Censimento ICT della PA entro il 30 settembre 2026: la data la fissa AgID, non la legge
7 min di lettura
Il comma di legge che impone il censimento del patrimonio ICT della pubblica amministrazione non contiene la data del 30 settembre 2026. Chi va a leggerlo — art. 33-septies, comma 1-ter, del decreto-legge 18 ottobre 2012, n. 179 (conv. L. 17 dicembre 2012, n. 221) — trova un obbligo «con cadenza triennale», non un giorno del calendario. La scadenza che oggi compare su ogni comunicato, sulla piattaforma dove va compilato il questionario e nel nostro stesso calendario delle scadenze è un atto amministrativo dell’Agenzia per l’Italia digitale (AgID), non una norma di rango primario. È una distinzione che cambia la natura dell’adempimento, e vale la pena partire da qui.
Il comma che non fissa alcuna data
Il testo, nella versione vigente dal 1° gennaio 2022, dice questo: «L’Agenzia per l’Italia digitale (AgID), effettua con cadenza triennale, anche con il supporto dell’Istituto Nazionale di Statistica, il censimento dei Centri per l’elaborazione delle informazioni (CED) della pubblica amministrazione di cui al comma 2 e, d’intesa con la competente struttura della Presidenza del Consiglio dei ministri, […] definisce nel Piano triennale per l’informatica nella pubblica amministrazione la strategia di sviluppo delle infrastrutture digitali […] e la strategia di adozione del modello cloud per la pubblica amministrazione, alle quali le amministrazioni si attengono». Il comma 2, richiamato per definire l’oggetto, chiarisce cosa sia un CED: «il sito che ospita uno o più sistemi informatici […] che al minimo comprende risorse di calcolo, apparati di rete per la connessione e sistemi di memorizzazione di massa». Nessuna delle due frasi contiene un giorno, un mese o un anno: la cadenza è triennale nel senso letterale, ma la legge non dice in quale finestra dell’anno la rilevazione debba aprirsi o chiudersi. Quella decisione spetta, ogni volta, ad AgID.
L’atto che fissa il 30 settembre, e cosa chiede davvero
Il 22 luglio 2026 AgID ha pubblicato la notizia «Al via il censimento del patrimonio ICT della Pubblica Amministrazione», con l’occhiello che fa da termine operativo: «Le pubbliche amministrazioni hanno tempo fino al 30 settembre 2026 per rispondere al questionario». Lo stesso testo lo ancora esplicitamente alla norma: «Il censimento è previsto dalla legge (comma 1-ter dell’art. 33-septies del decreto-legge n. 179/2012) e rientra nel quadro del Codice dell’amministrazione digitale (CAD, decreto legislativo 7 marzo 2005, n. 82)». La pagina dedicata del sito AgID ripete il termine in una sezione intitolata proprio «Scadenza»: «Le PA centrali e locali dovranno compilare il questionario entro il 30 settembre 2026. Per le scuole e le università la data di scadenza verrà comunicata successivamente». Per queste ultime il questionario «sarà possibile compilarlo a partire da settembre»: una seconda finestra, ancora senza chiusura fissata.
Il questionario si compila solo sulla piattaforma PA digitale 2026, nell’area riservata, sezione «Adempimenti e questionari», ed è diviso in tre parti. La prima, Organizzazione ICT, rileva struttura del dipartimento IT, esistenza di un piano di trasformazione digitale, presenza formale del Responsabile per la Transizione al Digitale (RTD) e uso di tecnologie di intelligenza artificiale nei processi interni. La seconda, Mappatura infrastruttura e servizi, si divide a sua volta in data center — collocazione, capacità di storage, potenza di calcolo, connettività, sostenibilità energetica — e in dati e servizi classificati, dove per ogni servizio va indicato «il livello di migrazione verso il cloud o verso infrastrutture qualificate (secondo il regolamento ACN n. 21007/24)»: lo stesso regolamento e lo stesso numero di determinazione di cui abbiamo già scritto parlando della scadenza cloud del 30 giugno 2026. La terza, Ottimizzazione della spesa ICT, chiede costi operativi, licenze software e uso delle Piattaforme di Approvvigionamento Digitale ex art. 25 del d.lgs. 36/2023. Al termine, il rappresentante legale o l’RTD firma un «attestato di compilazione» che certifica completezza e correttezza dei dati inseriti: non una checklist anonima, ma una dichiarazione con un nome e un cognome sotto.
