Servizi di sicurezza gestiti: cosa cambia davvero dal 6 novembre

Il decreto legislativo n. 191/2026 estende al mercato italiano il quadro europeo di certificazione per attività come gestione degli incidenti, test di penetrazione, audit e consulenza specialistica.

 

In breve

Dal 6 novembre 2026 è in vigore il decreto legislativo 1° ottobre 2026, n. 191, che adegua la disciplina italiana al regolamento europeo sulla certificazione della cybersicurezza dei servizi di sicurezza gestiti. Il decreto porta queste attività nel sistema nazionale già costruito intorno all’Agenzia per la cybersicurezza nazionale e chiarisce competenze, vigilanza e sanzioni. L’entrata in vigore non obbliga automaticamente ogni fornitore a ottenere una certificazione: gli effetti concreti dipendono dagli schemi applicabili e dagli atti che ne richiederanno l’uso. Per chi acquista servizi di sicurezza, tuttavia, è già il momento di rendere più rigorosi contratti, verifiche e richieste di evidenze.

 

Perché questa novità riguarda anche chi acquista il servizio

La sicurezza informatica viene affidata sempre più spesso a soggetti esterni. Un’organizzazione può incaricare un fornitore di sorvegliare eventi e anomalie, gestire incidenti, cercare vulnerabilità, eseguire test di penetrazione o svolgere audit specialistici. Sono attività decisive: il cliente mette nelle mani del fornitore accessi, informazioni tecniche e, in alcuni casi, la capacità di intervenire sui sistemi durante una crisi.

Finora la qualità di questi servizi è stata valutata soprattutto attraverso referenze, certificazioni organizzative, requisiti contrattuali e controlli svolti dal cliente. Il quadro europeo aggiunge la possibilità di certificare il servizio secondo requisiti comuni. L’obiettivo è offrire evidenze più confrontabili sul livello di capacità, affidabilità e competenza del prestatore.

Il decreto n. 191/2026 inserisce questa evoluzione nel diritto italiano. Adegua il decreto legislativo n. 123/2022, che disciplina l’attuazione nazionale del quadro europeo di certificazione della cybersicurezza, e attribuisce all’Agenzia per la cybersicurezza nazionale le funzioni previste anche per i servizi di sicurezza gestiti.

 

Quali attività rientrano nel nuovo perimetro

La definizione europea comprende servizi prestati a un soggetto terzo per assisterlo nella gestione dei rischi di cybersicurezza. Tra gli esempi più riconoscibili ci sono la gestione degli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza specialistica. Non basta quindi guardare al nome commerciale del contratto: occorre capire che cosa il fornitore fa davvero, con quali accessi e con quale responsabilità.

Un contratto di assistenza tecnica può includere una componente di sicurezza gestita. Lo stesso può accadere in un servizio cloud, in un presidio continuativo o in un affidamento che combina monitoraggio, risposta agli incidenti e supporto consulenziale. La ricognizione deve partire dalle prestazioni effettive, non dalle sole categorie usate in gara o in fattura.

 

La certificazione non diventa automaticamente obbligatoria

È il passaggio che richiede più cautela. Il decreto entra in vigore il 6 novembre, ma non impone da solo a tutti i fornitori di certificare ogni servizio. Il quadro europeo consente di sviluppare schemi di certificazione con requisiti e livelli di garanzia definiti. L’obbligatorietà può poi derivare da norme o atti specifici, riferiti a determinati settori, servizi o livelli di rischio.

In assenza di questi presupposti, una certificazione resta una possibile evidenza di affidabilità, non un lasciapassare universale. Anche quando è disponibile, non elimina il dovere del cliente di valutare il fornitore e non trasferisce automaticamente a quest’ultimo tutte le responsabilità sulla sicurezza.

È altrettanto importante non confondere questo sistema con la disciplina NIS2. Le due aree possono incontrarsi, perché molti soggetti interessati dalla NIS2 acquistano servizi di sicurezza e devono governare il rischio della catena di fornitura. Restano però piani distinti: la NIS2 stabilisce obblighi di gestione del rischio e di sicurezza per i soggetti che ricadono nel suo ambito; il quadro di certificazione offre strumenti per attestare che prodotti, servizi o processi rispettino requisiti definiti da uno schema.

