NOSI: il nulla osta dell’impresa è sei documenti, non un timbro

Uno scenario tipico, non un caso nostro. Un’impresa che realizza sistemi per la sicurezza vince una gara RISERVATISSIMO. Ha già l’Abilitazione Preventiva, ottenuta mesi prima per partecipare. All’aggiudicazione arriva la richiesta che conta davvero: il fascicolo per il Nulla Osta di Sicurezza Industriale — il NOSI, non un timbro discrezionale, ma il provvedimento che, dice l’art. 1, lettera ff) del DPCM 6 novembre 2015, n. 5, «abilita l’operatore economico alla trattazione e gestione di informazioni classificate» e ne consente l’esecuzione. Chi lo mette insieme scopre in una settimana che il Funzionario alla sicurezza indicato in offerta è uscito da otto mesi, l’elenco titolari effettivi non riflette l’ultimo passaggio di quote, il certificato antimafia è scaduto e l’area riservata allestita per la gara non è mai stata verificata per l’esecuzione. Quattro uffici diversi, nessuno dei quali sapeva di dover rispondere all’UCSe — l’Ufficio centrale per la segretezza — entro sei mesi.

Due provvedimenti, un solo equivoco

Il DPCM 5/2015 — Gazzetta Ufficiale n. 284 del 5 dicembre 2015, testo vigente su Normattiva al 19 agosto 2026 — distingue due provvedimenti che nel linguaggio comune si confondono. L’Abilitazione Preventiva (AP), art. 1 lettera ee), «consente all’operatore economico la partecipazione a gare d’appalto» per contratti RISERVATISSIMO e SEGRETO: serve per concorrere, dura sei mesi dal rilascio (art. 43, comma 5) ed è quella che la maggior parte delle imprese ottiene per prima. Il NOSI, lettera ff), è un’altra cosa: abilita alla trattazione e gestione delle informazioni, e serve per partecipare a gare oltre SEGRETO e — punto che lo scenario sopra dimostra — per eseguire lavori, forniture o servizi oltre RISERVATO una volta aggiudicati. Avere l’AP non significa avere il NOSI: sono due fascicoli diversi, e il secondo si apre proprio quando il primo sembra aver chiuso la partita. Non è la stessa materia dei nulla osta per le informazioni classificate UE, dove a RESTREINT UE il nulla osta aziendale non serve affatto: qui parliamo del binario nazionale, dove serve eccome, e a più di una persona insieme.

Chi deve avere il NOS — non solo l’azienda che lo richiede

L’art. 44, comma 2 fissa il presupposto in una riga che vale un organigramma: «Presupposto per il rilascio del NOSI è che il legale rappresentante, il Funzionario alla sicurezza e, ove necessario, il direttore tecnico e altro personale siano in possesso di NOS». Non basta che l’impresa risulti affidabile come soggetto giuridico: servono le abilitazioni personali di chi la rappresenta e di chi materialmente tratta le informazioni, con la durata della legge 124/2007 — cinque anni per SEGRETISSIMO, dieci per SEGRETO e RISERVATISSIMO. È un turnover che passa dall’ufficio del personale, e che qui deve incrociarsi con un registro che quasi mai vive nello stesso sistema: chi lascia l’incarico di Funzionario alla sicurezza, o perde il NOS, va comunicato — e il NOSI resta appeso a quella comunicazione, non alla buona fede di chi se ne ricorda.

L’area riservata si dimostra, non si dichiara

L’art. 44, comma 3 chiede che l’operatore economico si doti «di un’area riservata con le caratteristiche indicate al Capo VIII, idonea a soddisfare le esigenze connesse all’esecuzione contrattuale»; il comma 5 aggiunge, quando si trattano informazioni RISERVATISSIMO o superiori con sistemi COMSEC e CIS, le relative omologazioni. Fin qui sembra un adempimento di gestione immobili. Il comma 4 sposta il baricentro: è l’UCSe ad accertare «l’esistenza e l’idoneità» di quelle aree, affidando i controlli «agli organi di sicurezza presso le Forze Armate» — non un modulo da firmare, un sopralluogo vero. La documentazione che lo dimostra vive nell’IT e nella gestione degli immobili, quasi mai nello stesso archivio del fascicolo del personale che regge il NOS.

