L'Italia apre agli hacker etici per cercare le vulnerabilità informatiche

L'Agenzia per la cybersicurezza nazionale (ACN) ha adottato una politica nazionale per la divulgazione coordinata delle vulnerabilità informatiche, conosciuta con l'acronimo CVD. Il provvedimento è stato firmato dal direttore generale Andrea Quacivi il 7 ottobre 2026 e discende dal decreto legislativo del 4 settembre 2024, con cui l'Italia ha recepito la direttiva europea NIS2.

La politica crea un canale strutturato per segnalare le vulnerabilità "zero day": falle di sicurezza non ancora conosciute pubblicamente, per le quali spesso non esiste ancora una correzione. L'obiettivo è farle individuare e risolvere prima che possano essere sfruttate da chi vuole usarle per compiere attacchi.

Il meccanismo coinvolge tre soggetti. Chi scopre una possibile vulnerabilità, persona fisica o organizzazione, può segnalarla e chiedere che la segnalazione resti anonima. Il CSIRT Italia riceve la segnalazione, la analizza e fa da tramite tecnico con il produttore o il fornitore del sistema coinvolto, coordinando la valutazione, la mitigazione e la correzione. Il produttore o il fornitore collabora a sua volta con il CSIRT Italia per individuare i rimedi e distribuire un aggiornamento, di solito una patch, entro i tempi concordati.

Le segnalazioni possono essere inviate tramite una piattaforma online raggiungibile dal sito dell'ACN, all'indirizzo segnalazioni.acn.gov.it.

I limiti legali

L'agenzia ricorda che l'attività di ricerca deve comunque rispettare la legge vigente e non può configurare un reato. Il provvedimento non introduce quindi un "safe harbor" generale, cioè una garanzia di non punibilità per chi testa sistemi senza autorizzazione, e non annuncia un sistema nazionale di ricompense economiche per chi trova le falle, come avviene invece in alcuni programmi di bug bounty privati.

La politica è stata adottata d'intesa con il Ministero della Giustizia e dopo aver sentito il Tavolo per l'attuazione della disciplina NIS. Il direttore generale Quacivi ha dichiarato che il provvedimento "consolida un modello di collaborazione tra istituzioni, ricercatori di sicurezza e operatori del settore".

L'efficacia del nuovo canale dipenderà da fattori ancora da verificare: i tempi di presa in carico delle segnalazioni, il riscontro dato a chi segnala, la gestione concreta dell'anonimato e la disponibilità dei fornitori a collaborare.