Perimetro cibernetico e CVCN: un acquisto ICT non si chiude con una firma

Uno scenario tipico, non un caso nostro. Un soggetto incluso nel perimetro di sicurezza nazionale cibernetica valuta un sistema di AI per monitorare e gestire le proprie reti. Il capitolato è scritto. Poi in ufficio gare arriva la domanda giusta: questa fornitura va comunicata al CVCN? Se la risposta è sì, il calendario del progetto non lo decide più il fornitore.

La norma, con gli estremi

Il perimetro è istituito dall’articolo 1, comma 1, del decreto-legge 21 settembre 2019, n. 105, convertito con modificazioni dalla legge 18 novembre 2019, n. 133. Il meccanismo che interessa chi compra sta al comma 6, lettera a): i soggetti inclusi che intendano procedere «all’affidamento di forniture di beni, sistemi e servizi ICT» destinati alle reti e ai sistemi del proprio elenco, se rientranti in categorie individuate con DPCM, «ne danno comunicazione al Centro di valutazione e certificazione nazionale (CVCN)», allegando la valutazione del rischio associato alla fornitura. L’obbligo è efficace, per espressa previsione del testo, «comunque dal 30 giugno 2022». Il CVCN, che il decreto istituiva presso il Ministero dello sviluppo economico, opera presso l’Agenzia per la cybersicurezza nazionale (art. 16, comma 6, lett. a), del D.L. 82/2021, conv. L. 109/2021); la stessa lettera conferma i Centri di valutazione dei Ministeri dell’interno e della difesa, che ne impiegano le metodologie. E l’elenco dei soggetti inclusi non è pubblico: sta in un atto per il quale «è escluso il diritto di accesso» e che «non è soggetto a pubblicazione» (comma 2-bis). Non è deducibile: si chiede al committente.

I termini, in giorni

Il regolamento attuativo è il D.P.R. 5 febbraio 2021, n. 54. La comunicazione va trasmessa «prima dell’avvio delle procedure di affidamento ovvero, ove non siano previste, prima della conclusione dei contratti» (art. 3, comma 1). Poi, all’art. 4:

45 giorni per le verifiche preliminari, prorogabili una sola volta di 15 nei casi di particolare complessità, fra cui le tecnologie recenti «per le quali non si dispone di metodologie di test consolidate».
60 giorni per i test, che decorrono da quando l’oggetto della valutazione è reso fisicamente disponibile per le prove.
Silenzio: scaduto il primo termine senza pronuncia si prosegue nella procedura di affidamento, scaduto il secondo nell’esecuzione del contratto (comma 6). Ma i termini si sospendono, una volta sola, se le informazioni sono incomplete (art. 5, comma 1).

Se vengono imposti condizioni e test, bandi e contratti sono integrati con clausole che condizionano il contratto, sospensivamente o risolutivamente, all’esito favorevole delle prove (art. 5, comma 6). Con esito negativo arriva un provvedimento negativo motivato (art. 8, comma 2); con esito positivo il CVCN può comunque imporre prescrizioni di utilizzo, anche sul «mantenimento nel tempo del livello di sicurezza nell’ambiente di esercizio» (art. 8, commi 3 e 4).

Riguarda anche l’AI, ed è scritto nero su bianco

Le categorie sono nell’allegato 1 del DPCM 15 giugno 2021 (GU n. 198 del 19 agosto 2021). Nella terza — componenti per acquisizione dati, monitoraggio, supervisione, controllo, attuazione e automazione di reti e sistemi industriali e infrastrutturali — compaiono testualmente i «Sistemi Artificial Intelligence (AI) e Machine Learning (ML) per gestione reti/sistemi», accanto ai sistemi SCADA. Non è interpretazione estensiva: è una riga dell’allegato. Il criterio tecnico è all’art. 13 del D.P.R. 54/2021, che copre anche «lo sviluppo, parziale o totale, di un nuovo programma software» quando è la parte applicativa rilevante di un servizio informatico.

