01Il fatto
I servizi di sicurezza gestiti, come la gestione degli incidenti, i test di penetrazione e gli audit, rientrano nel sistema nazionale di certificazione della cybersicurezza: lo prevede il D.Lgs. 1° ottobre 2026, n. 191, pubblicato nella Gazzetta Ufficiale n. 246 del 22 ottobre 2026 e in vigore dal 6 novembre 2026. Il decreto adegua l'ordinamento al regolamento (UE) 2025/37, che ha modificato il regolamento (UE) 2019/881 sui servizi di sicurezza gestiti, e interviene sul D.Lgs. 3 agosto 2022, n. 123.
02La regola
Nel D.Lgs. 123/2022 come modificato, l'art. 3 definisce il «servizio di sicurezza gestito» come il servizio prestato a un terzo per attività di gestione dei rischi di cybersicurezza, ed estende a questi servizi le nozioni di messa a disposizione sul mercato, ritiro, vigilanza del mercato, dichiarazione UE di conformità e certificato europeo. I certificati hanno livello di affidabilità elevato, sostanziale o di base (art. 6) e i fornitori devono tenere la documentazione e la dichiarazione UE di conformità a disposizione dell'Agenzia per la cybersicurezza nazionale (art. 7). L'art. 5 disciplina la revoca dei certificati non conformi relativi a questi servizi, quando abbiano causato un pregiudizio ai soggetti essenziali del D.Lgs. 138/2024, con notifica all'Agenzia e termini di riconduzione a conformità non superiori a 120 giorni. Le sanzioni si estendono ai servizi di sicurezza gestiti e sono triplicate per i servizi usati da soggetti essenziali (art. 10).
03Cosa fare
- Per i soggetti essenziali e importanti del D.Lgs. 138/2024, censire i fornitori di servizi di sicurezza gestiti e chiedere a ciascuno se i servizi sono certificati e con quale livello di affidabilità.
- Valutare nei contratti con questi fornitori l'obbligo di comunicare la revoca del certificato, gli eventuali termini di riconduzione a conformità e di mettere a disposizione la dichiarazione UE di conformità.
- Per chi offre servizi di sicurezza gestiti, verificare se le proprie attività rientrano nella nuova definizione e predisporre la documentazione tecnica e la dichiarazione UE di conformità richieste.