Dal 6 novembre 2026 entra in vigore il decreto legislativo 1° ottobre 2026, n. 191, con cui l’Italia adegua il proprio ordinamento al regolamento (UE) 2025/37, che ha esteso ai servizi di sicurezza gestiti il quadro europeo di certificazione della cybersicurezza introdotto dal Cybersecurity Act.
Ecco le nuove regole di certificazione dei servizi di sicurezza gestiti e cosa succede dal 6 novembre.
Indice degli argomenti
La platea interessata dalla certificazione dei servizi di sicurezza gestiti
Il provvedimento, pubblicato nella Gazzetta Ufficiale n. 246 del 22 ottobre 2026, interviene sul decreto legislativo n. 123 del 2022, sul Codice dell’amministrazione digitale e sul decreto-legge n. 82 del 2021, ed estende gli strumenti di certificazione, vigilanza e sanzione di cui già dispone l’Agenzia per la cybersicurezza nazionale, così da applicare anche a questi servizi le regole già previste per prodotti, servizi e processi TIC.
Si tratta di un intervento tecnico solo in apparenza. La platea interessata è infatti quella dei fornitori che svolgono per conto di terzi attività come la gestione degli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza specialistica, soggetti che occupano una posizione particolarmente delicata nella catena di approvvigionamento digitale di imprese e pubbliche amministrazioni.
Il decreto pone le basi affinché la scelta di questi fornitori possa poggiare su attestazioni verificabili, rilasciate secondo regole comuni e riconosciute in tutta l’Unione europea.
Il regolamento europeo
Per comprendere la portata della novità occorre partire dalla definizione. Il regolamento europeo qualifica come servizio di sicurezza gestito quello prestato a un terzo che consiste nello svolgere attività legate alla gestione dei rischi di cybersicurezza, o nel fornire assistenza per tali attività, citando a titolo di esempio la gestione degli incidenti, i test di penetrazione, gli audit e la consulenza relativa all’assistenza tecnica.
L’elenco non è esaustivo: secondo il legislatore europeo possono rientrare nella nozione anche i servizi che sostengono la preparazione, la prevenzione, il rilevamento, l’analisi e la risposta agli incidenti, nonché la fornitura di informazioni sulle minacce informatiche.
La ragione dell’attenzione dedicata a questa categoria è evidente. Chi gestisce la sicurezza di un’organizzazione dall’esterno ne conosce le vulnerabilità, accede ai suoi sistemi e tratta dati spesso molto sensibili, finendo per essere strettamente integrato nelle sue attività quotidiane.
Un fornitore poco affidabile, o a sua volta compromesso, può trasformarsi da presidio difensivo in un punto di ingresso privilegiato per un attaccante.
Non a caso la direttiva NIS 2, nei propri considerando, indica che i soggetti essenziali e importanti dovrebbero esercitare una maggiore diligenza proprio nella selezione di questi fornitori.
Il ruolo della certificazione
Il regolamento (UE) 2025/37, adottato il 19 dicembre 2024, risponde a questa esigenza consentendo l’adozione di sistemi europei di certificazione dedicati, anche distinti per le diverse tipologie di servizio.
Il certificato non è pensato come un attestato generico rilasciato all’azienda che si occupa di cyber security, ma riguarda uno specifico servizio di uno specifico fornitore, valutato rispetto agli obiettivi di sicurezza fissati dal sistema applicabile.
Tra questi obiettivi figurano il possesso da parte del personale di competenze, perizia ed esperienza di altissimo livello, l’esistenza di procedure interne appropriate, la protezione dei dati trattati durante l’erogazione del servizio e la capacità di ripristinare tempestivamente la disponibilità e l’accesso ai dati in caso di incidente.
Il legislatore europeo attribuisce alla certificazione anche altre funzioni, come evitare la frammentazione del mercato interno, stimolare la concorrenza tra fornitori, favorire l’accesso a servizi di qualità da parte delle piccole e medie imprese e supportare la selezione dei fornitori di fiducia chiamati a comporre la riserva dell’UE per la cybersicurezza.
