CIRCOLARE MONOGRAFICA – IMPRESE
Dal 6 novembre 2026 la certificazione cybersecurity include i servizi gestiti con effetti sulle procedure di certificazione, sulle dichiarazioni di conformità e sui controlli
DI GERARDO URTI | 5 NOVEMBRE 2026
Dal 6 novembre 2026 entrano in vigore le modifiche introdotte dal D.Lgs. n. 191/2026, che adegua la normativa italiana al Regolamento UE n. 2025/37, estendendo il quadro di certificazione della cybersicurezza ai servizi di sicurezza gestiti. Le novità interessano fornitori di servizi specialistici, organismi di valutazione della conformità e imprese committenti, con effetti sulle procedure di certificazione, sulle dichiarazioni di conformità e sui controlli. Resta fondamentale distinguere le certificazioni volontarie dagli eventuali obblighi previsti da specifiche disposizioni.
Premessa
Con il D.Lgs. 1° ottobre 2026, n. 191, pubblicato nella Gazzetta Ufficiale del 22 ottobre 2026, il legislatore italiano adegua la disciplina nazionale al Regolamento UE n. 2025/37, che modifica il Cybersecurity Act (Regolamento UE n. 2019/881).
Il provvedimento interviene sul D.Lgs. n. 123/2022, estendendo il quadro normativo di certificazione della cybersicurezza ai servizi di sicurezza gestiti, ossia alle prestazioni specialistiche rese a terzi per la gestione dei rischi informatici.
Le disposizioni, in vigore dal 6 novembre 2026, interessano principalmente i fornitori di tali servizi e, indirettamente, le imprese che li acquistano. L’intervento non introduce un obbligo generalizzato di certificazione, ma amplia gli strumenti disponibili per attestare la conformità dei servizi ai requisiti europei.
Sintesi delle principali novità
Il D.Lgs. n. 191/2026 interviene sulle definizioni dei servizi interessati, sulle procedure di certificazione e sulle disposizioni relative a conformità, vigilanza e sanzioni. Le principali novità e le relative implicazioni operative sono riepilogate nella tabella seguente.
| Ambito | Novità normativa | Implicazioni operative |
| Entrata in vigore | D.Lgs. n. 191/2026 applicabile dal 6 novembre 2026 | Verificare le disposizioni pertinenti |
| Servizi interessati | Inclusione dei servizi di sicurezza gestiti | Individuare le prestazioni rese a terzi |
| Certificazione | Estensione del quadro europeo ai servizi gestiti | Verificare gli schemi applicabili e l’eventuale obbligatorietà |
| Livelli di affidabilità | Base, sostanziale ed elevato | Identificare il livello previsto dallo schema |
| Dichiarazioni UE | Estensione della disciplina di conformità ai servizi gestiti | Verificare requisiti e documentazione tecnica |
| Vigilanza e sanzioni | Adeguamento dei controlli e delle fattispecie sanzionatorie | Controllare la conformità di certificati e dichiarazioni |
| Rapporti con la NIS2 | Coordinamento delle disposizioni nazionali | Valutare separatamente gli obblighi NIS2 |
Servizi di sicurezza gestiti: quali imprese rientrano nella disciplina
Il D.Lgs. n. 191/2026 introduce nella normativa nazionale la definizione di servizio di sicurezza gestito, comprendendo le attività svolte per conto di terzi e l’assistenza specialistica connessa alla gestione dei rischi di cybersicurezza.
Tra le prestazioni interessate rientrano, in particolare:
- Gestione degli incidenti informatici, comprese le attività di analisi e risposta agli attacchi;
- Test di penetrazione, finalizzati a individuare vulnerabilità dei sistemi;
- Audit di sicurezza, diretti a verificare l’efficacia delle misure adottate;
- Consulenza specialistica in materia di gestione dei rischi informatici.
L’elenco non è esaustivo. Possono rientrare nella disciplina anche servizi di monitoraggio delle minacce e altre prestazioni specialistiche di protezione informatica.
L’elemento determinante è la natura del servizio effettivamente prestato, non la sola classificazione ATECO o l’oggetto sociale dell’impresa.
Per commercialisti e consulenti, la prima verifica consiste quindi nell’esaminare le attività e i contratti dei clienti che operano nel settore informatico, distinguendo i servizi generici dalle prestazioni specificamente rivolte alla gestione dei rischi di cybersicurezza.
Certificazione dei servizi: livelli di affidabilità e obblighi effettivi
Il Decreto estende ai servizi di sicurezza gestiti il quadro europeo di certificazione della cybersicurezza, prevedendo la valutazione della conformità secondo i requisiti stabiliti dagli specifici sistemi europei.
