Servizi di sicurezza gestiti: dal 6 novembre gestione degli incidenti, penetration test e audit entrano nel quadro di certificazione

Dal 6 novembre 2026 i servizi di sicurezza gestiti rientrano nel quadro italiano di certificazione della cybersicurezza. Lo stabilisce il decreto legislativo 1° ottobre 2026, n. 191, pubblicato nella Gazzetta Ufficiale n. 246 del 22 ottobre, che adegua la normativa nazionale al regolamento (UE) 2025/37. Chi vende gestione degli incidenti, test di penetrazione o audit di sicurezza può far certificare il proprio servizio. La certificazione però è volontaria e lo schema europeo con i requisiti è ancora una bozza.

Cosa cambia per i servizi di sicurezza gestiti dal 6 novembre

Il decreto attua la delega dell’articolo 16 della legge 36 del 17 marzo 2026, la legge di delegazione europea 2025. Modifica il decreto legislativo 123 del 2022, che applica in Italia il titolo III del Cybersecurity Act. Tocca anche il Codice dell’amministrazione digitale e una funzione dell’Agenzia per la cybersicurezza nazionale (ACN).

La definizione

La nuova lettera a-bis dell’articolo 3 definisce il servizio di sicurezza gestito come un servizio prestato a un terzo. Consiste nello svolgere attività legate alla gestione dei rischi di cybersicurezza o nell’assistere il cliente in quelle attività.

Gli esempi sono la gestione degli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza, compresa l’assistenza tecnica specialistica. L’elenco è esemplificativo: la norma lo introduce con «ad esempio» e il considerando 4 del regolamento lo dice non esaustivo.

Gli obblighi documentali

L’articolo 7 del decreto del 2022 impone al fornitore di mettere a disposizione dell’ACN la dichiarazione UE di conformità, la documentazione tecnica e le altre informazioni pertinenti. Il periodo lo fissa il sistema europeo di certificazione.

La dichiarazione nasce da un’autovalutazione, che il regolamento ammette solo dove lo schema europeo la consente e solo per il livello di base. Il rilascio è volontario, salvo diversa disposizione. Secondo la nostra lettura, l’obbligo riguarda quindi chi la rilascia. La bozza di schema europeo esclude però l’autovalutazione a ogni livello, quindi per ora la dichiarazione non servirebbe per la risposta agli incidenti.

Livelli, revoca e termini

L’articolo 6 affida all’ACN, tramite l’Organismo di certificazione della sicurezza informatica (OCSI), il rilascio dei certificati di livello elevato, sostanziale e di base.

Se l’ACN accerta che un certificato relativo a un servizio gestito non è conforme, valgono le regole di revoca dell’articolo 5. Per i livelli di base e sostanziale la revoca richiede un pregiudizio concreto e dimostrato. Il danno deve colpire la salute, l’incolumità personale o un soggetto essenziale ai sensi del decreto legislativo 138 del 2024, che recepisce la NIS2. L’organismo emittente revoca il certificato su richiesta dell’ACN entro cinque giorni e ne dà contestuale notifica all’Agenzia. Per ricondurre un certificato non conforme alla conformità, l’ACN stabilisce i termini, entro il tetto di centoventi giorni.

Sanzioni per i servizi di sicurezza gestiti

Le sanzioni dell’articolo 10 valgono per i servizi di sicurezza gestiti. I commi 4, 5, 8 e 16 li citano ora espressamente. Secondo la nostra lettura gli altri li raggiungono perché le definizioni di certificato e di dichiarazione di conformità comprendono i nuovi servizi. Alcuni importi:

• da 15.000 a 75.000 euro per l’organismo che emette un certificato non conforme, o per il fornitore che rilascia una dichiarazione volontaria non conforme;
• da 30.000 a 150.000 euro per chi non rende disponibili documentazione e dichiarazione di conformità per il periodo previsto;
• da 200.000 a 1.000.000 di euro per chi non rispetta un ordine o una diffida dell’ACN.

Gli importi si triplicano, con tetto di 5 milioni di euro, se la violazione riguarda uno schema destinato ai servizi di un soggetto essenziale.

Sul procedimento, l’articolo 10, comma 1, applicava «in quanto compatibile» la legge 689 del 1981. Ora rinvia all’articolo 17, comma 4-quater, del decreto-legge 82 del 2021, che affida il procedimento sanzionatorio dell’ACN a un regolamento adottato con decreto del Presidente del Consiglio dei ministri. Finché il regolamento non entra in vigore, si applicano a ogni fase le sezioni I e II del capo I della legge 689. L’adozione del regolamento non risulta dalle fonti consultate, quindi vale per ora il rinvio alla legge del 1981.

La certificazione dei servizi di sicurezza gestiti è volontaria

L’articolo 56, paragrafo 2, del regolamento (UE) 2019/881 stabilisce che la certificazione è volontaria, salvo diversa disposizione del diritto dell’Unione o degli Stati membri. L’articolo 6, comma 3, del decreto del 2022 lo ripete. Di conseguenza la sanzione per chi offre un servizio senza certificato o dichiarazione di conformità (articolo 10, comma 4) scatta solo dove la certificazione è obbligatoria.

Lo stesso comma consente all’ACN, in mancanza di un diritto dell’Unione armonizzato, di adottare regolamentazioni tecniche nazionali con certificazione obbligatoria, dopo aver consultato i portatori di interesse. Anche la Commissione europea valuta almeno ogni due anni se rendere obbligatorio uno schema. Oggi nessuna norma impone la certificazione ai fornitori; per introdurla esistono una via europea e una nazionale.

