La risposta breve
Dal 7 ottobre 2026 l'ACN ha una Politica nazionale di divulgazione coordinata delle vulnerabilità (CVD), adottata in attuazione del d.lgs. 138/2024 che recepisce la NIS2. Le vulnerabilità zero-day si segnalano tramite la piattaforma dell'Agenzia, anche in forma anonima; CSIRT Italia le analizza e coordina la correzione con produttori e fornitori.
Per un'azienda che sviluppa software o eroga servizi digitali significa una cosa precisa: prima o poi potrebbe arrivare una segnalazione formale da CSIRT Italia su un proprio prodotto. Conviene arrivarci con un processo pronto e con codice già verificato, ad esempio tramite un penetration test e audit di sicurezza periodico e una pipeline di sviluppo software su misura che consenta di rilasciare patch in tempi brevi.
Che cosa prevede la politica CVD dell'ACN?
La divulgazione coordinata delle vulnerabilità è una prassi consolidata nel mondo della sicurezza: chi scopre una falla non la pubblica subito, ma la comunica a chi può correggerla, e i dettagli escono solo quando una soluzione è disponibile. Finora in Italia questo avveniva in modo informale, affidato ai programmi di bug bounty delle grandi aziende o ai contatti diretti tra ricercatori e vendor.
Con la determinazione del Direttore Generale Andrea Quacivi, l'ACN porta il processo dentro la cornice della NIS2. La direttiva europea chiede a ogni Stato membro di designare un CSIRT come coordinatore per la divulgazione delle vulnerabilità, e l'Italia ha affidato il ruolo a CSIRT Italia. La politica è stata definita d'intesa con il Ministero della Giustizia e sentito il tavolo per l'attuazione della disciplina NIS: un dettaglio che conta, perché il nodo più delicato è proprio il confine legale dell'attività dei ricercatori.
L'obiettivo dichiarato è individuare e risolvere le vulnerabilità prima che le informazioni possano essere divulgate e sfruttate da attori criminali. In parallelo l'Agenzia ha rivolto un invito esplicito alla comunità digitale e agli hacker etici perché segnalino le zero-day attraverso il nuovo canale.
Come funziona la segnalazione di una zero-day?
Il processo coinvolge tre attori, ciascuno con un compito preciso:
| Attore | Ruolo nel processo CVD |
|---|---|
| Segnalante (ricercatore, hacker etico, azienda, utente) | Individua la vulnerabilità e invia le informazioni tecniche tramite la piattaforma dell'ACN, anche in forma anonima su richiesta |
| CSIRT Italia | Riceve la segnalazione, svolge l'analisi tecnica e coordina le comunicazioni tra le parti |
| Produttore o fornitore ICT | Collabora all'analisi, sviluppa e distribuisce la correzione, di norma una patch o un aggiornamento di sicurezza |
Secondo quanto dichiarato da Quacivi e riportato dal Sole 24 Ore, alla ricezione di una segnalazione CSIRT Italia avvia subito l'analisi tecnica per individuare la soluzione da applicare il prima possibile. Solo dopo la correzione le informazioni di dettaglio possono essere rese note a terzi o al pubblico. È lo stesso schema adottato dai principali vendor internazionali, ma con un soggetto pubblico a fare da garante.
Un punto va letto con attenzione: la politica non trasforma qualunque test in attività lecita. Le ricerche, sottolinea l'ACN, devono essere condotte nel rispetto della legge e non devono configurare reati. Chi verifica un sistema senza l'autorizzazione del titolare resta esposto alle norme penali vigenti.
Cosa cambia per chi produce software?
Per software house, system integrator e aziende con prodotti digitali propri, la novità principale è che una vulnerabilità può arrivare attraverso un canale istituzionale, con un coordinatore che si aspetta risposte e collaborazione. Il rischio non è tanto ricevere la segnalazione, quanto non sapere chi deve gestirla, in quanto tempo e con quale processo di rilascio.