Cosa deve consegnare il fornitore

L’art. 5, comma 5, del D.P.R. 54/2021 elenca le attività «propedeutiche e indispensabili» a carico del fornitore: dare evidenza dell’idoneità delle funzioni di sicurezza e delle loro configurazioni; allestire un ambiente di test adeguatamente rappresentativo della realtà di esercizio; fornire «una descrizione generale dell’architettura dell’oggetto di valutazione e delle sue funzioni»; consegnare i test già eseguiti con i relativi risultati. Le prove possono essere di corretta implementazione delle funzioni di sicurezza e di intrusione (comma 3). E gli oneri sono suoi: il decreto-legge, al comma 6, lettera b), parla di collaborazione «sostenendone gli oneri».

Non è la NIS2, e la legge 90/2024 non l’ha cambiato

Il D.lgs. 138/2024 chiede misure di gestione del rischio e notifiche a una platea larga — è l’esercizio documentale di ottobre — ma non impone di avvisare lo Stato prima di affidare una fornitura ICT, né prove sul prodotto. È altro anche dalla qualificazione cloud dell’ACN, che decide dove può stare un dato: qui si decide cosa può entrare in un sistema. La legge 28 giugno 2024, n. 90 non l’ha toccato: l’art. 14, sugli «elementi essenziali di cybersicurezza» negli acquisti ICT, chiude al comma 4 stabilendo che «resta fermo quanto stabilito dall’articolo 1» del decreto perimetro. Due binari, non uno.

Le sanzioni, con le cifre

Salvo che il fatto costituisca reato, la mancata comunicazione nei termini costa una sanzione amministrativa pecuniaria da 300.000 a 1.800.000 euro (comma 9, lett. d); stessa forbice per l’impiego di prodotti «in violazione delle condizioni o in assenza del superamento dei test» (lett. e), con l’incapacità triennale ad assumere incarichi di direzione, amministrazione e controllo (comma 10). La mancata collaborazione del fornitore ai test costa da 250.000 a 1.500.000 euro (lett. f). Il comma 11 punisce con la reclusione da uno a tre anni chi fornisce informazioni non veritiere per ostacolare quei procedimenti: reato che il comma 11-bis ha inserito fra i presupposti della responsabilità degli enti (D.lgs. 231/2001).

La conseguenza che quasi nessuno scrive

La prima conseguenza è di calendario e di contratto: il fornitore si sceglie sapendo che il prodotto verrà aperto, collegato e provato, non solo descritto in una presentazione. La seconda è più profonda. Un sistema capace di reggere quello scrutinio è per forza un sistema di cui si conoscono componenti, dipendenze e comportamento: l’architettura si descrive, l’ambiente di esercizio si ricostruisce in laboratorio, i test già fatti esistono e hanno risultati leggibili. Un servizio opaco, di cui il committente vede solo un’interfaccia, non ha nulla di tutto questo da consegnare. È la richiesta che il Cyber Resilience Act formula come distinta base del software; la differenza è che là la verifica ve la scrivete nel contratto, qui la impone lo Stato e la esegue un laboratorio.

Come lo risolviamo noi

Un sistema che deve poter essere valutato e provato va costruito perché componenti, dipendenze e comportamento restino conoscibili e riproducibili: distinta del software, elenco delle dipendenze, ambiente ricostruibile a comando, log a disposizione di chi verifica. Per questo consegniamo in due modalità, mai una sola: on-premise, dentro l’infrastruttura del cliente, oppure su cloud dedicato riservato al singolo cliente, con VPN dedicata, data center residente in Italia e locali che presidiamo direttamente. In entrambi i casi l’ambiente si riproduce e il comportamento si misura: è il presupposto della protezione dei dati e del perimetro, non un accessorio.

Dovete capire se una fornitura che state per affidare passa dal CVCN, e che cosa dovrete poter mostrare? Mezz’ora con un nostro esperto per la prima lettura della procedura.