Confronto fra Paesi

Scheda v0.1

Belgio: legge NIS2 del 26 aprile 2024, artt. 22-23

Il Belgio è l'unico dei quattro Paesi con una protezione scritta in una legge per chi cerca e segnala vulnerabilità senza autorizzazione preventiva. La protezione è condizionata, limitata e si applica solo al diritto belga. Il testo è nella legge di recepimento NIS2 e vale per chiunque, anche se l'organizzazione non ha una propria politica CVD.

Strumento e stato

Legge del 26 aprile 2024 che istituisce un quadro per la cibersicurezza delle reti e dei sistemi informativi di interesse generale per la sicurezza pubblica. Gli artt. 22 e 23 riguardano la segnalazione delle vulnerabilità al CSIRT nazionale, il Centre for Cybersecurity Belgium (CCB). Pubblicata nel Moniteur belge il 17 maggio 2024 (fonte: CCB), in vigore dal 18 ottobre 2024. Si applica a vulnerabilità di prodotti e servizi ICT soggetti al diritto belga.

Chi è protetto

Qualsiasi persona fisica o giuridica che agisca senza intento fraudolento o di nuocere, indipendentemente dal fatto che l'organizzazione colpita sia soggetta a NIS2 o abbia una politica CVD.

Condizioni, come le elenca la pagina del CCB

La numerazione è quella della pagina CCB (sezione B). Quella dell'art. 23 nel testo di legge potrebbe differire: da verificare sul testo pubblicato nel Moniteur belge. Una fonte secondaria numera diversamente, con la proporzionalità come quarta condizione e il divieto di divulgazione come quinta.

1. Non si agisce oltre quanto necessario e proporzionato per verificare l'esistenza della vulnerabilità e segnalarla.
2. Nessun intento fraudolento o di nuocere. Non si può monetizzare l'informazione verso l'organizzazione o terzi, salvo che un compenso sia stato concordato in precedenza (pentest, bug bounty, accordo). Non si usa la vulnerabilità a vantaggio proprio o di terzi senza accordo.
3. Notifica semplificata entro 24 ore dalla scoperta, all'organizzazione responsabile e al CCB.
4. Notifica completa entro 72 ore dalla scoperta, con descrizione dettagliata e passi per riprodurre.
5. Nessuna divulgazione pubblica senza l'accordo del CCB, che tiene conto della posizione dell'organizzazione.
6. Per alcuni soggetti sensibili (servizi di intelligence, difesa, polizia, rappresentanze diplomatiche fuori dall'UE, stabilimenti nucleari di classe I, enti giudiziari, lo stesso CCB, e altri) serve un accordo scritto preventivo.

La pagina del CCB indica anche cosa è sproporzionato: l'installazione di malware, il DDoS, il social engineering, il phishing, lo spam, il furto di password o il brute force, la cancellazione di dati, il danno prevedibile al sistema. Se la dimostrazione è possibile su scala ridotta, non si va oltre; i dati raccolti vanno cancellati entro un tempo ragionevole dopo la segnalazione.

Effetto giuridico

Se tutte le condizioni sono rispettate, secondo il CCB può essere riconosciuta, in misura limitata, una causa di giustificazione per i reati degli artt. 314bis (intercettazione), 458 (segreto professionale), 550bis (accesso abusivo) e 550ter (danneggiamento di dati) del codice penale belga, e dell'art. 145 della legge del 13 giugno 2005 sulle comunicazioni elettroniche. Ogni altra responsabilità per atti non necessari alla segnalazione o non conformi alle condizioni resta intatta. La tutela vale solo per il diritto belga.

Il CCB, su richiesta e se le condizioni sono rispettate, si impegna a mantenere riservata l'identità del segnalante, ed esamina il rispetto delle condizioni insieme alla competente procura. Sui dati personali, il segnalante resta tenuto a rispettare il GDPR come titolare del trattamento che compie, nel minimo necessario, con cancellazione appena finito il procedimento.

