L'Italie ouvre la voie aux hackers éthiques pour détecter les failles

L'Agence nationale de cybersécurité (ACN) a adopté une politique nationale de divulgation coordonnée des vulnérabilités informatiques, connue sous l'acronyme CVD. La mesure a été signée par le directeur général Andrea Quacivi le 7 octobre 2026 et découle du décret législatif du 4 septembre 2024, par lequel l'Italie a transposé la directive européenne NIS2.

Cette politique crée un canal structuré pour signaler les vulnérabilités « zero day » : des failles de sécurité encore inconnues du public, pour lesquelles il n'existe souvent pas encore de correctif. L'objectif est de les détecter et de les corriger avant qu'elles puissent être exploitées par des personnes malveillantes.

Le mécanisme implique trois acteurs. Toute personne qui découvre une vulnérabilité potentielle, qu'il s'agisse d'un particulier ou d'une organisation, peut la signaler et demander que le signalement reste anonyme. Le CSIRT Italia reçoit le signalement, l'analyse et assure la liaison technique avec le fabricant ou le fournisseur du système concerné, en coordonnant l'évaluation, l'atténuation et la correction. Le fabricant ou le fournisseur collabore à son tour avec le CSIRT Italia pour trouver des solutions et diffuser une mise à jour, généralement un correctif, dans les délais convenus.

Les signalements peuvent être transmis via une plateforme en ligne accessible depuis le site de l'ACN, à l'adresse segnalazioni.acn.gov.it.

Les limites juridiques

L'agence rappelle que l'activité de recherche doit respecter la loi en vigueur et ne peut constituer une infraction. La mesure n'introduit donc pas de « safe harbor » général, c'est-à-dire une garantie d'impunité pour quiconque teste des systèmes sans autorisation, et n'annonce pas non plus de système national de récompenses financières pour la découverte de failles, comme cela existe dans certains programmes privés de bug bounty.

La politique a été adoptée en accord avec le ministère de la Justice et après consultation de la table de mise en œuvre de la réglementation NIS (Tavolo per l'attuazione della disciplina NIS). Le directeur général Quacivi a déclaré que la mesure « consolida un modello di collaborazione tra istituzioni, ricercatori di sicurezza e operatori del settore » (consolide un modèle de collaboration entre les institutions, les chercheurs en sécurité et les acteurs du secteur).

L'efficacité de ce nouveau canal dépendra de facteurs encore à vérifier : les délais de prise en charge des signalements, le retour donné aux personnes qui signalent, la gestion concrète de l'anonymat et la disposition des fournisseurs à collaborer.