Italien öffnet sich ethischen Hackern bei der Suche nach Sicherheitslücken

Die nationale Agentur für Cybersicherheit (ACN) hat eine nationale Politik für die koordinierte Offenlegung von Sicherheitslücken eingeführt, bekannt unter dem Kürzel CVD. Die Massnahme wurde am 7. Oktober 2026 vom Generaldirektor Andrea Quacivi unterzeichnet und geht auf das Gesetzesdekret vom 4. September 2024 zurück, mit dem Italien die europäische NIS2-Richtlinie umgesetzt hat.

Die Politik schafft einen strukturierten Kanal zur Meldung von Zero-Day-Schwachstellen: Sicherheitslücken, die noch nicht öffentlich bekannt sind und für die oft noch keine Korrektur existiert. Ziel ist es, sie zu erkennen und zu beheben, bevor sie von Angreifern ausgenutzt werden können.

Der Mechanismus umfasst drei Akteure. Wer eine mögliche Schwachstelle entdeckt, ob Einzelperson oder Organisation, kann sie melden und verlangen, dass die Meldung anonym bleibt. Das CSIRT Italia nimmt die Meldung entgegen, analysiert sie und vermittelt technisch mit dem Hersteller oder Anbieter des betroffenen Systems, indem es die Bewertung, die Eindämmung und die Korrektur koordiniert. Der Hersteller oder Anbieter arbeitet seinerseits mit dem CSIRT Italia zusammen, um Abhilfemassnahmen zu finden und innerhalb der vereinbarten Fristen ein Update, meist einen Patch, zu verteilen.

Meldungen können über eine Online-Plattform auf der Website der ACN eingereicht werden, unter der Adresse segnalazioni.acn.gov.it.

Die rechtlichen Grenzen

Die Agentur erinnert daran, dass die Forschungstätigkeit das geltende Recht respektieren muss und keine Straftat darstellen darf. Die Massnahme führt somit keinen allgemeinen Safe Harbor ein, also keine generelle Straffreiheit für Personen, die Systeme ohne Genehmigung testen, und kündigt auch kein nationales System finanzieller Belohnungen für die Entdeckung von Schwachstellen an, wie es bei einigen privaten Bug-Bounty-Programmen der Fall ist.

Die Politik wurde im Einvernehmen mit dem Justizministerium und nach Anhörung des Tisches für die Umsetzung der NIS-Regelung (Tavolo per l'attuazione della disciplina NIS) verabschiedet. Generaldirektor Quacivi erklärte, die Massnahme «consolida un modello di collaborazione tra istituzioni, ricercatori di sicurezza e operatori del settore» (festigt ein Modell der Zusammenarbeit zwischen Institutionen, Sicherheitsforschenden und Branchenakteuren).

Wie wirksam der neue Kanal ist, wird von noch zu klärenden Faktoren abhängen: von der Zeit bis zur Bearbeitung der Meldungen, von der Rückmeldung an die Meldenden, vom konkreten Umgang mit der Anonymität und von der Bereitschaft der Anbieter zur Zusammenarbeit.