2016 integra un elemento sostanziale (unitamente alla dichiarazione dell’impresa ausiliaria ed al contratto di avvalimento) ai fini dell’operatività dell’istituto. Le critiche non hanno pregio. Il giudice di prima istanza, con motivazione coerente e priva di vizi logici, dalla quale non vi sono ragione per discostarsi, ha stabilito che in ossequio all’art. 5, comma 1, lett. c) del Disciplinare, AEP si è avvalsa dell’impresa ausiliaria Swarco Mizar s.rl., dichiarando che quest’ultima ha sottoscritto ed eseguito nel triennio 2014-2015-2016 un contratto analogo, dell’importo di euro 8.157.438,00, per la realizzazione di un sistema di bigliettazione elettronica integrato ticketing ed AVM per la città di Astana, capitale del Kazakhistan (accordo di avvalimento in data 23.10.2017, dichiarazione sostitutiva di atto di notorietà di Swarco Mizar s.r.l. in data 23.10.2017 e dichiarazione sostitutiva di atto di notorietà di AEP in data 27.10.2017, sub docc. 57-58-59 resistente in primo grado). Nelle rispettive dichiarazione sostitutive le predette società hanno specificato che il sistema di ticketing è stato fornito in subappalto dalla stessa AEP. Come si è detto, la società Thales ha contestato l’autenticità di tali dichiarazioni, producendo un documento presentato da AEP nel corso della gara in Polonia, dal quale emergerebbe un sistema di bigliettazione analogo messo in esercizio nel giugno 2019, solo dopo i test, e quindi non nel lustro antecedente il mese di ottobre 2017 (in cui è scaduto il termine per la presentazione delle offerte).L’obiezione non coglie nel segno. La dichiarazione resa dall’ausiliaria Swarco Mizar s.r.l. è stata correttamente interpretata dal giudice di prima istanza, il quale ha rilevato che l’ausiliaria ha affermato che “il sistema di bigliettazione elettronica realizzato per la città di Astana è stato messo in completo esercizio nel maggio 2017, allo scopo di essere fruibile per l’esposizione internazionale ‘Expo 2017’ svoltasi nella capitale kazaka dal 10 giugno al 10 settembre dello stesso anno. In seguito, il “Transportation System’ di Astana è stato ritoccato, migliorato e potenziato, fino al collaudo finale del giugno 2019”. Il Collegio ha motivato l’assunto facendo riferimento all’articolo del proprio house organ 28 maggio 2016 e la dichiarazione del Director Texhodata LPP, società kazaka partner nell’attuazione del progetto di cui trattasi, da cui emerge che fra l’aprile 2015 e il marzo 2016 il sistema di bigliettazione elettronica è stato realizzato ed installato, e successivamente il sistema ha iniziato progressivamente ad operare e, al termine del periodo di implementazione del sistema, il 6 giugno 2019, è stato eseguito con esito positivo il ‘Sistema Acceptance Test’. A sostegno dell’assunto, anche l’articolo edito sul sito del Governo kazako il 29 giugno 2018. Ne consegue che nessuna falsa dichiarazione sarebbe stata resa.Come rilevato da AEP in memoria, non può assumere rilievo la questione della consegna dei nuovi autobus da parte di IVECO nel 2017, i quali, in disparte l’omessa produzione del documento a cui fa riferimento Thales, dovevano aggiungersi ai 358 già operanti nella citta di Astana. Dalle risultante di causa, come rilevato dal giudicante nella sentenza impugnata, emerge all’evidenza che il sistema di bigliettazione elettronica in questione era stato impiegato operativamente dalla seconda metà del 2016 e messo in completo esercizio nel maggio 2017, non rilevando che le attività di adattamento ed implementazione, come l’inserimento della possibilità di acquisto delle cards sui bus, siano state eseguite in un periodo successivo, né che il collaudo definitivo sia intervenuto nel giugno 2019. Ne consegue che la tempistica della gara di Astana risulta corretta e in linea con quella prevista dal capitolato di gara. Thales sostiene che, poiché la Stazione appaltante avrebbe interesse a disporre di un sistema funzionante, risulterebbe evidente, diversamente da quanto ritenuto dal TAR, che soltanto il collaudo in via definitiva sancisce il termine delle istallazioni.La tesi difensiva non modifica le conclusioni (ossia la statuizione sul momento dell’avvio dell’esecuzione) a cui è giunto il giudice di prima istanza, atteso che il collaudo di un impianto ha solo la funzionalità di prevedere verifiche tecniche da effettuarsi al termine dei lavori di installazione e termina con il rilascio di una dichiarazione certificante l’esito delle verifiche effettuate, ma non esclude che il momento del funzionamento dell’impianto sia antecedente.10. In definitiva, l’appello va respinto ed ogni altra censura va dichiarata assorbita.11. Le ragioni della decisione e la complessità della vicenda processuale giustificano la compensazione delle spese di lite del grado tra le parti. P.Q.M.Il Consiglio di Stato in sede giurisdizionale (Sezione Quinta), definitivamente pronunciando respinge l'appello, come in epigrafe proposto, e compensa integralmente tra le parti le spese di lite del grado. Ordina che la presente sentenza sia eseguita dall'autorità amministrativa.Così deciso, in Roma, nella camera di consiglio del giorno 6 ottobre 2022 con l'intervento dei magistrati: IL PRESIDENTEL'ESTENSOREIL SEGRETARIOAnnamaria Fasano