Immagine in evidenza rielaborata con l’intelligenza artificiale
Il 7 ottobre 2026, l’Agenzia Nazionale per la Cybersicurezza (ACN) ha adottato la Politica nazionale di divulgazione coordinata delle vulnerabilità (CVD: Coordinated Vulnerability Disclosure) e ha invitato la comunità digitale italiana a segnalare tutte le vulnerabilità zero-day, quindi ancora sconosciute, scoperte su sistemi di soggetti pubblici e privati.
Un passo in avanti, senza dubbio. Peccato che il passo in avanti fosse già previsto per legge dall’articolo 12 della Direttiva NIS2 (la normativa europea che punta rafforzare la sicurezza informatica di aziende, enti pubblici e servizi considerati critici), pubblicata in Gazzetta Ufficiale dell’Unione Europea nel dicembre 2022. Quattro anni di attesa per adempiere a un obbligo già scritto nero su bianco. È probabilmente il ritmo fisiologico della macchina pubblica italiana quando si tratta di tecnologia: la direttiva arriva, viene recepita con il decreto legislativo nel 2024, poi si aspetta un altro anno prima che qualcuno adotti gli strumenti operativi che quella norma richiedeva. Nel frattempo, però, le vulnerabilità informatiche esistono lo stesso.
La politica in sé ha una struttura ragionevole: il ricercatore segnala una vulnerabilità al CSIRT Italia (Computer Security Incident Response Team: la squadra nazionale che si occupa di gestire e coordinare la risposta agli incidenti informatici), il CSIRT si coordina con il fabbricante o il gestore del sistema vulnerabile, si trova una patch, poi si divulga.
È possibile segnalare anche in forma anonima tramite una piattaforma dedicata sul sito ACN, che però al momento non risulta ancora essere attiva. Il messaggio pubblico di ACN è persino entusiasta: la community è invitata a collaborare, gli hacker etici sono benvenuti, insieme si costruisce un ecosistema digitale più sicuro. I problemi, come spesso avviene, sono nella nota in calce, quella che nessuno commenta nei comunicati ufficiali.
I rischi penali
La Politica CVD di ACN contiene infatti una clausola che vale la pena citare quasi alla lettera: le attività di ricerca delle vulnerabilità vanno condotte nel rispetto della legge e non devono integrare fattispecie di reato. Traduzione: segnalateci pure tutto quello che trovate, ma non aspettarti protezione se hai violato la legge.
Il punto è che in Italia la legge in questione è l’articolo 615-ter del Codice Penale, che punisce chiunque acceda abusivamente a un sistema informatico protetto da misure di sicurezza. La norma non distingue tra chi entra per rubare dati e chi entra per trovare una falla e segnalarla. I motivi del ricercatore sono, sul piano tecnico-giuridico, sostanzialmente irrilevanti: lo ha chiarito la Cassazione a Sezioni Unite nel 2012, che ha spostato il focus sulla qualità dell’accesso rispetto all’autorizzazione ricevuta. Chi accede a un sistema informatico protetto senza autorizzazione rischia di commettere un reato, indipendentemente dalle sue intenzioni.
ACN non è un’autorità giudiziaria e non può quindi garantire immunità penale a nessuno. Al massimo può impegnarsi a non sporgere querela come soggetto offeso, ma il Pubblico Ministero può comunque procedere d’ufficio. E se il sistema vulnerabile appartiene a un ente terzo, ACN non ha alcun potere su quel soggetto. L’anonimato garantito dalla piattaforma protegge l’identità del segnalante durante il processo, ma non sana retroattivamente l’accesso abusivo che ha permesso di trovare la vulnerabilità. L’unico modo per fare security research su sistemi altrui senza rischiare un procedimento penale resta quello di sempre: farsi dare l’autorizzazione. Che è un penetration test. Non una CVD.
Cosa succede nel resto d’Europa
Il Belgio ha risolto il problema nel 2022 con una norma specifica e nel 2024 l’ha consolidata nella propria legge di recepimento NIS2: chi rispetta le condizioni del safe harbor – ovvero nessun intento fraudolento, azioni proporzionate, segnalazione tempestiva al CCB (l’autorità belga competente per la cybersicurezza) e al titolare del sistema – non risponde penalmente dei reati informatici commessi nel corso della ricerca. È un’esenzione espressa, scritta nella legge, non una promessa procedurale di qualche autorità. I Paesi Bassi ci sono arrivati in modo diverso, più pragmatico: dal 2013 esiste una direttiva della Procura che orienta l’esercizio dell’azione penale verso la non-perseguibilità dei ricercatori in buona fede. Non è un’immunità formale, ma crea un livello di prevedibilità che in Italia non esiste nemmeno in forma embrionale.
