Servizi di sicurezza gestiti e certificazione cybersecurity: dal 6 novembre 2026 entrano in vigore le nuove regole del D.Lgs. 191/2026 per i fornitori di servizi di sicurezza informatica. Il decreto estende ai servizi svolti per clienti terzi il quadro italiano di certificazione europea: rientrano nella definizione la gestione degli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza specialistica sulla gestione dei rischi cyber. Sono previsti controlli dell’Agenzia per la cybersicurezza nazionale (ACN), documenti di conformità e sanzioni in caso di violazioni.
Attenzione: il decreto non rende automaticamente obbligatoria una certificazione per ogni consulente informatico o per ogni piccola Partita IVA. Il rilascio di dichiarazioni UE di conformità è in linea generale volontario, salvo che specifiche disposizioni europee o nazionali stabiliscano obblighi. Le nuove norme diventano rilevanti soprattutto quando un servizio rientra in uno schema di certificazione applicabile, quando il fornitore intende ottenere un certificato o quando opera in un settore per il quale siano previste attestazioni obbligatorie.
Servizi di sicurezza gestiti: chi rientra
Il decreto legislativo 1° ottobre 2026, n. 191, pubblicato nella Gazzetta Ufficiale n. 246 del 22 ottobre 2026, adegua l’ordinamento italiano al regolamento UE 2025/37, che modifica il Cybersecurity Act europeo. Quest’ultimo estende il quadro di certificazione della cybersicurezza ai cosiddetti managed security services, ossia servizi di sicurezza erogati per conto di altri soggetti.
La definizione introdotta nell’articolo 3 del D.Lgs. 123/2022 comprende le attività svolte da un soggetto a favore di terzi per gestire rischi di cybersicurezza o offrire assistenza connessa. Fra gli esempi normativi vi sono la gestione degli incidenti informatici, i penetration test, le verifiche o audit di sicurezza e la consulenza tecnica specialistica. Il concetto non dipende soltanto dall’etichetta commerciale «MSSP»: conta la sostanza delle prestazioni realmente fornite.
Una società che svolge monitoraggio della sicurezza dei clienti o risposta agli incidenti può quindi rientrare nel campo dei servizi di sicurezza gestiti. Diverso è il caso di un’impresa che acquista un servizio o di un professionista che svolge attività IT non collegata alla gestione dei rischi cyber: il solo possesso di una Partita IVA informatica non basta per attribuire automaticamente ogni obbligo di certificazione. Chi lavora in questo settore può confrontare l’inquadramento economico con la nostra guida su come aprire Partita IVA come cybersecurity specialist, distinta dai nuovi adempimenti tecnici.
−70%STECEi Smartwatch Uomo Donna, Schermo HD da 1,85'' Orologio Smartwatch con Effettua/Risposta Chiamate, 112 Sportive Smart Watch con Contapassi/Sonno/Cardiofrequenzimetro,
−28%INIU Power Bank, Piccolo 45W Ricarica Rapida 10000mAh Caricatore Portatile | Cavo USB C Integrati, Idoneo per Volo, Travel Essenziali da Viaggio, Powerbank per iPhone 17
−11%Vowmoon PC Portatile 15,6 Pollici,FHD 1920×1080,Computer Portatile Processore Celeron N4000, Notebook 8GB RAM 256GB SSD, Win 11, Apertura Schermo 180°, WiFi 5, Bluetooth
−33%Logitech Brio 100 Full HD per riunioni e streaming - Grafite | Bilanciamento illuminazione, microfono, copriobiettivo, USB-A per Microsoft Teams, Google Meet, Zoom ecc
Certificazione cyber: obbligatoria o volontaria?
Il punto da chiarire è che certificazione e dichiarazione UE di conformità non sono la stessa cosa. Il decreto disciplina l’attività degli organismi che emettono certificati di cybersicurezza e, per i casi ammessi dagli schemi europei, la possibilità per il fornitore di rilasciare una dichiarazione di conformità sotto la propria responsabilità. Le valutazioni devono essere riferite a requisiti tecnici specifici del sistema di certificazione utilizzato.
