Il 7 ottobre 2026, l’Agenzia Nazionale per la Cybersicurezza (ACN) ha adottato
la Politica nazionale di divulgazione coordinata delle vulnerabilità (CVD: Coordinated
Vulnerability Disclosure) e ha invitato la comunità digitale italiana a
segnalare tutte le vulnerabilità zero-day, quindi ancora sconosciute, scoperte
su sistemi di soggetti pubblici e privati.
Un passo in avanti, senza dubbio. Peccato che il passo in avanti fosse già
previsto per legge dall’articolo 12 della
Direttiva NIS2 (la normativa europea che punta rafforzare la sicurezza
informatica di aziende, enti pubblici e servizi considerati critici),
pubblicata in Gazzetta Ufficiale dell’Unione Europea nel dicembre 2022. Quattro
anni di attesa per adempiere a un obbligo già scritto nero su bianco. È
probabilmente il ritmo fisiologico della macchina pubblica italiana quando si
tratta di tecnologia: la direttiva arriva, viene recepita con il decreto legislativo nel 2024,
poi si aspetta un altro anno prima che qualcuno adotti gli strumenti operativi
che quella norma richiedeva. Nel frattempo, però, le vulnerabilità informatiche
esistono lo stesso.
La politica in sé ha una struttura ragionevole: il ricercatore segnala una
vulnerabilità al CSIRT Italia (Computer Security Incident Response Team:
la squadra nazionale che si occupa di gestire e coordinare la risposta agli
incidenti informatici), il CSIRT si coordina con il fabbricante o il gestore del
sistema vulnerabile, si trova una patch, poi si divulga.
È possibile segnalare anche in forma anonima tramite una piattaforma
dedicata sul sito ACN, che però al momento non risulta ancora essere attiva. Il
messaggio pubblico di ACN è persino entusiasta: la community è invitata a
collaborare, gli hacker etici sono benvenuti, insieme si costruisce un
ecosistema digitale più sicuro. I problemi, come spesso avviene, sono nella
nota in calce, quella che nessuno commenta nei comunicati ufficiali.
I rischi penali
La Politica CVD di ACN contiene infatti una clausola che vale la pena
citare quasi alla lettera: le attività di ricerca delle vulnerabilità vanno
condotte nel rispetto della legge e non devono integrare fattispecie di reato.
Traduzione: segnalateci pure tutto quello che trovate, ma non aspettarti
protezione se hai violato la legge.
Il punto è che in Italia la legge in questione è l’articolo 615-ter del
Codice Penale, che punisce chiunque acceda abusivamente a un sistema
informatico protetto da misure di sicurezza. La norma non distingue tra chi
entra per rubare dati e chi entra per trovare una falla e segnalarla. I motivi
del ricercatore sono, sul piano tecnico-giuridico, sostanzialmente irrilevanti:
lo ha chiarito la
Cassazione a Sezioni Unite nel 2012, che ha spostato il focus sulla qualità
dell’accesso rispetto all’autorizzazione ricevuta. Chi accede a un sistema
informatico protetto senza autorizzazione rischia di commettere un reato,
indipendentemente dalle sue intenzioni.
ACN non è un’autorità giudiziaria e non può quindi garantire immunità
penale a nessuno. Al massimo può impegnarsi a non sporgere querela come
soggetto offeso, ma il Pubblico Ministero può comunque procedere d’ufficio. E
se il sistema vulnerabile appartiene a un ente terzo, ACN non ha alcun potere
su quel soggetto. L’anonimato garantito dalla piattaforma protegge l’identità
del segnalante durante il processo, ma non sana retroattivamente l’accesso
abusivo che ha permesso di trovare la vulnerabilità. L’unico modo per fare security
research su sistemi altrui senza rischiare un procedimento penale resta
quello di sempre: farsi dare l’autorizzazione. Che è un penetration test. Non una CVD.
