Quando si parla di servizi di sicurezza gestiti, il pensiero corre subito ai SOC: monitoraggio degli eventi, analisi degli alert e risposta agli incidenti. Il D.lgs. 1 ottobre 2026, n. 191, pubblicato il 22 ottobre e in vigore dal 6 novembre 2026, mostra però che il perimetro della certificazione europea è più ampio.
Il decreto adegua la normativa italiana al Regolamento (UE) 2025/37, che ha esteso ai servizi di sicurezza gestiti il quadro europeo di certificazione della cyber sicurezza. La definizione comprende attività svolte per un terzo e collegate alla gestione dei rischi cyber. Il legislatore cita espressamente la gestione degli incidenti, i penetration test, gli audit di sicurezza e la consulenza specialistica relativa all’assistenza tecnica.
La parola “gestito”, dunque, non equivale necessariamente a “monitorato ventiquattr’ore su ventiquattro”. Anche un’attività specialistica svolta su incarico può rientrare nella definizione.
Questo non significa, tuttavia, che ogni prestazione di consulenza o ogni corso di formazione sia automaticamente soggetto a uno specifico schema di certificazione: saranno il contenuto del servizio e le regole dello schema applicabile a determinarlo.
Indice degli argomenti
Servizi di sicurezza gestiti: che cosa viene certificato
Il punto centrale non è attribuire un bollino indistinto all’azienda che offre cyber security. Il quadro europeo è costruito per valutare specifici servizi di uno specifico fornitore rispetto ai requisiti fissati dal pertinente schema di certificazione.
I possibili obiettivi di valutazione non riguardano soltanto gli strumenti impiegati. Il Regolamento (UE) 2025/37 richiama le competenze e l’esperienza del personale, l’adeguatezza delle procedure interne, la protezione dei dati trattati durante l’erogazione e la capacità di ripristinare tempestivamente disponibilità e accesso in caso di incidente.
È un passaggio significativo. Un servizio di sicurezza può fallire anche quando la tecnologia funziona: bastano responsabilità poco chiare, personale non preparato, procedure non ripetibili o una gestione inadeguata delle informazioni del cliente.
La certificazione potrà offrire un riferimento verificabile sulla qualità della prestazione, ma solo entro il perimetro effettivamente certificato. Non potrà essere letta come garanzia assoluta contro gli incidenti.
Il 6 novembre non scatta una corsa alle certificazioni
Occorre evitare l’equivoco più facile. L’entrata in vigore del decreto non impone a tutti i fornitori di servizi cyber di certificarsi e non obbliga automaticamente i soggetti NIS2 a scegliere soltanto fornitori certificati. La certificazione resta volontaria, salvo che una disposizione europea o nazionale la renda obbligatoria nei casi previsti.
Il D.lgs. 191/2026 interviene sul sistema italiano di certificazione, sulle dichiarazioni UE di conformità, sulla vigilanza di ACN e sul relativo quadro sanzionatorio. Non riscrive gli obblighi di gestione del rischio, le scadenze del Portale ACN o le regole di notifica degli incidenti a CSIRT Italia previste dalla disciplina NIS2.
Confondere i due piani produrrebbe un risultato paradossale: trasformare una possibilità di valutazione della qualità in un adempimento che oggi la norma non prevede.
Perché interessa comunque i soggetti NIS2
Il collegamento con la NIS2 esiste, ma è diverso da un nuovo obbligo di certificazione. Il regolamento europeo osserva che i fornitori di servizi di sicurezza gestiti possono essere strettamente integrati nelle attività dei clienti e, proprio per questo, richiedono particolare attenzione nella selezione da parte dei soggetti essenziali e importanti.
È una considerazione concreta: chi analizza un incidente, esegue un penetration test o gestisce strumenti di sicurezza può accedere a sistemi, vulnerabilità, configurazioni e informazioni altamente sensibili. La valutazione del fornitore non può fermarsi alla brochure commerciale.
Quando saranno disponibili schemi pertinenti, una certificazione potrà diventare un elemento utile nella due diligence e nelle gare. Non sostituirà però la valutazione del rischio della fornitura, né chiarirà da sola aspetti contrattuali come accessi, subfornitori, tempi di intervento, gestione delle evidenze e responsabilità in caso di incidente.
Per i fornitori, il lavoro sensato oggi è descrivere con precisione ciò che erogano, chi ne risponde, quali attività sono affidate a partner e quali evidenze dimostrano la qualità del servizio. Per i clienti, è mantenere un processo di selezione proporzionato al rischio, senza chiedere certificazioni inesistenti o presumere che un futuro certificato copra ogni attività del fornitore.
La novità, in definitiva, non è una scadenza da segnare sul calendario. È il tentativo di rendere verificabile la qualità dei servizi con cui chiediamo di proteggere le organizzazioni.
Prima del certificato viene una domanda più semplice, e spesso più scomoda: sappiamo definire esattamente quale servizio stiamo acquistando e quale sicurezza ci viene realmente garantita?
Partecipa alla community