Il quadro distingue livelli di affidabilità di base, sostanziale ed elevato. L’Organismo di certificazione della sicurezza informatica, OCSI, può intervenire nei livelli contemplati dalla normativa. Il livello richiesto dipende dal pertinente schema e dalle regole che disciplinano la valutazione del servizio: non è corretto affermare che qualunque attività di consulenza debba ottenere il livello più alto.
Secondo la disciplina richiamata nell’articolo 7 del D.Lgs. 123/2022, la dichiarazione UE di conformità è volontaria salvo diversa previsione dell’Unione europea o del diritto nazionale. Inoltre, l’ACN può stabilirne l’obbligatorietà nelle fattispecie previste dalla legge. In pratica, prima di sostenere costi o annunciarsi come «certificati», i fornitori devono verificare se esiste uno schema applicabile al servizio offerto, se ammette l’autovalutazione e quale livello sia richiesto.
La distinzione interessa anche i clienti. Un contratto di assistenza cybersecurity non diventa automaticamente certificato perché il fornitore dichiara di seguire buone pratiche; allo stesso tempo l’assenza di una certificazione in un ambito non assoggettato a obbligo non dimostra, da sola, l’illiceità del servizio. Occorre verificare l’esatto regime settoriale e il quadro contrattuale applicabile.
ACN: documentazione e controlli
Le nuove regole estendono ai fornitori dei servizi gestiti gli obblighi documentali previsti nell’ambito degli schemi di certificazione. Quando viene emessa una dichiarazione UE di conformità, devono essere rese disponibili all’Agenzia per la cybersicurezza nazionale la dichiarazione, la documentazione tecnica e le altre informazioni necessarie a dimostrare la conformità al sistema applicabile per il periodo richiesto dallo stesso. Una copia della dichiarazione va trasmessa anche all’ACN e all’ENISA.
Nel caso in cui l’ACN riscontri la non conformità di una dichiarazione UE emessa dal fornitore, la norma richiede di revisionarla o revocarla entro 30 giorni, salvo che lo schema pertinente preveda un termine differente, con relativa comunicazione all’Agenzia e all’ENISA. Non è quindi prudente considerare una dichiarazione firmata una volta come immutabile: occorre monitorare le modifiche del servizio, le evidenze tecniche e le eventuali richieste degli organi di controllo.
Per gli organismi che rilasciano certificati, la disciplina prevede ulteriori obblighi di revoca su richiesta dell’ACN e termini per la riconduzione a conformità: nel quadro aggiornato, la revoca richiesta deve essere eseguita entro cinque giorni, mentre gli adeguamenti disposti dall’Agenzia devono rispettare il termine assegnato e comunque non superare centoventi giorni nelle ipotesi contemplate. Queste sono regole collegate a specifiche attività di certificazione e vigilanza, non termini generali per correggere qualsiasi problema informatico di un’azienda.
Sanzioni cybersecurity: gli importi previsti
Il decreto aggiorna anche l’articolo 10 del D.Lgs. 123/2022. Sono previste sanzioni differenziate in base alla violazione e al soggetto responsabile. Non esiste un’unica «multa cybersecurity» applicabile automaticamente a tutti i consulenti IT: le conseguenze dipendono dall’emissione di certificati o dichiarazioni, dagli eventuali obblighi di conformità e dall’inosservanza delle disposizioni dell’ACN.
