Il presente articolo è stato aggiornato in data 20/10/2026 con alcune precisazioni suggerite dall’autore.
Immagine in evidenza rielaborata con l’intelligenza artificiale
Il 7 ottobre 2026, l’Agenzia Nazionale per la Cybersicurezza (ACN) ha adottato la Politica nazionale di divulgazione coordinata delle vulnerabilità (CVD: Coordinated Vulnerability Disclosure) e ha invitato la comunità digitale italiana a segnalare tutte le vulnerabilità zero-day, quindi ancora sconosciute, scoperte su sistemi di soggetti pubblici e privati.
Un passo in avanti, senza dubbio. Peccato che il passo in avanti fosse già previsto per legge dall’articolo 12 della Direttiva NIS2 (la normativa europea che punta rafforzare la sicurezza informatica di aziende, enti pubblici e servizi considerati critici), pubblicata in Gazzetta Ufficiale dell’Unione Europea nel dicembre 2022. Quattro anni di attesa per adempiere a un obbligo già scritto nero su bianco. È probabilmente il ritmo fisiologico della macchina pubblica italiana quando si tratta di tecnologia: la direttiva arriva, viene recepita con il decreto legislativo nel 2024, poi si aspettano quasi altri due anni prima che qualcuno adotti gli strumenti operativi che quella norma richiedeva. Nel frattempo, però, le vulnerabilità informatiche esistono lo stesso.
La politica in sé ha una struttura ragionevole: il ricercatore segnala una vulnerabilità al CSIRT Italia (Computer Security Incident Response Team: la squadra nazionale che si occupa di gestire e coordinare la risposta agli incidenti informatici), il CSIRT si coordina con il fabbricante o il gestore del sistema vulnerabile, si trova una patch, poi si divulga.
È possibile segnalare anche in forma anonima tramite la piattaforma segnalazioni.acn.gov.it. Il messaggio pubblico di ACN è persino entusiasta: la community è invitata a collaborare, gli hacker etici sono benvenuti, insieme si costruisce un ecosistema digitale più sicuro. I problemi, come spesso avviene, sono nella nota in calce, quella che nessuno commenta nei comunicati ufficiali.
I rischi penali
La Politica CVD di ACN contiene infatti una clausola che vale la pena citare quasi alla lettera: le attività di ricerca delle vulnerabilità vanno condotte nel rispetto della legge e non devono integrare fattispecie di reato. Traduzione: segnalateci pure tutto quello che trovate, ma non aspettarti protezione se hai violato la legge.
Il punto è che in Italia la legge in questione è l’articolo 615-ter del Codice Penale, che punisce chiunque acceda abusivamente a un sistema informatico protetto da misure di sicurezza. La norma non distingue tra chi entra per rubare dati e chi entra per trovare una falla e segnalarla. I motivi del ricercatore sono, sul piano tecnico-giuridico, sostanzialmente irrilevanti: lo ha chiarito la Cassazione a Sezioni Unite nel 2012, che ha spostato il focus sulla qualità dell’accesso rispetto all’autorizzazione ricevuta. Chi accede a un sistema informatico protetto senza autorizzazione rischia di commettere un reato, indipendentemente dalle sue intenzioni.
ACN non è un’autorità giudiziaria e non può quindi garantire immunità penale a nessuno. Lo dice la stessa Relazione annuale ACN 2025 (riquadro Focus, pagina 16): la Politica, elaborata a legislazione vigente, «non reca una disciplina in materia di tutela dei segnalanti delle vulnerabilità sotto i profili della responsabilità civile e penale». Per l’ipotesi base del 615-ter si procede a querela del titolare del sistema, e ACN non può decidere al suo posto; per le ipotesi aggravate, come i sistemi di interesse pubblico, si procede d’ufficio. A pagina 12 ACN promette di tutelare le informazioni identificative ricavabili dal mezzo di segnalazione, come IP, e-mail e numero di telefono, ma aggiunge che potrà essere tenuta a comunicare le informazioni alle autorità competenti, in particolare se ravvisa una notizia di reato. L’anonimato protegge quindi l’identità durante il processo di segnalazione, non nei confronti dell’autorità giudiziaria, e non sana l’accesso che ha permesso di trovare la vulnerabilità. Il modo più solido per fare security research su sistemi altrui senza rischiare un procedimento penale resta quello di sempre: farsi dare l’autorizzazione. Che è un penetration test. Non una CVD.
Cosa succede nel resto d’Europa
Il Belgio ha risolto il problema nel 2022 con una norma specifica e nel 2024 l’ha consolidata nella propria legge di recepimento NIS2: chi rispetta le condizioni del safe harbor – ovvero nessun intento fraudolento, azioni proporzionate, segnalazione tempestiva al CCB (l’autorità belga competente per la cybersicurezza) e al titolare del sistema – non risponde penalmente dei reati informatici commessi nel corso della ricerca. È un’esenzione espressa, scritta nella legge, non una promessa procedurale di qualche autorità. I Paesi Bassi ci sono arrivati in modo diverso, più pragmatico: esiste una guida del Centro nazionale per la cybersicurezza (NCSC), pubblicata nel 2013 e aggiornata nel 2018, e dal 14 dicembre 2020 una lettera di politica della Procura che sostituisce quella del 2013. Secondo la sintesi della Procura, in assenza di una policy la denuncia non basta a trattare l’hacker etico come sospettato. Non è un’immunità formale, ma crea un livello di prevedibilità che in Italia non esiste nemmeno in forma embrionale.