La definizione di servizio di sicurezza gestito
Il decreto legislativo n. 191 dà attuazione alla delega contenuta nell’articolo 16 della legge di delegazione europea 2025 e interviene soprattutto sul decreto legislativo n. 123 del 2022, che già disciplinava in Italia il quadro di certificazione previsto dal Cybersecurity Act.
Innanzitutto si introduce nell’ordinamento nazionale la definizione di servizio di sicurezza gestito, ripresa integralmente dal testo europeo, e si aggiornano di conseguenza le nozioni di messa a disposizione sul mercato, ritiro, vigilanza del mercato, dichiarazione UE di conformità e certificato europeo di cybersicurezza.
L’Agenzia per la cybersicurezza nazionale, che opera come autorità nazionale di certificazione, potrà rilasciare tramite l’Organismo di certificazione della sicurezza informatica non solo certificati di livello elevato, ma anche di livello sostanziale e base.
I fornitori di servizi di sicurezza gestiti potranno inoltre, ove il sistema applicabile lo consenta, rilasciare, sotto la propria responsabilità, dichiarazioni UE di conformità di livello base, con l’obbligo di tenere a disposizione dell’Agenzia la dichiarazione, la documentazione tecnica e le altre informazioni pertinenti e di trasmettere copia della dichiarazione all’Agenzia stessa e all’ENISA.
In assenza di un sistema europeo, l’Agenzia potrà infine introdurre sistemi nazionali di certificazione anche per questa categoria di servizi.
Dove sicurezza e comprensione del contesto iniziano a convergere
Spesso, quando si parla di fiducia nell’AI, ci si concentra prevalentemente sui modelli, con le organizzazioni che devono fare i conti con rischi come allucinazioni, bias, prompt injection, deriva del modello e output inappropriati.
Immaginiamo un agente AI che abbia tutte le autorizzazioni necessarie per accedere ai dati dei clienti, che operi correttamente e nel pieno rispetto dei controlli di sicurezza previsti. Apparentemente, nulla di cui preoccuparsi.
Eppure, nel prendere una decisione, quell’agente potrebbe utilizzare informazioni che, pur essendo accessibili, non avrebbero dovuto essere considerate, perché non pertinenti allo scopo per il quale è chiamato ad agire.
Il problema, in questo caso, non riguarda la sicurezza o il corretto funzionamento del sistema, ma la sua capacità di interpretare il contesto aziendale e, sulla base di questo, comprendere quali informazioni sia appropriato utilizzare, in quali circostanze e per quali finalità.
È qui che sicurezza e comprensione del contesto iniziano a convergere.
Vigilanza e regime sanzionatorio
Una parte significativa del provvedimento riguarda la vigilanza e il regime sanzionatorio.
Qualora l’Agenzia accerti l’emissione di certificati non conformi di livello base o sostanziale relativi a un servizio che abbia arrecato un pregiudizio concreto e dimostrato a un soggetto essenziale, il certificato deve essere revocato: l’Agenzia ne chiede la revoca all’organismo emittente, che vi provvede entro cinque giorni, e in caso di inottemperanza procede direttamente.
Negli altri casi di non conformità l’organismo emittente è tenuto a ricondurre il certificato a conformità entro il termine fissato dall’Agenzia, comunque non superiore a centoventi giorni, oppure a revocarlo.
Ai fornitori che mettono a disposizione servizi privi della dichiarazione o del certificato obbligatori si applica, salvo che il fatto costituisca reato, una sanzione compresa tra 30.000 e 150.000 euro, e in questi casi, così come quando un certificato obbligatorio viene revocato o decade, l’Agenzia dispone l’inibizione del servizio con costi a carico del fornitore.
La mancata notifica di vulnerabilità o irregolarità da parte dei titolari di certificati è punita con una sanzione tra 60.000 e 300.000 euro.
I minimi e i massimi di tutte le sanzioni pecuniarie vengono inoltre triplicati, fermo restando il tetto di cinque milioni di euro, quando le violazioni riguardano servizi erogati da soggetti essenziali.