La disciplina contempla tre livelli di affidabilità:
- Base, con verifiche proporzionate ai rischi previsti dal sistema applicabile;
- Sostanziale, con valutazioni più approfondite;
- Elevato, con controlli più rigorosi.
Il livello di affidabilità esprime il grado di valutazione previsto dallo schema di certificazione, senza costituire una garanzia assoluta contro gli incidenti informatici.
La certificazione rimane, in linea generale, volontaria, salvo che specifiche disposizioni europee o nazionali ne prevedano l’obbligatorietà. Pertanto, l’entrata in vigore del Decreto, fissata al 6 novembre 2026, non rappresenta una scadenza generalizzata entro la quale i fornitori devono certificarsi.
Sul piano operativo, le imprese interessate devono verificare l’esistenza di un sistema europeo di certificazione applicabile ai servizi offerti, i requisiti richiesti e l’eventuale presenza di obblighi specifici.
Per commercialisti e consulenti è quindi essenziale distinguere tra certificazioni volontarie, obblighi normativi effettivi e opportunità di qualificazione dei servizi sul mercato.
Dichiarazioni UE di conformità e documentazione da predisporre
Il D.Lgs. n. 191/2026 estende ai servizi di sicurezza gestiti la disciplina delle dichiarazioni UE di conformità, prevedendo, nei casi consentiti dagli specifici sistemi europei, la possibilità per il fornitore di effettuare un’autovalutazione per il livello di affidabilità di base.
La dichiarazione è rilasciata sotto la responsabilità del fornitore e deve rispettare i requisiti stabiliti dal sistema applicabile. Tale procedura si distingue dalla certificazione rilasciata da un organismo di valutazione della conformità.
Il fornitore che ricorre alla dichiarazione UE di conformità deve rendere disponibili all’Agenzia per la cybersicurezza nazionale (ACN) la dichiarazione, la documentazione tecnica e le informazioni pertinenti, per il periodo previsto dal relativo sistema europeo.
Sul piano operativo, è opportuno predisporre un fascicolo documentale di conformità, organizzato in modo da consentire la ricostruzione delle verifiche effettuate e il tempestivo reperimento delle informazioni. In particolare, il fascicolo dovrebbe comprendere:
- Descrizione dei servizi: attività svolte, caratteristiche tecniche, destinatari, modalità di erogazione e perimetro delle prestazioni sottoposte a valutazione;
- Requisiti applicabili: individuazione del sistema europeo di certificazione pertinente, del livello di affidabilità e dei requisiti tecnici e organizzativi da rispettare;
- Analisi dei rischi: documentazione dei principali rischi di cybersicurezza connessi ai servizi erogati e delle misure adottate per prevenirli o mitigarli;
- Procedure operative: protocolli di gestione degli incidenti, monitoraggio delle minacce, controllo degli accessi e gestione delle vulnerabilità, nella misura pertinente al servizio valutato;
- Evidenze delle verifiche: risultati di test, audit, controlli tecnici e altre attività svolte per dimostrare il rispetto dei requisiti applicabili;
- Dichiarazioni e certificati: copie delle dichiarazioni UE di conformità eventualmente rilasciate, dei certificati ottenuti e della relativa documentazione di supporto;
- Gestione delle modifiche: registrazione degli aggiornamenti significativi dei servizi e delle verifiche effettuate per accertare il mantenimento dei requisiti;
- Conservazione documentale: individuazione dei responsabili dell’archiviazione, dei tempi di conservazione previsti dal sistema applicabile e delle modalità di messa a disposizione della documentazione.
L’elenco costituisce una proposta organizzativa, da adattare ai requisiti dello specifico sistema europeo di certificazione. Non tutte le voci rappresentano obblighi documentali autonomi imposti dal Decreto, né la disciplina introduce un fascicolo standard obbligatorio per ogni fornitore informatico.
Per commercialisti e consulenti, questa ricognizione può costituire una check-list preliminare per verificare la preparazione documentale dell’impresa e individuare eventuali carenze prima dell’avvio di una procedura di conformità.
Vigilanza, revoca dei certificati e sanzioni
Il Decreto adegua la disciplina nazionale dei controlli e delle sanzioni all’estensione del quadro europeo di certificazione ai servizi di sicurezza gestiti, intervenendo sugli artt. 5 e 10 del D.Lgs. n. 123/2022.
L’Agenzia per la cybersicurezza nazionale (ACN) esercita le funzioni di vigilanza previste dalla normativa. In presenza di certificati non conformi, possono essere attivate le procedure di revoca e gli interventi necessari al ripristino della conformità, secondo le competenze e i termini stabiliti dalle disposizioni applicabili.
