Scudo penale per l’hacking etico: cambiare una legge per migliorare la sicurezza nazionale

🛡️ In sintesi

• L’Italia affronta una pressione informatica crescente. Nel 2025 Clusit ha registrato 507 incidenti gravi, mentre ACN ha rilevato 3.271 eventi cyber nei primi nove mesi del 2026.
• Segnalare una vulnerabilità non protegge automaticamente dalle conseguenze penali. La politica CVD adottata da ACN introduce una procedura di comunicazione, ma non una causa generale di non punibilità.
• Una modifica legislativa potrebbe rafforzare la sicurezza nazionale. Belgio e Francia mostrano due modelli di tutela differenti per chi segnala vulnerabilità in buona fede.

L’Italia sembra essersi accorta soltanto recentemente di essere un bersaglio dei criminali informatici, soprattutto da quando gli attacchi hanno iniziato a produrre conseguenze tangibili nella vita quotidiana. Gli episodi che hanno interessato i sistemi di refrigerazione dei supermercati europei rappresentano un esempio significativo: persino un’attività ordinaria come acquistare prodotti alimentari può essere compromessa da vulnerabilità digitali. Eppure il nostro Paese è esposto a minacce informatiche da molto tempo, ben prima che gli incidenti raggiungessero la cronaca generalista. La domanda, quindi, non è soltanto come rafforzare le difese tecnologiche, ma anche come utilizzare tutte le competenze disponibili per individuare le falle prima dei criminali. Una parte della risposta riguarda una questione giuridica che continua a essere sottovalutata: introdurre uno scudo penale, rigorosamente delimitato, per le attività di hacking etico svolte in buona fede e finalizzate alla segnalazione responsabile delle vulnerabilità.

Gli attacchi informatici aumentano, ma l’Italia continua a perdere opportunità di difesa

I numeri descrivono un fenomeno strutturale. Secondo il Rapporto Clusit 2026, nel 2025 l’Italia ha registrato 507 incidenti informatici gravi, con un incremento del 42% rispetto ai 357 del 2024. L’Agenzia per la Cybersicurezza Nazionale, attraverso CSIRT Italia, ha invece rilevato 3.271 eventi cyber nei primi nove mesi del 2026, superando il totale di 2.729 registrato nell’intero anno precedente. Si tratta di rilevazioni differenti, che non possono essere sommate o confrontate direttamente senza considerare le rispettive metodologie, ma descrivono entrambe un’esposizione crescente. Tra i settori più delicati figura la sanità: un’analisi di settore basata sui dati ACN indica 27 eventi nel 2023 e 57 nel 2024, mentre le cifre di 84 per il 2025 e 124 per il 2026 sono state presentate come stime e proiezioni, non come consuntivi verificati. Il problema riguarda ospedali, aziende sanitarie, infrastrutture pubbliche e servizi essenziali. La stessa fragilità è emersa nelle anomalie ai sistemi di refrigerazione dei supermercati europei, dimostrando come il rischio informatico possa trasformarsi in un danno materiale. La resilienza nazionale non può quindi dipendere esclusivamente dalle strutture istituzionali: deve poter utilizzare anche le competenze della comunità tecnica.

L’hacker etico può scoprire una falla e rischiare comunque un procedimento penale

L’hacking etico utilizza metodologie di analisi delle vulnerabilità, penetration testing e simulazione offensiva per identificare debolezze nei sistemi informatici. La differenza rispetto all’attività criminale risiede negli scopi, nelle autorizzazioni e nei comportamenti concretamente tenuti. Un ricercatore può individuare una falla che espone i dati di un ospedale, evitare di sottrarre informazioni e comunicarla riservatamente ai responsabili. Tuttavia, la buona fede e la successiva segnalazione non rendono automaticamente lecito un accesso non autorizzato. È questo il nodo centrale. L’hacking etico è una disciplina essenziale per individuare preventivamente le vulnerabilità, ma la ricerca spontanea effettuata fuori da un perimetro autorizzato può esporre chi la conduce a conseguenze giudiziarie. Anche quando una contestazione non sfocia in una condanna, un procedimento può comportare costi, tempi, incertezza e accertamenti sulla strumentazione utilizzata. Se chi scopre una debolezza teme di essere trattato come chi intende sfruttarla, il sistema rischia di perdere segnalazioni utili alla sicurezza collettiva.

L’articolo 615-ter e la legge 90/2024 non prevedono un’esenzione generale per i ricercatori

La questione si concentra sull’articolo 615-ter del codice penale, relativo all’accesso abusivo a un sistema informatico o telematico protetto da misure di sicurezza. La fattispecie base prevede la reclusione fino a tre anni, mentre le circostanze aggravanti possono comportare pene sensibilmente superiori. La legge 90 del 28 giugno 2024 ha rafforzato il quadro sanzionatorio, prevedendo per alcune ipotesi aggravate pene da due a dieci anni e disposizioni ancora più severe quando vengono coinvolti sistemi di interesse pubblico, compresi quelli sanitari. Questo non significa che qualsiasi scansione o ricerca di vulnerabilità costituisca automaticamente reato: occorre verificare gli elementi della fattispecie concreta. Significa però che non esiste una protezione penale generale fondata esclusivamente sulla finalità benefica dell’attività. Ed è proprio questa incertezza a poter disincentivare i ricercatori indipendenti. Uno scudo penale ben costruito dovrebbe distinguere la ricerca proporzionata e responsabile dalle intrusioni finalizzate a sottrarre dati, provocare danni o ottenere vantaggi indebiti, senza trasformarsi in un’autorizzazione indiscriminata a violare sistemi altrui.

