La lista nera dei fornitori si allarga ai componenti — e si restringe, per ordine di un giudice

Una lista di fornitori vietati sembra un elenco di marchi. Non lo è: è una definizione, e le definizioni si muovono. Il 22 luglio 2026 la Federal Communications Commission ha adottato FCC-26-50 — Third Report and Order and Third Further Notice of Proposed Rulemaking, ET Docket No. 21-232 — rilasciato il 23 luglio. Di quel provvedimento abbiamo già raccontato la metà che ha fatto notizia: la chiusura del «component part loophole», per cui un apparato che incorpora anche un solo componente di un’azienda in Covered List non ottiene la certificazione, qualunque marchio porti sulla scocca. Ma lo stesso documento, lo stesso giorno, fa anche il movimento opposto: restringe il perimetro, e lo fa perché glielo ha ordinato un giudice. È la metà che quasi nessuno ha letto, ed è quella che tocca i contratti già firmati.

Ciò che è già deciso, non proposto

Il testo è netto: il provvedimento «closes the component part loophole by prohibiting authorization of devices incorporating logic-bearing hardware components if—had the entity produced the device itself—it would be prohibited from authorization». Entrano in vigore con l’adozione anche: le modifiche apportate da soggetti in Covered List, ora soggette a certificazione piena; le regole sul marketing, estese a «any entity—including ecommerce platforms—that market unauthorized equipment», con FCC ID obbligatorio al punto vendita online, salvo eccezioni limitate; e la nuova definizione di «infrastruttura critica».

Il componente che porta logica

La Commissione definisce i componenti logic-bearing così: «any device, system, module, sub-assembly, integrated circuit, or other physical component that generates and uses timing signals or pulses at a rate in excess of 9,000 pulses (cycles) per second and uses digital techniques» — qualunque componente fisico che generi e usi segnali di temporizzazione oltre i 9.000 cicli al secondo con tecniche digitali — estesa a telefonia digitale e componenti RF per elaborazione dati. Riprende la definizione di «digital device» della sezione 15.3(k), con «the only substantial distinction»: non esclude gli intentional radiators. Restano fuori le parti meccaniche o strutturali: la Commissione sceglie una definizione generale — non componente per componente — per «guide companies within the communications industry».

Notazione nostra, non della Commissione: 9.000 cicli al secondo è una soglia bassissima, che quasi ogni circuito con un microcontrollore supera.

Perché il silicio, non solo il software

Il perché tecnico: la preoccupazione è la «malicious logic or hardware-level backdoors embedded directly into silicon». A differenza del software, spesso correggibile con una patch, «malicious modifications at the hardware level in logic-bearing hardware components may persist throughout a device’s lifecycle and can be exceptionally difficult to detect, analyze, or remediate» — possono persistere per tutta la vita del dispositivo, difficili da individuare, analizzare o rimediare: «are not passive», nota un commentatore citato nel provvedimento.

Il passaggio che vale il pezzo: «Device makers that incorporate untrusted logic-bearing hardware components because they fail to maintain a supply chain risk management program with visibility into such components, including by using bills of materials, simply pass those costs onto the end users of the devices. Those costs are not merely financial. End users ultimately absorb the costs and risks created by device makers…» — i costruttori che incorporano componenti non affidabili senza un programma di gestione del rischio di filiera e visibilità sui componenti — distinte dei materiali comprese — scaricano quei costi, non solo economici, sugli utenti finali.

La restrizione: il perimetro si stringe per ordine di un giudice

La definizione di «infrastruttura critica» stabilisce quando gli apparati di Hikvision, Dahua e Hytera — già noti a questo osservatorio — contano come usati «for the purpose of … physical security surveillance of critical infrastructure» (NDAA 2019 §889(f)(3), Covered List via Secure Networks Act); era stata impugnata. La Corte d’appello, in Hikvision USA, Inc. v. FCC (D.C. Cir. 2024), aveva giudicato ragionevoli le fonti della Commissione, rilevando però che questa «had failed to explain or justify why the definition should include any “systems or assets” that are merely “connected to” critical infrastructure sectors or functions» — non aveva giustificato l’inclusione di beni semplicemente «connessi a» un’infrastruttura critica — rendendo la portata «arbitrarily broad». Aveva annullato quelle parti e rinviato alla Commissione.