Limiti

La protezione è espressa come causa di giustificazione «in misura limitata»: il segnalante non ha una certezza assoluta, perché la procura verifica le condizioni. I termini di 24 e 72 ore dalla scoperta sono rigidi, e la prova del momento della scoperta resta a carico del segnalante (il CCB raccomanda di conservare i log). La protezione non copre fatti in sistemi situati fuori dal Belgio.

Cosa insegna all'Italia

La struttura delle condizioni coincide quasi del tutto con i principi fissati dal progetto: buona fede, proporzionalità, segnalazione, nessuna divulgazione senza consenso del CSIRT, nessuna monetizzazione. Restano da discutere i termini di 24 e 72 ore contro una «tempestività» senza numeri; l'elenco di condotte sproporzionate; l'accordo scritto per i sistemi sensibili, che in Italia sono proprio quelli con le pene più alte; la scelta tecnica fra causa di giustificazione, causa di non punibilità ed esclusione della tipicità.

Da verificare

• Testo ufficiale degli artt. 22-23 e numerazione delle condizioni.
• Se la causa di giustificazione sia testuale nella legge o formulazione del CCB.
• Eventuali casi applicativi o prime decisioni dopo il 18 ottobre 2024.
• Un punto riportato da fonti secondarie sull'hardware fisico: non lo usiamo finché non è confermato sul testo di legge.

Fonti

• CCB, Vulnerability reporting to the CCB: ccb.belgium.be/en/node/1871 (verificata)
• CCB, pagina introduttiva: ccb.belgium.be/node/299 (verificata)
• CCB, pubblicazione della legge NIS2 nel Moniteur belge: ccb.belgium.be/nl/node/412 (verificata)
• Timelex (via Mondaq), Protecting Ethical Hackers Under Belgian Law, 1 dicembre 2025: mondaq.com (fonte secondaria)
• Testo della legge nel Moniteur belge, artt. 22-23: non ancora consultato

Scheda v0.1

Paesi Bassi: Leidraad NCSC (2013, 2018) e lettera della Procura del 14 dicembre 2020

Nei Paesi Bassi non esiste una norma di non punibilità. Esiste una prassi costruita su una guida tecnica del centro nazionale di cybersicurezza (NCSC) e su una lettera di indirizzo del Pubblico Ministero (Openbaar Ministerie, OM) ai suoi magistrati. È il modello della fiducia e della discrezionalità dell'accusa.

Strumenti e date

La Leidraad responsible disclosure dell'NCSC fu trasmessa alla Camera dal ministro della Sicurezza e Giustizia con lettera del 28 dicembre 2012 (Kamerstuk 26 643, nr. 264) e pubblicata nel gennaio 2013. Nel 2014 il ministro riferisce che la prassi si è diffusa (Kamerstuk 26 643, nr. 342, 18 dicembre 2014). Il testo dice di non incidere sulla competenza autonoma del Pubblico Ministero di procedere.

La guida successiva, del 2018, usa il termine Coordinated Vulnerability Disclosure (CVD); la data esatta di quella versione è da verificare. Il 14 dicembre 2020 il Pubblico Ministero ha rinnovato la propria lettera di indirizzo sull'ethical hacking, in sostituzione di una lettera precedente del 2013.

Cosa dice la prassi del Pubblico Ministero

Secondo la pagina informativa dell'OM, l'OM considera importante che gli hacker etici possano continuare a cercare e segnalare; si aspetta che l'hacker si sia informato sulla politica CVD dell'organizzazione o sulla Leidraad NCSC prima di iniziare; nel valutare se esercitare l'azione penale, il contributo del CVD a un mondo digitale sicuro pesa molto. Il magistrato valuta se si è agito in modo proporzionato, cioè non oltre il necessario, e se è stato rispettato il requisito di sussidiarietà, cioè l'assenza di un mezzo meno invasivo per lo stesso scopo. La pagina OM indica tre fattori di valutazione: due sono verificati, il terzo è da verificare sul testo della lettera. Può comunque essere aperta un'indagine per accertare se si trattasse davvero di ethical hacking. Fonti secondarie osservano che il magistrato può procedere anche senza denuncia dell'organizzazione e che la lettera non è una garanzia.

