--- title: "Perimetro cibernetico e CVCN: un acquisto ICT non si chiude con una firma" description: "Nel perimetro di sicurezza nazionale cibernetica le forniture ICT si comunicano al CVCN prima della gara: 45 giorni di verifiche, test su hardware e software." url: https://csidia.com/note-operative/perimetro-cibernetico-cvcn-valutazione-forniture-ict/ lang: it date: 2026-07-26 label: "Normativa" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/perimetro-cibernetico-cvcn-valutazione-forniture-ict/ --- # Perimetro cibernetico e CVCN: un acquisto ICT non si chiude con una firma Uno scenario tipico, non un caso nostro. Un soggetto incluso nel perimetro di sicurezza nazionale cibernetica valuta un sistema di AI per monitorare e gestire le proprie reti. Il capitolato è scritto. Poi in ufficio gare arriva la domanda giusta: questa fornitura va comunicata al CVCN? Se la risposta è sì, il calendario del progetto non lo decide più il fornitore. ## La norma, con gli estremi Il perimetro è istituito dall’articolo 1, comma 1, del **decreto-legge 21 settembre 2019, n. 105**, convertito con modificazioni dalla **legge 18 novembre 2019, n. 133**. Il meccanismo che interessa chi compra sta al **comma 6, lettera a)**: i soggetti inclusi che intendano procedere «all’affidamento di forniture di beni, sistemi e servizi ICT» destinati alle reti e ai sistemi del proprio elenco, se rientranti in categorie individuate con DPCM, «ne danno comunicazione al Centro di valutazione e certificazione nazionale (CVCN)», allegando la valutazione del rischio associato alla fornitura. L’obbligo è efficace, per espressa previsione del testo, «comunque dal 30 giugno 2022». Il CVCN, che il decreto istituiva presso il Ministero dello sviluppo economico, opera presso l’**Agenzia per la cybersicurezza nazionale** (art. 16, comma 6, lett. a), del D.L. 82/2021, conv. L. 109/2021); la stessa lettera conferma i **Centri di valutazione dei Ministeri dell’interno e della difesa**, che ne impiegano le metodologie. E l’elenco dei soggetti inclusi non è pubblico: sta in un atto per il quale «è escluso il diritto di accesso» e che «non è soggetto a pubblicazione» (comma 2-bis). Non è deducibile: si chiede al committente. ## I termini, in giorni Il regolamento attuativo è il **D.P.R. 5 febbraio 2021, n. 54**. La comunicazione va trasmessa «prima dell’avvio delle procedure di affidamento ovvero, ove non siano previste, prima della conclusione dei contratti» (art. 3, comma 1). Poi, all’art. 4: - **45 giorni** per le verifiche preliminari, **prorogabili una sola volta di 15** nei casi di particolare complessità, fra cui le tecnologie recenti «per le quali non si dispone di metodologie di test consolidate». - **60 giorni** per i test, che decorrono da quando l’oggetto della valutazione è reso **fisicamente disponibile** per le prove. - Silenzio: scaduto il primo termine senza pronuncia si prosegue nella procedura di affidamento, scaduto il secondo nell’esecuzione del contratto (comma 6). Ma i termini si sospendono, una volta sola, se le informazioni sono incomplete (art. 5, comma 1). Se vengono imposti condizioni e test, **bandi e contratti sono integrati con clausole che condizionano il contratto, sospensivamente o risolutivamente**, all’esito favorevole delle prove (art. 5, comma 6). Con esito negativo arriva un provvedimento negativo motivato (art. 8, comma 2); con esito positivo il CVCN può comunque imporre **prescrizioni di utilizzo**, anche sul «mantenimento nel tempo del livello di sicurezza nell’ambiente di esercizio» (art. 8, commi 3 e 4). ## Riguarda anche l’AI, ed è scritto nero su bianco Le categorie sono nell’allegato 1 del **DPCM 15 giugno 2021** (GU n. 198 del 19 agosto 2021). Nella terza — componenti per acquisizione dati, monitoraggio, supervisione, controllo, attuazione e automazione di reti e sistemi industriali e infrastrutturali — compaiono testualmente i «**Sistemi Artificial Intelligence (AI) e Machine Learning (ML) per gestione reti/sistemi**», accanto ai sistemi SCADA. Non è interpretazione estensiva: è una riga dell’allegato. Il criterio tecnico è all’art. 13 del D.P.R. 54/2021, che copre anche «lo sviluppo, parziale o totale, di un nuovo programma software» quando è la parte