Buona Fede

Manifesto · versione 0.1, 20 ottobre 2026, bozza aperta al commento

Cosa chiediamo

Chiediamo una norma di legge, non una circolare. Una causa di non punibilità per chi, in buona fede, individua una vulnerabilità in un sistema altrui e la segnala a CSIRT Italia e al titolare, a condizioni scritte che devono ricorrere tutte insieme: nessun intento fraudolento o di profitto, azioni necessarie e proporzionate, nessuna copia o esfiltrazione di dati oltre lo stretto necessario, nessun danno, segnalazione tempestiva, nessuna divulgazione pubblica senza il consenso del CSIRT, nessuna richiesta di compenso come condizione della segnalazione.

Chiediamo che il personale del CSIRT, quando riceve una segnalazione in buona fede, non sia obbligato a trasformarla in una denuncia, come accade in Francia dal 2016. Chiediamo che la tutela copra i reati che oggi un ricercatore rischia davvero: l'accesso abusivo (615-ter c.p.), l'intercettazione (617-quater), il danneggiamento di dati (635-bis) e il trattamento illecito di dati (art. 167 Codice privacy).

Cosa non chiediamo

Non chiediamo di poter entrare ovunque. Non chiediamo impunità per chi sottrae dati, danneggia, estorce o vende. Non chiediamo di sostituire i test autorizzati, i bug bounty o i contratti di penetration test. Non chiediamo di abolire il 615-ter. Non chiediamo che la tutela dipenda dalla buona disposizione di un funzionario o di un pubblico ministero: le condizioni sono pubbliche, verificabili, uguali per tutti.

Perché adesso

Il 7 ottobre 2026 ACN ha comunicato la Politica nazionale di divulgazione coordinata delle vulnerabilità e ha invitato la comunità digitale a segnalare. La Politica chiede di segnalare appena si ha consapevolezza della vulnerabilità, esclude la condivisione dei dettagli con terzi senza autorizzazione del CSIRT e ricorda che la ricerca non deve integrare alcun reato. La stessa ACN, nella Relazione annuale 2025, scrive che la Politica non disciplina la tutela dei segnalanti sotto il profilo della responsabilità civile e penale.

L'art. 615-ter non distingue le intenzioni (Cass. SU, Casani, n. 4694/2012) e, dopo la L. 90/2024, per i sistemi di interesse pubblico prevede da 3 a 10 anni, da 4 a 12 con l'aggravante del secondo comma. Nel 2024 il Parlamento aveva delegato il Governo a introdurre anche modifiche penali sulla divulgazione coordinata (L. 15/2024, art. 3, comma 1, lett. i); la Politica è stata costruita a legislazione vigente.

Il Belgio ha una legge. I Paesi Bassi hanno una prassi dichiarata dalla Procura. La Francia ha una norma che protegge l'autorità che riceve. La Germania ha un progetto non approvato. L'Italia ha un invito. Le schede comparative, con le fonti e i punti ancora da verificare.

Chi firma

Hacker etici, professionisti, giuristi e penalisti, con nome e ruolo. Il testo è pubblico, si commenta con issue e pull request, e lo chiude un comitato ristretto con regole scritte. Come si decide.