 

Che cosa dovrebbe fare un fornitore

Il primo passo è costruire una mappa precisa dell’offerta. Per ogni servizio occorre descrivere attività, competenze, accessi ai sistemi del cliente, dipendenze da subfornitori e misure adottate per assicurare continuità e riservatezza. Questa base serve sia a valutare la futura applicabilità di uno schema di certificazione, sia a rispondere in modo credibile alle richieste dei clienti.

Conviene poi verificare quali evidenze siano già disponibili. Certificazioni organizzative, qualifiche del personale, procedure di gestione degli incidenti, registri delle attività, risultati di audit e assicurazioni professionali non coincidono con la certificazione europea del servizio, ma aiutano a dimostrare la solidità dell’organizzazione. Presentarle come equivalenti sarebbe scorretto; organizzarle in un quadro coerente è invece utile.

Infine, il fornitore dovrebbe controllare i contratti. Promesse generiche come “massima sicurezza” o “conformità completa” sono difficili da sostenere e possono creare aspettative non governabili. È preferibile indicare con chiarezza l’oggetto del servizio, gli standard seguiti, le condizioni operative, i tempi di intervento, i limiti delle attività e le responsabilità delle parti.

 

Che cosa dovrebbe verificare il cliente

Per pubbliche amministrazioni e imprese la nuova disciplina è un’occasione per migliorare la selezione dei fornitori. La domanda non dovrebbe essere soltanto “siete certificati?”, perché una risposta positiva ha senso solo se si conoscono lo schema, l’ambito e il livello di garanzia. Occorre chiedere quale servizio sia coperto, per quali attività e con quali esclusioni.

Anche il contratto deve consentire un controllo effettivo. Devono essere comprensibili i livelli di servizio, i flussi di comunicazione durante un incidente, le modalità di accesso ai sistemi, la gestione delle vulnerabilità, il ricorso a subfornitori e la restituzione o cancellazione delle informazioni al termine del rapporto. Se il servizio comporta trattamenti di dati personali, vanno inoltre definiti i ruoli privacy e le istruzioni applicabili.

La certificazione, quando pertinente, potrà diventare una delle evidenze richieste. Non dovrebbe però sostituire l’analisi del rischio né essere usata come requisito sproporzionato. Nelle procedure di acquisto pubblico, in particolare, la richiesta deve essere collegata all’oggetto e al rischio dell’affidamento e formulata in modo coerente con le regole di gara.

 

Un lavoro da iniziare adesso, senza aspettare l’obbligo

Il valore del decreto non sta in un adempimento da eseguire il 6 novembre, ma nella direzione che rende più visibile. I servizi di sicurezza gestiti entrano in un sistema di certificazione pensato per produrre evidenze comuni e controllabili. Fornitori e clienti avranno quindi bisogno di descrizioni più precise, contratti più leggibili e una migliore tracciabilità delle garanzie offerte.

Aspettare che una certificazione diventi obbligatoria può significare arrivare tardi. È più utile censire fin d’ora i servizi, ricostruire le responsabilità e individuare le evidenze già disponibili. Questo lavoro migliora la qualità dell’affidamento anche se, nel caso concreto, nessuno schema di certificazione risulta ancora obbligatorio.

La conclusione è semplice: il decreto non trasforma automaticamente ogni servizio in un servizio certificato, ma alza il livello delle domande che fornitori e clienti devono saper affrontare. La conformità formale arriverà, quando prevista, dentro un rapporto già ben governato; non potrà sostituirlo.

 

Fonti

• Gazzetta Ufficiale, decreto legislativo 1° ottobre 2026, n. 191: https://www.gazzettaufficiale.it/eli/id/2026/10/22/26G00207/sg
• Normattiva, testo vigente: https://www.normattiva.it/atto/caricaDettaglioAtto?atto.codiceRedazionale=26G00207&atto.dataPubblicazioneGazzetta=2026-10-22&qId=&tipoDettaglio=multivigenza
• Regolamento (UE) 2025/37: https://eur-lex.europa.eu/eli/reg/2025/37/oj

 

Nota di trasparenza per la pubblicazione.

Questo contenuto è stato predisposto con il supporto di strumenti di intelligenza artificiale ed è stato revisionato dalla redazione iSimply, che ne assume la responsabilità editoriale.