§ 81.1.131 - D.Lgs. 1 ottobre 2026, n. 191.

Norme di adeguamento della normativa nazionale alle disposizioni del regolamento (UE) 2025/37 del Parlamento europeo e del Consiglio, del 19 dicembre 2024, che modifica il regolamento (UE) 2019/881 per quanto riguarda i servizi di sicurezza gestiti.

(G.U. 22 ottobre 2026, n. 246)

 

     IL PRESIDENTE DELLA REPUBBLICA

 

     Visti gli articoli 76 e 87, quinto comma, della Costituzione;

     Vista la legge 23 agosto 1988, n. 400, recante «Disciplina dell'attività di Governo e ordinamento della Presidenza del Consiglio dei Ministri» e, in particolare, l'articolo 14;

     Vista la legge 24 dicembre 2012, n. 234, recante «Norme generali sulla partecipazione dell'Italia alla formazione e all'attuazione della normativa e delle politiche dell'Unione europea» e, in particolare, gli articoli 31 e 32;

     Vista la legge 17 marzo 2026, n. 36, recante «Delega al Governo per il recepimento delle direttive europee e l'attuazione di altri atti dell'Unione europea - Legge di delegazione europea 2025» e, in particolare, l'articolo 16;

     Visto il regolamento (UE) 2025/37 del Parlamento europeo e del Consiglio, del 19 dicembre 2024, che modifica il regolamento (UE) 2019/881 per quanto riguarda i servizi di sicurezza gestiti;

     Visto il regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio, del 17 aprile 2019, relativo all'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell'informazione e della comunicazione, e che abroga il regolamento (UE) n. 526/2013;

     Visto il decreto legislativo 7 marzo 2005, n. 82, recante «Codice dell'amministrazione digitale»;

     Visto il decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109, recante «Disposizioni urgenti in materia di cybersicurezza, definizione dell'architettura nazionale di cybersicurezza e istituzione dell'Agenzia per la cybersicurezza nazionale»;

     Visto il decreto legislativo 3 agosto 2022, n. 123, recante «Norme di adeguamento della normativa nazionale alle disposizioni del Titolo III «Quadro di certificazione della cibersicurezza» del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio del 17 aprile 2019 relativo all'ENISA, l'Agenzia dell'Unione europea per la cibersicurezza, e alla certificazione della cibersicurezza per le tecnologie dell'informazione e della comunicazione, e che abroga il regolamento (UE) n. 526/2013 («regolamento sulla cibersicurezza»)»;

     Vista la legge 28 giugno 2024, n. 90, recante «Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici»;

     Visto il decreto legislativo 4 settembre 2024, n. 138, recante «Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cibersicurezza nell'Unione, recante modifica del regolamento (UE) n. 910/2014 e della direttiva (UE) 2018/1972 e che Abroga la direttiva (UE) 2016/1148»;

     Sentita l'Agenzia per la cybersicurezza nazionale;

     Vista la preliminare deliberazione del Consiglio dei ministri, adottata nella riunione del 2 luglio 2026;

     Acquisiti i pareri delle competenti Commissioni della Camera dei deputati e del Senato della Repubblica;

     Vista la deliberazione del Consiglio dei ministri, adottata nella riunione del 16 settembre 2026;

     Sulla proposta del Presidente del Consiglio dei ministri e del Ministro per gli affari europei, il PNRR e le politiche di coesione, di concerto con i Ministri degli affari esteri e della cooperazione internazionale, della giustizia, dell'economia e delle finanze, delle imprese e del made in Italy, dell'interno e della difesa;

 

     Emana

     il seguente decreto legislativo:

 

Art. 1. Modifiche al decreto legislativo 3 agosto 2022, n. 123

     1. Al decreto legislativo 3 agosto 2022, n. 123, sono apportate le seguenti modificazioni:

     a) all'articolo 3, comma 1:

     1) dopo la lettera a) è inserita la seguente:

