Un penetration test è un «servizio di sicurezza gestito». E adesso?

Quest’anno avete comprato un penetration test, un audit di sicurezza, un contratto di risposta agli incidenti, o la consulenza di qualcuno che vi ha messo mano alle configurazioni. Due domande. Sapreste dire sotto quale definizione europea ricade quel servizio? E che cosa avete in mano, oggi, per dimostrare come avete scelto chi ve lo vende — non che l’avete pagato, ma su quale base avete deciso che era idoneo?

Se la seconda risposta è «l’offerta e la fattura», siete nella condizione ordinaria. Ed è una condizione che una definizione europea, entrata in vigore senza rumore, rende scomoda.

La definizione, e quanto è larga

Il regolamento (UE) 2025/37 del Parlamento europeo e del Consiglio, del 19 dicembre 2024, modifica il regolamento (UE) 2019/881 — il Cybersecurity Act — «per quanto riguarda i servizi di sicurezza gestiti». Il suo articolo 1, punto 2, inserisce nell’articolo 2 del regolamento del 2019 il punto 14-bis, che suona così, verbatim:

«“servizio di sicurezza gestito”: un servizio prestato a un terzo consistente nello svolgimento di attività, o nella fornitura di assistenza per tali attività, legate alla gestione dei rischi in materia di cibersicurezza, ad esempio servizi di gestione degli incidenti, test di penetrazione, audit di sicurezza e consulenza, tra cui consulenza specialistica, relativa all’assistenza tecnica».

Vale la pena rileggerla piano. Non parla solo del centro operativo di sicurezza gestito da terzi, che è quello a cui si pensa di solito: nomina quattro categorie, e sono quelle che qualunque organizzazione compra. Se avete affidato una di queste attività a qualcuno che non è vostro dipendente, avete comprato un servizio di sicurezza gestito ai sensi del diritto dell’Unione.

Che cosa cambia, in concreto

Il regolamento non impone un obbligo di certificazione: estende a questi servizi il quadro europeo di certificazione della cibersicurezza. Riscrive le definizioni del 2019 aggiungendovi ovunque i servizi di sicurezza gestiti — sistema europeo di certificazione, sistema nazionale, certificato europeo, specifica tecnica, livello di affidabilità, autovalutazione di conformità — e sostituisce l’articolo 46, che ora attesta anche il rispetto dei requisiti da parte di questi servizi. I compiti dell’ENISA sono estesi di conseguenza.

Due dettagli meritano di essere ripresi perché cambiano il modo in cui si legge un’offerta commerciale.

Il primo è l’autovalutazione di conformità, definita come «un’azione effettuata da un fabbricante o fornitore di prodotti TIC, servizi TIC, processi TIC o servizi di sicurezza gestiti che valuta se tali […] soddisfino i requisiti di uno specifico sistema europeo di certificazione della cibersicurezza». È una dichiarazione di prima parte, ed è legittima: ma è una cosa diversa dalla verifica di un terzo, e in un’offerta le due si assomigliano molto.

Il secondo è il livello di affidabilità, che il regolamento definisce come base per la fiducia e poi precisa: «indica il livello al quale un prodotto TIC, servizio TIC, processo TIC o servizio di sicurezza gestito è stato valutato, ma di per sé non misura la sicurezza» del servizio interessato. Un livello dice quanto a fondo si è guardato, non quanto è sicuro ciò che si è guardato.

L’articolo 2 chiude senza margini: il regolamento «è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri».

La parte italiana, e il calendario

L’adeguamento nazionale è affidato alla legge 17 marzo 2026, n. 36, la legge di delegazione europea, in vigore dal 9 aprile 2026. L’articolo 16, comma 1 delega il Governo ad adottare, «entro tre mesi dalla data di entrata in vigore della presente legge», uno o più decreti legislativi «per adeguare la normativa nazionale alle disposizioni del regolamento (UE) 2025/37 […] e per coordinare le discipline di settore vigenti con il quadro normativo europeo in materia». Tre mesi dal 9 aprile portano al 9 luglio 2026: è un calcolo nostro sul testo, non una data scritta nella norma.

Il comma 2 dice esattamente che cosa avrebbe dovuto produrre. La lettera a): modificare la normativa vigente «e, in particolare, il decreto legislativo 3 agosto 2022, n. 123». La lettera b): modificare il decreto-legge 14 giugno 2021, n. 82 per «specificare le modalità di esercizio delle funzioni attribuite all’Agenzia per la cybersicurezza nazionale in materia di accreditamento, autorizzazione e delega degli organismi». Cioè: chi, in Italia, dice che un organismo è idoneo a valutare questi servizi. L’articolo 16 non contiene alcuna clausola di parere parlamentare, quindi non ha una proroga propria.

