Comma 255 Legge di Bilancio 2026 (L. 199/2025) — Infrastrutture Trasporti
In vigore dal: In vigore dal 1° gennaio 2026. La CONSOB può avvalersi, sulla base di apposita convenzione, della società di cui all’art. 83, c. 15 del D.L. 112/2008 (Sogei) per il potenziamento delle infrastrutture e dei sistemi informativi a supporto dell’attività di vigilanza.
⚠️ Norma in attesa di decreto attuativo. Necessaria specifica convenzione tra CONSOB e Sogei per disciplinare oggetto, SLA, corrispettivi, durata, governance, sicurezza informatica e proprietà intellettuale. Questa pagina sarà aggiornata quando il decreto verrà pubblicato.
Testo coordinato
. Al fine di migliorare l’efficacia e l’efficienza dei mezzi a disposizione dell’attività di vigilanza, favorendo l’ulteriore digitalizzazione dei servizi e dei processi attraverso interventi di consolidamento e potenziamento delle infrastrutture e di razionalizzazione dei sistemi informativi, la Commissione nazionale per le società e la borsa (CONSOB), in coerenza con le proprie strategie informatiche, può avvalersi della società di cui all’articolo 83, comma 15, del , convertito, con modificazioni, dalla , sulla basedecreto-legge 25 giugno 2008, n. 112 legge 6 agosto 2008, n. 133 di specifica convenzione.
Norme modificate da questi commi
- Art. 47 Costituzione (comma 255): Tutela del risparmio e disciplina del credito: ruolo della CONSOB nella vigilanza
- Art. 97 Costituzione (comma 255): Buon andamento e imparzialità della PA: razionalizzazione dei sistemi informativi
- Art. 117 Costituzione (comma 255): Competenza esclusiva statale in materia di tutela del risparmio e mercati finanziari
In sintesi
Inquadramento e ratio della norma
Il comma 255 della Legge di Bilancio 2026 (L. 199/2025) abilita la CONSOB — autorità indipendente di vigilanza sui mercati finanziari italiani — ad avvalersi della Sogei S.p.A. per l’evoluzione digitale dei propri sistemi di vigilanza. L’area di intervento è quella del governo dei mercati finanziari e del risparmio, non delle infrastrutture e dei trasporti: si segnala l’area suggerita BANCHE_RISPARMIO.
Cosa è la Sogei e perché nella norma
La società richiamata dall’art. 83, c. 15 del D.L. 25 giugno 2008, n. 112 (conv. L. 133/2008) è Sogei – Società Generale d’Informatica S.p.A., partecipata al 100% dal MEF e in-house provider della Pubblica Amministrazione per i servizi informatici fiscali e tributari. Sogei è storicamente il gestore del sistema informativo dell’Anagrafe Tributaria, dell’Agenzia delle Entrate, dell’Agenzia delle dogane e dei monopoli, e di altri sistemi strategici del MEF. La sua attività verso le Amministrazioni si svolge in regime di affidamento diretto, in deroga alle ordinarie procedure di evidenza pubblica, in quanto società in-house ex art. 5 e 7 del D.Lgs. 36/2023 (Codice contratti pubblici) e dell’art. 192 del precedente D.Lgs. 50/2016.
La CONSOB e l’attività di vigilanza
La CONSOB, istituita con la L. 7 giugno 1974, n. 216, è l’autorità pubblica indipendente preposta alla vigilanza sui mercati finanziari italiani. Le sue funzioni comprendono: vigilanza sulla trasparenza e correttezza dei comportamenti dei soggetti che operano sui mercati; vigilanza sulla correttezza informativa degli emittenti; controllo sui prospetti informativi; vigilanza sui mercati regolamentati e sui sistemi multilaterali di negoziazione; contrasto agli abusi di mercato (insider trading, manipolazione). Il quadro normativo di riferimento è il D.Lgs. 24 febbraio 1998, n. 58 (TUF), unitamente ai regolamenti CONSOB stessi e alle direttive europee MiFID II e MiFIR.
