D.Lgs. 191/2026: servizi di sicurezza gestiti e certificazione cyber in vigore dal 6/11

Prima dell’adeguamento

Il quadro nazionale di certificazione introdotto dal d.lgs. 3 agosto 2022, n. 123 (recepimento del Titolo III del regolamento UE 2019/881) era centrato su prodotti, servizi e processi TIC. I servizi di sicurezza gestiti non erano inseriti con la stessa chiarezza nelle definizioni e negli obblighi di conformità previsti dal decreto 123/2022.

Dopo il d.lgs. 191/2026

Con l’art. 1 il decreto inserisce la definizione di «servizio di sicurezza gestito» e estende a tali servizi le regole già previste per prodotti, servizi e processi TIC: dichiarazione UE di conformità, documentazione tecnica, livelli di certificazione (base, sostanziale, elevato), revoca del certificato con notifica all’Agenzia, aggiornamento dei riferimenti ai soggetti essenziali del d.lgs. 4 settembre 2024, n. 138 e revisione della disciplina sanzionatoria collegata al decreto-legge 14 giugno 2021, n. 82.

• Definizioni (art. 1, modifica art. 3 d.lgs. 123/2022): i servizi di sicurezza gestiti entrano nel perimetro di fabbricante/fornitore e di certificazione.
• Obblighi documentali (art. 7 d.lgs. 123/2022): il fornitore rende disponibili all’Agenzia dichiarazione UE, documentazione tecnica e informazioni sulla conformità anche per i servizi di sicurezza gestiti.
• Dispositivi di firma (art. 2): aggiornamento dell’art. 35 del CAD; l’OCSI accerta la conformità dei dispositivi per firma qualificata e sigillo elettronico.
• Ruolo ACN (art. 3): l’Agenzia per la cybersicurezza nazionale autorizza strutture di Difesa e Interno come organismi di valutazione della conformità e delega il rilascio del certificato europeo di sicurezza cibernetica.
• Oneri pubblici (art. 4): clausola di invarianza finanziaria — attuazione senza nuovi o maggiori oneri a carico della finanza pubblica.

Impatto pratico: le imprese e le partite IVA che vendono servizi di cyber security «gestiti» devono allinearsi al regime di certificazione europeo/nazionale; i clienti, inclusi i soggetti essenziali citati nel d.lgs. 138/2024, possono trovare nei contratti richieste più stringenti su conformità e tracciabilità. Per dettagli operativi su schemi e tempi di certificazione, verificare sul link ufficiale e sui regolamenti UE richiamati.

Il decreto non introduce adempimenti tributari diretti per il contribuente medio. Interessa soprattutto chi opera nel mercato della cibersicurezza e della certificazione, oltre alle amministrazioni che coordinano la sicurezza digitale del Paese.

Fornitori di servizi di sicurezza gestiti (definiti nell’art. 1 come attività verso terzi su gestione rischi cyber: incidenti, penetration test, audit, consulenza specialistica) rientrano nel perimetro modificato dal d.lgs. 123/2022. Anche fabbricanti e fornitori di prodotti, servizi e processi TIC già soggetti al quadro di certificazione vedono aggiornati obblighi e riferimenti normativi.

Pubbliche amministrazioni e enti: l’Agenzia per la cybersicurezza nazionale (ACN) resta autorità nazionale di certificazione; con l’art. 3 sono rafforzati i collegamenti con Ministero della difesa e Ministero dell’interno per organismi di valutazione della conformità e rilascio del certificato europeo. Per la parte firma digitale, l’Organismo di certificazione della sicurezza informatica (OCSI) e l’AgID restano attori centrali nell’art. 35 del CAD.

Le imprese clienti, in particolare i soggetti essenziali di cui al d.lgs. 138/2024 citato nelle modifiche al d.lgs. 123/2022, possono subire effetti indiretti nelle gare e nei contratti che impongono prodotti o servizi certificati, inclusi i servizi di sicurezza gestiti.

Il decreto è tecnico e si applica dal 6 novembre 2026. Non richiede versamenti F24 legati al testo pubblicato in Gazzetta, ma può incidere su contratti, certificazioni e documentazione tecnica. Procedi in modo ordinato.

