Decreto Legislativo 191/2026: come adeguarsi al nuovo Regolamento UE 2025/37

Dal 6 novembre 2026 è in vigore il decreto legislativo 191/2026, pubblicato nella Gazzetta Ufficiale n. 246 del 22 ottobre 2026, che adegua l’ordinamento italiano alle disposizioni del Regolamento UE 2025/37 del Parlamento europeo e del Consiglio del 19 dicembre 2024. Il provvedimento interviene in un settore sempre più strategico — quello della cybersicurezza e dei servizi di sicurezza gestiti — con conseguenze concrete per le imprese e per gli enti che si affidano a fornitori esterni per proteggere le proprie infrastrutture digitali.

Cosa sono i servizi di sicurezza gestiti e perché il legislatore li ha regolamentati

I managed security services — o servizi di sicurezza gestiti — sono prestazioni erogate da fornitori specializzati che si occupano, per conto di un cliente, del monitoraggio continuo delle reti, della rilevazione delle minacce informatiche, della risposta agli incidenti e della gestione delle vulnerabilità. Non si tratta di un semplice supporto tecnico: chi fornisce questi servizi ha accesso diretto e privilegiato ai sistemi del cliente, spesso in tempo reale.

Proprio questa posizione di accesso privilegiato ha spinto il legislatore europeo — e ora quello italiano — a intervenire. Un fornitore di managed security services non adeguatamente controllato può diventare, volontariamente o per negligenza, un vettore di attacco verso le organizzazioni che si affida a lui. I casi di compromissione della catena di fornitura informatica registrati negli ultimi anni in Europa hanno reso evidente la necessità di estendere le regole di certificazione anche a questi operatori.

Il quadro normativo: dal Regolamento UE 2019/881 al Regolamento UE 2025/37

Per comprendere la portata del decreto legislativo 1 ottobre 2026, n. 191, occorre partire dal punto di arrivo della catena normativa. Il Regolamento UE 2019/881 — noto come Cybersecurity Act — aveva istituito il quadro europeo per la certificazione della sicurezza informatica dei prodotti, servizi e processi ICT, affidando all’ENISA (Agenzia dell’Unione europea per la cybersicurezza) il compito di elaborare i relativi schemi di certificazione.

→ Leggi anche: Legge 5 ottobre 2026, n. 173: obblighi di compostabilità per imballaggi — scadenze e sanzioni per imprese

Il Regolamento UE 2025/37 del 19 dicembre 2024 ha modificato quel quadro, estendendo esplicitamente gli obblighi di certificazione ai fornitori di servizi di sicurezza gestiti. Non si trattava di una semplice integrazione tecnica: il Regolamento del 2025 ha introdotto una nuova categoria di soggetti obbligati, con requisiti specifici in materia di controllo, trasparenza e responsabilità. Il decreto legislativo 191/2026 ha il compito di recepire queste modifiche nell’ordinamento nazionale, adattando le disposizioni già vigenti in Italia alle nuove prescrizioni europee.

Cosa cambia concretamente dal 6 novembre 2026

L’entrata in vigore del decreto, fissata al 6 novembre 2026, segna l’estensione degli obblighi di certificazione e dei controlli anche ai fornitori di servizi di sicurezza gestiti. In termini pratici, questo significa che chi eroga servizi di monitoraggio della sicurezza, gestione degli incidenti o analisi delle vulnerabilità per conto terzi è ora soggetto a un regime di verifica più stringente rispetto al passato.

Per le imprese che acquistano questi servizi, la novità più rilevante riguarda la due diligence nella scelta del fornitore: non è più sufficiente affidarsi a una reputazione di mercato o a certificazioni generiche. Il quadro normativo aggiornato impone di verificare che il fornitore sia in regola con i requisiti previsti dagli schemi di certificazione europei applicabili. Per esempio, un’azienda ospedaliera che esternalizza il monitoraggio della propria rete a un operatore esterno dovrà accertarsi che quest’ultimo rispetti le nuove prescrizioni introdotte dal decreto.

Per i fornitori di managed security services, invece, l’adeguamento richiede una revisione dei processi interni, della documentazione tecnica e delle modalità di accesso ai sistemi dei clienti, al fine di soddisfare i criteri previsti dagli schemi di certificazione elaborati in sede europea. Chi non si adegua rischia di trovarsi escluso da gare pubbliche e da contratti con soggetti tenuti a rispettare le norme in materia di cybersicurezza.

→ Leggi anche: Decreto MIT 24 settembre 2026: le nuove regole per le autorizzazioni internazionali nel trasporto merci su strada

Il decreto legislativo 191/2026 nel contesto della strategia italiana sulla cybersicurezza

Il provvedimento si inserisce in un percorso più ampio di rafforzamento della resilienza digitale del Paese. L’Italia ha già recepito la Direttiva NIS 2 e ha istituito l’Agenzia per la Cybersicurezza Nazionale (ACN), che svolge un ruolo centrale nella supervisione del settore. Il decreto legislativo 191/2026 aggiunge un tassello ulteriore, colmando una lacuna che riguardava proprio i soggetti che operano come intermediari della sicurezza: non le infrastrutture critiche in senso stretto, ma chi le protegge.

Il testo del decreto è disponibile nella Gazzetta Ufficiale al portale ufficiale della Gazzetta Ufficiale della Repubblica Italiana, dove è consultabile nella versione integrale pubblicata il 22 ottobre 2026.

Chi deve prestare attenzione e cosa fare adesso

I soggetti direttamente interessati dal decreto sono due categorie distinte, con obblighi differenti.

• Fornitori di managed security services: devono avviare una verifica interna per accertare se i propri processi e le proprie certificazioni siano compatibili con i nuovi requisiti. Nei casi in cui sia necessario ottenere o aggiornare una certificazione secondo gli schemi previsti dal Regolamento UE 2025/37, è opportuno attivarsi tempestivamente, poiché i procedimenti di certificazione richiedono tempi tecnici che possono essere significativi.
• Organizzazioni che utilizzano servizi di sicurezza gestiti: devono rivedere i contratti in essere con i propri fornitori, verificare che questi ultimi rispettino i requisiti normativi aggiornati e, ove necessario, richiedere documentazione aggiornata o rinegoziare le condizioni contrattuali. Questo vale in modo particolare per le pubbliche amministrazioni, gli enti sanitari e le infrastrutture critiche, che hanno obblighi di conformità più stringenti.

Vale la pena ricordare che la regola generale stabilita dal decreto si applica a partire dal 6 novembre 2026, ma la concreta operatività di alcuni obblighi dipende dall’adozione degli schemi di certificazione specifici a livello europeo. Chi si trova in una situazione di incertezza sulla propria posizione — come un fornitore che eroga servizi ibridi, in parte rientranti nella nuova definizione e in parte no — farà bene a valutare il proprio caso con il supporto di un esperto in diritto della cybersicurezza, poiché le sfumature applicative possono variare in modo rilevante.

Il decreto legislativo 191/2026 non è una norma di portata rivoluzionaria per chi già opera con standard elevati di sicurezza informatica: per questi soggetti, l’adeguamento sarà prevalentemente formale. Ma per chi ha finora operato in un contesto meno strutturato, il 6 novembre 2026 segna l’inizio di una fase in cui la certificazione non è più un’opzione, ma una condizione di accesso al mercato.

Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.