Decreto Legislativo 191/2026: nuove regole per i servizi di sicurezza gestiti in materia di cybersicurezza
Integrazione europea nella normativa sulla cybersicurezza
Il Presidente della Repubblica ha promulgato il Decreto Legislativo 1 ottobre 2026, n. 191, atto volto ad adeguare la legislazione nazionale al Regolamento (UE) 2025/37. Tale provvedimento modifica il Regolamento (UE) 2019/881 relativo all’ENISA e alla certificazione della cibersicurezza per le tecnologie dell’informazione e della comunicazione. L’entrata in vigore del decreto è fissata al 6 novembre 2026.
Nuova definizione operativa
L’articolo 1 introduce nell’ambito di applicazione del decreto legislativo n. 123 del 2022 una nuova categoria giuridica: il “servizio di sicurezza gestito”. Tale servizio è definito come un’attività prestata a un terzo, consistente nello svolgimento di attività o nella fornitura di assistenza legate alla gestione dei rischi in materia di cybersicurezza. Gli esempi esplicitati includono la gestione degli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza specialistica relativa all’assistenza tecnica.
Ampia estensione della disciplina
Il testo normativo amplia il perimetro delle attività soggette a certificazione. Le disposizioni si applicano non solo ai prodotti TIC o ai servizi TIC, ma includono esplicitamente anche i servizi di sicurezza gestiti. Questa inclusione riguarda:
- i prodotti e servizi TIC;
- i fornitori di tali servizi;
- i processi collegati a essi.
In caso di pregiudizio dimostrato, l’ambito di applicazione si estende ora anche ai servizi di sicurezza gestiti che abbiano comportato un danno a un soggetto essenziale.
Obblighi di notifica e termini
Viene introdotto un nuovo obbligo procedimentale: la revoca del certificato deve essere comunicata contestualmente all’Agenzia per la cybersicurezza nazionale. Inoltre, i termini per l’adempimento delle procedure saranno quelli stabiliti dall’Agenzia stessa e comunque non oltre i limiti da essa definiti.
Aggiornamento dei riferimenti normativi
L’atto ricalibra i riferimenti legislativi interni, aggiornando il Codice dell’amministrazione digitale e le disposizioni urgenti in materia di cybersicurezza del 2021. Vengono altresì modificati gli articoli relativi all’incremento della dotazione finanziaria dell’Agenzia per la gestione dei capitoli di bilancio.
Chiarezza sulla natura dell’atto
Tale provvedimento si configura come un atto di adeguamento normativo alle direttive europee, senza introdurre una disciplina in materia di salute e sicurezza sul lavoro. Le modifiche apportate al decreto legislativo n. 123 del 2022 sono dettagliate negli articoli specifici dell’atto, che sostituiscono o integrano le definizioni precedenti per includere la nuova categoria dei servizi gestiti.
Nota: il testo riporta estratti ufficiali della Gazzetta Ufficiale Serie Generale n. 246 del 22-10-2026.
Fonte: Gazzetta Ufficiale, 22 ottobre 2026
Fonti e approfondimenti
- https://www.gazzettaufficiale.it/eli/id/2026/10/22/26G00207/SG
- https://www.gazzettaufficiale.it/atto/serie_generale/caricaArticoloDefault/originario?atto.dataPubblicazioneGazzetta=2026-10-22&atto.codiceRedazionale=26G00207&atto.tipoProvvedimento=DECRETO%20LEGISLATIVO
Dott. Gaetano Pitarresi
Presidente Associazione Virtute et Conoscentia - ETS
Contenuto elaborato con il supporto di strumenti di intelligenza artificiale e sottoposto a revisione e approvazione prima della pubblicazione.
Ultimo aggiornamento: Ottobre 24, 2026