La Germania nel 2024 aveva elaborato una bozza di riforma del paragrafo 202a del Codice Penale – il loro equivalente del nostro 615-ter – per escludere dalla fattispecie le attività di ricerca finalizzate alla segnalazione. La bozza è decaduta con la crisi della coalizione. Il contratto di governo CDU/CSU-SPD del 2025 l’ha ripresa con un impegno esplicito a creare certezza giuridica per la ricerca in sicurezza informatica. Non è ancora legge, ma è in agenda. La Francia ha invece una protezione debole e solo procedurale, ma almeno esiste: l’ANSSI (agenzia per la cybersicurezza francese) non è obbligata a denunciare chi segnala in buona fede. L’Italia, con la sua nuova Politica CVD, si colloca nell’unica categoria rimasta: quella dei Paesi che hanno un canale di segnalazione e nessuna tutela sostanziale.
Se l’Italia inasprisce le pene
Mentre il Belgio costruiva un safe harbor e la Germania ci provava, l’Italia approvava la Legge 90/2024 sulla cybersicurezza nazionale. Non è una legge che protegge i ricercatori: è una legge che alza le pene. Per i sistemi di interesse pubblico – sanitario, militare, di ordine pubblico, infrastrutture critiche – le pene per accesso abusivo sono passate da un massimo di cinque anni a un massimo di dieci, con aggravanti che arrivano a dodici. In questi casi, inoltre, si procede d’ufficio, senza che sia necessaria una querela. Il legislatore ha quindi deciso, nell’anno in cui si recepiva NIS2, di rendere più pericoloso fare security research proprio sui sistemi più critici: quelli dove le vulnerabilità hanno le conseguenze più gravi.
Oggi ACN invita la community a segnalare zero-day sui sistemi informatici della pubblica amministrazione o di interesse pubblico. La normativa vigente, però, continua a esporre chi individua queste vulnerabilità attraverso accessi non autorizzati al rischio di procedimenti penali, con pene che, nei casi più gravi, possono arrivare fino a dodici anni. Non c’è nessun safe harbor, nessuna proposta di legge in discussione in Parlamento, nessun indirizzo del Ministero della Giustizia che riduca anche solo l’incertezza. C’è un DDL presentato in Senato nell’aprile 2025 dal senatore Lorenzo Basso che contiene una delega generica per un safe harbor, che però non è mai stato esaminato in commissione.
Le cautele necessarie
La Politica CVD di ACN è un passo necessario, ma tardivo. Crea un canale, introduce l’anonimato, formalizza un processo che prima non esisteva. Per chi trova vulnerabilità senza accedere a sistemi altrui – analisi passiva, firmware acquistato, software proprio – è uno strumento utile. Per chi fa ricerca sul campo, su sistemi in produzione, nell’unico modo in cui certi bug si trovano davvero, il quadro giuridico è identico a quello di ieri: un accesso non autorizzato è un accesso non autorizzato, indipendentemente da cosa si fa dopo.
A Malta, nel 2022, quattro ricercatori hanno trovato una falla critica in un’app, l’hanno segnalata responsabilmente, e si sono ritrovati imputati. Tre anni di processo, poi la grazia presidenziale. Il premier maltese ha detto che lo Stato deve assumersi la responsabilità quando le leggi non riflettono la realtà tecnologica. In Italia stiamo ancora aspettando che qualcuno arrivi a quella conclusione. Nel frattempo, se trovate qualcosa, la domanda non è se segnalarlo. La domanda è se potete permettervi di averlo trovato.
CSIRT è l’acronimo di Computer Security Incident Response Team, ovvero una squadra specializzata nella prevenzione e nella gestione degli incidenti informatici. In Italia, il CSIRT nazionale opera all’interno dell’Agenzia per la Cybersicurezza Nazionale (ACN).
Il suo compito è monitorare le minacce informatiche, individuare possibili rischi, raccogliere le segnalazioni degli attacchi e assistere le organizzazioni colpite nella gestione delle emergenze. Il CSIRT diffonde inoltre allerte e informazioni sulle vulnerabilità individuate allo scopo di prevenire nuovi incidenti.
Collabora con le autorità e con gli organismi analoghi degli altri Paesi, soprattutto europei, per condividere informazioni e coordinare le risposte alle minacce.
Con la nuova politica nazionale di divulgazione coordinata delle vulnerabilità (CVD), il CSIRT Italia svolge anche il ruolo di intermediario tra chi scopre una falla informatica e chi è responsabile del sistema vulnerabile, facilitando la segnalazione e la successiva correzione.
