Il decreto legislativo 1 ottobre 2026, n. 191 è stato pubblicato nella Gazzetta Ufficiale del 22 ottobre 2026 ed entrerà in vigore il 6 novembre. L'atto adegua l'ordinamento italiano al regolamento (UE) 2025/37, che ha esteso il quadro europeo di certificazione della cibersicurezza ai servizi di sicurezza gestiti. Alla data di questa analisi il decreto è quindi adottato e pubblicato, ma non ancora vigente; non è una proposta, né prova che un determinato fornitore o servizio sia già certificato.
La nuova definizione nazionale comprende i servizi prestati a terzi per svolgere o assistere attività di gestione dei rischi cyber, indicando come esempi gestione degli incidenti, test di penetrazione, audit di sicurezza e consulenza specialistica relativa all'assistenza tecnica. Il decreto inserisce questi servizi nelle regole già previste dal d.lgs. 123/2022 per prodotti, servizi e processi TIC, comprese certificazione, vigilanza e controllo di conformità. L'estensione riguarda il perimetro giuridico del sistema: i requisiti concreti dipendono dal sistema europeo di certificazione applicabile e dal livello di affidabilità previsto.
Quando un sistema europeo consente la dichiarazione UE di conformità, anche il fornitore di un servizio di sicurezza gestito deve rendere disponibili all'Agenzia per la cybersicurezza nazionale la dichiarazione, la documentazione tecnica e le altre informazioni pertinenti per il periodo stabilito da quel sistema. Il testo coordina inoltre i poteri dell'Agenzia su certificati non conformi e richiama i livelli di affidabilità di base, sostanziale ed elevato. Non introduce però nel decreto un certificato unico utilizzabile indistintamente per ogni servizio cyber.
L'articolo 3 conferma l'Agenzia quale autorità nazionale di certificazione e disciplina l'autorizzazione delle strutture specializzate dei Ministeri della difesa e dell'interno come organismi di valutazione per gli schemi che prevedono requisiti specifici o supplementari. L'articolo 2 aggiorna separatamente il Codice dell'amministrazione digitale sulla certificazione dei dispositivi per firma e sigillo elettronici, collegandola all'articolo 30 del regolamento eIDAS e all'OCSI. Sono interventi coordinati, ma non trasformano ogni contratto di sicurezza informatica in un servizio certificato.
Lettura operativa dello Studio: imprese e fornitori dovrebbero censire i servizi effettivamente erogati o acquistati, distinguendo attività gestite continuative, interventi su incidente, penetration test, audit e consulenza. Nei contratti conviene collegare perimetro, livelli di servizio, evidenze tecniche, subfornitori, gestione degli incidenti e dichiarazioni di conformità al sistema realmente applicabile. Prima di utilizzare formule come «certificato» o «conforme» occorre verificare schema, livello di affidabilità, organismo competente, validità temporale e documentazione: la sola entrata in vigore del decreto non sostituisce queste verifiche.
In pratica
Dal 6 novembre i servizi di sicurezza gestiti rientreranno espressamente nel quadro nazionale di certificazione cyber: contratti e comunicazioni commerciali devono indicare lo schema e le evidenze realmente applicabili. Luigi Palma · Palma Studio.
