--- title: "Un penetration test è un «servizio di sicurezza gestito». E adesso?" description: "Il regolamento (UE) 2025/37 chiama «servizio di sicurezza gestito» anche penetration test, audit e consulenza. La parte italiana non è ancora arrivata." url: https://csidia.com/note-operative/servizi-sicurezza-gestiti-definizione-larga-accreditamento-assente/ lang: it date: 2026-08-11 label: "Normativa" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/servizi-sicurezza-gestiti-definizione-larga-accreditamento-assente/ --- # Un penetration test è un «servizio di sicurezza gestito». E adesso? Quest’anno avete comprato un penetration test, un audit di sicurezza, un contratto di risposta agli incidenti, o la consulenza di qualcuno che vi ha messo mano alle configurazioni. Due domande. Sapreste dire sotto quale definizione europea ricade quel servizio? E che cosa avete in mano, oggi, per dimostrare **come** avete scelto chi ve lo vende — non che l’avete pagato, ma su quale base avete deciso che era idoneo? Se la seconda risposta è «l’offerta e la fattura», siete nella condizione ordinaria. Ed è una condizione che una definizione europea, entrata in vigore senza rumore, rende scomoda. ## La definizione, e quanto è larga Il regolamento **(UE) 2025/37** del Parlamento europeo e del Consiglio, del 19 dicembre 2024, modifica il regolamento (UE) 2019/881 — il Cybersecurity Act — «per quanto riguarda i servizi di sicurezza gestiti». Il suo articolo 1, punto 2, inserisce nell’articolo 2 del regolamento del 2019 il punto **14-bis**, che suona così, verbatim: > «“servizio di sicurezza gestito”: un servizio prestato a un terzo consistente nello svolgimento di attività, o nella fornitura di assistenza per tali attività, legate alla gestione dei rischi in materia di cibersicurezza, ad esempio **servizi di gestione degli incidenti, test di penetrazione, audit di sicurezza e consulenza, tra cui consulenza specialistica, relativa all’assistenza tecnica**». Vale la pena rileggerla piano. Non parla solo del centro operativo di sicurezza gestito da terzi, che è quello a cui si pensa di solito: nomina **quattro categorie**, e sono quelle che qualunque organizzazione compra. Se avete affidato una di queste attività a qualcuno che non è vostro dipendente, avete comprato un servizio di sicurezza gestito ai sensi del diritto dell’Unione. ## Che cosa cambia, in concreto Il regolamento non impone un obbligo di certificazione: **estende a questi servizi il quadro europeo di certificazione della cibersicurezza**. Riscrive le definizioni del 2019 aggiungendovi ovunque i servizi di sicurezza gestiti — sistema europeo di certificazione, sistema nazionale, certificato europeo, specifica tecnica, livello di affidabilità, autovalutazione di conformità — e sostituisce l’articolo 46, che ora attesta anche il rispetto dei requisiti da parte di questi servizi. I compiti dell’ENISA sono estesi di conseguenza. Due dettagli meritano di essere ripresi perché cambiano il modo in cui si legge un’offerta commerciale. Il primo è l’**autovalutazione di conformità**, definita come «un’azione effettuata da un fabbricante o fornitore di prodotti TIC, servizi TIC, processi TIC o servizi di sicurezza gestiti che valuta se tali […] soddisfino i requisiti di uno specifico sistema europeo di certificazione della cibersicurezza». È una dichiarazione di prima parte, ed è legittima: ma è una cosa diversa dalla verifica di un terzo, e in un’offerta le due si assomigliano molto. Il secondo è il **livello di affidabilità**, che il regolamento definisce come base per la fiducia e poi precisa: «indica il livello al quale un prodotto TIC, servizio TIC, processo TIC o servizio di sicurezza gestito è stato valutato, ma **di per sé non misura la sicurezza**» del servizio interessato. Un livello dice quanto a fondo si è guardato, non quanto è sicuro ciò che si è guardato. L’articolo 2 chiude senza margini: il regolamento «è obbligatorio in tutti i suoi elementi e **direttamente applicabile** in ciascuno degli Stati membri». ## La parte italiana, e il calendario L’adeguamento nazionale è affidato alla **legge 17 marzo 2026, n. 36**, la legge di delegazione