Il D.Lgs. 191/2026, pubblicato in GU 22 ottobre 2026 n. 246, richiama la gestione degli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza specialistica, compresa l’assistenza tecnica. L’ampliamento del perimetro consente quindi di ricomprendere nel sistema nazionale di certificazione anche attività professionali che incidono direttamente sulla capacità delle organizzazioni di prevenire, individuare e gestire i rischi cyber.

Gli obblighi per i fornitori

L’inclusione di questi servizi nel sistema di certificazione comporta l’applicazione ai relativi fornitori delle regole già previste per prodotti, servizi e processi TIC.

In particolare, il fornitore deve rendere disponibile all’Agenzia per la cybersicurezza nazionale (ACN), per il periodo individuato dal sistema europeo di certificazione applicabile, la dichiarazione UE di conformità, insieme alla documentazione tecnica e alle ulteriori informazioni pertinenti necessarie a dimostrare la conformità del servizio ai requisiti previsti.

L’intervento amplia quindi anche sul piano documentale il perimetro degli adempimenti connessi alla certificazione, estendendolo ai soggetti che offrono servizi di sicurezza gestiti.

Controlli e ruolo dell’ACN

Il decreto interviene anche sulle procedure di controllo e certificazione. In caso di revoca di un certificato viene ora espressamente prevista la contestuale notifica all’ACN.

Sono inoltre aggiornate le disposizioni relative ai termini entro i quali devono essere adottati gli interventi richiesti dall’Agenzia. Il nuovo testo precisa che tali adempimenti devono essere effettuati entro i termini stabiliti dall’ACN e, comunque, nel rispetto del limite massimo previsto dalla normativa.

Viene anche coordinata la disciplina nazionale con i diversi livelli di affidabilità previsti dal sistema europeo di certificazione, includendo, accanto al livello elevato, anche quelli sostanziale e di base.

Esteso anche il sistema sanzionatorio

L’ampliamento del perimetro riguarda anche il sistema sanzionatorio previsto dal D.Lgs. 123/2022. Le disposizioni che facevano riferimento a prodotti, servizi e processi TIC vengono infatti integrate con il richiamo ai servizi di sicurezza gestiti.

Il decreto aggiorna inoltre il collegamento con la disciplina nazionale di recepimento della direttiva NIS 2. In particolare, viene adeguato il riferimento alle ipotesi in cui un servizio abbia determinato un concreto e dimostrato pregiudizio a un soggetto essenziale individuato dall’art. 6 del D.Lgs. 138/2024.

Fonte: D.Lgs. 191/2026 (GU 22 ottobre 2026 n. 246)