La digitalizzazione della vigilanza
La novità del comma 255 risponde a una tendenza globale: le autorità di vigilanza sui mercati finanziari (SEC negli USA, FCA nel Regno Unito, BaFin in Germania, ESMA a livello UE) stanno investendo massicciamente in SupTech (Supervisory Technology) per gestire la crescente complessità e velocità dei mercati. La CONSOB italiana ha avviato negli ultimi anni un percorso di evoluzione tecnologica che include: analisi automatizzata di operazioni sospette; sistemi di big data analytics su flussi di trading; algoritmi di rilevamento di pattern di manipolazione; piattaforme di reporting elettronico per gli emittenti.
Il modello dell’avvalimento
L’avvalimento previsto dal comma 255 è uno strumento giuridico ben noto al diritto amministrativo italiano: una pubblica amministrazione si avvale degli uffici o delle strutture di un’altra entità pubblica per lo svolgimento di attività specifiche, sulla base di apposita convenzione. Il modello è ricorrente nei rapporti tra MEF e Sogei, tra Agenzia delle Entrate e Sogei, ed è ora esteso a CONSOB. Il fondamento giuridico dell’avvalimento per servizi in-house è rinforzato dall’art. 7 del D.Lgs. 31 marzo 2023, n. 36 (nuovo Codice dei contratti pubblici), che disciplina il rapporto tra amministrazioni aggiudicatrici e società in-house.
La convenzione: contenuto tipico
La convenzione tra CONSOB e Sogei dovrà disciplinare: (i) l’oggetto specifico delle attività richieste (sviluppo software, gestione infrastrutture, manutenzione, cybersecurity); (ii) i livelli di servizio (SLA) attesi; (iii) i corrispettivi e le modalità di pagamento; (iv) la durata e le condizioni di rinnovo; (v) la governance congiunta dei progetti; (vi) i meccanismi di sicurezza informatica e protezione dei dati personali (GDPR e D.Lgs. 196/2003 come novellato dal D.Lgs. 101/2018); (vii) la proprietà intellettuale delle soluzioni sviluppate; (viii) le clausole di risoluzione e penali. La convenzione costituisce un contratto di diritto pubblico sottoposto al regime del Codice dei contratti pubblici limitatamente alle disposizioni applicabili al modello in-house.
Profilo finanziario: nessun nuovo onere?
Il testo del comma 255 non quantifica nuovi oneri a carico del bilancio dello Stato, lasciando intendere che i costi siano sostenuti dalla CONSOB sulle proprie risorse finanziarie (alimentate principalmente dai contributi dei soggetti vigilati ex art. 40 del TUF). La convenzione opera quindi nel quadro dell’ordinaria operatività della CONSOB, senza impatto sui saldi di finanza pubblica. Si tratta di una soluzione classica per le autorità indipendenti, finanziariamente autonome dal bilancio statale.
Coordinamento con la cybersecurity nazionale
L’evoluzione digitale della vigilanza CONSOB con Sogei si inserisce nel più ampio quadro della cybersecurity nazionale disciplinata dal D.L. 14 giugno 2021, n. 82 (conv. L. 109/2021), istitutivo dell’Agenzia per la Cybersicurezza Nazionale (ACN), e dal Perimetro di Sicurezza Nazionale Cibernetica ex D.L. 105/2019. Sia CONSOB che Sogei sono soggetti inclusi nel perimetro, con obblighi rinforzati di sicurezza dei sistemi informativi.
Implicazioni per gli operatori di mercato
Per gli intermediari finanziari, gli emittenti quotati e gli operatori dei mercati regolamentati, la digitalizzazione della vigilanza CONSOB si tradurrà nel medio termine in: (i) maggiore frequenza ed efficacia dei controlli automatizzati; (ii) richieste di reportistica in formati strutturati e machine-readable; (iii) monitoraggio in tempo reale dei flussi di trading; (iv) potenziamento delle capacità di rilevamento di operazioni anomale. I consulenti delle società quotate e degli intermediari devono presidiare l’evoluzione delle procedure CONSOB per adeguare i propri sistemi interni di compliance.