Natura giuridica

Linea di indirizzo interna alla magistratura requirente. Non è una scriminante né una causa di non punibilità: è un criterio per decidere se perseguire. Non vincola il giudice.

Collegamento con NIS2

Il disegno di legge olandese di recepimento, la Cyberbeveiligingswet (Kamerstuk 36 764), è in esame alla Tweede Kamer nella sessione 2025-2026. Non è stato verificato se contenga norme specifiche sulla non punibilità del CVD.

Cosa insegna all'Italia

Il modello olandese funziona dove il pubblico ministero ha un'ampia discrezionalità sull'esercizio dell'azione penale. In Italia vige l'obbligatorietà dell'azione penale (art. 112 Cost.): una lettera di indirizzo non può sostituire una norma sostanziale. È un argomento a favore della norma di legge, che i penalisti devono validare. Resta utile come fonte dei criteri (proporzionalità, sussidiarietà, politica CVD dell'organizzazione) e come prova che una prassi nazionale di fiducia si può costruire.

Da verificare

• Testo integrale della lettera OM del 14 dicembre 2020 e terzo fattore di valutazione.
• Data e struttura della versione 2018 della Leidraad.
• Se la Cyberbeveiligingswet introduca disposizioni sul CVD.
• Giurisprudenza olandese richiamata dall'OM come allegato alla lettera.

Fonti

• OM, Coordinated Vulnerability Disclosure / ethisch hacken: om.nl (verificata)
• OM, OM-beleidsbrief ethisch hacken, 14 dicembre 2020: om.nl/documenten (pagina verificata; PDF della lettera non letto)
• Kamerstuk 26 643, nr. 264, 28 dicembre 2012: officielebekendmakingen.nl (verificata)
• Kamerstuk 26 643, nr. 342, 18 dicembre 2014: officielebekendmakingen.nl (verificata)
• NCSC, Coordinated Vulnerability Disclosure: de Leidraad: copia trovata su un sito di hosting; fonte ufficiale NCSC da recuperare
• Kamerstuk 36 764, nr. 11, 17 febbraio 2026, Cyberbeveiligingswet: staten-generaal.nl (verificata; rilevante solo per lo stato del recepimento)

Scheda v0.1

Germania: Referentenentwurf del novembre 2024, non approvato

In Germania la tutela della ricerca di sicurezza non esiste. Un progetto del Ministero federale della Giustizia è stato pubblicato nel novembre 2024 ma non è stato approvato dal Bundestag prima della fine della legislatura. Il contratto di coalizione del 2025 prevede una soluzione e il governo, il 16 aprile 2026, ha risposto che il ministero sta valutando come attuarla, senza indicare una scadenza.

Il progetto del 2024

Il documento è il Referentenentwurf del Ministero federale della Giustizia «Entwurf eines Gesetzes zur Änderung des Strafgesetzbuches - Modernisierung des Computerstrafrechts», pubblicato il 4 novembre 2024. La tecnica è l'esclusione della tipicità, non una causa di giustificazione: si aggiunge un comma 3 al § 202a StGB (accesso abusivo ai dati) che definisce in negativo il requisito «unbefugt», cioè senza autorizzazione. Non è non autorizzato l'atto compiuto nell'ambito della ricerca di sicurezza informatica, quando ricorrono le condizioni. L'esclusione si estende, per rinvio, al § 202b (intercettazione di dati) e al § 303a (alterazione di dati) e si collega al § 202c (atti preparatori).

Secondo le analisi di dottrina consultate, l'atto deve essere compiuto con l'intenzione di individuare una vulnerabilità e di segnalarla o eliminarla, e deve essere obiettivamente necessario; ne deriverebbe un onere di documentazione per il ricercatore. Il testo esatto del § 202a Abs. 3 StGB-E è da leggere nel PDF originale.