Lo schema europeo è ancora una bozza

La Commissione ha chiesto all’ENISA di preparare lo schema il 25 aprile 2025 e l’agenzia ha risposto il 23 giugno 2025. Il 24 luglio 2026 ENISA ha pubblicato la bozza di schema nella versione 1.1 e ha aperto una consultazione pubblica, chiusa il 13 settembre 2026. Sul ruolo dell’agenzia nella riforma del Cybersecurity Act c’è un altro approfondimento.

La bozza ha una parte orizzontale, con requisiti comuni ai tre livelli di affidabilità, e una parte verticale per i singoli servizi. Per i prodotti ICT esiste già lo schema EUCC. La versione in consultazione copre solo la risposta agli incidenti. Test di penetrazione, audit e consulenza compaiono come possibili verticali futuri, da avviare su nuova richiesta della Commissione. Il certificato riguarderebbe un servizio a un dato livello, non l’organizzazione che lo eroga, e durerebbe al massimo tre anni, con verifiche annuali.

Il quadro europeo è in revisione: la proposta della Commissione del 20 gennaio 2026 prevede, di norma, dodici mesi per sviluppare uno schema, e al 20 settembre il Parlamento europeo la indica ancora alla fase di proposta.

Tra le fonti consultate non risulta l’atto di esecuzione con cui la Commissione adotterebbe lo schema, previsto dall’articolo 49, paragrafo 7, del regolamento 2019/881. Il periodo di conservazione della documentazione dipende però dallo schema: a nostro avviso il quadro nazionale parte prima dello strumento che ne definisce i contenuti.

In assenza di uno schema europeo, l’articolo 9, comma 3, consente all’ACN di introdurre schemi nazionali per questi servizi. Il portale dell’agenzia non annuncia nulla in tal senso. La relazione tecnica dello schema di decreto collocava questa facoltà nell’ambito di progetti di ricerca e di formazione.

Il collegamento con la riserva dell’UE per la cibersicurezza

Un legame riguarda i fornitori di risposta agli incidenti. Tra i criteri per scegliere i fornitori di fiducia della riserva dell’UE per la cibersicurezza, l’articolo 17, paragrafo 2, lettera j), del regolamento (UE) 2025/38 prevede la certificazione. Va ottenuta entro due anni dall’applicazione dello schema, una volta istituito. Il requisito dipende dallo schema e riguarda solo chi vuole entrare nella riserva.

Per chi vende e per chi compra

Chi vende deve prima verificare se il proprio servizio rientra nella definizione: è compreso anche se non compare tra gli esempi. Poi conviene seguire l’adozione dello schema europeo, perché solo allora saranno noti livelli, requisiti e tempi. Nel frattempo è prudente non presentare come certificato un servizio che non lo è. Il consiglio è nostro; il decreto non lo impone.

Chi acquista non può pretendere un certificato europeo, perché non esiste. Il regolamento europeo cita la certificazione come indicatore di qualità (considerando 6) e chiede ai soggetti NIS2 maggiore diligenza nella scelta dei fornitori (considerando 3), ma sono affermazioni di principio. La bozza di schema precisa che la certificazione non sostituisce la conformità alla NIS2. I responsabili della sicurezza possono intanto chiedere evidenze su competenze del personale, procedure interne e protezione dei dati trattati, tre obiettivi di sicurezza dell’articolo 51 bis del regolamento 2019/881. Sui test richiesti dalla NIS2 vedi l’approfondimento su penetration test e direttiva NIS2.

Gli altri due articoli del decreto

L’articolo 2 aggiorna l’articolo 35 del Codice dell’amministrazione digitale, con il richiamo all’articolo 30 del regolamento eIDAS e all’OCSI. L’articolo 3 modifica l’articolo 7 del decreto-legge 82 del 2021: l’ACN può autorizzare le strutture specializzate dei Ministeri della difesa e dell’interno come organismi di valutazione della conformità.

Atti attuativi al 3 novembre

Al 3 novembre non risultano atti attuativi. Nei sommari della Gazzetta Ufficiale dal numero 247 al 255 non compaiono provvedimenti in materia, e il portale dell’ACN non riporta comunicati sul decreto.

Domande frequenti

Dal 6 novembre i servizi di sicurezza gestiti devono essere certificati?

No. La certificazione è volontaria, salvo diversa disposizione del diritto europeo o nazionale, e oggi nessuna norma la impone ai fornitori.

Quali servizi rientrano nella definizione di servizio di sicurezza gestito?

Rientrano i servizi prestati a un terzo e legati alla gestione dei rischi di cybersicurezza, come gestione degli incidenti, test di penetrazione, audit di sicurezza e consulenza. L'elenco è esemplificativo.

Esiste già uno schema europeo di certificazione per i servizi di sicurezza gestiti?

No. ENISA ha pubblicato la bozza nella versione 1.1 il 24 luglio 2026 e la consultazione è durata fino al 13 settembre 2026. Per ora la bozza copre solo la risposta agli incidenti.

Quali sanzioni si applicano ai fornitori di servizi di sicurezza gestiti?

Le sanzioni dell'articolo 10 del d.lgs. 123/2022 valgono anche per questi servizi. Vanno da 15.000 a 75.000 euro per certificati o dichiarazioni non conformi e da 200.000 a 1.000.000 di euro per chi ignora un ordine o una diffida dell'ACN.