{"license":"CC-BY-4.0","document":{"id":"efa511f2-1d46-5413-9936-9a3f32c3429b","slug":"it-acn-politica-cvd-2026","title_original":"Politica nazionale di divulgazione coordinata delle vulnerabilità (CVD)","title_en":"National Coordinated Vulnerability Disclosure (CVD) Policy","title_fr":"Politique nationale de divulgation coordonnée des vulnérabilités (CVD)","title_es":"Política nacional de divulgación coordinada de vulnerabilidades (CVD)","title_de":"Nationale Politik für die koordinierte Offenlegung von Schwachstellen (CVD)","short_title":{"it":"Politica nazionale CVD (ACN, 2026)","en":"National CVD Policy (ACN, 2026)","fr":"Politique nationale CVD (ACN, 2026)","es":"Política nacional CVD (ACN, 2026)","de":"Nationale CVD-Politik (ACN, 2026)"},"aliases":["CVD","coordinated vulnerability disclosure","divulgazione coordinata delle vulnerabilità"],"document_type":"guideline","jurisdiction":"IT","issuing_body":"National Cybersecurity Agency (ACN) – Director General, in agreement with the Ministry of Justice","issuing_body_it":"Agenzia per la cybersicurezza nazionale (ACN) – Direttore generale, d'intesa con il Ministero della giustizia","issuing_body_fr":"Agence pour la cybersécurité nationale (ACN) – Directeur général, en accord avec le ministère de la Justice","issuing_body_es":"Agencia para la Ciberseguridad Nacional (ACN) – Director general, de acuerdo con el Ministerio de Justicia","issuing_body_de":"Nationale Agentur für Cybersicherheit (ACN) – Generaldirektor, im Einvernehmen mit dem Justizministerium","official_number":"ACN Determination No. 301868/2026","official_number_it":"Determinazione ACN n. 301868/2026","official_number_fr":"Décision ACN n° 301868/2026","official_number_es":"Determinación ACN n.º 301868/2026","official_number_de":"ACN-Verfügung Nr. 301868/2026","date_adopted":"2026-10-06","status":"in_vigore","languages":["it"],"summary":{"it":"La politica, adottata con determina del Direttore generale dell'ACN ai sensi dell'articolo 16, comma 4, del D.Lgs. 138/2024, definisce come segnalare e gestire le vulnerabilità di sicurezza non ancora note pubblicamente («zero day») in prodotti e servizi TIC. Chiunque, persona fisica o giuridica, può segnalarle al CSIRT Italia, anche in forma anonima. Il CSIRT Italia, coordinatore nazionale per la divulgazione coordinata, valida la segnalazione, coinvolge il fabbricante o il fornitore, concorda tempi di correzione e di pubblicazione, chiede l'identificativo CVE e aggiorna la banca dati europea delle vulnerabilità. Chi fa ricerca deve restare nei limiti della legge.","en":"Adopted by determination of ACN's Director General under Article 16(4) of Legislative Decree 138/2024, the policy sets out how to report and handle security vulnerabilities in ICT products and services that are not yet publicly known (\"zero-days\"). Anyone, whether a natural or legal person, can report them to CSIRT Italia, anonymously if they wish. CSIRT Italia, the national coordinator for coordinated disclosure, validates the report, involves the manufacturer or provider, agrees on the timing of the fix and of publication, requests a CVE identifier and updates the European vulnerability database. Researchers must stay within the law.","fr":"Adoptée par décision du directeur général de l'ACN en application de l'article 16, paragraphe 4, du décret législatif 138/2024, la politique définit comment signaler et traiter les vulnérabilités de sécurité de produits et services TIC qui ne sont pas encore connues du public (« zero day »). Toute personne physique ou morale peut les signaler au CSIRT Italia, y compris de manière anonyme. Le CSIRT Italia, coordinateur national de la divulgation coordonnée, valide le signalement, associe le fabricant ou le fournisseur, convient des délais de correction et de publication, demande l'identifiant CVE et met à jour la base de données européenne des vulnérabilités. Les chercheurs doivent rester dans le cadre de la loi.","es":"Adoptada por determinación del director general de la ACN en virtud del artículo 16, apartado 4, del Decreto Legislativo 138/2024, la política establece cómo notificar y gestionar las vulnerabilidades de seguridad de productos y servicios TIC que aún no son públicas («zero day»). Cualquier persona física o jurídica puede notificarlas al CSIRT Italia, también de forma anónima. El CSIRT Italia, coordinador nacional de la divulgación coordinada, valida la notificación, implica al fabricante o proveedor, acuerda los plazos de corrección y publicación, solicita el identificador CVE y actualiza la base de datos europea de vulnerabilidades. Quien investiga debe mantenerse dentro de la ley.","de":"Die