Nel cyber spazio esiste una contraddizione che raramente entra nel dibattito sulla sicurezza nazionale: gli attori ostili investono risorse per individuare vulnerabilità nei sistemi informatici, mentre chi potrebbe scoprirle con l’intenzione di segnalarle deve confrontarsi con un quadro di regole che, in determinate circostanze, può esporlo a conseguenze penali e civili.
Non è una questione soltanto giuridica e nemmeno un problema che riguarda esclusivamente gli hacker etici. È una riflessione sulla capacità di un Paese di conoscere le proprie debolezze prima che diventino opportunità per un avversario.
La nuova politica nazionale di divulgazione coordinata delle vulnerabilità, adottata dall’Agenzia per la Cybersicurezza Nazionale nell’ottobre 2026, rappresenta un passo nella direzione corretta. Attraverso il CSIRT Italia viene formalizzato un meccanismo che consente di raccogliere segnalazioni, coordinare gli interlocutori coinvolti e favorire la risoluzione delle vulnerabilità prima della loro divulgazione pubblica.
Il problema è che disporre di un canale attraverso cui comunicare una vulnerabilità non significa necessariamente aver creato tutte le condizioni per favorirne la scoperta responsabile.
Se la sicurezza nazionale dipende anche dalla conoscenza delle proprie vulnerabilità, dobbiamo domandarci quanto sia efficace un sistema che disciplina la segnalazione senza risolvere completamente le condizioni giuridiche della ricerca.
Indice degli argomenti
Le vulnerabilità sono diventate una risorsa strategica
La competizione nel cyberspazio non riguarda più soltanto il furto di informazioni o il danneggiamento dei sistemi. Le capacità di individuare, conservare e sfruttare vulnerabilità rappresentano strumenti che possono contribuire a operazioni di intelligence, spionaggio industriale, sabotaggio e preparazione di attività offensive.
Una vulnerabilità sconosciuta al produttore può rappresentare un vantaggio operativo per chi ne conosce l’esistenza e dispone delle capacità necessarie per sfruttarla.
Questo non significa che ogni vulnerabilità venga immediatamente trasformata in un’arma informatica, ma che la disponibilità di informazioni tecniche non condivise crea un’asimmetria tra chi deve difendere un sistema e chi potrebbe attaccarlo.
Il Threat Landscape 2026 di ENISA, pubblicato il 22 settembre, conferma quanto il quadro europeo sia influenzato dall’interazione tra criminalità informatica, attività riconducibili a interessi statuali e hacktivismo legato agli sviluppi geopolitici.
Nel corso del 2025 sono state pubblicate oltre 48.000 nuove vulnerabilità identificate attraverso il programma CVE, con una crescita del 22% rispetto all’anno precedente. ENISA evidenzia inoltre come lo sfruttamento delle vulnerabilità continui a rappresentare una modalità rilevante di compromissione.
Non tutte queste vulnerabilità hanno la stessa gravità, né costituiscono automaticamente una minaccia per la sicurezza nazionale. Tuttavia, il volume crescente delle debolezze note, la complessità delle dipendenze tecnologiche e la velocità con cui possono essere sfruttate rendono sempre più importante ridurre il tempo che separa la scoperta dalla mitigazione.
In questo scenario, la conoscenza anticipata di una vulnerabilità assume un valore che supera quello del singolo prodotto interessato.
L’asimmetria tra chi attacca e chi difende
Un attaccante non deve preoccuparsi di ottenere l’autorizzazione del proprietario di un sistema. Opera al di fuori delle regole e, proprio per questo, può condurre attività che un ricercatore responsabile non può e non deve replicare liberamente.
La distinzione è essenziale: non possiamo pensare di risolvere il problema autorizzando chiunque a effettuare verifiche invasive sulle infrastrutture altrui. Sarebbe incompatibile con la tutela dei sistemi, dei dati e della continuità dei servizi.
Dobbiamo però riconoscere che l’attuale asimmetria può produrre una conseguenza indesiderata. Se le condizioni per una ricerca lecita e responsabile restano incerte, una parte delle possibili segnalazioni potrebbe non arrivare mai a chi ha la responsabilità di intervenire.
Non è necessario sostenere che queste vulnerabilità finiscano automaticamente nelle mani della criminalità informatica. Il problema è precedente: una conoscenza che non raggiunge i difensori non contribuisce alla loro capacità di prevenzione.
Nelle infrastrutture critiche la questione assume una rilevanza ancora maggiore. Una debolezza presente in un componente software, in un apparato di rete o in una piattaforma condivisa può interessare numerose organizzazioni, anche appartenenti a settori differenti.
Una vulnerabilità scoperta in un prodotto largamente utilizzato potrebbe quindi non riguardare soltanto il singolo gestore, ma un’intera catena di dipendenze tecnologiche.
La sicurezza di un Paese non dipende esclusivamente dalla robustezza dei suoi sistemi, ma anche dalla velocità con cui riesce a conoscere, condividere e ridurre le proprie esposizioni.
L’Europa sta costruendo un sistema di conoscenza condivisa
La direttiva NIS2 ha riconosciuto il valore della divulgazione coordinata delle vulnerabilità, prevedendo un ruolo di coordinamento dei CSIRT nazionali e incoraggiando gli Stati membri a considerare le difficoltà giuridiche incontrate dai ricercatori.