Perché la differenza non è un cavillo da giuristi
Il 30 settembre è quindi una scelta amministrativa dentro una cornice legislativa che impone solo la periodicità triennale. Nella notizia di avvio e nella guida alla compilazione non compare alcuna sanzione specifica per chi non risponde entro quella data — a differenza delle sanzioni pecuniarie scritte nero su bianco nel decreto Perimetro per la mancata comunicazione al CVCN. Il precedente 2017-2018, quando la circolare AgID n. 5/2017 legava la mancata partecipazione alla perdita di eleggibilità come Polo Strategico Nazionale, non risulta riproposto in questi termini per l’edizione 2026.
Questo non rende l’adempimento facoltativo. Il comma 1-ter dice che le amministrazioni «si attengono» alla strategia che il Piano triennale definirà sulla base di questi stessi dati: è un obbligo di legge che matura a valle, non all’atto della compilazione. E la parte che espone davvero chi firma non è la mancata risposta, ma la risposta sbagliata: un attestato di completezza e correttezza firmato su numeri stimati, o su un inventario che nessuno ha mai verificato, è una dichiarazione formale che può essere messa a confronto — in un’ispezione NIS2, in una valutazione CVCN, in un controllo ACN sulla migrazione cloud — con quello che l’ente ha realmente in esercizio.
L’inventario su cui poggia tutto il resto
Qui il tema si aggancia al resto del filone. Un ente che rientra nel Perimetro di Sicurezza Nazionale Cibernetica deve comunicare al CVCN le forniture ICT prima di affidarle: non può farlo senza sapere quali sistemi ha. Un soggetto della prima ondata NIS2 deve esibire, entro ottobre, «inventari di sistemi, configurazioni, vulnerabilità note e personale con accesso»: è quasi verbatim la sezione «Mappatura infrastruttura e servizi» di questo censimento. Un’amministrazione che ha mancato la finestra del 30 giugno per la migrazione cloud si trova ora a dover scrivere, in un documento firmato, a che punto è arrivata davvero. Il censimento ICT non è un quarto adempimento parallelo: è l’inventario di base su cui gli altri tre si appoggiano, perché nessuno di essi si dimostra senza sapere, con precisione, cosa gira in sala macchine, dove, e sotto quale livello di qualificazione. Un’amministrazione che scopre solo adesso di non avere questo dato pronto non sta scoprendo un problema del censimento: sta scoprendo un buco che avrebbe già dovuto colmare per tutto il resto.
Cosa fare adesso
- Assegnate subito il firmatario — legale rappresentante o RTD — e trattate l’attestato finale come quello che è: una dichiarazione, non una formalità.
- Convocate prima di aprire il questionario chi ha davvero i dati: infrastrutture, servizi, sicurezza, DPO, fornitori esterni dove serve.
- Recuperate lo stato reale della migrazione cloud — classificazione ACN, livello QC raggiunto — prima di scriverlo nella sezione dati classificati: se la migrazione del 30 giugno non è completa, il censimento è il posto dove quel ritardo diventa un dato scritto e firmato.
- Riusate quello che avete già per NIS2: se avete fatto l’inventario di sistemi richiesto dall’art. 24, gran parte della sezione «Mappatura infrastruttura e servizi» è già scritta.
- Scuole e università: la finestra si apre a settembre con scadenza ancora da comunicare, ma i dati organizzativi si possono preparare da ora.
Come lo risolviamo noi
Il problema di fondo non è compilare un questionario ogni tre anni: è che, tra un censimento e l’altro, quasi nessuna amministrazione tiene aggiornato l’inventario che quel questionario chiede — e lo riscopre sempre daccapo, sotto scadenza. Il modo corretto di risolverlo è far diventare quell’inventario un controllo che gira in permanenza sui sistemi dell’ente — data center, applicativi, livello di classificazione, stato delle migrazioni — con la traccia di chi ha verificato cosa e quando, pronta da esibire sia al prossimo censimento sia a un’ispezione NIS2 o CVCN nel mezzo, invece di un foglio compilato una tantum e già vecchio il giorno dopo.
Lo stesso inventario, tenuto insieme in un modello operativo unico con gli altri dati dell’ente — contratti, fornitori, incidenti, spesa ICT — è anche la base su cui agenti AI eseguono decisioni con un operatore al comando: non solo «il censimento è pronto», ma «questi tre data center sono sotto il livello QC richiesto, ecco la sequenza di intervento». Per grandi imprese, difesa, pubblica amministrazione e sanità offriamo entrambe le modalità, mai una sola come opzione unica: on-premise, su macchine autonome che non richiedono integrazione profonda nella rete del cliente, oppure cloud dedicato CSIDIA, con data center in Italia e locali che presidiamo direttamente. E la gestiamo noi: una PA che non ha già in casa personale che amministra sistemi AI non deve procurarselo per usare questo strumento.
Volete sapere se il vostro ente ha già, oggi, i dati per rispondere al censimento senza stimarli? Mezz’ora con un nostro esperto per la prima verifica.