Per chi fa sicurezza in Italia: scrivi la norma che ti manca

Il punto

Il 7 ottobre 2026 ACN ha invitato la comunità a segnalare le vulnerabilità zero day al CSIRT Italia. L'invito arriva senza una tutela scritta per chi segnala: l'ACN stessa lo ha riconosciuto nella Relazione annuale 2025. L'art. 615-ter c.p. non distingue le intenzioni e, sui sistemi di interesse pubblico, arriva a 10 anni, 12 con l'aggravante.

Vogliamo scrivere, in pubblico, una proposta di legge per una causa di non punibilità condizionata, con l'esenzione dall'obbligo di denuncia per il CSIRT, e portarla in Parlamento. Il testo penale lo scrivono i penalisti, ma i casi, i confini e gli errori li conosci tu. Questa call serve a raccogliere la tua esperienza prima che il testo prenda forma.

Si parte dal manifesto e dalle schede comparative. Lo scheletro dell'articolato, nel repository, è un elenco di domande che ci siamo fatti, non di risposte.

A chi è rivolta

Hacker etici, ricercatori di sicurezza, professionisti (pentester, red team, incident response, DPO, CISO), giuristi e penalisti, ricercatori universitari, chi lavora in un CSIRT o in un SOC. Non servono titoli, né essere noti.

Fase 1: i principi, fino al 30 novembre 2026

Ci servono contributi sui principi, non sui commi. In discussione: buona fede e assenza di profitto; azioni necessarie e proporzionate; nessuna copia o esfiltrazione oltre lo stretto necessario; nessun danno; segnalazione tempestiva a CSIRT Italia e al titolare; nessuna divulgazione senza il consenso del CSIRT; nessuna richiesta di compenso come condizione; esenzione dall'obbligo di denuncia per il CSIRT; estensione ai reati citati dalla Politica.

Rispondi alle domande dove hai esperienza, non a tutte.

1. Buona fede. Come si riconosce da fuori? Quali comportamenti la rendono credibile? A chi spetta dimostrarla?
2. Necessario e proporzionato. Per categorie di azioni, senza parlare di sistemi reali: dove passa il confine tra verificare e andare oltre? Un elenco di condotte escluse aiuta o irrigidisce?
3. Dati. Cosa significa «stretto necessario» quando la prova richiede di mostrare un dato? Come si documenta senza conservare?
4. Danno. Quali effetti collaterali sono ragionevolmente imprevedibili? Una condizione di «nessun danno» assoluta regge?
5. Tempestività. Il Belgio chiede 24 ore per la notifica semplificata e 72 per la completa. È realistico? Come si fissa il momento della scoperta? E se il titolare non si trova?
6. Divulgazione. Tempi di correzione che hai visto; cosa dovrebbe succedere se il CSIRT non risponde o non autorizza; esperienze con altri CSIRT o programmi (anonimizzate).
7. Compenso. Dove passa il confine tra ringraziamento, bug bounty e richiesta come condizione?
8. CSIRT. Cosa serve perché ti fidi: ricevuta, tempi di risposta, riservatezza, anonimato? Come si prova di aver segnalato?
9. Perimetro. La Politica riguarda gli zero day. La tutela deve coprire anche esposizioni, errate configurazioni, vulnerabilità note su un sistema specifico?
10. Sistemi di interesse pubblico. Dove le pene sono più alte: tutela uguale, accordo preventivo, esclusioni?
11. Casi. Casi già pubblici (sentenze, provvedimenti, atti, pubblicazioni ufficiali), anonimizzati, in cui l'assenza di tutela ha avuto effetti concreti.

Formati

Nota breve (una pagina), position paper (massimo 3.000 parole), scheda su altri Paesi, nota tecnica. In italiano. Per i giuristi: osservazioni su natura giuridica, collocazione e formulazione sono benvenute già in fase 1. Basta anche una pagina.

Nome o pseudonimo:
Ruolo (facoltativo):

Punto della call a cui rispondo (numero e titolo):

Esperienza o argomento:

Fonti (norme, documenti, casi già pubblici):

Fase 2: il testo articolato

Chi ha risposto alla fase 1 sceglie il comitato (la proposta di governance). Il comitato pubblica una sintesi dei contributi e una versione dell'articolato (v0.2) costruita su quelle risposte. Segue un periodo di commento sul testo, con attenzione alla formulazione delle condizioni, all'esenzione del CSIRT, al confronto con il Garante privacy e alla disciplina transitoria. I penalisti validano il testo prima della chiusura.

Regole

1. Niente vulnerabilità reali. Non indicare vulnerabilità non risolte, nomi di sistemi o aziende, exploit, accessi non autorizzati non ancora definiti in sede giudiziaria. I casi sono ammessi solo se già pubblici e anonimizzati, con la fonte. Vale il Codice di condotta del repository: il contributo che lo viola viene rimosso.
2. Se hai una vulnerabilità da segnalare, non farlo qui: usa i canali di CSIRT Italia.
3. Nome o pseudonimo. Puoi inviare con uno pseudonimo e lo pubblichiamo così. Per comparire tra i firmatari servono il nome reale e il ruolo.
4. Nessuna consulenza. Non rispondiamo a domande sulla tua posizione personale: per quello serve un avvocato.
5. Licenza. Inviando accetti che il contributo sia rilasciato con la licenza del repository.
6. Fonti. Se affermi qualcosa su una norma o un documento, indica la fonte.

Cosa succede dopo

Ogni contributo che rispetta il Codice di condotta è pubblicato. La segreteria risponde a ciascuno nel registro delle osservazioni, con esito e motivazione. I contributi che hanno cambiato il testo sono citati nella relazione illustrativa con il nome o lo pseudonimo dell'autore, se lo consente.

La fase 1 è aperta dal 21 ottobre al 30 novembre 2026. Poi, in ordine: assemblea dei contributori e scelta del comitato; sintesi e articolato v0.2; fase 2, di commento sul testo; chiusura della v1.0 e raccolta delle firme. Le date delle tappe successive le fissa il comitato e saranno indicate in questa pagina.

Chi promuove

Maurizio Siracusa, ricercatore di sicurezza indipendente, a titolo personale. Nessuna azienda, nessun marchio. Chi decide, da qui in avanti, è descritto in chi siamo e come si decide.

Fai girare la call

Il link che gira è questa pagina. Un testo pronto, da copiare dove vuoi:

ACN invita a segnalare gli zero day al CSIRT. Senza tutela penale per chi segnala: lo ammette ACN. Il 615-ter arriva a 12 anni. Stiamo scrivendo in pubblico la norma che manca. Call for paper fino al 30 novembre: https://buonafede.org/call.html #buonafede

Oppure apri direttamente: Telegram · Bluesky · X · LinkedIn · mail. Sono link semplici: questo sito non carica nulla da quelle piattaforme, che sanno qualcosa solo se ci clicchi. Per Mastodon e Signal copia il testo.