Servizi di sicurezza gestiti, arriva la certificazione europea: chi vi presidia la sicurezza dovrà dimostrarlo

Quando un’azienda affida a terzi il monitoraggio della propria sicurezza, firma uno dei contratti più delicati che abbia. Dentro ci sono gli alert, i log, spesso le credenziali privilegiate e la capacità di intervenire sui sistemi in produzione. Eppure, fino a oggi, per valutare quel fornitore esistevano soprattutto due strumenti: le referenze e la fiducia. Il 2 luglio 2026 il Consiglio dei ministri ha approvato in via preliminare uno schema di decreto legislativo che introduce il terzo: la certificazione europea.

Cosa è stato deciso

Il provvedimento adegua l’ordinamento italiano al regolamento (UE) 2025/37, che a sua volta modifica il Cybersecurity Act (regolamento UE 2019/881) estendendo il sistema europeo di certificazione della cibersicurezza a una categoria finora esclusa: i managed security services, i servizi di sicurezza gestiti.

Il perimetro è ampio e riconoscibile. Rientrano, secondo il comunicato del Consiglio dei ministri, la gestione degli incidenti, i test di penetrazione, gli audit di sicurezza e la consulenza specialistica in materia di cibersicurezza — in sostanza, tutto ciò che oggi un’azienda compra quando decide di non presidiare da sola il proprio rischio informatico.

Il decreto interviene sul d.lgs. 123/2022 e ridisegna le competenze dell’Agenzia per la Cybersicurezza Nazionale, che consolida il doppio ruolo di autorità nazionale di certificazione e di organismo di vigilanza sul mercato: sovrintende all’accreditamento degli organismi di valutazione della conformità e può revocare i certificati quando i requisiti vengono meno. Sono state aggiornate anche le modalità di accreditamento delle strutture specializzate dei ministeri della Difesa e dell’Interno come organismi di valutazione.

Sul piano sanzionatorio, il testo — riportato dalle prime analisi, e ancora soggetto ai pareri parlamentari prima dell’approvazione definitiva — prevede sanzioni amministrative comprese tra 30.000 e 150.000 euro per chi offra servizi certificabili senza disporre di un certificato valido o della documentazione europea prevista, con la possibilità, nei casi più gravi, di un divieto di commercializzazione fino al ripristino della conformità. Ai fornitori è inoltre richiesta la segnalazione tempestiva delle vulnerabilità critiche alle autorità competenti.

Volontario, ma non neutrale

Va detto con precisione, perché è il punto che genera più fraintendimenti: gli schemi europei di certificazione nascono volontari. Nessuna norma obbliga oggi un MSSP a certificarsi, e lo schema tecnico dedicato ai servizi di sicurezza gestiti è ancora in lavorazione presso ENISA, che ha avviato la procedura nel 2024 lavorando a un modello a due dimensioni: requisiti minimi comuni a tutti i servizi, più specifiche calibrate sulle singole tipologie.

Ma «volontario» non significa «irrilevante». Chi ha seguito la parabola delle certificazioni di prodotto sa come va a finire: nel momento in cui esiste uno standard riconosciuto, diventa il riferimento delle gare, delle due diligence e delle clausole contrattuali. E qui il contesto normativo spinge nella stessa direzione. Un soggetto NIS2 deve governare la sicurezza della propria catena di fornitura; un’entità finanziaria sotto DORA deve dimostrare come valuta e controlla i fornitori ICT critici. Per entrambi, un fornitore certificato è la scorciatoia probatoria più comoda che esista.

Uno schema volontario che risolve un problema di prova diventa, molto in fretta, un requisito di fatto: non perché la legge lo imponga, ma perché è la risposta più semplice alla domanda «come avete scelto chi vi difende».

Perché riguarda anche chi non vende sicurezza

Il decreto parla ai fornitori, ma la conseguenza pratica è tutta dal lato di chi compra. Da qui in avanti la valutazione di un servizio di sicurezza gestita smette di essere una questione di brochure e diventa una verifica su tre assi.

• Competenza dimostrabile. Il regolamento chiede che il servizio sia erogato con conoscenze, perizia ed esperienza adeguate: non la certificazione di un prodotto installato, ma la qualità di chi lo governa.
• Processi interni. Procedure di qualità, gestione degli accessi, protezione dei dati del cliente contro accessi non autorizzati. Chi presidia la vostra sicurezza espone un canale privilegiato verso la vostra infrastruttura, e quel canale va difeso.
• Tracciabilità. Un fornitore verificabile è un fornitore che, davanti a un audit NIS2 o a una richiesta di un cliente finanziario, produce evidenze invece di rassicurazioni.

Il decreto tocca anche il Codice dell’amministrazione digitale, richiedendo che i dispositivi per la firma elettronica qualificata dispongano di una certificazione di sicurezza coerente con il quadro eIDAS: un tassello minore nell’economia del provvedimento, ma coerente con la logica di fondo — spostare la fiducia dalla dichiarazione alla verifica.

Il nostro punto di vista

Leggiamo questa novità come una buona notizia per il mercato, e come una conferma di un principio che applichiamo da sempre: un servizio di sicurezza vale quanto la sua capacità di essere dimostrato. Il presidio continuo che eroghiamo con il SOC · Smart Care non è un abbonamento a una console, ma un processo con ruoli, tempi di risposta, escalation e tracciamento — esattamente le dimensioni che uno schema di certificazione andrà a misurare.

Il consiglio operativo, per un’azienda italiana che oggi ha in essere un contratto di sicurezza gestita, è di non aspettare che lo schema europeo diventi operativo. Le domande da porre al proprio fornitore sono già disponibili: chi accede ai nostri sistemi e con quali privilegi, come vengono protetti i dati che ci riguardano, quali evidenze possiamo produrre in caso di audit, cosa succede il giorno in cui decidiamo di cambiare partner. Sono le stesse domande che poniamo a noi stessi quando progettiamo i managed services: la certificazione, quando arriverà, non farà che metterle per iscritto.