CVCN: la norma dice cosa consegnare, tace su chi lo vede dopo

Uno scenario tipico, non un caso nostro. Un’impresa che sviluppa software per un soggetto incluso nel perimetro di sicurezza nazionale cibernetica riceve la richiesta di attivare la valutazione del CVCN. Il capitolato dice cosa consegnare: architettura, funzionalità di sicurezza, risultati dei test già eseguiti, un ambiente di prova che riproduca fedelmente l’esercizio reale. In ufficio legale qualcuno fa la domanda che il capitolato non prevede: quel materiale, una volta consegnato, chi lo vede, per quanto tempo, e cosa ne resta quando l’esito arriva? La risposta dovrebbe stare nel regolamento. Letto articolo per articolo, il regolamento non la dà.

Quello che il fornitore deve consegnare

Il regolamento è il D.P.R. 5 febbraio 2021, n. 54, attuativo dell’articolo 1, comma 6, del decreto-legge 105/2019 (conv. L. 133/2019). L’articolo 5, comma 5, elenca le attività «propedeutiche e indispensabili» a carico del fornitore quando il CVCN o i CV impongono dei test: fornire evidenza dell’idoneità delle funzioni di sicurezza; «provvedere all’allestimento di un ambiente di test adeguatamente rappresentativo della realtà di esercizio presso il laboratorio o, se necessario, presso il fornitore o presso il soggetto del perimetro»; fornire «una descrizione generale dell’architettura dell’oggetto di valutazione e delle sue funzioni»; una descrizione delle funzionalità di sicurezza implementate; i risultati dei test già eseguiti da fornitore, produttore o terzi. A monte, l’articolo 3, comma 4, aggiunge il documento di analisi del rischio, con la mappa dei componenti con cui l’oggetto interagisce. È un elenco preciso di ciò che esce dai confini dell’azienda: non un’interfaccia da mostrare, ma architettura, comportamento e, con l’ambiente di test, il funzionamento stesso del prodotto.

Due sedi, non una

La lettera b) già citata lascia aperta la sede dell’ambiente di test: il laboratorio, oppure — si è visto — il fornitore stesso o il soggetto del perimetro. L’articolo 7, comma 3, lo conferma per l’esecuzione delle prove: di norma nei laboratori del CVCN, dei CV e dei LAP, ma, «se necessario, possono essere eseguiti da personale del CVCN, dei CV e dei LAP presso il fornitore o il soggetto incluso nel perimetro». Il materiale non lascia necessariamente l’azienda: può restare lì, con il personale della valutazione che vi accede in sede. Ma se l’ambiente si allestisce in laboratorio, la norma non dice chi, dentro il CVCN, il CV o il LAP, possa materialmente vederlo, né dove finisca a procedimento chiuso.

La riservatezza che il regolamento scrive, e per chi

Il decreto non ignora il tema della riservatezza, ma la scrive sempre per proteggere qualcun altro. L’articolo 4, comma 8 affida al CVCN, ai CV e ai LAP la «riservatezza» delle metodologie di test che il CVCN condivide con loro; l’articolo 7, comma 4 li vincola a «non divulgare» le stesse metodologie: due clausole quasi identiche, che proteggono un solo oggetto: il sapere tecnico dello Stato su come si testa un sistema, non ciò che il fornitore ha consegnato per farsi testare. Le altre ricorrenze della parola vanno nella stessa direzione: l’articolo 3, comma 4, lettera b) chiede che i requisiti di sicurezza proteggano «la disponibilità, l’integrità e la riservatezza delle informazioni» trattate dall’oggetto in esercizio — una proprietà del prodotto finito, non una regola sul fascicolo di valutazione; l’articolo 5, comma 8 chiede di scrivere i requisiti nel bando con «le opportune cautele di riservatezza» — riguarda il documento di gara, non il materiale consegnato dopo l’aggiudicazione. In nessun punto il regolamento usa la parola per il materiale tecnico che il fornitore consegna al CVCN, ai CV o ai LAP.

