La legge 17 marzo 2026, n.36, recante delegazione europea 2025, rappresenta uno dei passaggi più significativi nel processo di consolidamento del diritto della cybersicurezza nell’ordinamento italiano. In questo contesto, assumono rilievo preminente gli articoli 15, 16 e 17, dedicati rispettivamente al Cyber Resilience Act, ai servizi di sicurezza gestiti e al Cyber Solidarity Act, i quali non si limitano a recepire obblighi derivanti dal diritto dell’Unione, ma contribuiscono a ridefinire il rapporto tra sicurezza, mercato e funzione pubblica. Dunque la sicurezza informatica non appare più come presidio tecnico settoriale, ma come vera e propria condizione strutturale di funzionamento dell’economia digitale e, per l’effetto progressivo, come principio ordinatore della regolazione economica.
Dalla sicurezza tecnica alla cybersicurezza come categoria giuridica sistemica
Per lungo tempo la cybersicurezza è stata considerata una materia prevalentemente tecnica, confinata nell’ambito della protezione delle reti e della gestione degli incidenti informatici: oggi però, questa impostazione mostra chiaramente i suoi limiti, perché la diffusione capillare del digitale e la sempre maggiore interconnessione tra infrastrutture, servizi essenziali e attività economiche hanno reso il rischio cibernetico una componente stabile e strutturale dell’intero ordinamento. I dati più recenti lo confermano: l’ENISA, nel Threat Landscape Report 2025, evidenzia come il numero e la complessità degli attacchi abbiano assunto dimensioni sistemiche, con una crescita significativa dei ransomware, delle campagne di supply chain compromise e delle attività riconducibili a gruppi statuali o para-statuali. Non è di certo un caso che la Commissione Europea abbia più volte sottolineato come la sicurezza digitale costituisca oggi un prerequisito della competitività economica e della stessa autonomia strategica dell’Unione.
La cybersicurezza ha superato la tradizionale dimensione tecnica per assumere i caratteri di una vera e propria categoria ordinamentale
Come già evidenziato in un precedente contributo, la cybersicurezza ha ormai superato la tradizionale dimensione tecnica per assumere i caratteri di una vera e propria categoria ordinamentale, strettamente connessa alla continuità dei servizi essenziali, alla tutela del mercato interno e alla stabilità istituzionale: la NIS2 ha trasformato la sicurezza delle reti da mera opzione organizzativa a vero e proprio obbligo giuridico di governance, fondato su accountability, gestione del rischio e responsabilità degli organi apicali. In tale contesto si colloca la legge 17 marzo 2026, n.36, che, attraverso gli articoli 15, 16 e 17, interviene su tre profili distinti ma profondamente connessi: la sicurezza dei prodotti digitali, la qualificazione dei servizi di sicurezza e la cooperazione europea nella gestione delle crisi cyber. Si può ritenere che l’introduzione di queste disposizioni segni il passaggio da una disciplina limitata alla sola sicurezza informatica a un vero e proprio diritto del rischio digitale, in cui la cybersicurezza non rappresenta più soltanto un obbligo tecnico, ma diventa un criterio essenziale di legittimità sia dell’attività economica sia dell’azione amministrativa.
L’articolo 15 e il Cyber Resilience Act: la sicurezza incorporata nel prodotto e la trasformazione del paradigma regolatorio
Con riferimento all’articolo 15, si evidenzia l’introduzione nell’ordinamento interno dei principi del regolamento (UE) 2024/2847, noto come Cyber Resilience Act, destinato ad incidere profondamente sulla disciplina dei prodotti con elementi digitali. L’aspetto più innovativo di questa disposizione è l’attribuzione al principio di security by design di una vera rilevanza normativa: la sicurezza non viene più considerata come un intervento successivo alla commercializzazione del prodotto (da attivare quindi solo in presenza di problemi o vulnerabilità) bensì quale requisito essenziale fin dall’origine, progettando, sviluppando e immettendo sul mercato il prodotto digitale in tal modo già dotato di adeguati standard di sicurezza, incorporati sin dalla fase iniziale della sua realizzazione. Novità di non poco rilievo: si tratta di un mutamento che richiama, per struttura, quanto già avvenuto nel diritto della protezione dei dati personali con il principio di privacy by design previsto dall’art.25 GDPR[1], ed infatti, anche in questo caso, il legislatore europeo anticipava la soglia della tutela, spostando l’attenzione dal rimedio alla prevenzione. La prospettiva, quindi, non è più quella di intervenire solo dopo che il danno si è verificato, ma di prevenire il problema alla radice, riducendo fin dall’inizio le possibili vulnerabilità.
