La cybersicurezza assume un ruolo sempre più importante nella gestione dei rischi aziendali, soprattutto quando la protezione delle infrastrutture informatiche, il monitoraggio delle minacce e la risposta agli incidenti vengono affidati a fornitori esterni.
Con il Decreto Legislativo 1° ottobre 2026, n. 191, pubblicato nella Gazzetta Ufficiale n. 246 del 22 ottobre 2026, l’Italia adegua la normativa nazionale al Regolamento (UE) 2025/37, che modifica il Cybersecurity Act europeo, Regolamento (UE) 2019/881, estendendone il quadro di certificazione ai servizi di sicurezza gestiti.
Il provvedimento entrerà in vigore dal 6 novembre 2026.
Per le organizzazioni che adottano un sistema di gestione della sicurezza delle informazioni secondo la UNI CEI EN ISO/IEC 27001, la novità costituisce un’occasione per riesaminare i criteri di qualificazione e controllo dei fornitori di servizi di cybersicurezza.
1. Che cosa sono i servizi di sicurezza gestiti?
Il decreto introduce espressamente nell’ordinamento nazionale la definizione di servizio di sicurezza gestito, riferita ai servizi prestati a terzi per la gestione dei rischi di cybersicurezza.
Rientrano tra gli esempi richiamati dalla disposizione:
- gestione degli incidenti informatici;
- test di penetrazione (penetration test);
- audit di sicurezza;
- consulenza specialistica in materia di cybersicurezza;
- assistenza tecnica connessa alla gestione dei rischi informatici.
Si tratta quindi di attività che molte organizzazioni affidano a soggetti esterni, anche nell’ambito di contratti continuativi di outsourcing.
2. Le principali novità introdotte dal decreto
Estensione del quadro europeo di certificazione. I servizi di sicurezza gestiti vengono inclusi nella disciplina nazionale relativa alla certificazione europea della cybersicurezza, insieme ai prodotti e ai servizi TIC già contemplati.
Documentazione della conformità. Il decreto estende ai fornitori di servizi di sicurezza gestiti le disposizioni sulla disponibilità, nei casi pertinenti, delle dichiarazioni UE di conformità, della documentazione tecnica e delle informazioni richieste dal sistema europeo di certificazione applicabile.
Livelli di affidabilità della certificazione. La disciplina nazionale viene aggiornata per contemplare anche i livelli di affidabilità di base e sostanziale, oltre a quello elevato.
Vigilanza e gestione delle non conformità. Vengono aggiornate le disposizioni riguardanti i controlli, gli interventi dell’Agenzia per la Cybersicurezza Nazionale (ACN) e i meccanismi relativi ai certificati non conformi.
È importante precisare che il decreto non impone automaticamente a ogni fornitore di servizi informatici di ottenere una nuova certificazione. L’effettiva applicazione dei requisiti di certificazione dipende dal quadro normativo e dagli specifici schemi europei applicabili.
3. Quali aziende possono essere interessate?
Gli effetti più diretti riguardano i fornitori di servizi di sicurezza gestiti, quali operatori specializzati nella risposta agli incidenti, nei controlli di sicurezza e nelle attività di consulenza tecnica.
Un interesse operativo riguarda anche le organizzazioni clienti che esternalizzano attività critiche di sicurezza informatica.
Per esempio, un’azienda che affida a un fornitore esterno il monitoraggio continuo delle minacce potrebbe ritenere opportuno riesaminare il contratto, le garanzie di competenza del fornitore, i tempi di risposta agli incidenti e le evidenze di controllo disponibili.
Questa verifica rappresenta una raccomandazione di buona gestione del rischio, non un nuovo obbligo generalizzato introdotto dal D.Lgs. 191/2026 per tutte le aziende clienti.
4. L’impatto sui sistemi di gestione ISO/IEC 27001
La ISO/IEC 27001:2022 prevede un approccio strutturato alla gestione dei rischi per la sicurezza delle informazioni, compresi quelli derivanti dalle relazioni con i fornitori.
La novità normativa può essere presa in considerazione soprattutto rispetto ai seguenti controlli dell’Allegato A:
| Controllo ISO/IEC 27001 | Possibile applicazione |
|---|---|
| A.5.19 – Sicurezza delle informazioni nelle relazioni con i fornitori | Riesame dei criteri di selezione e qualificazione |
| A.5.20 – Sicurezza delle informazioni negli accordi con i fornitori | Verifica dei requisiti contrattuali di sicurezza |
| A.5.21 – Sicurezza nella catena di fornitura ICT | Valutazione delle dipendenze e dei rischi di filiera |
| A.5.22 – Monitoraggio, riesame e gestione delle modifiche dei servizi dei fornitori | Controlli periodici e gestione delle variazioni |
| A.5.23 – Sicurezza delle informazioni nell’utilizzo di servizi cloud | Verifiche specifiche, quando i servizi coinvolgono il cloud |
Il collegamento con questi controlli è un’interpretazione applicativa per i sistemi di gestione, non una modifica del testo della ISO/IEC 27001 introdotta dal decreto.
5. Cinque verifiche pratiche da effettuare in azienda
Per tradurre la novità normativa in un’attività concreta, le organizzazioni possono avviare un riesame proporzionato dei propri servizi esternalizzati:
- Censire i servizi di cybersicurezza affidati all’esterno, identificando attività, fornitori e processi interessati.
- Valutare la criticità dei servizi, considerando dati trattati, accessi privilegiati, continuità operativa e dipendenza dal fornitore.
- Verificare le garanzie del fornitore, comprese competenze, certificazioni effettivamente pertinenti, procedure di risposta agli incidenti e livelli di servizio.
- Riesaminare gli accordi contrattuali, con particolare attenzione a riservatezza, incident reporting, subfornitura e responsabilità.
- Documentare le decisioni, aggiornando, ove necessario, la valutazione dei rischi, il piano di trattamento e i registri dei fornitori.
6. Il rapporto con NIS2 e ISO/IEC 27001
Il D.Lgs. 191/2026 si inserisce nel quadro della certificazione della cybersicurezza, ma non deve essere confuso con la disciplina NIS2.
Le due normative possono interagire nella gestione dei rischi della catena di fornitura, pur avendo finalità e ambiti applicativi differenti.
Analogamente, una certificazione ISO/IEC 27001 del fornitore e un’eventuale certificazione europea di uno specifico servizio di sicurezza gestito non sono automaticamente equivalenti: possono riguardare oggetti, requisiti e perimetri diversi.
7. Conclusioni: dalla novità normativa al controllo dei fornitori
Il D.Lgs. 191/2026 rafforza l’inquadramento normativo dei servizi di sicurezza gestiti nel sistema europeo di certificazione della cybersicurezza.
Per i fornitori specializzati, il provvedimento richiede attenzione all’evoluzione degli schemi di certificazione applicabili. Per le aziende clienti, rappresenta un’occasione per verificare la solidità dei processi di qualifica, monitoraggio e controllo dei fornitori ICT.
Il messaggio per chi gestisce un sistema ISO/IEC 27001 è semplice: non basta conoscere le certificazioni dichiarate dal fornitore; occorre verificare che le garanzie offerte siano pertinenti ai servizi acquistati e ai rischi effettivamente presenti.