Ciò che il testo non dice

Qui la lettura si ferma a quello che c’è, non a quello che sembrerebbe logico che ci fosse. Il D.P.R. 54/2021 non contiene un articolo, un comma o un rinvio che imponga al personale del CVCN, dei CV o dei LAP un obbligo di non divulgazione sul materiale tecnico del fornitore, né un termine di conservazione dell’ambiente di test o dei rapporti di prova, né un obbligo di restituzione o distruzione a procedimento chiuso. L’articolo 3, comma 2 dice che i dati delle comunicazioni al CVCN sono «raccolti in archivi informatici istituiti presso le Amministrazioni nelle quali operano il CVCN e i CV»: un archivio che esiste, senza un termine di conservazione scritto. L’articolo 6, comma 1 descrive una «piattaforma informatica» che verifica se un oggetto è già stato valutato, per evitare di duplicare i test: deve quindi conservarne memoria fra procedure diverse, ma il regolamento non dice cosa conservi né per quanto tempo. Lo stesso decreto-legge 105/2019, all’articolo 1, comma 6, lettera c), prevede che l’accesso a «dati o metadati personali e amministrativi» durante le ispezioni segua il regolamento (UE) 2016/679 e il codice privacy: un rinvio esplicito, ma limitato ai dati personali, non al materiale tecnico che un fornitore consegna per farsi valutare. Su questo materiale, né il decreto-legge né il regolamento attuativo dicono nulla. Il conto si può rifare: sul testo integrale del decreto, venti articoli, le parole «segreto», «distruzione», «restituzione», «cancellazione», «custodia» e «proprietà intellettuale» compaiono zero volte; «riservatezza» cinque, «divulgare» una, e nessuna delle sei riguarda il materiale del fornitore. È un silenzio, non un divieto né un’autorizzazione, e va segnalato come tale.

L’abilitazione che c’è, e per chi

Un secondo confronto rende il silenzio più netto. L’articolo 15, comma 2 — nel Capo IV, ispezioni e verifiche, non nella valutazione CVCN del Capo II — impone che l’accesso a informazioni con classifica superiore a «riservato» sia svolto «esclusivamente da personale in possesso del requisito» di cui all’articolo 42, comma 1-bis, della legge 124/2007. Il decreto non nomina mai il nulla osta: lo si raggiunge per rinvio, ed è quella legge a dire che «per la trattazione di informazioni classificate segretissimo, segreto e riservatissimo è necessario altresì il possesso del nulla osta di sicurezza (NOS)». È un’abilitazione scritta, ma per un personale diverso — gli ispettori del Capo IV — e per un materiale diverso: le informazioni classificate della legge 124/2007, non l’architettura o il codice di un prodotto commerciale, che di regola non porta alcuna classifica. Per il personale del CVCN, dei CV e dei LAP che esegue materialmente i test, il regolamento non prescrive requisiti analoghi: i criteri di «professionalità e di rotazione» e la dichiarazione di assenza di conflitto di interesse dell’articolo 15, commi 4 e 5, sono riferiti testualmente al «personale incaricato» delle attività ispettive, non a chi esegue i test di valutazione.

Come lo risolviamo noi

Il regolamento fissa con precisione i tempi — quarantacinque giorni più quindici, sessanta per i test — ed elenca con la stessa precisione cosa il fornitore deve mettere sul tavolo. Sulla custodia di quel materiale dopo la consegna, tace. Un fornitore non può colmare quel silenzio al posto del regolatore, ma può fare l’unica cosa che dipende da sé: tenere un registro di ciò che è uscito, verso quale laboratorio, in quale data e per quale procedimento. È lo stesso principio che regge la comunicazione al CVCN nel suo complesso: un fascicolo verificabile nasce da un controllo che gira in permanenza sui sistemi e sui contratti, non dalla richiesta dell’ultimo giorno. Lo stesso impianto tiene insieme quel registro con gli altri dati sparsi dell’impresa — contratti, fornitori, incidenti — in un modello operativo unico su cui agenti AI eseguono decisioni con un operatore al comando: adempiere e decidere sullo stesso fascicolo. Sempre on-premise su macchine autonome, oppure cloud dedicato con data center in Italia e locali che presidiamo — mai un fornitore esterno in più a vedere il vostro codice.

Dovete preparare una fornitura ICT per una valutazione del CVCN e volete sapere cosa la norma vi impone di consegnare, e cosa no? Mezz’ora con un nostro esperto per la prima lettura del fascicolo.

Quello che non sappiamo

Non facciamo consulenza legale: lavoriamo su fonti pubbliche, qui il testo del D.P.R. 54/2021 e dell’articolo 1 del decreto-legge 105/2019, vigenti su Normattiva alla data odierna. Non abbiamo verificato se il decreto del Presidente del Consiglio dei ministri richiamato dall’articolo 4, comma 8 — quello su criteri e raccordi tra CVCN e laboratori accreditati — contenga clausole più specifiche: se un testo pubblico esiste, resta fuori da questa verifica. Non sappiamo quali prassi interne il CVCN, i CV e i LAP seguano per la custodia del materiale ricevuto, né se protocolli non pubblici colmino quello che il regolamento non scrive: è terreno che un fornitore verifica con i propri referenti, non con un articolo.