Verdetto e base normativa
Il verdetto è la conseguenza meccanica delle due risposte di qualificazione. La tabella è esplicita e non ha zone grigie nascoste: dalle stesse risposte si ottiene sempre lo stesso esito, ed è per questo che il ragionamento è difendibile.
La tabella decisionale
| Fase 1 · natura | Fase 2 · presupposto | Verdetto | Base normativa |
|---|---|---|---|
| Nessuna delle due ipotesi | — | nessun obbligo | — |
| Vulnerabilità | Sfruttamento attivo documentato | obbligo | Art. 14(2)(a) |
| Vulnerabilità | Solo segnalata, nessuno sfruttamento | nessun obbligo | — |
| Vulnerabilità | Elementi insufficienti | sospeso | da riesaminare |
| Incidente grave | Proprietà di sicurezza compromesse | obbligo (incidente) | Art. 14(4)(a) |
| Incidente grave | Nessun impatto sulla sicurezza | nessun obbligo | — |
| Incidente grave | Elementi insufficienti | sospeso | da riesaminare |
Nessuna delle due ipotesi produce un obbligo senza una risposta confermata alla seconda fase: qualificare un evento come «incidente grave» non basta di per sé a far scattare la notifica. Il presupposto va accertato.
Obbligo di notifica
Il case passa in stato obbligo, l’orologio delle 24 ore è attivo e la schermata del verdetto indica:
- la base normativa applicabile — Art. 14(2)(a) per la vulnerabilità sfruttata, Art. 14(4)(a) per l’incidente grave;
- il destinatario — CSIRT nazionale ed ENISA attraverso la piattaforma unica di segnalazione;
- il termine calcolato dal momento di consapevolezza;
- le azioni successive: preparare la notifica, avvisare gli utenti impattati, segnalare a monte se il difetto è in un componente di terzi.
Parte inoltre l’avviso di esito al referente, e la sequenza dei solleciti dell’orologio è armata.
Nessun obbligo
Il case viene archiviato con il verdetto motivato. Non è una cancellazione: resta consultabile e il verdetto resta nel registro. In una verifica successiva, poter mostrare che l’evento era stato esaminato e ritenuto fuori ambito vale quanto una notifica depositata.
Buona pratica. Nel campo motivazione scrivi l’elemento decisivo, non la conclusione: «nessun exploit noto, PoC non funzionante su versioni supportate, conferma del ricercatore» è utile; «non applicabile» non lo è.
Sospeso
Il caso resta aperto in valutazione e viene fissato un promemoria di ricontrollo per il referente. Da riprendere appena arriva l’elemento mancante: la conferma dello sfruttamento, il riscontro del team, la risposta del segnalante.
La sospensione non sospende il termine di legge. Se il presupposto poi si conferma, le 24 ore restano ancorate al momento di consapevolezza originario, non a quando hai sciolto il dubbio. Tratta il sospeso come una corsa contro il tempo, non come una pausa.
La storia dei verdetti
Ogni conclusione di triage aggiunge una riga alla storia del case: momento, risposte date, esito, base normativa, momento di consapevolezza applicato, autore e motivazione. Le righe si accumulano, non si sostituiscono. È la ricostruzione di come la valutazione si è evoluta man mano che arrivavano informazioni — la prova che la tua è stata una gestione attiva e non un’omissione.
Dopo il verdetto
Con un obbligo accertato il passo successivo è la bozza di notifica. Se il difetto risiede in un componente di terzi, o se ci sono utenti da avvisare, vedi anche Avviso agli utenti e catena a monte: sono adempimenti distinti dalla notifica all’autorità e vanno tracciati separatamente.