     «a-bis) "servizio di sicurezza gestito": un servizio prestato a un terzo consistente nello svolgimento di attività o nella fornitura di assistenza per tali attività, legate alla gestione dei rischi in materia di cybersicurezza, ad esempio servizi di gestione degli incidenti, test di penetrazione, audit di sicurezza e consulenza, tra cui consulenza specialistica, relativa all'assistenza tecnica;»;

     2) alla lettera d), le parole: «prodotto TIC o di un servizio TIC» sono sostituite dalle seguenti: «prodotto TIC, di un servizio TIC o di un servizio di sicurezza gestito»;

     3) alla lettera f), le parole: «prodotto TIC o servizio TIC» sono sostituite dalle seguenti: «prodotto TIC, di un servizio TIC o di un servizio di sicurezza gestito»;

     4) alla lettera g), dopo le parole: «ad essi collegati» sono inserite le seguenti: «nonchè i servizi di sicurezza gestiti»;

     5) alla lettera u), le parole: «prodotti TIC o fornitore di servizi TIC» sono sostituite dalle seguenti: «prodotti TIC, un fornitore di servizi TIC o un fornitore di servizi di sicurezza gestiti»;

     6) alla lettera z), le parole: «servizio TIC o processo TIC» sono sostituite dalle seguenti: «servizio TIC, processo TIC o servizio di sicurezza gestito»;

     b) all'articolo 5:

     1) al comma 4, lettera b), le parole: «servizio TIC o processo TIC che ha comportato un concreto e dimostrato pregiudizio ad un servizio essenziale ai sensi dell'allegato II del decreto legislativo 18 maggio 2018, n. 65, o a un servizio di comunicazione elettronica ai sensi dell'articolo 2, comma 1, lettera fff), del decreto legislativo 1° agosto 2003, n. 259,» sono sostituite dalle seguenti: «servizio TIC, processo TIC o servizio di sicurezza gestito che ha comportato un concreto e dimostrato pregiudizio a un soggetto essenziale di cui all'articolo 6, commi 1 e 2, del decreto legislativo 4 settembre 2024, n. 138,»;

     2) al comma 5, secondo periodo, dopo le parole: «revoca del certificato» sono inserite le seguenti: «, dandone contestuale notifica all'Agenzia,»;

     3) al comma 6, primo periodo, dopo la parola: «entro» sono inserite le seguenti: «i termini stabiliti dall'Agenzia e comunque non oltre»;

     4) al comma 9, le parole: «commi 3, 8 e 9» sono sostituite dalle seguenti: «commi 3 e 8»;

     c) all'articolo 6, comma 1, dopo le parole: «affidabilità elevato» sono inserite le seguenti: «, sostanziale e di base» e le parole: «vigilanza nazionale» sono sostituite dalla seguente: «certificazione»;

     d) all'articolo 7:

     1) al comma 1, le parole: «servizi TIC o processi TIC» sono sostituite dalle seguenti: «servizi TIC, processi TIC o servizi di sicurezza gestiti»;

     2) al comma 2, il primo periodo è sostituito dal seguente: «Il fabbricante o fornitore di prodotti TIC, servizi TIC, processi TIC o servizi di sicurezza gestiti rende disponibile all'Agenzia, per il periodo stabilito nel corrispondente sistema europeo di certificazione della cybersicurezza ai sensi dell'articolo 54, paragrafo 1, lettera q), del Regolamento, la dichiarazione UE di conformità, la documentazione tecnica e tutte le altre informazioni pertinenti relative alla conformità dei prodotti TIC, servizi TIC o servizi di sicurezza gestiti al sistema.»;

     e) all'articolo 9, comma 3, le parole: «servizi TIC o processi TIC» sono sostituite dalle seguenti: «servizi TIC, processi TIC o servizi di sicurezza gestiti»;

     f) all'articolo 10:

     1) al comma 1, secondo periodo, le parole: «, in quanto compatibile, la disciplina della legge 24 novembre 1981, n. 689» sono sostituite dalle seguenti: «l'articolo 17, comma 4-quater, del decreto-legge n. 82 del 2021»;

