Segnalare una vulnerabilità: il CSIRT Italia diventa l'intermediario ufficiale

Il 23 ottobre 2026 CyberSecurity Italia ha dato notizia della politica nazionale di divulgazione coordinata delle vulnerabilità (in inglese CVD, coordinated vulnerability disclosure), adottata con una determina dell'Agenzia per la Cybersicurezza Nazionale d'intesa con il Ministero della Giustizia. In base al decreto NIS, il CSIRT Italia diventa il coordinatore nazionale: chi scopre una falla non ancora nota in un software o in un servizio può segnalarla all'ACN, che fa da tramite con il produttore. La procedura è descritta nella pagina ufficiale del CSIRT Italia.

Che cos'è la divulgazione coordinata?

Quando qualcuno trova una vulnerabilità, ci sono due rischi opposti. Se la pubblica subito, chi attacca la sfrutta prima che esista una correzione. Se la tiene per sé o la manda al produttore senza risposta, la falla può restare aperta per mesi.

La divulgazione coordinata è il percorso di mezzo: il ricercatore segnala, il produttore prepara la correzione, e i dettagli diventano pubblici solo quando gli utenti hanno avuto il tempo di aggiornare. Il problema, spesso, è il rapporto fra le parti: il ricercatore non sa a chi scrivere, il produttore non risponde o teme conseguenze legali.

Cosa fa il CSIRT Italia in questo processo?

Secondo quanto riporta CyberSecurity Italia, il CSIRT diventa un intermediario di fiducia. Il suo compito è:

• individuare e contattare il produttore o il fornitore interessato;
• assistere chi segnala;
• negoziare i tempi della divulgazione;
• dare seguito alle segnalazioni con diligenza;
• garantire l'anonimato a chi lo chiede;
• coordinarsi con gli altri CSIRT europei se la falla riguarda più Paesi.

La politica vale solo per le vulnerabilità non ancora note pubblicamente, le cosiddette zero-day. Per quelle già pubbliche si seguono le strade ordinarie.

Come si segnala?

La pagina del CSIRT indica la piattaforma di segnalazioni dell'ACN. Chiunque può segnalare, persona fisica o azienda, anche in forma anonima. Servono:

• i dati di chi segnala, salvo richiesta di anonimato;
• il prodotto o servizio coinvolto, con versione e configurazione;
• una descrizione dettagliata della vulnerabilità e del suo impatto;
• l'indicazione se il produttore è già stato avvisato e se è già stato chiesto un codice CVE.

L'ACN precisa che i reati vanno denunciati alle forze di polizia, non segnalati attraverso questo canale.

Perché interessa a una piccola impresa?

Per tre motivi, a seconda del ruolo:

1. Se usi un software e ti accorgi di un comportamento che espone i dati (un'area riservata che mostra i documenti di altri clienti, un link che funziona senza login), ora sai a chi rivolgerti se il fornitore non risponde.
2. Se sviluppi o vendi software, anche piccolo, qualcuno potrebbe contattarti tramite il CSIRT. Conviene avere già un indirizzo per le segnalazioni di sicurezza e una procedura per gestirle.
3. Se produci prodotti con componenti digitali, ricorda che dall'11 settembre 2026 il Cyber Resilience Act obbliga i fabbricanti a notificare le vulnerabilità sfruttate e gli incidenti gravi attraverso la piattaforma unica gestita dall'agenzia europea ENISA.

Cosa fare adesso?

1. Se sviluppi software, pubblica sul sito un contatto per le segnalazioni di sicurezza, per esempio un file security.txt, e decidi chi le legge.
2. Prepara una procedura: chi valuta la segnalazione, in quanto tempo si risponde, come si avvisano i clienti.
3. Se sei un utente, prima di segnalare all'ACN prova a contattare il fornitore, e conserva le prove di quello che hai visto senza fare tentativi invasivi.
4. Se sei un soggetto NIS, tieni presente che anche la gestione delle vulnerabilità rientra fra le misure richieste: ne parlo nella notizia sulla scadenza NIS2 del 31 ottobre.

Ne parliamo?

Quando consegno un'applicazione web su misura o una piattaforma SaaS, fa parte del lavoro definire come si ricevono e si gestiscono le segnalazioni di sicurezza, e chi aggiorna cosa. Se stai costruendo un prodotto digitale, magari partendo da un MVP, e vuoi impostare bene questa parte fin dall'inizio, scrivimi dalla pagina contatti.

Fonti

• ACN, il CSIRT Italia riconosciuto coordinatore ai fini della divulgazione coordinata delle vulnerabilità (CyberSecurity Italia)
• Divulgazione coordinata delle vulnerabilità (ACN, CSIRT Italia)
• Cyber Resilience Act - Reporting obligations (Commissione europea)

Crediti delle immagini

• Copertina: foto di Markus Winkler su Pexels