Il decreto è in vigore. Ma lo schema europeo è ancora una bozza e copre solo l'incident response. Cosa cambia davvero, e per chi.
Una certificazione che (per ora) non devi avere
Dal 6 novembre i servizi di sicurezza gestiti entrano nel quadro di certificazione nazionale. Lo stabilisce il D.lgs 191/2026, pubblicato in Gazzetta Ufficiale il 22 ottobre. In pratica chi vende SOC, incident response, penetration test, audit o consulenza di sicurezza potrà farsi certificare secondo regole comuni, su tre livelli: base, sostanziale ed elevato. A rilasciare i certificati è l'ACN, tramite l'OCSI.
La parola chiave è "volontaria". Oggi nessuna norma obbliga un fornitore a certificarsi. Il decreto attua una delega e aggancia l'Italia al Cybersecurity Act europeo, ma lascia la scelta ai privati. Almeno finché l'ACN non decida di renderla obbligatoria per certi servizi, cosa che la legge le consente di fare.
Volontaria, ma non per tutti allo stesso modo
Qui entra la NIS2. Un ente essenziale che affida la propria sicurezza a un fornitore esterno resta responsabile di quella scelta. Una certificazione comune diventa un modo semplice per dimostrare che il fornitore è stato selezionato con criterio. Non sostituisce la compliance NIS2 — lo dice esplicitamente anche la bozza europea — ma pesa. E nei capitolati di gara può trasformarsi in fretta in un requisito di fatto.
Il dettaglio che conta: lo schema non c'è ancora
C'è un però grosso. Lo schema europeo di riferimento è ancora una bozza. ENISA ne ha pubblicato la versione 1.1 a luglio 2026, la consultazione pubblica si è chiusa a settembre, e per ora copre solo l'incident response. Penetration test, audit e consulenza arriveranno dopo, con una richiesta separata della Commissione. I certificati, quando ci saranno, varranno per il singolo servizio e non per l'azienda, dureranno fino a tre anni con verifiche annuali. Tradotto: l'impalcatura italiana è pronta, il contenuto europeo lo è solo in parte.
Fonte: ICT Security Magazine
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
La parola che conta, in questo decreto, è "volontaria". E ogni volta che la leggo in una norma di sicurezza mi viene da chiedermi quanto durerà. Con le aziende che accompagno verso la NIS2 la domanda su chi fornisce i servizi di sicurezza — il SOC, l'incident response, i penetration test — salta fuori quasi subito, e la risposta più comoda ("tanto li abbiamo dati fuori") non chiude il discorso: la responsabilità della scelta resta all'azienda, non si esternalizza insieme al servizio. Per questo una certificazione comune, in teoria, mi piace: mette un po' d'ordine in un mercato dove "facciamo sicurezza gestita" lo scrive chiunque, con livelli di serietà parecchio diversi.
Il punto debole, semmai, è il tempismo: l'impalcatura è in vigore da ieri, ma lo schema europeo per ora copre solo l'incident response, e per il resto si aspetta. Quindi per molti servizi certificarsi oggi non è nemmeno possibile, e dire a un cliente "pretendi fornitori certificati" sarebbe onesto solo a metà. Mi chiedo dove andrà a finire, tra un paio d'anni, quel "volontaria": se resterà una scelta reale o se gare e capitolati l'avranno già reso un obbligo di fatto senza chiamarlo così. Non ho una risposta netta, e forse è davvero presto per averla.