Titolari effettivi e antimafia: due «231» diversi, due uffici diversi

L’art. 45, comma 2 elenca la documentazione da produrre per il rilascio: alla lettera e), «documentazione attestante l’identità dei titolari effettivi dell’operatore economico ai sensi del decreto legislativo 21 novembre 2007, n. 231» — la normativa antiriciclaggio. Il comma 5 non la tratta come un allegato una tantum: l’operatore economico «fornisce tempestiva comunicazione circa ogni modifica relativa ai titolari effettivi», anche per NOSI già rilasciati. Il comma 4 rinvia poi alla documentazione dell’art. 43, comma 3 — fra cui, lettera c), quella antimafia ex art. 84 del d.lgs. 159/2011. Attenzione a non confondere i due «231»: quello del 2007 riguarda i titolari effettivi, mentre l’art. 47, comma 1, lettera a) — motivo di diniego o revoca del NOSI — cita un decreto diverso, l’8 giugno 2001, n. 231, sulla responsabilità amministrativa degli enti: le sanzioni interdittive da lì iscritte nell’anagrafe del d.P.R. 313/2002 bastano da sole a far cadere il NOSI. Stessa sigla, due leggi, e — in quasi ogni impresa — due uffici che raramente si parlano: chi tiene l’elenco dei titolari effettivi per l’antiriciclaggio non è quasi mai chi segue il modello organizzativo 231/2001.

Il calendario che nessuno tiene da solo

L’art. 45, comma 7 fissa il termine di rilascio: sei mesi dalla ricezione della richiesta, sospesi se l’UCSe deve acquisire ulteriori informazioni. L’art. 46 fissa la durata una volta ottenuto: cinque anni per SEGRETISSIMO, dieci per SEGRETO e RISERVATISSIMO. Ma la scadenza sul calendario non è l’unico rischio: l’art. 47, comma 3 consente diniego, revoca o limitazione anche a un NOSI già rilasciato, quando l’organizzazione di sicurezza mostra «profili di perdurante inadeguatezza» per carenza delle misure fisiche, delle figure abilitate o delle misure tecniche CIS e COMSEC — e l’art. 48, comma 1, lettera d) aggiunge che bastano le «verifiche di sicurezza» a farle emergere. Il NOSI non è un traguardo raggiunto una volta: è una condizione da dimostrare in continuità, con documenti che qualcun altro, in un altro ufficio, potrebbe aver lasciato scadere senza dirlo a chi tiene il fascicolo.

Che cosa deve poter mostrare un fornitore, e chi lo tiene oggi

NOS di legale rappresentante, Funzionario alla sicurezza e, se necessario, direttore tecnico e «altro personale» — ufficio del personale, scadenze quinquennali o decennali.
Area riservata certificata per il livello richiesto, con le omologazioni CIS/COMSEC — IT e gestione immobili.
Elenco dei titolari effettivi, aggiornato a ogni variazione — compliance antiriciclaggio.
Documentazione antimafia in corso di validità — ufficio legale o gare.
Assenza di sanzioni interdittive ex d.lgs. 231/2001 — organismo di vigilanza, un ufficio ancora diverso.
Tracciabilità delle verifiche di sicurezza, per rispondere se l’UCSe chiede conto dell’adeguatezza, non solo del fascicolo iniziale.

Vedi il servizio · Parlane con un tecnico

Quello che non sappiamo

Non facciamo consulenza legale, non trattiamo né divulghiamo informazioni classificate: lavoriamo su fonti pubbliche, qui il testo del DPCM 5/2015 così come risulta vigente su Normattiva alla data odierna. Non sappiamo se l’UCSe stia predisponendo aggiornamenti alle disposizioni applicative del regolamento, né conosciamo le prassi istruttorie interne che l’Agenzia o le singole amministrazioni appaltanti seguano caso per caso: resta terreno che un’impresa verifica con i propri referenti presso l’UCSe, non con un articolo.

I due assi, applicati al NOSI

Adempiere. Il fascicolo del NOSI diventa, nel nostro impianto, un controllo che gira sui documenti e sui sistemi del cliente: per ciascuno dei sei requisiti — NOS del personale, area riservata, titolari effettivi, antimafia, assenza di sanzioni 231/2001, verifiche di sicurezza — quale dato lo dimostra, dove sta, chi lo aggiorna, con quale data. Non un fascicolo ricostruito a memoria quando l’UCSe bussa, ma una traccia già pronta, come vale per le forniture ICT nel perimetro cibernetico: conta il sistema verificabile, non la parola data una volta.

Decidere. Lo stesso impianto tiene insieme fascicoli del personale, planimetrie delle aree riservate, registro dei titolari effettivi, certificazioni CIS e contratti in un modello operativo unico, su cui agenti AI eseguono decisioni con un operatore al comando — per grandi imprese, difesa, pubblica amministrazione e sanità. Sempre on-premise, su macchine autonome senza integrazione profonda nella rete del cliente, oppure su cloud dedicato, con VPN dedicata e data center residente in Italia, sempre con gestione condivisa: chi fornisce sistemi per informazioni classificate non deve, in più, presidiare in casa propria chi amministra un’intelligenza artificiale. È il metodo con cui costruiamo la piattaforma, non un modulo aggiuntivo da capitolato.

Dalla prima sessione, senza costi, esce l’elenco datato di ciò che risulta per il vostro NOSI: abilitazioni in scadenza, sistema in cui stanno, chi le aggiorna — comprese le caselle vuote. Resta a voi anche se non proseguiamo insieme. Parlatene con un nostro tecnico.