| Violazione | Sanzione prevista |
|---|---|
| Certificato non conforme emesso da un organismo di valutazione | Da 15.000 a 75.000 € |
| Mancata revoca del certificato su richiesta ACN | Da 30.000 a 150.000 € |
| Dichiarazione UE volontaria non conforme emessa da fabbricante o fornitore | Da 15.000 a 75.000 € |
| Omessa revisione o revoca della dichiarazione su richiesta | Da 30.000 a 150.000 € |
| Servizio sul mercato privo di attestazione quando obbligatoria | Da 30.000 a 150.000 € |
Il testo prevede inoltre conseguenze ulteriori, tra cui il ritiro di prodotti o l’inibizione dal mercato di servizi nelle situazioni indicate dalla norma. È prevista anche una sanzione da 60.000 a 300.000 euro nei casi specifici di mancata ottemperanza all’ordine di richiamo di prodotti: non deve essere estesa automaticamente alla mancata correzione di qualunque servizio. Gli importi in tabella riguardano violazioni definite dalla legge e operano salvo che il fatto costituisca reato.
Chi vende servizi di sicurezza gestiti deve quindi distinguere fra conformità sostanziale del servizio, correttezza delle dichiarazioni rilasciate e rispetto dei provvedimenti dell’Agenzia. Anche la descrizione commerciale di un certificato deve riflettere esattamente lo schema, il livello e il perimetro delle attività effettivamente valutate. Per leggere le modifiche articolo per articolo è disponibile il testo integrale del D.Lgs. 191/2026 in Gazzetta Ufficiale.
Dal 6 novembre: cosa verificare in azienda
Il provvedimento entra in vigore il 6 novembre 2026, quindici giorni dopo la pubblicazione del 22 ottobre. La data indica l’efficacia delle modifiche legislative nazionali, ma non significa che tutti i prestatori debbano ottenere entro quel giorno un nuovo certificato. Per ciascun servizio occorre verificare lo schema europeo applicabile, le eventuali condizioni di obbligatorietà e gli adempimenti derivanti da contratti, bandi o norme settoriali.
Una verifica utile per il fornitore comprende quattro passaggi: descrivere con precisione i servizi erogati per terzi; individuare gli schemi di certificazione eventualmente applicabili; controllare se esistono dichiarazioni o certificati già emessi; predisporre una raccolta ordinata delle evidenze tecniche e delle comunicazioni verso le autorità quando necessarie. Questa analisi deve essere proporzionata all’attività effettivamente svolta e non trasformata in un obbligo generalizzato privo di base normativa.
Un consulente cybersecurity con Partita IVA deve certificarsi entro novembre? Non per il solo fatto di avere la Partita IVA. L’applicazione di un obbligo dipende dalla natura del servizio, dallo schema e dalle disposizioni pertinenti. La fiscalità del professionista rimane un piano distinto, spiegato nella guida RM al commercialista per cybersecurity specialist.
I penetration test rientrano nei servizi gestiti? Sì, i test di penetrazione sono espressamente citati nella definizione normativa, quando prestati a terzi nel contesto della gestione dei rischi di cybersicurezza.
È la stessa cosa della normativa NIS2? No. Il D.Lgs. 191/2026 modifica il quadro nazionale delle certificazioni europee, mentre gli obblighi di sicurezza e notifica per i soggetti NIS2 derivano da una disciplina distinta. Le due possono interagire, ma non vanno considerate intercambiabili.
Cambia il regime forfettario dei consulenti informatici? Il decreto non introduce nuove aliquote fiscali o codici ATECO. Per le regole fiscali si può consultare la guida sul regime forfettario per consulenti informatici.
Le fonti primarie sono il D.Lgs. 191/2026 pubblicato in Gazzetta il 22 ottobre 2026 e il regolamento UE 2025/37, che estende il quadro europeo ai servizi di sicurezza gestiti. Le imprese devono fare riferimento ai testi normativi e alle indicazioni dell’ACN per determinare con precisione gli obblighi effettivamente applicabili alla loro attività.
Richiedi informazioni sui nostri servizi di apertura, contabilità e gestione fiscale della Partita IVA.
- Apertura della Partita IVA
- Gestione del regime forfettario
- Gestione della contabilità semplificata
Caterina
Servizio clienti
In qualità di Affiliato Amazon io ricevo un guadagno dagli acquisti idonei.