Il 7 ottobre 2026 l'Agenzia per la cybersicurezza nazionale (ACN) ha adottato la politica nazionale di divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure, CVD), con determina del direttore generale Andrea Quacivi, d'intesa con il Ministero della giustizia. È un passo atteso, previsto dal decreto NIS (D.Lgs. 138/2024) che recepisce la direttiva NIS2, e invita ricercatori e hacker etici a segnalare vulnerabilità sconosciute in prodotti e servizi digitali. Ma sulla tutela di chi segnala c'è un nodo giuridico che merita attenzione.

Cosa prevede la politica

Il meccanismo è semplice. Chiunque trovi una potenziale vulnerabilità, persona o organizzazione, può inviare i dettagli tecnici a CSIRT Italia, che li analizza, coordina la comunicazione con il produttore o il fornitore e supporta l'individuazione delle mitigazioni e la distribuzione della correzione in tempi concordati. La segnalazione può essere anonima su richiesta. Il Sole 24 Ore riporta la dichiarazione del direttore Quacivi, secondo cui la politica "consolida un modello di collaborazione" tra istituzioni, ricercatori e professionisti del settore.

Secondo la ricostruzione di Tom's Hardware, che a sua volta riprende il testo della determina e l'analisi del ricercatore Maurizio Siracusa pubblicata su Guerre di Rete, sono previsti tempi indicativi di 7 giorni per una soluzione temporanea e 90 giorni per la correzione definitiva, a partire dalla validazione della vulnerabilità. I canali sono il portale segnalazioni.acn.gov.it e l'indirizzo cvd@acn.gov.it, con cifratura PGP. Le fonti non concordano sul livello di dettaglio (il Sole 24 Ore non cita scadenze), quindi per i termini esatti conviene consultare il testo ufficiale della determina.

Il nodo penale: un canale c'è, uno scudo no

La politica chiede che la ricerca avvenga "senza commettere reati". Qui sta il punto critico. Il reato che un ricercatore rischia più facilmente è l'accesso abusivo a sistema informatico (art. 615-ter c.p.): nella forma base è punito fino a tre anni e si procede a querela; se il sistema è di interesse pubblico, sanitario, di ordine pubblico o simili, la pena sale (da 3 a 10 anni) e si procede d'ufficio; con aggravanti si arriva a 12 anni. La legge 90/2024 ha inasprito le pene del terzo comma.

Le critiche riportate da Tom's Hardware sono tre. Una determina amministrativa non può modificare il codice penale: per escludere la punibilità serve una norma di legge. L'ACN non è un'autorità giudiziaria e quindi non può garantire l'immunità. Il personale di CSIRT Italia ha qualifica di pubblico ufficiale e deve riferire all'autorità giudiziaria i reati perseguibili d'ufficio di cui viene a conoscenza, anche quando la segnalazione è anonima. Il decreto NIS, all'art. 16, affida a CSIRT Italia il ruolo di intermediario di fiducia, ma non contiene una clausola di esclusione della responsabilità.

Il confronto europeo citato è eloquente: il Belgio ha introdotto una norma specifica nel recepimento della NIS2 che tutela chi segnala in tempo e in modo proporzionato; i Paesi Bassi seguono dal 2013 un indirizzo della Procura orientato alla non perseguibilità dei ricercatori in buona fede. In Italia, secondo questa lettura, esiste un canale di segnalazione ma non una tutela sostanziale. Sono valutazioni di un analista, non pareri giudiziari: l'interpretazione effettiva dipenderà dalla prassi delle procure.

Cosa significa per le aziende italiane

Per chi sviluppa o gestisce sistemi, la politica ha effetti pratici che vanno oltre la cronaca normativa.

Per i produttori e i fornitori italiani, cresce la probabilità di ricevere segnalazioni tramite CSIRT Italia, con una scadenza di riferimento di 90 giorni per la correzione. Serve un processo interno: un punto di contatto, un canale per ricevere le segnalazioni, un responsabile che valuti la gravità e un percorso di rilascio delle patch. Un file security.txt e una politica di divulgazione propria sono ormai un segno minimo di maturità.

Per i soggetti NIS2, la gestione e la divulgazione delle vulnerabilità fanno parte delle misure di gestione del rischio, e il quadro di vigilanza si sta stringendo: l'ACN ha indicato il 31 ottobre 2026 come data da cui potrà ispezionare i soggetti in elenco. Un'organizzazione senza un processo documentato di gestione delle vulnerabilità arriva a quella data scoperta. Studi legali come Cucci segnalano inoltre che, ai sensi dell'art. 14 del D.Lgs. 138/2024, l'autorità NIS deve informare il Garante quando un inadempimento può comportare una violazione di dati personali da notificare ex art. 33 GDPR: una vulnerabilità non gestita può quindi diventare un tema di sicurezza e di privacy insieme.

Per i professionisti della sicurezza, il consiglio da consulente è prudente: la segnalazione tramite ACN non sostituisce un'autorizzazione. Il modo più sicuro di testare sistemi altrui resta un incarico scritto (penetration test o bug bounty con regole chiare), e se una falla emerge casualmente conviene limitare l'interazione al minimo, non scaricare né modificare dati e segnalare subito. In caso di dubbio, un parere legale preventivo è un investimento.

Cosa fare subito

  • Pubblicare un file security.txt (RFC 9116) sui domini principali, con un contatto, la lingua e l'eventuale chiave PGP.
  • Definire una procedura di gestione delle segnalazioni: chi riceve, chi valuta la gravità, chi decide le tempistiche, come si risponde a CSIRT Italia.
  • Fissare obiettivi interni di correzione coerenti con i riferimenti di 7 e 90 giorni, almeno per le vulnerabilità sfruttabili da remoto.
  • Includere i fornitori: chiedere ai fornitori critici se hanno una politica CVD e come vi notificheranno una vulnerabilità nei loro prodotti.
  • Per i ricercatori: non testare sistemi senza autorizzazione, documentare ogni passaggio, non condividere i dettagli con terzi prima del via libera di CSIRT Italia.
  • Verificare il testo ufficiale della determina sul sito dell'ACN prima di adottare scadenze o clausole contrattuali.