Dove si ferma il nostro controllo

Su Normattiva, il decreto legislativo 3 agosto 2022, n. 123 — l’atto che la delega indica per nome — risulta «Testo in vigore dal: 4-9-2022»: mai modificato dalla sua entrata in vigore. Se la delega fosse stata esercitata su quell’atto, il testo consolidato lo mostrerebbe. Abbiamo inoltre letto i sommari della Gazzetta Ufficiale Serie Generale fino alla n. 184 del 10 agosto 2026, pubblicata ieri mattina, e l’ultimo decreto legislativo risulta il n. 141 del 5 agosto.

Dove ci fermiamo, detto con precisione: non abbiamo condotto una ricerca esaustiva su ogni possibile veicolo normativo. Possiamo affermare che l’atto nominato dalla delega non risulta modificato e che il termine di tre mesi, per calcolo nostro, è decorso il 9 luglio. È lettura normativa su fonti primarie, non un parere legale.

Non è un caso isolato. Ieri abbiamo scritto della delega dell’articolo 15 della stessa legge, quella sul Cyber Resilience Act, il cui capo IV si applica dall’11 giugno 2026 mentre la designazione dell’ACN come autorità di notifica è ancora da fare. Due deleghe della stessa legge, due pezzi dello stesso quadro europeo, entrambi non ancora arrivati.

Vedi il servizio · Parlane con un tecnico

Perché al compratore non cambia poi molto

Ed è questo il punto. La parte mancante è quella che vi darebbe un appiglio: un accreditamento nazionale da citare in una gara, un elenco da consultare. Non c’è, e non potete indicarlo.

Ma nulla vi impedisce di scrivere nel contratto che cosa il fornitore deve dimostrare, e di conservarne la prova: quale delle quattro attività fornisce davvero, a quali sistemi o norme dichiara di conformarsi, se quella dichiarazione è un’autovalutazione o la verifica di un terzo — e in questo caso chi l’ha rilasciata e quando.

Chi imposta questo adesso avrà la risposta pronta quando lo schema arriverà. Chi aspetta rifarà la selezione da capo — e nel frattempo, se è un soggetto NIS, la stessa domanda gli arriva comunque sulla sicurezza della catena di fornitura, dove nessuno chiederà se lo schema esisteva.

I due assi, applicati

Adempiere. La selezione dei fornitori di servizi di sicurezza gestiti smette di essere un giudizio del momento e diventa un controllo che gira sui contratti e sui documenti del cliente: per ciascuno, quale attività fornisce, su quale base dichiara la propria idoneità, se autovaluta o è stato verificato, da chi e quando, e quali evidenze sono conservate. Con la traccia datata da esibire a un’ispezione o a un consiglio di amministrazione. È la stessa distinzione che avevamo isolato leggendo un canale di vendita scambiato per un’autorizzazione: essere acquistabili non è essere qualificati.

Decidere. Lo stesso impianto tiene insieme contratti, anagrafiche fornitori, rapporti di test, archivi e sistemi in un modello operativo unico — il lago di dati dell’ente che diventa una cosa sola — su cui agenti AI eseguono decisioni con un operatore al comando, per grandi imprese, difesa, pubblica amministrazione e sanità. Quando lo schema arriverà, la risposta a «quali nostri fornitori ricadono nella definizione, e che cosa ci hanno già dimostrato» arriva in ore, non in settimane — a patto che il campo esista, che è il punto già visto con le righe di anagrafica che non dicono che capacità forniscono. Sempre in due modalità: on-premise, su macchine autonome che non richiedono integrazione profonda nella rete del cliente, oppure cloud dedicato con data center in Italia, sempre con gestione condivisa.

Torniamo alla domanda dell’inizio. Se domattina vi chiedessero l’elenco dei fornitori che, per la definizione europea, vi erogano servizi di sicurezza gestiti — e su quale base li avete giudicati idonei — sapreste rispondere senza aprire una cartella di offerte? Nella grande maggioranza dei casi la risposta è no.

Dalla prima sessione, senza costi, esce l’elenco datato dei vostri fornitori che ricadono nella definizione dell’articolo 2, punto 14-bis: per ciascuno quale attività fornisce, su quale base dichiara la propria idoneità, se si tratta di autovalutazione o di verifica di un terzo, e quali evidenze avete conservato — comprese le caselle che restano vuote. Resta a voi anche se non proseguiamo insieme. Parlatene con un nostro tecnico.