La cybersicurezza assume oggi un ruolo centrale nella disciplina delle attività economiche, anche alla luce delle più recenti iniziative europee e nazionali che impongono agli operatori il rispetto di requisiti tecnici, l’adeguamento degli assetti organizzativi e una più marcata assunzione di responsabilità.
In tale contesto si inserisce la L. 17 marzo 2026, n. 36, pubblicata in Gazzetta Ufficiale, con cui il legislatore delega il Governo al recepimento delle direttive europee e all’adeguamento dell’ordinamento interno agli atti dell’Unione, segnando un passaggio di particolare rilievo anche per il diritto della cybersicurezza.
Il provvedimento non si esaurisce in una funzione meramente attuativa, ma si pone come strumento di razionalizzazione dell’intero sistema, delineando un percorso di riorganizzazione fondato su tre direttrici principali – resilienza dei prodotti digitali, certificazione dei servizi di sicurezza e cooperazione nella gestione degli incidenti – destinate a incidere profondamente sul perimetro della compliance.
Il tratto qualificante del nuovo assetto risiede proprio nell’integrazione tra livelli normativi e tra funzioni pubbliche, accompagnata da un significativo rafforzamento dei poteri di vigilanza e coordinamento istituzionale.
Riferimenti normativi
L. 17 marzo 2026, n. 36 (Legge di delegazione europea 2025); Regolamento (UE) 2024/2847 (Cyber Resilience Act); Regolamento (UE) 2019/881 (Cybersecurity Act); Regolamento (UE) 2025/37 (servizi di sicurezza gestiti) Regolamento (UE) 2025/38 (Cyber Solidarity Act)
Cyber Resilience Act: la sicurezza dei prodotti come condizione di mercato
Nel nuovo quadro europeo della cybersicurezza, il Cyber Resilience Act rappresenta uno degli interventi più incisivi, incidendo direttamente sulle condizioni di accesso e permanenza dei prodotti digitali nel mercato. La sicurezza informatica viene così qualificata non più come profilo tecnico, ma come requisito essenziale per la commercializzazione dei prodotti, con effetti sulla liceità dell’attività economica.
Il regolamento introduce obblighi di sicurezza lungo l’intero ciclo di vita dei prodotti e coinvolge tutti gli operatori della filiera, secondo un modello basato su prevenzione e gestione delle vulnerabilità. L’applicazione è progressiva, con alcune disposizioni anticipate già al 2026, imponendo agli operatori un adeguamento organizzativo tempestivo.
In questo contesto, la legge di delegazione europea 2025 mira a coordinare il nuovo assetto con la normativa nazionale vigente, evitando sovrapposizioni.
Centrale è il ruolo dell’Agenzia per la Cybersicurezza Nazionale, cui sono attribuite funzioni di controllo e vigilanza, mentre il sistema sanzionatorio dovrà integrarsi con quelli esistenti, sollevando rilevanti questioni applicative
Cybersecurity Act: la certificazione si estende ai servizi di sicurezza
Il secondo asse normativo riguarda l’evoluzione del sistema europeo di certificazione, originariamente delineato dal Cybersecurity Act, che viene ora esteso dai prodotti ai servizi di sicurezza gestiti, segnando un passaggio di particolare rilievo, poiché la sicurezza non è più valutata soltanto in relazione agli strumenti, ma anche con riferimento alle attività professionali che presidiano il rischio informatico.
In questa prospettiva, è prevista una delega al Governo per l’adeguamento dell’ordinamento interno al nuovo quadro europeo, con l’obiettivo di assicurare un coordinamento efficace tra le discipline vigenti e le nuove regole in materia di servizi di sicurezza. Il sistema di certificazione, già volto a garantire standard uniformi nel settore digitale, viene così ampliato alle attività connesse alla gestione del rischio, quali la gestione degli incidenti, le verifiche tecniche e la consulenza specialistica. Ciò comporta una revisione degli assetti nazionali, in particolare con riferimento alle funzioni dell’Agenzia per la Cybersicurezza Nazionale e alle procedure di accreditamento e vigilanza.
In questo contesto, la certificazione assume un ruolo sempre più centrale nella regolazione del mercato, sia quale garanzia di sicurezza, sia come strumento di selezione degli operatori. In prospettiva, essa è destinata a incidere in modo crescente sull’accesso al mercato, con possibili criticità sotto il profilo concorrenziale, soprattutto per gli operatori di minori dimensioni.
Cyber Solidarity Act: gestione europea delle crisi
In ultimo, la Legge di delegazione europea prevede una delega al Governo per l’adeguamento dell’ordinamento interno al c.d. Cyber Solidarity Act, segnando il passaggio da una logica nazionale a un modello europeo di cooperazione nella gestione degli incidenti informatici. L’intervento mira a rafforzare le capacità di prevenzione e risposta attraverso strumenti condivisi, quali sistemi di allerta, meccanismi di emergenza e servizi di supporto in caso di crisi.
La delega è finalizzata a integrare tali strumenti nel contesto nazionale, anche mediante la creazione di strutture dedicate e il coordinamento con la normativa vigente. Il dato più rilevante è il riconoscimento della natura sistemica del rischio informatico, che richiede risposte coordinate su scala sovranazionale, confermando il ruolo della cybersicurezza come ambito sempre più integrato e strategico.
Bilancio e prospettive tra integrazione normativa e sfide applicative
Delineato in questi termini il contesto normativo, appare evidente che l’intervento normativo in commento assume un rilievo che va oltre la mera funzione di recepimento, contribuendo alla costruzione di un sistema organico della cybersicurezza, sempre meno confinato a un ambito specialistico e sempre più trasversale alla regolazione del mercato, alla resilienza tecnologica e alla sicurezza nazionale.
Le deleghe relative ai principali interventi europei delineano un quadro integrato in cui obblighi di sicurezza, certificazione, vigilanza e strumenti di risposta agli incidenti convergono in un’unica architettura normativa.
Il punto centrale della fase attuativa non sarà tanto il recepimento formale, quanto la capacità di assicurare un coordinamento efficace tra competenze, procedure e autorità coinvolte, anche alla luce del ruolo sempre più rilevante dell’Agenzia per la Cybersicurezza Nazionale.
In questo contesto, la cybersicurezza emerge come elemento strutturale della governance pubblica e privata, imponendo agli operatori un adeguamento organizzativo significativo.
La sfida principale sarà garantire un equilibrio tra complessità normativa ed effettività applicativa, evitando che l’intensificazione degli obblighi si traduca in un eccessivo aggravio per il sistema economico.
23.07.2026