Domande frequenti
Cosa è Sogei e perché serve alla CONSOB?
Sogei S.p.A. è la società di informatica della Pubblica Amministrazione, partecipata al 100% dal MEF e gestore storico del sistema informativo dell’Anagrafe Tributaria, dell’Agenzia delle Entrate e dell’Agenzia delle dogane. La sua identificazione nella norma avviene tramite il rinvio all’art. 83, c. 15 del D.L. 112/2008 (conv. L. 133/2008). Operare in regime di affidamento in-house consente alla CONSOB di accedere a competenze IT pubbliche di alto livello senza ricorrere a procedure di gara pubblica, in deroga al Codice dei contratti pubblici (artt. 5 e 7 del D.Lgs. 36/2023).
Cosa è l’avvalimento ex comma 255?
L’avvalimento è uno strumento giuridico in base al quale una pubblica amministrazione si avvale degli uffici o delle strutture di un’altra entità pubblica per lo svolgimento di attività specifiche, sulla base di apposita convenzione. Nel caso del comma 255, la CONSOB può avvalersi di Sogei per progetti di digitalizzazione e potenziamento dei propri sistemi informativi di vigilanza. La convenzione disciplina oggetto, livelli di servizio (SLA), corrispettivi, durata, governance, sicurezza informatica, proprietà intellettuale e clausole di risoluzione. Costituisce un contratto di diritto pubblico in regime in-house.
Quali sono i costi del progetto?
Il comma 255 non quantifica nuovi oneri a carico del bilancio dello Stato. I costi sono sostenuti dalla CONSOB sulle proprie risorse finanziarie, alimentate principalmente dai contributi obbligatori dei soggetti vigilati ex art. 40 del D.Lgs. 58/1998 (Testo Unico della Finanza - TUF). Si tratta di intermediari finanziari, società quotate, gestori dei mercati regolamentati, società di gestione del risparmio. La CONSOB è un’autorità finanziariamente autonoma dal bilancio statale, quindi l’intervento non incide sui saldi di finanza pubblica.
Cosa cambia per gli operatori di mercato?
Nel medio termine, la digitalizzazione della vigilanza CONSOB porterà a: maggiore frequenza ed efficacia dei controlli automatizzati su operazioni di mercato; richieste di reportistica strutturata in formati machine-readable; monitoraggio in tempo reale dei flussi di trading; rilevamento automatizzato di pattern di manipolazione (insider trading, market manipulation). Per gli operatori — intermediari, emittenti quotati, fondi, gestori — ciò richiede investimenti in sistemi di compliance interna evoluti, capaci di interloquire con i sistemi CONSOB. Il consulente legale/fiscale deve presidiare l’evoluzione regolamentare per adeguare le procedure aziendali.
Quali sono i profili di sicurezza informatica?
Sia CONSOB che Sogei rientrano nel Perimetro di Sicurezza Nazionale Cibernetica istituito dal D.L. 105/2019 e disciplinato dai successivi DPCM attuativi. Sono inoltre soggette alla vigilanza dell’Agenzia per la Cybersicurezza Nazionale (ACN) istituita dal D.L. 14 giugno 2021, n. 82 (conv. L. 109/2021). Ciò comporta obblighi rinforzati di: protezione dei sistemi ICT; notifica degli incidenti significativi; adozione di misure tecniche e organizzative di sicurezza; eventuale ricorso a fornitori qualificati ACN. Il rispetto del GDPR (Reg. UE 2016/679) e del D.Lgs. 196/2003 (Codice privacy) come novellato dal D.Lgs. 101/2018 è sempre garantito.