Il suo considerando 60 affronta espressamente il possibile rischio di responsabilità penale e civile, invitando a valutare strumenti di tutela. Non impone immunità generalizzate, ma riconosce un problema che non può essere liquidato come un interesse particolare della comunità hacker.
Il Belgio rappresenta un esempio interessante. Attraverso il proprio quadro legale per la divulgazione coordinata, ha previsto protezioni condizionate per i ricercatori che rispettano requisiti precisi, tra i quali assenza di intenzioni fraudolente, necessità e proporzionalità delle attività e segnalazione tempestiva alle autorità competenti.
Si tratta di un modello nel quale la protezione non nasce dalla semplice dichiarazione di essere un hacker etico, ma dal rispetto di condizioni verificabili. Le attività che eccedono tali limiti possono continuare a comportare responsabilità.
Anche il Cyber Resilience Act contribuisce a modificare il quadro europeo. Dall’11 settembre 2026 sono diventati applicabili gli obblighi di segnalazione, per i produttori interessati, delle vulnerabilità attivamente sfruttate e degli incidenti gravi che incidono sulla sicurezza dei prodotti con elementi digitali.
Il CRA non coincide con la CVD e non autorizza i ricercatori a operare sui sistemi di terzi. Introduce tuttavia un ulteriore elemento di responsabilizzazione dei produttori, rafforzando un ecosistema nel quale le informazioni sulle vulnerabilità devono poter circolare attraverso processi affidabili.
A questo si aggiunge la European Vulnerability Database, resa operativa da ENISA nel maggio 2025, che raccoglie informazioni utili sulle vulnerabilità dei prodotti e servizi ICT.
L’Europa sta quindi costruendo strumenti per migliorare la circolazione, la disponibilità e la gestione delle informazioni di sicurezza. La loro efficacia dipenderà anche dalla qualità e dalla tempestività delle informazioni che il sistema sarà in grado di raccogliere.
La sovranità digitale passa anche dalla capacità di scoprire
Parliamo frequentemente di sovranità tecnologica europea, autonomia strategica, protezione delle infrastrutture critiche e riduzione delle dipendenze dai fornitori extraeuropei.
Sono obiettivi importanti, ma la sovranità digitale non può essere interpretata soltanto come disponibilità di tecnologie, infrastrutture e capacità produttive.
Occorre anche sviluppare e mantenere competenze nazionali capaci di analizzare criticamente quelle tecnologie, identificarne i limiti e contribuire alla correzione delle debolezze.
La comunità dei ricercatori indipendenti può rappresentare una risorsa in questo percorso, purché operi entro condizioni chiare e compatibili con la tutela degli interessi pubblici e privati.
Non si tratta di assegnare a soggetti non autorizzati compiti di verifica sulle infrastrutture strategiche, né di sostituire le attività istituzionali di valutazione della sicurezza. Si tratta di costruire un sistema nel quale competenze esterne, ricerca scientifica, imprese e istituzioni possano collaborare attraverso percorsi regolati e affidabili.
Proprio i sistemi più sensibili richiedono cautele maggiori, autorizzazioni specifiche e limiti rigorosi. La protezione della ricerca responsabile deve quindi essere proporzionata alla natura delle attività e al contesto nel quale vengono svolte.
Un Paese che investe nella formazione di competenze avanzate di cybersecurity dovrebbe interrogarsi anche sulle condizioni che consentono a tali competenze di contribuire concretamente alla sicurezza collettiva.
La sicurezza nazionale richiede regole capaci di distinguere
La politica CVD introdotta da ACN costituisce un elemento importante di questa architettura, ma non può risolvere da sola il rapporto tra ricerca indipendente e responsabilità giuridica.
La risposta deve necessariamente coinvolgere il legislatore, chiamato a valutare se introdurre una tutela condizionata, con criteri chiari sulla buona fede, sulla proporzionalità delle verifiche, sulla protezione dei dati e sulla tempestività delle segnalazioni.
Una simile soluzione non dovrebbe indebolire la repressione degli accessi abusivi, ma consentire una distinzione più prevedibile tra attività di ricerca responsabile e condotte offensive.
Il tema riguarda anche la fiducia nelle istituzioni. Un ricercatore deve poter conoscere preventivamente quali comportamenti siano ammessi, quali restino vietati e quali conseguenze derivino dal rispetto delle procedure.
L’incertezza normativa non rappresenta una misura di sicurezza. Può, al contrario, rendere più difficile la costruzione di rapporti di collaborazione necessari a migliorare la capacità preventiva del Paese.
In uno scenario nel quale le vulnerabilità vengono ricercate anche per finalità criminali, economiche e geopolitiche, non possiamo limitarci a rafforzare la risposta agli incidenti. Dobbiamo migliorare la capacità di individuare le debolezze prima che vengano sfruttate.
La domanda, quindi, non è se gli hacker etici debbano essere liberi di entrare nei sistemi informatici altrui. La risposta è evidentemente no, salvo le condizioni e le autorizzazioni previste dalla legge.
La domanda è se siamo capaci di costruire regole che consentano alla ricerca responsabile di contribuire realmente alla resilienza nazionale.
Perché una vulnerabilità non diventa meno pericolosa quando chi potrebbe scoprirla preferisce non cercarla o non segnalarla. Diventa soltanto meno visibile a chi ha il compito di difenderci.
Partecipa alla community