Il DPCM 22 aprile 2026 centralizza il coordinamento delle crisi di sicurezza nazionale nel CISR, introduce la Strategia di sicurezza nazionale come atto di indirizzo vincolante e rafforza gli obblighi degli operatori di infrastrutture critiche e servizi essenziali. Per gli studi legali che assistono soggetti NIS2 o operatori di settori regolati, questo decreto modifica il quadro entro cui si valutano responsabilità, obblighi di notifica e misure di resilienza. Conoscere la nuova architettura istituzionale è indispensabile per consigliare correttamente il cliente già prima che scatti un incidente.
Punti chiave
- Punto 1 — Il CISR assume un ruolo di coordinamento politico-operativo vincolante nelle crisi di sicurezza nazionale.
- Punto 2 — La Strategia di sicurezza nazionale diventa atto di indirizzo formale cui devono conformarsi operatori critici.
- Punto 3 — Gli studi che assistono soggetti NIS2 devono aggiornare i modelli di compliance alla luce del nuovo decreto.
Se il tuo studio assiste operatori di infrastrutture critiche, fornitori di servizi essenziali o soggetti rientranti nell’ambito NIS2, il DPCM del 22 aprile 2026 non è una notizia istituzionale da archiviare: ridisegna la cornice entro cui si valutano obblighi, responsabilità e piani di risposta agli incidenti. La centralizzazione del coordinamento nel CISR e l’introduzione della Strategia di sicurezza nazionale come atto formale di indirizzo cambiano anche il lessico con cui si scrive un contratto di outsourcing IT o si struttura un modello 231.
Con il DPCM del 22 aprile 2026, l’Italia aggiorna la gestione delle crisi di sicurezza nazionale: rafforza il CISR come organo di coordinamento politico-operativo, introduce la Strategia di sicurezza nazionale e accentra la risposta a minacce ibride, cyberattacchi e rischi sistemici che coinvolgono servizi essenziali e infrastrutture critiche.
Il contesto normativo
Il decreto si innesta su un impianto normativo già stratificato. Il d.lgs. 138/2024, che ha recepito la direttiva NIS2 (UE 2022/2555), impone agli operatori di servizi essenziali obblighi di gestione del rischio e notifica degli incidenti all’ACN entro 24 ore dalla scoperta (art. 25, d.lgs. 138/2024). Il DPCM 22 aprile 2026 agisce a un livello superiore: definisce la governance istituzionale che fa da sfondo a quegli obblighi, attribuendo al CISR funzioni di indirizzo strategico che prima erano distribuite tra più soggetti. Rileva anche l’art. 1, comma 8, del d.l. 82/2021 (istitutivo dell’ACN), che già prevedeva raccordi tra Agenzia e strutture della Presidenza del Consiglio: il DPCM consolida e formalizza quei raccordi in una cornice unitaria.
Cosa cambia per lo studio
- Revisione dei contratti di fornitura IT. Nei contratti con fornitori di servizi cloud, gestori di reti o system integrator, le clausole di incident response devono ora allinearsi alla catena di notifica istituzionale definita dal DPCM, non solo agli SLA interni. Verifica che le penali contrattuali coprano anche i ritardi nella notifica all’ACN.
- Aggiornamento dei modelli 231 per i soggetti NIS2. Il DPCM introduce la Strategia di sicurezza nazionale come atto di indirizzo formale: per gli enti che adottano il modello organizzativo ex d.lgs. 231/2001, questo documento diventa un riferimento ulteriore nella mappatura dei rischi cibernetici da inserire nelle parti speciali.
- Due diligence nelle operazioni M&A su infrastrutture critiche. Chi acquisisce o cede partecipazioni in operatori di settori critici deve includere nella due diligence una verifica di conformità al nuovo framework CISR, anche ai fini della disciplina golden power (d.l. 21/2012): il DPCM può incidere sulla qualificazione del target come soggetto sensibile.
- Consulenza preventiva agli enti locali e PA. Il decreto riguarda anche le pubbliche amministrazioni che gestiscono servizi essenziali. Se assisti comuni o enti territoriali, aggiorna i pareri sulla gestione dei fornitori tecnologici includendo i nuovi obblighi di coordinamento con la struttura CISR.
- Responsabilità dei vertici aziendali. La centralizzazione del coordinamento aumenta la tracciabilità delle decisioni in caso di crisi: in futuro, le indagini su incidenti gravi potrebbero ricostruire la catena di comando partendo proprio dai flussi informativi verso il CISR, con effetti sulla posizione degli amministratori delegati e dei responsabili della sicurezza.
Attenzione a
Non confondere gli obblighi NIS2 con il nuovo framework di crisi. Il d.lgs. 138/2024 disciplina la gestione ordinaria del rischio cyber a livello di singolo operatore. Il DPCM 22 aprile 2026 riguarda la risposta istituzionale alle crisi di portata sistemica. I due piani si sovrappongono ma non coincidono: un incidente notificato all’ACN ai sensi dell’art. 25 del d.lgs. 138/2024 può diventare una crisi di sicurezza nazionale gestita dal CISR se supera certe soglie di impatto. Consigliare il cliente come se i due regimi fossero alternativi è un errore che genera esposizione in entrambe le direzioni.
Attenzione alla tempistica di adeguamento. Il DPCM è datato 22 aprile 2026, ma i decreti attuativi e le linee guida operative dell’ACN che ne derivano potrebbero non essere ancora pubblicati. Prima di rivedere contratti o procedure interne, verifica la Gazzetta Ufficiale per gli atti esecutivi: aggiornare i modelli su un testo non ancora in vigore nei dettagli operativi espone a revisioni a breve distanza.
Domande frequenti
Il DPCM 22 aprile 2026 modifica gli obblighi di notifica degli incidenti previsti dal d.lgs. 138/2024?
No, gli obblighi di notifica all’ACN entro 24 ore restano disciplinati dall’art. 25 del d.lgs. 138/2024. Il DPCM interviene sul livello superiore: definisce la governance istituzionale per le crisi sistemiche e il ruolo del CISR nel coordinamento politico-operativo. I due regimi si sovrappongono quando un incidente supera le soglie di impatto sistemico, ma non si sostituiscono a vicenda.
Chi è soggetto agli obblighi del nuovo decreto sulla sicurezza nazionale?
Il decreto riguarda principalmente gli operatori di infrastrutture critiche e i soggetti già classificati come essenziali ai sensi della direttiva NIS2, recepita con il d.lgs. 138/2024. Rientrano nell’ambito anche le pubbliche amministrazioni che gestiscono servizi essenziali e i fornitori tecnologici che operano come terze parti critiche per questi soggetti.
Il DPCM sulla sicurezza nazionale impatta la procedura golden power per le acquisizioni di aziende tech?
Sì, indirettamente. La formalizzazione della Strategia di sicurezza nazionale e il rafforzamento del CISR ampliano il contesto entro cui la Presidenza del Consiglio valuta le notifiche golden power ai sensi del d.l. 21/2012. Un target che opera in settori ora espressamente qualificati come critici dal DPCM potrebbe più facilmente rientrare nel perimetro di controllo, con effetti sui tempi e sull’esito delle notifiche.
Fonte di riferimento: AgendaDigitale