La Germania, nel novembre 2024, ha visto il Ministero della giustizia elaborare un Referentenentwurf, cioè una bozza ministeriale e non un disegno di legge, di modifica del paragrafo 202a del Codice Penale (il loro equivalente del nostro 615-ter) per escludere dalla fattispecie l’accesso finalizzato a segnalare una vulnerabilità. Il progetto non è stato approvato prima della fine anticipata della legislatura. Il contratto di governo CDU/CSU-SPD del 2025 promette certezza giuridica per la ricerca in sicurezza informatica, e il Governo ha ribadito l’impegno in una risposta parlamentare del 16 aprile 2026. Non è ancora legge. La Francia ha invece una protezione debole e solo procedurale, ma almeno esiste: l’ANSSI (agenzia per la cybersicurezza francese) non è obbligata a denunciare chi segnala in buona fede. L’Italia, con la sua nuova Politica CVD, si colloca nell’unica categoria rimasta: quella dei Paesi che hanno un canale di segnalazione e nessuna tutela sostanziale.
Se l’Italia inasprisce le pene
Mentre il Belgio costruiva un safe harbor e la Germania ci provava, l’Italia approvava la Legge 90/2024 sulla cybersicurezza nazionale. Non è una legge che protegge i ricercatori: è una legge che alza le pene. Per i sistemi di interesse pubblico – sanitario, militare, di ordine pubblico, infrastrutture critiche – le pene per accesso abusivo sono passate da un massimo di cinque anni a un massimo di dieci, con aggravanti che arrivano a dodici. In questi casi, inoltre, si procede d’ufficio, senza che sia necessaria una querela. Il legislatore ha quindi deciso, nell’anno in cui si recepiva NIS2, di rendere più pericoloso fare security research proprio sui sistemi più critici: quelli dove le vulnerabilità hanno le conseguenze più gravi.
Oggi ACN invita la community a segnalare zero-day sui sistemi informatici della pubblica amministrazione o di interesse pubblico. La normativa vigente, però, continua a esporre chi individua queste vulnerabilità attraverso accessi non autorizzati al rischio di procedimenti penali, con pene che, nei casi più gravi, possono arrivare fino a dodici anni. Non c’è nessun safe harbor. Il Ministero della giustizia ha dato l’intesa all’adozione della Politica (comunicazione del 31 ottobre 2025), ma, come visto, la Relazione annuale ACN 2025 precisa che la Politica non disciplina la tutela dei segnalanti sotto i profili penali. Di proposte parlamentari sembra essercene una sola: il DDL S. 1441, presentato in Senato dal senatore Basso e comunicato alla Presidenza il 3 aprile 2025, una delega al Governo sulla strategia contro il ransomware la cui lettera q) prevede, in una riga, un safe harbor per chi segnala in buona fede vulnerabilità informatiche rilevanti. Risulta assegnato e non ancora esaminato.
Le cautele necessarie
La Politica CVD di ACN è un passo necessario, ma tardivo. Crea un canale, introduce l’anonimato, formalizza un processo che prima non esisteva. Per chi trova vulnerabilità senza accedere a sistemi altrui – analisi passiva, firmware acquistato, software proprio – è uno strumento utile. Per chi fa ricerca sul campo, su sistemi in produzione, nell’unico modo in cui certi bug si trovano davvero, il quadro giuridico è identico a quello di ieri: un accesso non autorizzato è un accesso non autorizzato, indipendentemente da cosa si fa dopo.
A Malta, nell’ottobre 2022, tre studenti hanno individuato una vulnerabilità nell’app FreeHour e hanno scritto al fondatore, che ha informato la polizia. Sono stati arrestati a novembre 2022, e con loro è stato accusato di concorso un docente che aveva riletto la mail. Le cronache riportano che gli studenti avevano chiesto una ricompensa e che uno di loro aveva modificato temporaneamente l’app. Resta il fatto che si sono ritrovati imputati: l’imputazione formale è arrivata a marzo 2025 e la grazia presidenziale il 1° luglio 2025, quasi tre anni dopo i fatti. Il premier maltese Robert Abela, secondo la stampa locale, ha riconosciuto la responsabilità dello Stato di aggiornare le leggi alla realtà tecnologica (è una parafrasi giornalistica, non una citazione). In Italia stiamo ancora aspettando che qualcuno arrivi a quella conclusione. Nel frattempo, se trovate qualcosa, la domanda non è se segnalarlo. La domanda è se potete permettervi di averlo trovato.
CSIRT è l’acronimo di Computer Security Incident Response Team, ovvero una squadra specializzata nella prevenzione e nella gestione degli incidenti informatici. In Italia, il CSIRT nazionale opera all’interno dell’Agenzia per la Cybersicurezza Nazionale (ACN).
Il suo compito è monitorare le minacce informatiche, individuare possibili rischi, raccogliere le segnalazioni degli attacchi e assistere le organizzazioni colpite nella gestione delle emergenze. Il CSIRT diffonde inoltre allerte e informazioni sulle vulnerabilità individuate allo scopo di prevenire nuovi incidenti.
Collabora con le autorità e con gli organismi analoghi degli altri Paesi, soprattutto europei, per condividere informazioni e coordinare le risposte alle minacce.
Con la nuova politica nazionale di divulgazione coordinata delle vulnerabilità (CVD), il CSIRT Italia svolge anche il ruolo di intermediario tra chi scopre una falla informatica e chi è responsabile del sistema vulnerabile, facilitando la segnalazione e la successiva correzione.