La ridefinizione della nozione di difetto e della responsabilità del produttore
Le conseguenze sistemiche sono notevoli: la vulnerabilità informatica assume rilievo giuridico autonomo dove un prodotto può essere difettoso non solo perché non funziona correttamente, ma anche perché presenta debolezze prevedibili che ne compromettono la sicurezza. Si assiste così a una progressiva trasformazione della responsabilità civile del produttore nel cui àmbito la nozione tradizionale di prodotto difettoso si espande e si avvicina a forme di responsabilità da rischio, in cui l’obbligo non consiste soltanto nel risarcire il danno, ma nel prevenire la sua stessa possibilità[2]: tale evoluzione produce effetti anche sul piano probatorio e contrattuale. L’adeguatezza delle procedure di aggiornamento, la gestione delle vulnerabilità e la tracciabilità tecnica diventano elementi centrali nella valutazione della diligenza professionale.
Il ruolo dell’ACN e le tensioni tra vigilanza e cooperazione
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha assunto un ruolo centrale quale autorità competente e punto di contatto unico per il coordinamento nazionale della cybersicurezza, con funzioni di supervisione, supporto tecnico e raccordo istituzionale: proprio con l’attuazione del Cyber Resilience Act, tale posizione si rafforza ulteriormente, poiché all’Agenzia viene attribuito anche il ruolo di autorità di notifica e di vigilanza del mercato sui prodotti digitali. Si tratta di una scelta particolarmente significativa, che presenta indubbi vantaggi sotto il profilo del coordinamento e dell’unitarietà dell’azione amministrativa, ma che apre anche questioni delicate sul piano funzionale. L’ACN, infatti, si trova a svolgere contemporaneamente una funzione collaborativa, propria del CSIRT e delle attività di assistenza agli operatori, e una funzione ispettiva, di controllo e, se necessario, anche sanzionatoria: questa sovrapposizione di funzioni richiede una gestione particolarmente attenta, perché l’Agenzia è chiamata a mantenere un equilibrio delicato tra attività di supporto e poteri di controllo, evitando che l’una comprometta l’efficacia dell’altra[3].
L’articolo 16 e i servizi di sicurezza gestiti: la regolazione del mercato attraverso la certificazione
L’articolo 16 interviene su un settore che negli ultimi anni ha assunto un’importanza sempre maggiore, quello dei servizi di sicurezza gestiti, introducendo per la prima volta una disciplina più organica e uniforme a livello europeo: la norma dà infatti attuazione al regolamento (UE) 2025/37, intervenendo su un ambito particolarmente delicato e strategico. Attività come l’incident response, il monitoraggio continuo delle reti, gli audit di sicurezza, la consulenza specialistica e i servizi di Security Operations Center (SOC) rappresentano oggi strumenti indispensabili per garantire la resilienza organizzativa, soprattutto per imprese e pubbliche amministrazioni che non dispongono internamente di strutture adeguate per fronteggiare le minacce informatiche. La rapida espansione di questo mercato ha però messo in evidenza forti asimmetrie informative, standard qualitativi spesso disomogenei e una generale assenza di criteri condivisi per valutare l’affidabilità dei fornitori, rendendo sempre più necessario un intervento regolatorio capace di assicurare maggiore trasparenza e qualità del servizio.
La certificazione come tecnica di regolazione indiretta
Il legislatore europeo sceglie di intervenire non mediante una disciplina prescrittiva rigida, ma attraverso l’estensione dei meccanismi di certificazione previsti dal Cybersecurity Act ed in quest’ottica la certificazione assume qui una funzione che trascende il piano meramente tecnico: essa diviene strumento di regolazione del mercato, dunque non limitandosi ad attestare qualità, ma contribuendo a costruire fiducia e a selezionare gli operatori. Come osservato da autorevole dottrina amministrativistica, la certificazione rappresenta una delle forme più sofisticate di regolazione indiretta, nella quale il potere pubblico orienta i comportamenti senza sostituirsi integralmente al mercato[4]: proprio in àmbito cyber questa tecnica regolatoria risulta particolarmente efficace, poiché consente di coniugare esigenze di controllo con la necessaria flessibilità e capacità di adattamento rispetto alla continua evoluzione delle minacce informatiche.
