La legge di modernizzazione della legge sul controllo di sicurezza (SÜG) dell’11.01.2026 è in vigore dal 16.01.2026 (BGBl. 2026 I n. 6/7) e inasprisce sensibilmente il controllo di sicurezza statale. La modifica più importante per la prassi: la ricerca su Internet diventa ora obbligatoria anche per il controllo di sicurezza semplice (Ü1) – finora la profondità di verifica del livello più basso restava nettamente indietro rispetto a Ü2 e Ü3. Per le aziende assistite in materia di segretezza significa: la verifica statale si avvicina nella metodologia a ciò che lo screening privato professionale fa da tempo.
I tre livelli del controllo di sicurezza in sintesi
La SÜG conosce nei §§ 7–10 tre tipi di controllo, graduati secondo la sensibilità dell’attività:
- Ü1 – controllo di sicurezza semplice (§ 8 SÜG): il livello base per attività con accesso a documenti classificati di grado inferiore.
- Ü2 – controllo di sicurezza esteso (§ 9 SÜG): il livello intermedio con maggiore profondità di verifica, includendo anche l’ambiente personale.
- Ü3 – controllo di sicurezza esteso con accertamenti di sicurezza (§ 10 SÜG): il livello più intenso per attività particolarmente sensibili alla sicurezza.
Chi sia soggetto a quale livello dipende dall’attività sensibile alla sicurezza – non dal livello gerarchico. Un inquadramento dei termini trovate anche nel nostro glossario.
Cosa cambia concretamente la novella
Il cuore della modernizzazione è l’adeguamento della metodologia di verifica alla realtà digitale. Le informazioni pubblicamente accessibili su Internet – dai risultati dei motori di ricerca alle notizie di stampa fino ai profili visibili pubblicamente – vengono ora incluse obbligatoriamente nel controllo già al livello Ü1. Finora questa profondità di ricerca era riservata ai livelli superiori; d’ora in poi vale: chiunque sia sottoposto a controllo di sicurezza viene verificato anche online.
Con questo il legislatore recepisce ciò che nella prassi della sicurezza è da tempo un punto fermo: la reputazione online di una persona è un oggetto di verifica autonomo e rilevante. Dichiarazioni estremiste, collegamenti problematici o contraddizioni rispetto all’autopresentazione emergono spesso prima in rete – non nei registri.
Cosa significa per i controlli in corso e futuri
Per i responsabili della sicurezza e i referenti compliance nelle aziende assistite in materia di segretezza derivano tre conseguenze pratiche:
- Le nuove istanze vengono verificate secondo il criterio inasprito. Le candidate e i candidati dovrebbero essere preparati al fatto che la loro presenza online visibile pubblicamente fa parte del controllo.
- La preselezione acquista peso: chi nomina una persona per un’attività sensibile alla sicurezza la cui reputazione online presenta rischi riconoscibili rischia ritardi nella procedura. Una verifica di integrità strutturata prima dell’istanza riduce questo rischio – ne parla il contributo sull’assistenza in materia di segretezza nell’economia.
- Le aspettative della vigilanza aumentano complessivamente: se lo Stato fa della ricerca OSINT lo standard obbligatorio dei propri controlli, diventa più difficile giustificare perché lo screening aziendale per ruoli sensibili possa fare a meno di questa dimensione.
Lo Stato recupera terreno – ma non sostituisce uno screening proprio
Notevole è la direzione della novella: con la ricerca su Internet obbligatoria il legislatore introduce esattamente la profondità di verifica che lo screening privato professionale – ricerca OSINT, verifica adverse media, analisi della reputazione online – ha da anni come standard. Ciò conferma l’approccio metodologico, ma non cambia la divisione del lavoro di fondo: il controllo di sicurezza statale serve a proteggere documenti classificati e beni giuridici sovrani; questioni come l’integrità del curriculum, i conflitti di interesse economici o i cambiamenti in corso tra un ciclo e l’altro restano compito del datore di lavoro. La delimitazione esatta dei due mondi è trattata nel contributo Controllo di sicurezza statale vs. screening aziendale.
Raccomandazione operativa
Verificate prima quali posizioni nella vostra azienda sono soggette a un controllo di sicurezza ai sensi dei §§ 7–10 SÜG e quali procedure sono attualmente in corso. Sensibilizzate le persone nominate sul fatto che la loro presenza online è ora oggetto di verifica a tutti i livelli. Istituite una pre-verifica strutturata e documentata prima di presentare le istanze Ü – così evitate ritardi e trattate tutti i candidati secondo lo stesso criterio. Indicium vi supporta con report software verificabili, che comprendono fonti datate e un controllo finale umano (art. 22 GDPR) – a partire da €79 a report. Per i settori sensibili alla sicurezza mostriamo volentieri l’implementazione in una demo.
Questo articolo non costituisce una consulenza giuridica.