europea, in vigore dal 9 aprile 2026. L’**articolo 16, comma 1** delega il Governo ad adottare, «**entro tre mesi** dalla data di entrata in vigore della presente legge», uno o più decreti legislativi «per adeguare la normativa nazionale alle disposizioni del regolamento (UE) 2025/37 […] e per coordinare le discipline di settore vigenti con il quadro normativo europeo in materia». Tre mesi dal 9 aprile portano al **9 luglio 2026**: è un calcolo nostro sul testo, non una data scritta nella norma. Il comma 2 dice esattamente che cosa avrebbe dovuto produrre. La lettera a): modificare la normativa vigente «e, in particolare, il **decreto legislativo 3 agosto 2022, n. 123**». La lettera b): modificare il decreto-legge 14 giugno 2021, n. 82 per «specificare le modalità di esercizio delle funzioni attribuite all’**Agenzia per la cybersicurezza nazionale** in materia di **accreditamento, autorizzazione e delega degli organismi**». Cioè: chi, in Italia, dice che un organismo è idoneo a valutare questi servizi. L’articolo 16 non contiene alcuna clausola di parere parlamentare, quindi non ha una proroga propria. ## Dove si ferma il nostro controllo Su Normattiva, il decreto legislativo 3 agosto 2022, n. 123 — l’atto che la delega indica per nome — risulta «**Testo in vigore dal: 4-9-2022**»: mai modificato dalla sua entrata in vigore. Se la delega fosse stata esercitata su quell’atto, il testo consolidato lo mostrerebbe. Abbiamo inoltre letto i sommari della Gazzetta Ufficiale Serie Generale fino alla n. 184 del 10 agosto 2026, pubblicata ieri mattina, e l’ultimo decreto legislativo risulta il n. 141 del 5 agosto. Dove ci fermiamo, detto con precisione: **non abbiamo condotto una ricerca esaustiva su ogni possibile veicolo normativo**. Possiamo affermare che l’atto nominato dalla delega non risulta modificato e che il termine di tre mesi, per calcolo nostro, è decorso il 9 luglio. È lettura normativa su fonti primarie, non un parere legale. Non è un caso isolato. Ieri abbiamo scritto della [delega dell’articolo 15 della stessa legge](https://csidia.com/note-operative/cra-capo-quarto-autorita-di-notifica-delega), quella sul Cyber Resilience Act, il cui capo IV si applica dall’11 giugno 2026 mentre la designazione dell’ACN come autorità di notifica è ancora da fare. Due deleghe della stessa legge, due pezzi dello stesso quadro europeo, entrambi non ancora arrivati. [Vedi il servizio](https://csidia.com/soluzioni/conformita-documentale) · [Parlane con un tecnico](https://csidia.com/contatti) ## Perché al compratore non cambia poi molto Ed è questo il punto. La parte mancante è quella che vi darebbe **un appiglio**: un accreditamento nazionale da citare in una gara, un elenco da consultare. Non c’è, e non potete indicarlo. Ma nulla vi impedisce di scrivere nel contratto che cosa il fornitore deve dimostrare, e di conservarne la prova: quale delle quattro attività fornisce davvero, a quali sistemi o norme dichiara di conformarsi, se quella dichiarazione è un’**autovalutazione** o la verifica di un terzo — e in questo caso chi l’ha rilasciata e quando. Chi imposta questo adesso avrà la risposta pronta quando lo schema arriverà. Chi aspetta rifarà la selezione da capo — e nel frattempo, se è un soggetto NIS, la stessa domanda gli arriva comunque sulla [sicurezza della catena di fornitura](https://csidia.com/note-operative/nis2-12-ottobre-2026-un-documento-non-una-data), dove nessuno chiederà se lo schema esisteva. ## Fonti - [Regolamento (UE) 2025/37 — modifica del regolamento (UE) 2019/881 per quanto riguarda i servizi di sicurezza gestiti](https://eur-lex.europa.eu/eli/reg/2025/37/oj) - [Regolamento (UE) 2019/881 — Cybersecurity Act](https://eur-lex.europa.eu/eli/reg/2019/881/oj) - [Normattiva — Legge 17 marzo 2026, n. 36, articolo 16](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2026-03-17;36) - [Normattiva — Decreto legislativo 3 agosto 2022, n. 123](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2022-08-03;123) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/servizi-sicurezza-gestiti-definizione-larga-accreditamento-assente/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com