1. Scarica e leggi il testo integrale dal link ELI della Gazzetta Ufficiale (decreto n. 191/2026, codice 26G00207) e verifica gli articoli 1-4 con il tuo consulente legale o di cyber security.
2. Mappa la tua offerta: controlla se le prestazioni rientrano nella definizione di «servizio di sicurezza gestito» (gestione incidenti, test di penetrazione, audit di sicurezza, consulenza specialistica verso clienti terzi).
3. Se sei fornitore nel perimetro TIC/cyber: allinea documentazione (dichiarazione UE di conformità, documentazione tecnica) alle modifiche dell’art. 7 del d.lgs. 123/2022 e ai sistemi europei di certificazione di cui al regolamento UE 2019/881 — dettagli procedurali: verificare sul link ufficiale e sul sito ACN.
4. Se acquisti servizi gestiti: aggiorna capitolati e contratti chiedendo evidenza di conformità o certificazione ove previsto dal regolamento europeo e dal d.lgs. 123/2022 come modificato.
5. Se operi con firma qualificata o sigilli elettronici: verifica con il tuo provider che i dispositivi rispettino l’art. 35 del CAD dopo le modifiche (certificazione ai sensi dell’art. 30 del regolamento eIDAS e ruolo OCSI).
6. Monitora atti attuativi ACN e AgID: il decreto rimanda a linee guida, termini fissati dall’Agenzia e regolamenti UE; per scadenze interne alla procedura di certificazione, verificare sul link ufficiale.
7. Conserva traccia delle revisioni contrattuali verso clienti pubblici o soggetti essenziali: potrebbero essere richiesti prodotti o servizi certificati anche nella forma di servizio di sicurezza gestito.

Nota per partite IVA e studi: non compare nel testo pubblicato alcun obbligo di comunicazione all’Agenzia delle Entrate o modello F24 specifico per questo decreto. Eventuali costi di certificazione vanno gestiti con la consueta contabilità e fatturazione secondo il contratto; per regole IVA non previste nell’atto, verificare sul link ufficiale o con il commercialista.

L’unica scadenza esplicitamente indicata nella scheda ufficiale della Gazzetta Ufficiale è l’entrata in vigore del provvedimento: 6 novembre 2026. Da quella data le modifiche al d.lgs. 123/2022, al CAD e al decreto-legge cyber 82/2021 producono effetti nel rispetto delle regole di vigenza ordinaria.

Per le sanzioni, l’art. 1 del decreto aggiorna l’art. 10 del d.lgs. 123/2022: la disciplina amministrativa richiama l’art. 17, comma 4-quater, del decreto-legge n. 82 del 2021 al posto del rinvio alla legge 689/1981 in alcuni casi, e estende le ipotesi sanzionatorie ai servizi di sicurezza gestiti, anche quando il mancato rispetto comporta pregiudizio verso soggetti essenziali del d.lgs. 138/2024. Importi precisi delle sanzioni e termini di pagamento non sono nel decreto 191/2026 stesso: vanno letti nelle norme richiamate.

Rischi operativi per chi fornisce o acquista servizi di sicurezza gestiti includono: revoca del certificato con obbligo di notifica all’Agenzia (modifica art. 5 d.lgs. 123/2022), obbligo di mettere a disposizione documentazione per i controlli, e possibile esclusione da appalti o relazioni con soggetti essenziali se la conformità non è dimostrabile. Per tempi massimi di adeguamento dopo provvedimenti dell’Agenzia, il testo prevede l’espressione «entro i termini stabiliti dall’Agenzia e comunque non oltre…»: la durata esatta va verificata sul link ufficiale nel testo coordinato dell’art. 5.

• 6 novembre 2026: vigore del d.lgs. 191/2026 (nota GU).
• Post-vigore: applicazione obblighi di certificazione e documentazione per servizi di sicurezza gestiti come da d.lgs. 123/2022 modificato.
• In caso di violazioni: accertamento e sanzioni secondo d.lgs. 123/2022 e rinvii al dl 82/2021 — dettagli: verificare sul link ufficiale.

Testo pubblicato in Gazzetta Ufficiale — Serie Generale, n. 246 del 22 ottobre 2026: Decreto legislativo 1 ottobre 2026, n. 191 — Norme di adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2025/37 che modifica il regolamento (UE) 2019/881 per quanto riguarda i servizi di sicurezza gestiti (codice redazionale 26G00207).

Consultazione ufficiale: Gazzetta Ufficiale — Decreto legislativo 191/2026 (ELI).

Nota pubblicata sull’atto: entrata in vigore del provvedimento: 06/11/2026.