La politica si inserisce in un quadro europeo che va nella stessa direzione. Il Cyber Resilience Act chiede ai produttori di prodotti con elementi digitali di dotarsi di una propria politica di divulgazione coordinata e, da settembre 2026, di notificare le vulnerabilità attivamente sfruttate: ne abbiamo parlato in CRA, segnalazione delle vulnerabilità entro 24 ore. Per i soggetti NIS2 restano invece gli obblighi di gestione del rischio e di notifica degli incidenti descritti in NIS2: la scadenza per le misure di sicurezza.
Dalla nostra esperienza con clienti europei, il collo di bottiglia raramente è la correzione in sé. È tutto il resto: capire quali versioni sono colpite, quali clienti le usano, come distribuire l'aggiornamento senza rompere le installazioni esistenti. Un'azienda con test automatici, rilasci frequenti e inventario delle dipendenze chiude una falla in pochi giorni; una con rilasci trimestrali e deploy manuali rischia settimane.
Come prepararsi: cinque passi pratici
- Pubblicate un contatto di sicurezza. Un indirizzo dedicato e un file security.txt sul sito permettono a ricercatori e CSIRT di raggiungere subito la persona giusta.
- Scrivete la vostra politica di divulgazione. Cosa accettate, come rispondete, in quanto tempo confermate la ricezione e quando pubblicate l'avviso.
- Definite il triage interno. Chi valuta la gravità, chi decide le priorità, chi parla con i clienti. Senza nomi precisi la segnalazione resta in una casella di posta.
- Accorciate il ciclo di rilascio. Test automatici e pipeline CI/CD rendono possibile distribuire una patch in modo sicuro e verificabile.
- Cercate le falle prima degli altri. Penetration test periodici, analisi delle dipendenze e revisione del codice riducono la probabilità che sia un esterno a trovarle.
Domande frequenti
Che cos'è la politica CVD dell'ACN?
È la Politica nazionale di divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure), adottata il 7 ottobre 2026 con determinazione del Direttore Generale dell'ACN, Andrea Quacivi. Definisce un processo strutturato per segnalare, analizzare e correggere vulnerabilità non ancora note al pubblico, le cosiddette zero-day.
Su quale base normativa si fonda?
La politica è adottata in attuazione del decreto legislativo 4 settembre 2024, n. 138, che recepisce in Italia la direttiva europea NIS2. È stata definita d'intesa con il Ministero della Giustizia e sentito il tavolo per l'attuazione della disciplina NIS.
Chi può segnalare una vulnerabilità e come?
Chiunque individui una vulnerabilità, compresi ricercatori e hacker etici, può inviarla tramite la piattaforma di segnalazione dell'ACN. Su richiesta la segnalazione può essere anche anonima.
Che ruolo ha CSIRT Italia?
CSIRT Italia è il coordinatore designato: riceve le segnalazioni, svolge l'analisi tecnica e coordina la comunicazione tra chi segnala e il produttore o fornitore del prodotto o servizio ICT interessato, fino alla correzione.
La ricerca di vulnerabilità diventa sempre lecita?
No. La politica ricorda che le attività di ricerca vanno condotte nel rispetto della legge e non devono integrare fattispecie di reato. Non è un'autorizzazione generale a testare sistemi altrui.
Cosa devono fare le aziende che sviluppano software?
Prepararsi a ricevere segnalazioni da CSIRT Italia: un contatto di sicurezza pubblico, un processo interno di triage, tempi definiti per sviluppare e distribuire la patch e una comunicazione coordinata verso i clienti.
Fonti
ACN — L'ACN invita la comunità digitale e gli hacker etici a segnalare tutte le vulnerabilità "Zero Day", 7 ottobre 2026
Il Sole 24 Ore — Italy is protecting itself against zero-day cyber vulnerabilities by turning to ethical hackers, 8 ottobre 2026
Matrice Digitale — ACN adotta la CVD nazionale: hacker etici entro i limiti di legge, 7 ottobre 2026