durch Verfügung des Generaldirektors der ACN nach Artikel 16 Absatz 4 des Gesetzesvertretenden Dekrets 138/2024 erlassene Politik legt fest, wie noch nicht öffentlich bekannte Sicherheitslücken („Zero-Days“) in IKT-Produkten und -Diensten gemeldet und behandelt werden. Jede natürliche oder juristische Person kann sie CSIRT Italia melden, auf Wunsch auch anonym. CSIRT Italia, der nationale Koordinator für die koordinierte Offenlegung, validiert die Meldung, bezieht den Hersteller oder Anbieter ein, vereinbart den Zeitplan für die Behebung und die Veröffentlichung, beantragt eine CVE-Kennung und aktualisiert die europäische Schwachstellendatenbank. Forschende müssen sich im Rahmen des Gesetzes bewegen."},"topics":["incident-response","supply-chain","governance"],"source_url":"https://www.acn.gov.it/portale/csirt-italia/cvd","file_url":"https://www.acn.gov.it/portale/documents/d/guest/determina_cvd-pdf_signed","archive_snapshot_url":"https://web.archive.org/web/https://www.acn.gov.it/portale/csirt-italia/cvd","license":"pubblico_dominio","license_notes":{"it":"Atto ufficiale di un'amministrazione pubblica escluso dalla protezione del diritto d'autore (art. 5 L. 633/1941).","en":"Official act of a public administration excluded from copyright protection (Art. 5 of Law 633/1941).","fr":"Acte officiel d'une administration publique exclu de la protection du droit d'auteur (art. 5 de la loi 633/1941).","es":"Acto oficial de una administración pública excluido de la protección del derecho de autor (art. 5 de la Ley 633/1941).","de":"Amtlicher Rechtsakt einer öffentlichen Verwaltung, vom Urheberrechtsschutz ausgenommen (Art. 5 Gesetz 633/1941)."},"related_documents":[{"slug":"it-dlgs-138-2024-nis2","relation":"attua"},{"slug":"eu-nis2-directive-2022-2555","relation":"cita"}],"notes":{"it":"Determina firmata digitalmente il 6 ottobre 2026, dopo l'intesa del Ministero della giustizia (31 ottobre 2025) e il parere del Tavolo NIS (18 dicembre 2025). Le segnalazioni passeranno da una piattaforma dedicata sul sito dell'ACN. La politica può essere aggiornata nel tempo.","en":"The determination was digitally signed on 6 October 2026, after the agreement of the Ministry of Justice (31 October 2025) and the opinion of the NIS Table (18 December 2025). Reports will go through a dedicated platform on ACN's website. The policy may be updated over time.","fr":"La décision a été signée électroniquement le 6 octobre 2026, après l'accord du ministère de la Justice (31 octobre 2025) et l'avis de la Table NIS (18 décembre 2025). Les signalements passeront par une plateforme dédiée sur le site de l'ACN. La politique peut être mise à jour au fil du temps.","es":"La determinación se firmó digitalmente el 6 de octubre de 2026, tras el acuerdo del Ministerio de Justicia (31 de octubre de 2025) y el dictamen de la Mesa NIS (18 de diciembre de 2025). Las notificaciones se canalizarán a través de una plataforma específica en el sitio web de la ACN. La política puede actualizarse con el tiempo.","de":"Die Verfügung wurde am 6. Oktober 2026 digital unterzeichnet, nach dem Einvernehmen des Justizministeriums (31. Oktober 2025) und der Stellungnahme des NIS-Tisches (18. Dezember 2025). Meldungen erfolgen über eine eigene Plattform auf der Website der ACN. Die Politik kann im Laufe der Zeit aktualisiert werden."},"ingested_from":"manuale","verified_at":"2026-10-29","verified_by":"Verifica via web","editorial_status":"pubblicato","created_at":"2026-10-29","updated_at":"2026-10-29","scope":{"it":"Chiunque scopra una vulnerabilità «zero day» in un prodotto o servizio TIC, i fabbricanti e fornitori interessati e il CSIRT Italia. Non si applica alle vulnerabilità già note pubblicamente.","en":"Anyone who discovers a zero-day vulnerability in an ICT product or service, the manufacturers and providers concerned, and CSIRT Italia. It does not apply to vulnerabilities that are already public.","fr":"Toute personne qui découvre une vulnérabilité « zero day » dans un produit ou service TIC, les fabricants et fournisseurs concernés et le CSIRT Italia. Elle ne s'applique pas aux vulnérabilités déjà publiques.","es":"Cualquier persona que descubra una vulnerabilidad «zero day» en un producto o servicio TIC, los fabricantes y proveedores afectados y el CSIRT Italia. No se aplica a las vulnerabilidades ya públicas.","de":"Alle, die eine Zero-Day-Schwachstelle in einem IKT-Produkt oder -Dienst entdecken, die betroffenen Hersteller und Anbieter sowie CSIRT Italia. Sie gilt nicht für bereits öffentliche Schwachstellen."},"superseded_by":[],"url":"https://www.cybersecuritydatabase.org/en/documents/it-acn-politica-cvd-2026/"}}