Il problema della proporzionalità e l’impatto della cybersicurezza sulle PMI
È proprio su questo punto, però, che emerge una delle criticità più rilevanti: il vero nodo critico riguarda la possibilità che requisiti troppo onerosi finiscano per alterare gli equilibri del mercato, penalizzando soprattutto gli operatori di minori dimensioni, ciò per via dell’introduzione di standard particolarmente elevati, introduzione che se da un lato si rivela necessaria per garantire maggiore sicurezza, dall’altro può trasformarsi in una barriera all’ingresso per gli operatori di minori dimensioni, favorendo inevitabilmente processi di concentrazione del mercato. Per questa ragione, il richiamo al principio di proporzionalità contenuto nella delega assume un valore centrale e non meramente formale: esso rappresenta il vero punto di equilibrio tra l’esigenza di elevare gli standard di protezione e quella di preservare un adeguato livello di concorrenza posto peraltro che il tema si fa ancora più delicato se si guarda al contesto italiano, caratterizzato da un tessuto imprenditoriale composto in larga parte da piccole e medie imprese. I dati istituzionali mostrano infatti come molte di esse siano particolarmente esposte agli attacchi informatici, pur non disponendo di strumenti di difesa adeguati. Una disciplina eccessivamente onerosa rischierebbe quindi di produrre un effetto paradossale ossia quello di rafforzare la sicurezza solo sul piano formale, ma ridurre concretamente l’accesso al mercato e la possibilità per le imprese più piccole di adeguarsi efficacemente.
L’articolo 17 e il Cyber Solidarity Act: la sicurezza come funzione sovranazionale
Con l’articolo 17 il legislatore affronta forse il profilo più strategico dell’intera riforma, spostando l’attenzione dalla dimensione interna della sicurezza a quella della cooperazione europea: mediante l’attuazione del regolamento (UE) 2025/38, il cosiddetto Cyber Solidarity Act, il legislatore compie infatti un passo particolarmente importante, probabilmente il più significativo sotto il profilo politico e strategico dell’intero intervento normativo. L’idea di fondo è piuttosto semplice: le minacce informatiche non si fermano ai confini degli Stati e, proprio per questo, non possono essere affrontate in modo efficace con strumenti esclusivamente nazionali. Un attacco che colpisce un singolo paese può propagarsi molto rapidamente e trasformarsi in un problema che coinvolge l’intera Unione europea, soprattutto quando ad essere interessate sono infrastrutture critiche, servizi essenziali o filiere digitali condivise. In questa prospettiva, la cybersicurezza non può più essere considerata una questione interna ai singoli ordinamenti, ma assume sempre più il carattere di una responsabilità comune, fondata sulla cooperazione tra Stati membri, sulla condivisione tempestiva delle informazioni e sulla capacità di costruire risposte coordinate ed efficaci.
La Cybersecurity Reserve e il coinvolgimento degli operatori privati
La previsione (forse) più avanzata riguarda l’istituzione di una EU Cybersecurity Reserve, composta da fornitori privati qualificati di risposta agli incidenti, attivabili dagli Stati membri in caso di crisi. La misura segna una significativa evoluzione nel rapporto tra pubblico e privato dove la gestione delle crisi cyber non è più monopolio esclusivo dello Stato, ma si fonda su una struttura mista nella quale competenze specialistiche private assumono rilevanza strategica. Ciò solleva questioni complesse: selezione degli operatori, tutela delle informazioni sensibili, ripartizione delle responsabilità e garanzie di indipendenza, dunque profili non solo tecnici, ma di veri problemi di diritto pubblico.
Sovranità tecnologica e autonomia strategica europea
La cooperazione in materia di cybersicurezza sembra assumere sempre più anche una dimensione geopolitica. L’ENISA, infatti, evidenzia una crescente vicinanza tra fenomeni di criminalità organizzata e gruppi riconducibili, direttamente o indirettamente, a interessi statuali, con attacchi che non perseguono soltanto finalità economiche, ma che talvolta appaiono orientati anche a forme di pressione o destabilizzazione politica[5]: in un contesto di questo tipo, la capacità dell’Unione europea di dotarsi di strumenti propri per la gestione delle crisi cibernetiche potrebbe rappresentare un elemento importante anche sul piano della sovranità tecnologica e dell’autonomia strategica. La cybersicurezza, quindi, non sembra riguardare più soltanto la protezione tecnica dei sistemi informatici, ma finisce per incidere, in misura sempre maggiore, anche sulla capacità decisionale e sulla tenuta complessiva dello spazio europeo.
