Cos'è il Perimetro di sicurezza nazionale cibernetica?

Il Perimetro di sicurezza nazionale cibernetica è il regime italiano, istituito con il decreto-legge 21 settembre 2019, n. 105, che individua le amministrazioni pubbliche e gli operatori privati da cui dipendono funzioni e servizi essenziali dello Stato, e impone loro controlli rafforzati su reti, sistemi informativi e servizi ICT. Chi rientra nel Perimetro non lo sceglie: l'inclusione segue i criteri del DPCM 131/2020, che definisce undici settori di attività strategici (dalla difesa alle telecomunicazioni, dall'energia alla finanza) all'interno dei quali le Amministrazioni competenti individuano i soggetti inclusi. Chi ci rientra deve censire annualmente i propri beni ICT di rilevanza strategica, adottare le misure di sicurezza previste dal DPCM 81/2021, e notificare gli incidenti al CSIRT dell'Agenzia per la Cybersicurezza Nazionale (ACN). A differenza di regimi con soglie dimensionali, l'inclusione dipende dal ruolo del soggetto per una funzione essenziale dello Stato, non da dipendenti o fatturato: un operatore piccolo può rientrarci se gestisce un'infrastruttura da cui dipende un servizio critico.

L'obbligo che riguarda i fornitori cloud e AI: la notifica al CVCN

L'elemento con impatto diretto sulle scelte tecnologiche è l'obbligo, per i soggetti inclusi, di comunicare al Centro di Valutazione e Certificazione Nazionale (CVCN) l'intenzione di acquisire beni, sistemi o servizi ICT destinati a essere impiegati sui propri beni strategici, prima di procedere. L'obbligo non copre ogni acquisto informatico: riguarda le forniture che rientrano nelle categorie individuate dall'Allegato 1 del DPCM 15 giugno 2021, ed è quello il primo controllo da fare. Il CVCN può imporre condizioni o test di sicurezza sulla fornitura. In pratica, un'azienda inclusa nel Perimetro che vuole spostare un carico di lavoro strategico su un hyperscaler, adottare un servizio gestito di AI o cambiare fornitore di infrastruttura non può trattarlo come una decisione tecnica interna: la fornitura va notificata e può essere sottoposta a verifica prima dell'attivazione, con tempi che vanno messi in conto nella pianificazione del progetto, non scoperti a valle.

Il rapporto con la NIS2

Il Perimetro e la NIS2 non sono la stessa cosa e non si sommano per chi rientra in entrambi: l'art. 33 del D.Lgs. 138/2024, che ha recepito la NIS2 in Italia, stabilisce che gli obblighi di gestione del rischio e notifica degli incidenti già previsti dal D.L. 105/2019 sono considerati almeno equivalenti a quelli della NIS2. Chi è già incluso nel Perimetro continua quindi a rispettare quelle regole, senza un doppio adempimento, mentre l'ACN resta l'autorità di riferimento per entrambi i regimi. Per chi valuta la propria infrastruttura cloud, il tema si intreccia inevitabilmente con la qualificazione cloud ACN: un servizio qualificato per la classe di dati richiesta non esonera comunque dalla notifica al CVCN se il soggetto acquirente è incluso nel Perimetro.

Un caso concreto

Un operatore di telecomunicazioni incluso nel Perimetro decide di migrare il sistema di fatturazione, classificato come bene ICT strategico, verso un nuovo fornitore cloud. Prima di firmare il contratto deve notificare al CVCN l'acquisizione, indicare il fornitore e l'architettura previsti, e attendere l'esito della valutazione, che può includere test sulla componentistica o richieste di modifica del progetto. Se lo stesso sistema viene invece affidato a un fornitore già qualificato ACN per quella classe di dati, la fase di verifica tecnica parte da una base di garanzia più solida, ma la notifica resta comunque dovuta: la qualificazione del fornitore e l'obbligo di notifica del soggetto incluso restano due adempimenti distinti.

Perché conta per chi decide

Per un CTO o un procurement manager di un'azienda inclusa nel Perimetro, il cambio di fornitore cloud o AI su un asset strategico smette di essere una scelta tecnica interna: diventa un procedimento con un'autorità di controllo, tempi da programmare e il rischio di dover rivedere l'architettura se la comunicazione al CVCN solleva rilievi. Ignorare l'obbligo costa più tempo di quanto ne faccia risparmiare saltarlo: va mappato a monte, insieme alla classificazione dei beni ICT e alla scelta dei fornitori.

Questa voce è informativa e non costituisce consulenza legale: per la verifica dell'inclusione nel Perimetro e per gli adempimenti verso ACN e CVCN coinvolgi il tuo legale o il tuo team di compliance.