La Commissione esegue: «we retain our reliance on the government sources that the D.C. Circuit upheld, but narrow the definition to no longer interpret “critical infrastructure” to broadly encompass all components “connected to” critical infrastructure» — manteniamo le fonti confermate dalla Corte, ma restringiamo la definizione perché non comprenda più tutto ciò che è «connesso a». Al loro posto, la sezione 1016(e) dello USA PATRIOT Act 2001: sistemi e beni, fisici o virtuali, così vitali che la loro perdita avrebbe un impatto debilitante su sicurezza, economia, salute o sicurezza pubblica nazionali.

Deciso e proposto non sono la stessa cosa

Tutto il resto è consultazione, non regola. Il Third Further Notice mette in discussione — non decide — la divisione della Covered List in due categorie (produttore/fornitore e luogo di produzione), l’obbligo di divulgare distinte dei materiali hardware e software (HBOM e SBOM), restrizioni su canali di importazione, e un’applicazione più severa post-immissione: revoca semplificata, autorizzazioni a termine, un responsabile con sede USA. Termini dalla pubblicazione nel Federal Register: 30 giorni per i commenti, 45 per le repliche.

Non è una norma italiana. Ma la clausola sì

È regolazione statunitense: non si applica in Europa, non vieta nulla a un’azienda italiana. Conta lo stesso, per tre motivi. La conformità NDAA/Covered List è già clausola contrattuale nelle forniture a committenti americani e nelle filiere della difesa: vincola per contratto chi non è soggetto alla norma. Definisce che cosa il mercato considera un componente non affidabile, un giudizio che viaggia oltre il confine che lo ha prodotto. E il metodo che chiede — distinte dei materiali, visibilità sui componenti, un responsabile identificabile — è la domanda che un compratore europeo deve porsi comunque: la stessa logica di chi scrive un capitolato che finisce per nominare un solo fornitore, qui applicata a una definizione.

Il rovescio, doveroso

La Commissione riconosce che le nuove regole «may impose compliance costs on device makers», e alcuni commentatori del procedimento avevano chiesto regole a linea netta — «bright line rules clearly identifying components that are covered» — invece di una definizione generale. La Commissione ha scelto comunque la definizione generale, scaricando sul costruttore l’onere di sapere che cosa ha dentro i propri prodotti. Se sia proporzionato non è un giudizio che spetta a questo pezzo.

Cosa portarsi a casa

Se il capitolato vieta «apparecchiature di marca X», riscrivetelo: il rischio è a livello di componente, il marchio può essere estraneo alla lista.
Chiedete al fornitore la distinta dei materiali, hardware e software, con l’obbligo contrattuale di comunicarne le variazioni: è il discrimine fra chi controlla la filiera e chi ne scarica il costo sul cliente.
Verificate le clausole che rinviano a «infrastruttura critica»: la nozione americana è cambiata il 22 luglio 2026, e un rinvio dinamico può aver spostato l’oggetto dell’obbligo senza che nessuno se ne accorgesse.
Chiedete chi è il soggetto responsabile per l’apparato, e cosa succede se l’autorizzazione viene revocata: la FCC propone di renderli obbligatori — già oggi, domande contrattuali sensate.
Ricordate la differenza fra hardware e software: una vulnerabilità software si aggiorna, una manipolazione a livello di silicio può persistere per tutta la vita del dispositivo.

Il metodo, applicato a questo

La verifica — cosa c’è dentro l’apparato, chi ne risponde, quale definizione richiama il contratto — non è un parere isolato: è un controllo su capitolati, contratti e inventario del cliente, che alimenta un registro delle dipendenze critiche — per fornitura: apparato, distinta, lista che lo tocca, scadenza, alternativa — con la traccia pronta per un’ispezione o un committente che chiede la conformità. Lo stesso impianto tiene insieme inventario, contratti, capitolati, archivi, gestionali e documenti in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando, per grandi imprese, difesa, pubblica amministrazione e sanità: quando una lista cambia, «quali apparati sono toccati, dove, chi li sostituisce» ha risposta in ore, non in mesi. Sempre in due modalità — on-premise su macchine autonome senza integrazione profonda nella rete del cliente, o cloud dedicato con data center in Italia — sempre con gestione condivisa.

Volete sapere se un vostro capitolato o un vostro contratto rinvia a una definizione che si è appena spostata? La prima sessione è senza costi.