Il Decreto estende ai servizi di sicurezza gestiti diverse fattispecie sanzionatorie. In particolare, l’art. 10 del D.Lgs. n. 123/2022 prevede:
- Da 15.000 a 75.000 euro per l’organismo di valutazione della conformità che rilascia un certificato non conforme, salvo che il fatto costituisca reato;
- Da 30.000 a 150.000 euro per l’organismo che omette la revoca di un certificato su richiesta dell’ACN;
- Da 15.000 a 75.000 euro per il fornitore che rilascia una dichiarazione UE di conformità volontaria non conforme, salvo che il fatto costituisca reato;
- Da 30.000 a 150.000 euro per il fornitore che mette a disposizione un servizio di sicurezza gestito privo della certificazione o dichiarazione UE di conformità obbligatoria, oppure con dichiarazione obbligatoria non conforme, nei casi previsti dalla legge.
Particolare attenzione merita l’aggravamento delle sanzioni previsto dall’art. 10, comma 16. I limiti minimi e massimi delle sanzioni pecuniarie indicate nei commi da 2 a 15 sono triplicati, fermo restando il limite massimo di 5 milioni di euro, quando la violazione riguarda un certificato relativo a prodotti, servizi o processi TIC, oppure a servizi di sicurezza gestiti, rilasciato nell’ambito di un sistema di certificazione destinato all’utilizzo con le finalità o nell’ambito di un servizio erogato da un soggetto essenziale ai sensi dell’art. 6, commi 1 e 2, del D.Lgs. n. 138/2024 (NIS2).
L’aggravamento non opera quindi indistintamente per qualsiasi servizio di cybersecurity, ma nelle specifiche condizioni individuate dalla disposizione.
La semplice assenza di una certificazione non è, di per sé, sanzionabile, quando non sussiste un obbligo di certificazione. Per le imprese interessate assume pertanto rilievo verificare la validità dei certificati, la correttezza delle dichiarazioni e il mantenimento dei requisiti di conformità, prestando particolare attenzione ai servizi destinati a soggetti essenziali.
Rapporti con la NIS2 e verifiche per i consulenti
Il Decreto introduce inoltre disposizioni di coordinamento con la normativa NIS2, aggiornando i riferimenti ai soggetti essenziali individuati dall’art. 6, commi 1 e 2, del D.Lgs. n. 138/2024.
In particolare, il collegamento assume rilievo nelle procedure di revoca dei certificati non conformi e nel regime sanzionatorio, quando siano coinvolti servizi destinati a soggetti essenziali.
Le due discipline conservano finalità differenti: la NIS2 stabilisce obblighi di gestione dei rischi e sicurezza informatica per i soggetti interessati, mentre il Cybersecurity Act disciplina la certificazione europea della cybersicurezza. L’eventuale certificazione non sostituisce automaticamente gli adempimenti NIS2.
Per commercialisti e consulenti aziendali, le verifiche operative possono seguire due percorsi.
Per le imprese che forniscono servizi di cybersecurity:
- Individuare le prestazioni riconducibili ai servizi di sicurezza gestiti;
- Verificare l’esistenza di sistemi europei di certificazione applicabili;
- Accertare l’eventuale obbligatorietà della certificazione;
- Controllare certificati, dichiarazioni di conformità e documentazione tecnica;
- Verificare l’eventuale assoggettamento alla NIS2 e la presenza di clienti qualificati come soggetti essenziali.
Per le imprese che acquistano servizi di cybersecurity:
- Verificare la qualificazione del fornitore e le eventuali certificazioni possedute;
- Definire contrattualmente le prestazioni e le responsabilità delle parti;
- Accertare le procedure previste per la gestione e la comunicazione degli incidenti;
- Valutare se le certificazioni coprano effettivamente i servizi acquistati.
Il nuovo quadro normativo offre quindi strumenti per qualificare i servizi professionali di cybersicurezza, ma richiede una valutazione distinta degli obblighi di certificazione e degli adempimenti NIS2.
Riferimenti normativi:
- D.Lgs. 1° ottobre 2026, n. 191;
- D.Lgs. 4 settembre 2024, n. 138;
- D.Lgs. 3 agosto 2022, n. 123;
- Regolamento UE 19 dicembre 2024, n. 2025/37;
- Regolamento UE 17 aprile 2019, n. 2019/881.
Il contenuto di questa newsletter è strettamente riservato e destinato esclusivamente ai destinatari autorizzati.
È espressamente vietata la condivisione totale o parziale di questa comunicazione su qualsiasi piattaforma pubblica o privata, inclusi (ma non limitati a):
• Gruppi e canali Telegram
• Chat di gruppo o broadcast su WhatsApp
• Post o storie su Facebook, Instagram, X (Twitter), LinkedIn, o altri social network.
Ogni violazione di questa norma potrà comportare l’esclusione immediata dalla lista dei destinatari e, nei casi più gravi, azioni legali.
Grazie per il rispetto delle regole e per contribuire a mantenere la riservatezza delle informazioni condivise.