DECRETO LEGISLATIVO 1 ottobre 2026, n. 191

Adeguamento della disciplina nazionale sulla certificazione di cybersicurezza

Il decreto coordina la normativa nazionale sulla certificazione europea di cybersicurezza con l’evoluzione della disciplina europea e con le disposizioni nazionali in materia di soggetti essenziali. Le modifiche riguardano soprattutto il d.lgs. 3 agosto 2022, n. 123, oltre al Codice dell’amministrazione digitale e al decreto-legge n. 82/2021.

Servizi di sicurezza gestiti e ambito della certificazione

Nel d.lgs. n. 123/2022 viene introdotta la definizione di «servizio di sicurezza gestito»: il servizio prestato a un terzo che consiste nello svolgimento di attività, o nell’assistenza per tali attività, connesse alla gestione dei rischi di cybersicurezza. Gli esempi indicati comprendono la gestione degli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza, inclusa quella specialistica relativa all’assistenza tecnica.

La categoria è aggiunta alle disposizioni del decreto legislativo che disciplinano prodotti e servizi TIC, processi TIC, certificazione, conformità e vigilanza. Viene inoltre aggiornata la definizione dei fornitori rilevanti, includendo i fornitori di servizi di sicurezza gestiti. Il fabbricante o fornitore deve rendere disponibili all’Agenzia per la cybersicurezza nazionale, per il periodo stabilito dal pertinente sistema europeo ai sensi dell’articolo 54, paragrafo 1, lettera q), del regolamento (UE) 2019/881, la dichiarazione UE di conformità, la documentazione tecnica e le altre informazioni pertinenti relative alla conformità al sistema.

Certificazione, vigilanza e procedure

Le modifiche al d.lgs. n. 123/2022 aggiornano la disciplina dei livelli di affidabilità, specificando quelli «elevato, sostanziale e di base», e sostituiscono il riferimento alla vigilanza nazionale con quello alla certificazione.

In materia di revoca del certificato è previsto che ne sia data contestuale notifica all’Agenzia. I termini per gli adempimenti interessati sono stabiliti dall’Agenzia, fermo restando che non possono eccedere i limiti previsti dalla disposizione. È inoltre corretto un rinvio interno relativo ai commi applicabili.

La disciplina sanzionatoria e le relative procedure vengono coordinate con l’articolo 17, comma 4-quater, del decreto-legge n. 82/2021, in luogo del generico richiamo alla legge n. 689/1981. Le disposizioni interessate sono estese ai servizi di sicurezza gestiti. Per le ipotesi di pregiudizio concreto e dimostrato, i riferimenti ai servizi essenziali e ai servizi di comunicazione elettronica sono sostituiti da quello ai servizi erogati da soggetti essenziali individuati dall’articolo 6, commi 1 e 2, del d.lgs. 4 settembre 2024, n. 138.

Anche le disposizioni sulle entrate e sulle risorse connesse alle attività dell’Agenzia sono coordinate con l’articolo 18 del decreto-legge n. 82/2021 e includono i servizi di sicurezza gestiti tra gli ambiti rilevanti.

Dispositivi di firma e codice dell’amministrazione digitale

All’articolo 35 del d.lgs. n. 82/2005, il riferimento allo schema nazionale per i dispositivi di firma elettronica qualificata è sostituito dal richiamo all’articolo 30 del regolamento eIDAS. Nel comma 5 viene indicato l’OCSI e sono soppressi i successivi due periodi del comma, eliminando le disposizioni ivi contenute.

Competenze dell’Agenzia per la cybersicurezza nazionale

È modificato l’articolo 7, comma 1, lettera e), del decreto-legge n. 82/2021. L’Agenzia autorizza, ai sensi dell’articolo 60, paragrafo 3, del regolamento (UE) 2019/881, le strutture specializzate dei Ministeri della difesa e dell’interno quali organismi di valutazione della conformità per i sistemi europei di certificazione della cybersicurezza che stabiliscono requisiti specifici o supplementari ai sensi dell’articolo 54, paragrafo 1, lettera f), dello stesso regolamento. È aggiornato anche il rinvio normativo relativo alle autorizzazioni contemplate dal successivo numero 2), ora riferito all’articolo 60, paragrafo 1.

Copertura finanziaria

Le amministrazioni attuano il decreto con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente, senza nuovi o maggiori oneri per la finanza pubblica.