D.lgs. 4 settembre 2024, n. 138 · Capo II
Articolo 16
Divulgazione coordinata delle vulnerabilità
Sintesi Articolo 16
L'articolo disciplina la divulgazione coordinata delle vulnerabilità: il CSIRT Italia opera come intermediario di fiducia tra chi segnala una vulnerabilità e il fabbricante o fornitore del prodotto o servizio interessato, assicurando che la segnalazione sia gestita senza esporre i sistemi prima della correzione.
Le vulnerabilità così emerse alimentano la banca dati europea gestita dall'ENISA. Per chi gestisce programmi di vulnerability disclosure o bug bounty è il riferimento procedurale nazionale.
Sintesi editoriale a finalità informativa: non sostituisce il testo ufficiale.
Testo ufficiale
Fonte: Normattiva.
1. Il CSIRT Italia e' designato coordinatore ai fini della divulgazione coordinata delle vulnerabilita' ai sensi dell'articolo 12 della direttiva (UE) 2022/2555 e agisce da intermediario di fiducia agevolando, se necessario, l'interazione tra la persona fisica o giuridica che segnala la vulnerabilita' e il fabbricante o fornitore di servizi TIC o prodotti TIC potenzialmente vulnerabili, su richiesta di una delle parti.
2. I compiti del CSIRT Italia in veste di coordinatore comprendono:
a) l'individuazione e il contatto dei soggetti interessati;
b) l'assistenza alle persone fisiche o giuridiche che segnalano una vulnerabilita';
c) la negoziazione dei tempi di divulgazione e la gestione delle vulnerabilita' che interessano piu' soggetti.
3. Le persone fisiche o giuridiche possono segnalare in forma anonima, qualora lo richiedano, una vulnerabilita' al CSIRT Italia. Quest'ultimo, in veste di coordinatore, garantisce lo svolgimento di diligenti azioni per dare seguito alla segnalazione di vulnerabilita' e assicura l'anonimato della persona fisica o giuridica segnalante. Se la vulnerabilita' segnalata e' suscettibile di avere un impatto significativo su soggetti in piu' di uno Stato membro, il CSIRT Italia coopera, ove opportuno, con altri CSIRT designati in qualita' di coordinatori nell'ambito della Rete di CSIRT nazionali di cui all'articolo 20.
4. L'Autorita' nazionale competente NIS adotta, secondo le modalita' di cui all'articolo 40, comma 5, una politica nazionale di divulgazione coordinata delle vulnerabilita' in linea con le previsioni del presente decreto e tenuto conto degli orientamenti non vincolanti del Gruppo di cooperazione NIS. L'Agenzia per la cybersicurezza nazionale implementa mezzi tecnici per agevolare l'attuazione della politica nazionale di divulgazione coordinata delle vulnerabilita'.