Le criticità del sistema: frammentazione normativa e coordinamento sanzionatorio
Le innovazioni introdotte dagli articoli 15, 16 e 17 non possono essere considerate come interventi isolati o come semplici adeguamenti tecnici al diritto europeo anzi, al contrario, esse si inseriscono in un cambiamento più ampio e profondo che riguarda il modo stesso in cui il diritto guarda alla sicurezza digitale. Per lungo tempo, infatti, la disciplina della cybersicurezza è stata costruita soprattutto intorno alla gestione dell’emergenza dove si interveniva quando il danno si era già verificato, cercando di limitarne le conseguenze: oggi, invece, la prospettiva sembra essere diversa ed il rischio informatico non viene più percepito come un evento eccezionale o sporadico, ma come una condizione costante, connaturata al funzionamento stesso delle attività economiche e amministrative. Di conseguenza, anche il ruolo del diritto cambia profondamente: non si tratta più soltanto di reprimere violazioni o sanzionare comportamenti scorretti, ma di costruire un panorama capace di prevenire, governare e ridurre il rischio prima che questo si trasformi in danno effettivo assurgendo quindi la cybersicurezza a criterio che attraversa l’intero ordinamento che incide sulla produzione normativa, che orienta l’organizzazione delle pubbliche amministrazioni e che finisce anche per influenzare le regole del mercato e si riflette sempre più anche sulla responsabilità delle imprese. È in questa prospettiva che si può parlare di una progressiva “costituzionalizzazione materiale” della cybersicurezza da intendere nel senso di attribuire alla sicurezza digitale un rango formalmente costituzionale, ma nel riconoscere che essa stia assumendo una funzione strutturale quanto trasversale, diventando una condizione indispensabile per il corretto funzionamento dell’economia digitale e per la tutela degli interessi fondamentali dell’ordinamento. Un percorso, per certi aspetti, simile a quello già visto in altri settori, come la protezione dei dati personali, dove da esigenza tecnica si è progressivamente arrivati a riconoscere un vero e proprio principio ordinatore del sistema di “prevenzione”, anticipato.
La cybersicurezza non è più un tema tecnico periferico, ma una funzione ordinante del mercato digitale e dell’azione di prevenzione pubblica
Ridurre la legge di delegazione europea 2025 a un mero intervento di recepimento sarebbe riduttivo: il provvedimento segna un passaggio di strutturale di un nuovo sistema, destinato a incidere in modo stabile sull’assetto del diritto della cybersicurezza, ed è proprio in tale contesto che e gli articoli 15, 16 e 17 mostrano con chiarezza come la sicurezza informatica non sia più un tema tecnico periferico, ma una funzione ordinante del mercato digitale e dell’azione (anticipata) pubblica. La sicurezza non è più soltanto un adempimento tecnico, ma diventa un vero requisito di legittimità dell’attività economica e un criterio che orienta l’organizzazione della sovranità europea. In questo quadro si inserisce la progressiva costituzionalizzazione della sicurezza digitale, da intendersi non come formula teorica o costruzione astratta, ma come il riconoscimento di una trasformazione già in atto, nella quale assume un ruolo sempre più centrale come presupposto essenziale della stabilità economica e istituzionale.
[1] Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (GDPR), art.25; sul punto v. G. Finocchiaro, Il nuovo regolamento europeo sulla privacy e sulla protezione dei dati personali, Bologna, Zanichelli, ult. ed.
[2] Decreto-legge 14 giugno 2021, n.82, convertito con modificazioni dalla legge 4 agosto 2021, n.109, istitutivo dell’Agenzia per la Cybersicurezza Nazionale; sul tema v. A. Pajno, Sicurezza nazionale e amministrazione del rischio digitale, in Rivista trimestrale di diritto pubblico.
[3] S. Cassese, La nuova costituzione economica, Bari, Laterza, ult. ed.; M. Clarich, Manuale di diritto amministrativo, Bologna, Il Mulino, ult. ed.
[4] G. Alpa, La responsabilità civile, Milano, Giuffrè, ult. ed.; P. Perlingieri, Profili civilistici della responsabilità, Napoli, ESI.
[5] ENISA, Threat Landscape Report 2025; Parlamento europeo, Cybersecurity and Defence Policy in the EU.
