📰 Source : Guerre di Rete (Substack), article de Maurizio Siracusa, publié le 18 octobre 2026.
Contexte
Le 7 octobre 2026, l’Agence Nationale pour la Cybersécurité italienne (ACN) a adopté une Politique nationale de divulgation coordonnée des vulnérabilités (CVD), invitant la communauté à signaler des vulnérabilités zero-day sur des systèmes publics et privés. Cette adoption intervient avec quatre ans de retard par rapport à l’obligation prévue par l’article 12 de la Directive NIS2 (publiée en décembre 2022), transposée en droit italien par décret législatif en 2024.
Fonctionnement de la politique CVD
- Le chercheur signale une vulnérabilité au CSIRT Italia
- Le CSIRT coordonne avec le fabricant ou gestionnaire du système vulnérable
- Un correctif est développé, puis la vulnérabilité est divulguée
- Les signalements anonymes sont possibles via une plateforme dédiée sur le site ACN — non encore opérationnelle au moment de la publication
Lacune juridique majeure
La politique CVD contient une clause stipulant que les activités de recherche doivent respecter la loi et ne pas constituer des infractions pénales. Or, l’article 615-ter du Code pénal italien punit l’accès non autorisé à un système informatique protégé, sans distinction d’intention. La Cour de cassation (Sezioni Unite, 2012) a confirmé que la qualité de l’accès prime sur les motivations du chercheur.
- L’ACN ne peut pas garantir d’immunité pénale : elle peut s’engager à ne pas porter plainte, mais le Parquet peut agir d’office
- L’anonymat de la plateforme protège l’identité mais ne régularise pas rétroactivement un accès non autorisé
- La Loi 90/2024 sur la cybersécurité nationale a aggravé les peines : jusqu’à 10 ans (voire 12 avec circonstances aggravantes) pour accès abusif aux systèmes d’intérêt public (santé, militaire, infrastructures critiques), avec poursuites d’office
Comparaison internationale
| Pays | Dispositif | Statut |
|---|---|---|
| Belgique | Safe harbor légal explicite (2022, consolidé NIS2 2024) | En vigueur |
| Pays-Bas | Directive du Parquet (2013) orientant vers la non-poursuite | En vigueur |
| Allemagne | Réforme §202a StGB (bozza 2024, reprise dans le contrat de coalition CDU/CSU-SPD 2025) | En agenda |
| France | Protection procédurale faible via l’ANSSI | Partielle |
| Italie | Canal CVD sans safe harbor substantiel | Insuffisant |
Un DDL déposé au Sénat en avril 2025 par le sénateur Lorenzo Basso prévoit une délégation générique pour un safe harbor, mais n’a jamais été examiné en commission.
Nature de l’article
Article d’analyse juridique et politique spécialisé, visant à exposer le décalage entre la politique CVD de l’ACN et le cadre pénal italien, en comparaison avec les approches adoptées par d’autres États membres de l’UE.
🔴 Indice de vérification factuelle : 15/100 (basse)
- ⬜ guerredirete.substack.com — source non référencée (0pts)
- ✅ 7826 chars — texte complet (15pts)
- ⬜ aucun IOC extrait (0pts)
- ⬜ pas d’IOC à vérifier (0pts)
- ⬜ aucune TTP identifiée (0pts)
- ⬜ date RSS ou approximée (0pts)
- ⬜ aucun acteur de menace nommé (0pts)
- ⬜ pas de CVE à vérifier (0pts)
🔗 Source originale : https://guerredirete.substack.com/p/litalia-non-protegge-gli-hacker-etici