     2) al comma 4, primo periodo, le parole: «o servizio TIC» sono sostituite dalle seguenti: «, un servizio TIC o un servizio di sicurezza gestito»;

     3) al comma 5, le parole: «o di un servizio TIC» sono sostituite dalle seguenti: «, di un servizio TIC o di un servizio di sicurezza gestito»;

     4) al comma 8:

     4.1) al primo periodo, le parole: «servizi TIC o processi TIC» sono sostituite dalle seguenti: «servizi TIC, processi TIC o servizi di sicurezza gestiti»;

     4.2) al secondo periodo, le parole: «servizio TIC o processo TIC» sono sostituite dalle seguenti: «servizio TIC, processo TIC o servizio di sicurezza gestito»;

     5) al comma 16, le parole: «servizio TIC o ad un processo TIC» sono sostituite dalle seguenti: «servizio TIC, ad un processo TIC o a un servizio di sicurezza gestito» e le parole: «essenziale ai sensi dell'allegato II del decreto legislativo 18 maggio 2018, n. 65, o di un servizio di comunicazione elettronica ai sensi dell'articolo 2, comma 1, lettera fff), del decreto legislativo 1° agosto 2003, n. 259» sono sostituite dalle seguenti: «erogato da un soggetto essenziale di cui all'articolo 6, commi 1 e 2, del decreto legislativo 4 settembre 2024, n. 138»;

     g) all'articolo 13:

     1) al comma 1, le parole: «per incrementare la dotazione degli appositi capitoli dell'Agenzia» sono sostituite dalle seguenti: «di cui all'articolo 18 del decreto-legge n. 82 del 2021»;

     2) al comma 3, le parole: «per incrementare la dotazione dei capitoli del bilancio dell'Agenzia» sono sostituite dalle seguenti: «di cui all'articolo 18 del decreto-legge n. 82 del 2021, e» e le parole: «servizi TIC e processi TIC» sono sostituite dalle seguenti: «servizi TIC, processi TIC e servizi di sicurezza gestiti».

 

     Art. 2. Modifiche all'articolo 35 del codice dell'amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82

     1. All'articolo 35 del codice dell'amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, sono apportate le seguenti modificazioni:

     a) al comma 4, le parole: «dello schema nazionale di cui al comma 5» sono sostituite dalle seguenti: «dell'articolo 30 del regolamento eIDAS»;

     b) al comma 5:

     1) al primo periodo, le parole da: «in base allo schema nazionale» fino a: «delle attività produttive e dell'economia e delle finanze» sono sostituite dalle seguenti: «(OCSI)»;

     2) il secondo e il terzo periodo sono soppressi.

 

     Art. 3. Modifiche all'articolo 7 del decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109

     1. All'articolo 7, comma 1, lettera e), del decreto-legge 14 giugno 2021, n. 82, convertito, con modificazioni, dalla legge 4 agosto 2021, n. 109, sono apportate le seguenti modificazioni:

     a) il numero 1) è sostituito dal seguente:

     «1) autorizza, ai sensi dell'articolo 60, paragrafo 3, del regolamento (UE) 2019/881 del Parlamento europeo e del Consiglio, del 17 aprile 2019, le strutture specializzate del Ministero della difesa e del Ministero dell'interno quali organismi di valutazione della conformità per i sistemi europei di certificazione della cybersicurezza che stabiliscono requisiti specifici o supplementari a norma dell'articolo 54, paragrafo 1, lettera f), del citato regolamento (UE) 2019/881;»;

     b) al numero 2), le parole: «di cui al numero 1) della presente lettera» sono sostituite dalle seguenti: «ai sensi dell'articolo 60, paragrafo 1, del citato regolamento (UE) 2019/881».

 

     Art. 4. Clausola di invarianza finanziaria

     1. Le amministrazioni interessate provvedono all'attuazione del presente decreto con le risorse umane, strumentali e finanziarie disponibili a legislazione vigente e, comunque, senza nuovi o maggiori oneri a carico della finanza pubblica.