La NIS2 incoraggia le segnalazioni, ma la politica ACN non elimina il rischio penale

La contraddizione emerge osservando la normativa europea. La direttiva NIS2, all’articolo 12, disciplina la divulgazione coordinata delle vulnerabilità, prevedendo che un CSIRT nazionale agisca da intermediario tra ricercatori e fornitori. Il considerando 60 incoraggia inoltre gli Stati membri ad affrontare le difficoltà legali incontrate dagli esperti, compresa la possibile responsabilità penale. L’Italia ha recepito la direttiva attraverso il decreto legislativo 138/2024 e il 6 ottobre 2026 l’ACN ha adottato la Politica nazionale CVD, resa pubblica il giorno successivo. Il provvedimento permette di segnalare vulnerabilità zero-day anche richiedendo l’anonimato e affida a CSIRT Italia il coordinamento della loro gestione. Come già ricostruito nell’approfondimento sulla politica CVD adottata dall’ACN, però, la procedura non introduce uno scudo penale. La ricerca deve rispettare le disposizioni vigenti, comprese quelle sugli accessi abusivi, sulle intercettazioni illecite e sul danneggiamento dei dati. Inoltre, quando un pubblico ufficiale acquisisce nell’esercizio delle proprie funzioni una notizia relativa a un reato perseguibile d’ufficio, possono operare gli obblighi di denuncia previsti dalla legge. L’anonimato del segnalante non equivale dunque a una garanzia di non perseguibilità. L’Italia ha costruito un canale per ricevere le vulnerabilità, ma non ha ancora risolto completamente il problema giuridico di chi le scopre.

Leggi anche: NIS2, le aziende producono sicurezza o documentazione?

Belgio e Francia dimostrano che una tutela legislativa è possibile

Il Belgio rappresenta uno dei modelli europei più interessanti. Il Centre for Cybersecurity Belgium ha predisposto una procedura legale che può offrire tutela civile e penale a chi ricerca e comunica vulnerabilità anche in assenza di un programma preventivamente autorizzato. La protezione è sottoposta a condizioni rigorose: assenza di intenzioni fraudolente, proporzionalità delle attività, segnalazione tempestiva e divieto di divulgazione incontrollata. Non è quindi una licenza per effettuare intrusioni indiscriminate. La Francia ha adottato una soluzione differente attraverso l’articolo 47 della legge 2016-1321, che ha introdotto l’articolo L.2321-4 nel Code de la défense. La norma tutela la riservatezza dell’identità di chi segnala in buona fede una vulnerabilità all’autorità nazionale e prevede, in quella specifica situazione, una deroga all’obbligo di segnalazione all’autorità giudiziaria previsto dall’articolo 40 del codice di procedura penale francese. Non si tratta di un’immunità generale per qualsiasi accesso abusivo, ma di un meccanismo che riduce il rischio giuridico collegato alla divulgazione responsabile. Le due esperienze dimostrano che il legislatore può intervenire senza rinunciare alla tutela delle infrastrutture e dei dati.

Lo scudo penale deve proteggere la buona fede, non autorizzare gli abusi

L’Italia dovrebbe introdurre una causa di giustificazione o un’esenzione specifica, definita con precisione, per le attività di ricerca delle vulnerabilità svolte secondo criteri verificabili. La tutela dovrebbe richiedere l’assenza di finalità criminali, l’utilizzo di tecniche strettamente necessarie a dimostrare il problema, la minimizzazione dell’accesso ai dati, il divieto di danneggiare i servizi e la comunicazione tempestiva attraverso canali istituzionali. Dovrebbe inoltre escludere esplicitamente estorsioni, sfruttamento economico delle informazioni sottratte e divulgazioni capaci di aumentare deliberatamente il rischio per gli utenti. Non occorre contrapporre sicurezza e legalità: occorre una legge che renda compatibili entrambe. Il Parlamento italiano potrebbe intervenire sul quadro nazionale senza attendere un’ulteriore riforma europea, mentre le istituzioni dell’Unione dovrebbero lavorare a un’armonizzazione dei principi minimi di tutela. La crescente integrazione delle infrastrutture digitali rende infatti poco efficace una protezione che cambi radicalmente attraversando un confine nazionale.

Continua con: Perimetro cibernetico, NIS2 e responsabilità istituzionali: due casi italiani

Difendere chi segnala una vulnerabilità significa rafforzare la sicurezza nazionale

Lo scudo penale per l’hacking etico non risolverà da solo le carenze della cybersecurity italiana. Non sostituirà gli investimenti, le competenze, la manutenzione dei sistemi o gli obblighi imposti dalla NIS2. Potrebbe però eliminare uno degli ostacoli che impediscono alla comunità tecnica di collaborare pienamente alla sicurezza delle infrastrutture. In un Paese dove crescono gli incidenti e aumenta la dipendenza dai servizi digitali, scoraggiare chi individua responsabilmente una vulnerabilità rappresenta uno spreco di capacità difensiva. L’Italia ha già riconosciuto il valore della divulgazione coordinata: ora serve completare il percorso con regole capaci di proteggere chi agisce realmente in buona fede, mantenendo ferma la responsabilità di chi provoca danni o viola deliberatamente i diritti altrui. È una scelta normativa concreta, che non richiede di attendere il prossimo attacco. Il Parlamento dovrebbe affrontarla adesso, prima che una vulnerabilità rimanga nascosta semplicemente perché chi l’ha scoperta teme di segnalarla.