Il prezzo politico: lo stesso progetto introduceva casi particolarmente gravi (§ 202a Abs. 4, § 202b Abs. 2) con pene più alte per gli accessi veramente dannosi. La riforma di tutela era accoppiata a un aggravamento. Ricercatori, hacker e industria hanno criticato il testo da lati opposti: la protezione sarebbe limitata ad accessi «chiaramente innocui» e non coprirebbe le attività tipiche di un penetration test che esamina un sistema nel suo insieme.

Dopo il 2024

Il progetto non è stato adottato prima della fine della legislatura. La risposta del governo del 16 aprile 2026 (Bundestag, Drucksache 21/5456, domanda 16) lo conferma: pubblicato ma non approvato nella scorsa legislatura. Il contratto di coalizione 2025 (CDU/CSU-SPD) prevede di creare certezza del diritto per la ricerca di sicurezza informatica nel diritto penale informatico, evitando gli abusi; la pagina 92 indicata da una fonte secondaria è da verificare sul testo del contratto. Nella stessa risposta il Ministero della Giustizia e della Tutela dei consumatori dichiara di valutare come attuare al meglio l'impegno, tenendo conto anche delle osservazioni ricevute sulla bozza precedente. Nessuna data indicata, nessun progetto nuovo annunciato.

Una fonte secondaria attribuisce alla presidente del BSI, nel novembre 2025, la richiesta di non perseguire chi segnala: da verificare.

Il caso Modern Solution, una condanna a 3.000 euro di un professionista IT che aveva segnalato una falla (OLG Köln, luglio 2025, secondo alcune fonti), non è usato in questa scheda: le fonti secondarie non concordano su anno, articolo applicato ed esito dei ricorsi. Lo useremo dopo aver letto i provvedimenti.

Cosa insegna all'Italia

Una tutela basata sull'intenzione sposta sul ricercatore l'onere di provare il proprio fine: va confrontata con il requisito di buona fede dei principi del progetto. Una norma troppo stretta lascia il ricercatore nel grigio. Accoppiare la tutela a un aggravamento delle pene può far passare la riforma ma ne cambia il senso: è un nodo politico da decidere in fase 2. Infine l'inerzia ha un costo: il tema è nel programma di governo e ancora senza data.

Da verificare

• Testo del § 202a Abs. 3 StGB-E e dei richiami in §§ 202b, 202c, 303a.
• Testo del contratto di coalizione, pagina e formulazione.
• Caso Modern Solution sui provvedimenti giudiziari.
• Dichiarazione del BSI del novembre 2025.

Fonti

• BMJ, Referentenentwurf: bmjv.de (pagina verificata, con data 4 novembre 2024; PDF non letto integralmente)
• netzpolitik.org, Hacker-Paragrafen: netzpolitik.org (fonte secondaria, verificata)
• Der Betrieb, Gesetzentwurf zum Computerstrafrecht, 5 novembre 2024: der-betrieb.de (fonte secondaria, verificata)
• KriPoZ, analisi dell'entwurf, 31 marzo 2025: kripoz.de (dottrina, verificata)
• Bundestag, Drucksache 21/5456, 16 aprile 2026: dserver.bundestag.de (verificata, risposta alla domanda 16 letta integralmente)
• Gesellschaft für Informatik, Dringend reformbedürftig: das Computerstrafrecht: gi.de (fonte secondaria, per il riferimento al contratto di coalizione)
• Contratto di coalizione 2025, p. 92: non consultato direttamente

Scheda v0.1

Francia: art. L2321-4 del Code de la défense

La Francia non protegge il ricercatore: protegge il rapporto fra il ricercatore e l'autorità che riceve la segnalazione. Dal 2016 il personale dell'ANSSI non è obbligato a denunciare alla procura una vulnerabilità segnalata in buona fede e deve mantenere riservata l'identità del segnalante. L'immunità penale per chi segnala fu voluta dai deputati ma non è entrata nel testo.