Su questo punto il decreto corregge anche un disallineamento normativo, sostituendo il rinvio al decreto legislativo n. 65 del 2018, ormai abrogato, con quello al decreto legislativo n. 138 del 2024 che ha recepito la direttiva NIS 2.
I proventi delle sanzioni saranno destinati ad attività di ricerca e formazione sulla certificazione della cybersicurezza.
Gli interventi di coordinamento
Il provvedimento contiene inoltre alcuni interventi di coordinamento. L’articolo 35 del Codice dell’amministrazione digitale viene aggiornato per tenere conto del fatto che lo schema nazionale di certificazione, al quale il Codice rinviava per i dispositivi di firma qualificata, ha cessato di produrre effetti nel febbraio 2025, sostituito dal sistema europeo basato sui Common Criteria, e il 27 febbraio 2026 è scaduto anche il termine per concludere le certificazioni nazionali già avviate.
Inoltre si precisa il ruolo delle strutture specializzate dei Ministeri della Difesa e dell’Interno, che l’Agenzia autorizza come organismi di valutazione della conformità per i sistemi europei che prevedono requisiti specifici o supplementari.
Come chiarito nei lavori preparatori, la riformulazione esplicita che l’Agenzia non svolge funzioni di accreditamento, riservate all’organismo nazionale designato ai sensi del diritto europeo.
L’attuazione avverrà senza nuovi o maggiori oneri per la finanza pubblica.
Niente obblighi di certificazione di servizi di sicurezza gestiti
Sul piano pratico è opportuno chiarire che dal 6 novembre non scatta alcun obbligo generalizzato di certificazione.
L’effettiva operatività del nuovo quadro dipenderà dall’adozione dei sistemi europei dedicati ai singoli servizi di sicurezza gestiti, che stabiliranno requisiti e livelli di affidabilità, o, in loro assenza, dall’eventuale introduzione di sistemi nazionali da parte dell’Agenzia.
L’eventuale obbligatorietà della certificazione potrà invece derivare soltanto da specifiche disposizioni dell’Unione o nazionali.
Il decreto ha però il merito di predisporre per tempo l’architettura nazionale, in modo che l’Italia sia pronta ad applicare i nuovi schemi non appena disponibili.
Per i soggetti che rientrano nel perimetro della NIS 2, la certificazione potrà diventare uno strumento utile per dimostrare di aver valutato con diligenza la sicurezza della propria catena di fornitura, come richiesto dalla direttiva.
Per i fornitori, soprattutto quelli di dimensioni più contenute, si apre invece una fase di preparazione che richiederà investimenti in competenze, procedure e documentazione.
In questa prospettiva assumono rilievo le iniziative di accompagnamento, come linee guida applicative, momenti di confronto con gli operatori e misure di supporto alle piccole e medie imprese, che potranno aiutare il mercato italiano a cogliere l’opportunità senza che i costi di adeguamento diventino una barriera all’ingresso.
Evoluzioni future del quadro
La Commissione europea ha presentato una proposta di revisione complessiva del regolamento (UE) 2019/881, il cosiddetto Cybersecurity Act 2.0, che punta a rendere più efficace e semplice la certificazione europea, a collegarla in modo più netto ai rischi non tecnici della catena di approvvigionamento e a rafforzare il mandato dell’ENISA.
Tra le misure proposte figura il divieto, per i servizi di sicurezza gestiti certificati e individuati come risorse chiave, di integrare componenti TIC provenienti da fornitori considerati ad alto rischio.
L’adeguamento appena completato rappresenta quindi un passaggio di una traiettoria più ampia, nella quale la fiducia nei fornitori di sicurezza diventa una questione di interesse collettivo.
Con il decreto legislativo n. 191 l’Italia si allinea al quadro europeo e rafforza il ruolo dell’Agenzia per la cybersicurezza nazionale come punto di riferimento della certificazione, ponendo le condizioni perché la qualità dei servizi di sicurezza gestiti possa essere misurata, verificata e resa trasparente per chi li acquista.
Partecipa alla community