Cosa succede nel resto d’Europa
Il Belgio ha risolto il problema nel 2022 con una norma specifica e nel
2024 l’ha consolidata nella propria legge di recepimento NIS2: chi rispetta le
condizioni del safe harbor – ovvero nessun intento fraudolento, azioni
proporzionate, segnalazione tempestiva al CCB (l’autorità belga competente per
la cybersicurezza) e al titolare del sistema – non risponde penalmente dei
reati informatici commessi nel corso della ricerca. È un’esenzione espressa,
scritta nella legge, non una promessa procedurale di qualche autorità. I Paesi
Bassi ci sono arrivati in modo diverso, più pragmatico: dal 2013 esiste una
direttiva della Procura che orienta l’esercizio dell’azione penale verso la
non-perseguibilità dei ricercatori in buona fede. Non è un’immunità formale, ma
crea un livello di prevedibilità che in Italia non esiste nemmeno in forma
embrionale.
La Germania nel 2024 aveva elaborato una bozza di riforma del paragrafo
202a del Codice Penale – il loro equivalente del nostro 615-ter – per escludere
dalla fattispecie le attività di ricerca finalizzate alla segnalazione. La
bozza è decaduta con la crisi della coalizione. Il contratto di governo
CDU/CSU-SPD del 2025 l’ha ripresa con un impegno esplicito a creare certezza
giuridica per la ricerca in sicurezza informatica. Non è ancora legge, ma è in
agenda. La Francia ha invece una protezione debole e solo procedurale, ma
almeno esiste: l’ANSSI (agenzia per la cybersicurezza francese) non è obbligata
a denunciare chi segnala in buona fede. L’Italia, con la sua nuova Politica
CVD, si colloca nell’unica categoria rimasta: quella dei Paesi che hanno un
canale di segnalazione e nessuna tutela sostanziale.
Se l’Italia inasprisce le pene
Mentre il Belgio costruiva un safe harbor e la Germania ci provava,
l’Italia approvava la Legge 90/2024 sulla cybersicurezza
nazionale. Non è una legge che protegge i ricercatori: è una legge
che alza le pene. Per i sistemi di interesse pubblico – sanitario, militare, di
ordine pubblico, infrastrutture critiche – le pene per accesso abusivo sono
passate da un massimo di cinque anni a un massimo di dieci, con aggravanti che
arrivano a dodici. In questi casi, inoltre, si procede d’ufficio, senza che sia
necessaria una querela. Il legislatore ha quindi deciso, nell’anno in cui si
recepiva NIS2, di rendere più pericoloso fare security research proprio
sui sistemi più critici: quelli dove le vulnerabilità hanno le conseguenze più
gravi.
Oggi ACN invita la community a segnalare zero-day sui sistemi informatici
della pubblica amministrazione o di interesse pubblico. La normativa vigente,
però, continua a esporre chi individua queste vulnerabilità attraverso accessi
non autorizzati al rischio di procedimenti penali, con pene che, nei casi più
gravi, possono arrivare fino a dodici anni. Non c’è nessun safe harbor, nessuna
proposta di legge in discussione in Parlamento, nessun indirizzo del Ministero
della Giustizia che riduca anche solo l’incertezza. C’è un DDL presentato in Senato
nell’aprile 2025 dal senatore Lorenzo Basso che contiene una delega generica
per un safe harbor, che però non è mai stato esaminato in commissione.
Le cautele necessarie
La Politica CVD di ACN è un passo necessario, ma tardivo. Crea un canale,
introduce l’anonimato, formalizza un processo che prima non esisteva. Per chi
trova vulnerabilità senza accedere a sistemi altrui – analisi passiva, firmware
acquistato, software proprio – è uno strumento utile. Per chi fa ricerca sul
campo, su sistemi in produzione, nell’unico modo in cui certi bug si trovano
davvero, il quadro giuridico è identico a quello di ieri: un accesso non
autorizzato è un accesso non autorizzato, indipendentemente da cosa si fa dopo.
A Malta, nel 2022, quattro ricercatori hanno trovato una falla critica in
un’app, l’hanno segnalata responsabilmente, e si sono ritrovati imputati. Tre
anni di processo, poi la grazia presidenziale. Il premier maltese ha detto che
lo Stato deve assumersi la responsabilità quando le leggi non riflettono la
realtà tecnologica. In Italia stiamo ancora aspettando che qualcuno arrivi a
quella conclusione. Nel frattempo, se trovate qualcosa, la domanda non è se segnalarlo.
La domanda è se potete permettervi di averlo trovato.
Nessun commento:
Posta un commento