Strumento giuridico

Art. L2321-4 del Code de la défense, creato dall'art. 47 della legge n. 2016-1321 del 7 ottobre 2016 (loi pour une République numérique). In sintesi: per esigenze di sicurezza dei sistemi d'informazione, l'obbligo di denuncia dell'art. 40 del codice di procedura penale non si applica nei confronti di una persona di buona fede che trasmetta alla sola autorità nazionale (ANSSI) l'informazione sull'esistenza di una vulnerabilità di un sistema di trattamento automatizzato di dati. L'autorità preserva la riservatezza dell'identità della persona e delle condizioni della trasmissione, e può compiere le operazioni tecniche strettamente necessarie a caratterizzare il rischio, allo scopo di avvertire l'host, l'operatore o il responsabile del sistema. Il testo letto è la copia pubblicata dal Consiglio d'Europa: da confrontare con la versione vigente su Légifrance.

Cosa fa e cosa non fa

L'obbligo neutralizzato è quello dell'art. 40 CPP, che impone ai pubblici ufficiali di avvisare il procuratore quando apprendono un reato nell'esercizio delle funzioni. Il segnalante di buona fede che si rivolge all'ANSSI non innesca quella denuncia d'ufficio. Non c'è invece esenzione penale per il ricercatore: secondo la stampa specializzata dell'epoca (fonte secondaria) il Senato eliminò l'esenzione che l'Assemblea nazionale voleva. La vittima può quindi sempre sporgere denuncia; l'ANSSI semplicemente non denuncerà. Secondo la stessa fonte, prima della legge l'ANSSI non aveva mai attivato l'art. 40 in questi casi, e la norma ha formalizzato una prassi: da verificare con fonti primarie. Il sito dell'ANSSI raccomanda di segnalare direttamente all'ente interessato quando questo ha una politica di trattamento delle vulnerabilità, e conferma la riservatezza dell'identità e degli elementi della dichiarazione.

Cosa insegna all'Italia

È il modello della parte «CSIRT» del progetto: esenzione dall'obbligo di denuncia e riservatezza del segnalante. L'equivalente italiano dell'art. 40 CPP francese è l'obbligo di denuncia dei pubblici ufficiali (art. 331 c.p.p.), con la sanzione dell'art. 361 c.p. per l'omessa denuncia: i penalisti devono verificare quali norme vadano neutralizzate. La sola esenzione dell'autorità, senza protezione del ricercatore, lascia aperto il rischio principale, la denuncia della vittima: per questo il progetto combina il modello francese con quello belga. Infine la versione dell'Assemblea chiedeva anche l'assenza di pubblicità dell'informazione (fonte secondaria): è un criterio che il progetto tratta già con il divieto di divulgazione senza consenso del CSIRT.

Da verificare

• Versione vigente dell'art. L2321-4 su Légifrance, e se sia stato modificato dopo il 2016.
• Storia dell'emendamento sull'immunità penale, in Assemblea e al Senato.
• Dati sull'uso effettivo della procedura da parte dell'ANSSI.
• Rapporto fra L2321-4 e il regime dei lanceurs d'alerte.

Fonti

• Code de la défense, art. L2321-4 (copia Consiglio d'Europa): rm.coe.int (verificata)
• ANSSI, Déclaration de vulnérabilités: cyber.gouv.fr (verificata)
• ANSSI, Signalement par un lanceur d'alerte: cyber.gouv.fr (verificata; precisa che il regime dei lanceurs d'alerte non prevede deroga all'art. 40 CPP)
• Next (ex Next INpact), articoli del 2016 sulla loi République numérique e sull'ANSSI: next.ink/14190; next.ink/10949 (stampa, fonti secondarie)
• Légifrance, versione vigente dell'art. L2321-4: non consultata
• Lavori parlamentari della legge 2016-1321 (emendamenti sull'immunità penale): non consultati