applicativa rilevante di un servizio informatico. ## Cosa deve consegnare il fornitore L’art. 5, comma 5, del D.P.R. 54/2021 elenca le attività «propedeutiche e indispensabili» a carico del fornitore: dare evidenza dell’idoneità delle funzioni di sicurezza e delle loro configurazioni; **allestire un ambiente di test adeguatamente rappresentativo della realtà di esercizio**; fornire «una descrizione generale dell’architettura dell’oggetto di valutazione e delle sue funzioni»; consegnare i test già eseguiti **con i relativi risultati**. Le prove possono essere di corretta implementazione delle funzioni di sicurezza e **di intrusione** (comma 3). E gli oneri sono suoi: il decreto-legge, al comma 6, lettera b), parla di collaborazione «sostenendone gli oneri». ## Non è la NIS2, e la legge 90/2024 non l’ha cambiato Il D.lgs. 138/2024 chiede misure di gestione del rischio e notifiche a una platea larga — [è l’esercizio documentale di ottobre](https://csidia.com/note-operative/nis2-ottobre-2026-prova-documentale) — ma non impone di avvisare lo Stato prima di affidare una fornitura ICT, né prove sul prodotto. È altro anche dalla [qualificazione cloud dell’ACN](https://csidia.com/note-operative/cloud-acn-30-giugno-2026-dati-critici-pa), che decide dove può stare un dato: qui si decide cosa può entrare in un sistema. La **legge 28 giugno 2024, n. 90** non l’ha toccato: l’art. 14, sugli «elementi essenziali di cybersicurezza» negli acquisti ICT, chiude al comma 4 stabilendo che «resta fermo quanto stabilito dall’articolo 1» del decreto perimetro. Due binari, non uno. ## Le sanzioni, con le cifre Salvo che il fatto costituisca reato, la mancata comunicazione nei termini costa una sanzione amministrativa pecuniaria **da 300.000 a 1.800.000 euro** (comma 9, lett. d); stessa forbice per l’impiego di prodotti «in violazione delle condizioni o in assenza del superamento dei test» (lett. e), con l’**incapacità triennale** ad assumere incarichi di direzione, amministrazione e controllo (comma 10). La mancata collaborazione del fornitore ai test costa **da 250.000 a 1.500.000 euro** (lett. f). Il comma 11 punisce con la **reclusione da uno a tre anni** chi fornisce informazioni non veritiere per ostacolare quei procedimenti: reato che il comma 11-bis ha inserito fra i presupposti della responsabilità degli enti (D.lgs. 231/2001). ## La conseguenza che quasi nessuno scrive La prima conseguenza è di calendario e di contratto: il fornitore si sceglie sapendo che il prodotto verrà aperto, collegato e provato, non solo descritto in una presentazione. La seconda è più profonda. Un sistema capace di reggere quello scrutinio è per forza un sistema di cui si conoscono componenti, dipendenze e comportamento: l’architettura si descrive, l’ambiente di esercizio si ricostruisce in laboratorio, i test già fatti esistono e hanno risultati leggibili. Un servizio opaco, di cui il committente vede solo un’interfaccia, non ha nulla di tutto questo da consegnare. È la richiesta che il Cyber Resilience Act formula come [distinta base del software](https://csidia.com/note-operative/cyber-resilience-act-sbom-fascicolo-tecnico-2027); la differenza è che là la verifica [ve la scrivete nel contratto](https://csidia.com/note-operative/contratti-ai-termini-riservati-limiti-verificabili), qui la impone lo Stato e la esegue un laboratorio. ## Fonti - [D.L. 21 settembre 2019, n. 105, art. 1 — perimetro, comunicazione al CVCN (comma 6) e sanzioni (commi 9-11) (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legge:2019-09-21;105~art1) - [D.P.R. 5 febbraio 2021, n. 54 — procedure, modalità e termini delle valutazioni del CVCN e dei CV (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.del.presidente.della.repubblica:2021-02-05;54) - [DPCM 15 giugno 2021 — categorie di beni, sistemi e servizi ICT, allegato 1 (Gazzetta Ufficiale n. 198 del 19 agosto 2021)](https://www.gazzettaufficiale.it/eli/id/2021/08/19/21A05087/sg) - [ACN — Certificazione: il CVCN e la rete dei laboratori accreditati](https://www.acn.gov.it/portale/certificazione) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/perimetro-cibernetico-cvcn-valutazione-forniture-ict/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com