Certificazione ISO 27001: guida completa e requisiti

La ISO/IEC 27001 è lo standard internazionale che definisce come un'organizzazione istituisce, gestisce e migliora nel tempo un Sistema di Gestione della Sicurezza delle Informazioni (SGSI, in inglese ISMS). Non è un elenco di prodotti da installare, ma un modello organizzativo: mette insieme politiche, processi, persone e controlli tecnici sotto un unico impianto governato dal rischio. Questa guida spiega che cos'è la norma nella versione 2022, come è fatta, come funziona la certificazione e perché è diventata un requisito ricorrente per lavorare con clienti strutturati, partecipare a gare e stare nella catena di fornitura di aziende soggette a NIS2 e DORA.

È l'articolo di riferimento del cluster: da qui puoi scendere nei singoli approfondimenti, dai passi operativi ai controlli dell'Allegato A, dai costi al confronto con SOC 2 e NIS2.

Che cos'è la ISO 27001

La ISO 27001 stabilisce i requisiti per un Sistema di Gestione della Sicurezza delle Informazioni. In pratica chiede all'organizzazione di trattare la sicurezza delle informazioni come si tratta la qualità o la sicurezza sul lavoro: con un sistema di gestione documentato, misurabile e sottoposto a miglioramento continuo, non con interventi episodici.

Il cuore della norma è la gestione del rischio. L'organizzazione non deve applicare qualunque controllo esista, ma capire quali sono le informazioni che contano, quali rischi corrono e quali misure adottare in proporzione a quel rischio. Le informazioni tutelate sono quelle riservate, integre e disponibili: i tre attributi classici della sicurezza delle informazioni, la cosiddetta triade CIA (riservatezza, integrità, disponibilità).

Un aspetto spesso frainteso: la ISO 27001 non riguarda solo l'IT. Coinvolge le risorse umane, gli aspetti fisici degli uffici, i fornitori, i processi contrattuali e la direzione. È un sistema di governo che attraversa l'azienda, non un progetto del reparto tecnico.

La versione 2022 e il passaggio dalla 2013

La versione vigente è la ISO/IEC 27001:2022, che ha sostituito la precedente edizione del 2013. Le organizzazioni già certificate hanno avuto un periodo di transizione per allinearsi, concluso a fine ottobre 2025: da allora i certificati fanno riferimento alla 2022. Le novità non hanno cambiato la filosofia della norma, rimasta basata sul rischio e sul miglioramento continuo, ma hanno soprattutto riorganizzato e attualizzato il catalogo dei controlli dell'Allegato A, di cui parliamo più avanti.

Come è strutturata la norma

La ISO 27001 si compone di due parti che lavorano insieme. La prima è il corpo dei requisiti veri e propri, distribuiti nelle clausole dalla 4 alla 10. La seconda è l'Allegato A, il catalogo dei controlli di sicurezza tra cui scegliere. Le clausole dicono come deve funzionare il sistema di gestione; l'Allegato A offre la libreria delle misure concrete.

Le clausole 4-10: i requisiti del sistema

Le clausole dalla 4 alla 10 sono i requisiti obbligatori. Un'organizzazione non può escluderle: sono la spina dorsale del SGSI.

• Clausola 4, Contesto dell'organizzazione. Capire le parti interessate e le loro aspettative, e soprattutto definire il campo di applicazione (lo scope) del sistema: quali sedi, servizi e processi rientrano.
• Clausola 5, Leadership. L'impegno della direzione, la politica per la sicurezza delle informazioni, l'assegnazione chiara di ruoli e responsabilità.
• Clausola 6, Pianificazione. Qui vive il motore della norma: la valutazione e il trattamento del rischio, insieme agli obiettivi di sicurezza misurabili.
• Clausola 7, Supporto. Le risorse, le competenze, la consapevolezza delle persone, la comunicazione e la gestione documentale.
• Clausola 8, Attività operative. Mettere in pratica i processi e i piani di trattamento del rischio nel lavoro quotidiano.
• Clausola 9, Valutazione delle prestazioni. Monitoraggio, misurazione, audit interni e riesame della direzione: verificare che il sistema funzioni.
• Clausola 10, Miglioramento. La gestione delle non conformità e le azioni correttive, per chiudere il cerchio e ripartire.

Messe in fila, queste clausole disegnano il classico ciclo di miglioramento continuo: pianificare, fare, verificare, correggere. È questo che rende il SGSI un sistema vivo e non un raccoglitore di documenti fermi.

L'Allegato A: 93 controlli in 4 temi

L'Allegato A della 2022 raccoglie 93 controlli di sicurezza, raggruppati in 4 temi:

• Organizzativi: 37 controlli (politiche, ruoli, gestione dei fornitori, gestione degli incidenti);
• Persone: 8 controlli (consapevolezza, formazione, responsabilità del personale);
• Fisici: 14 controlli (accessi ai locali, sicurezza delle aree e delle apparecchiature);
• Tecnologici: 34 controlli (crittografia, gestione degli accessi, sicurezza dei sistemi e delle reti).

Rispetto alla versione 2013, che contava 114 controlli distribuiti su 14 categorie, la 2022 ha consolidato e ridotto il numero complessivo e ha introdotto 11 controlli nuovi, pensati per scenari più recenti: l'intelligence sulle minacce, la sicurezza per l'uso dei servizi cloud, la prontezza delle ICT per la continuità operativa, il monitoraggio della sicurezza fisica, la gestione della configurazione, la cancellazione delle informazioni, il mascheramento dei dati, la prevenzione della fuga di dati (DLP), le attività di monitoraggio, il filtraggio web e la codifica sicura (secure coding).

Un punto da chiarire subito: i controlli dell'Allegato A non si applicano tutti e in blocco. Si selezionano in base al rischio effettivo dell'organizzazione. Il dettaglio operativo di come funzionano questi controlli, tema per tema, è nell'articolo dedicato ai requisiti dell'Allegato A.

L'approccio al rischio e la Dichiarazione di Applicabilità

Se dovessimo indicare un solo concetto attorno a cui ruota tutta la ISO 27001, sarebbe l'approccio basato sul rischio. La norma non impone misure uguali per tutti: chiede a ciascuna organizzazione di identificare i propri rischi, valutarli e decidere come trattarli. Un rischio si può ridurre con un controllo, trasferire (per esempio con un'assicurazione o un contratto), accettare consapevolmente oppure evitare eliminando l'attività che lo genera.

Il documento che tiene insieme tutto questo è la Dichiarazione di Applicabilità (SoA, Statement of Applicability). La SoA elenca i controlli dell'Allegato A, indica quali sono applicabili e quali no, e giustifica ogni scelta. È uno dei documenti che l'auditor guarda per primo, perché in poche pagine racconta come l'organizzazione ha tradotto il proprio profilo di rischio in controlli concreti. Una SoA ben fatta dimostra che le decisioni di sicurezza sono ragionate e tracciabili, non improvvisate.

Come funziona la certificazione

La certificazione ISO 27001 non è un'autodichiarazione. È rilasciata da un organismo di certificazione accreditato, indipendente dall'organizzazione, al termine di un audit articolato in due fasi.

• Stage 1 (documentale). L'auditor verifica che il sistema esista sulla carta: politiche, valutazione del rischio, SoA, procedure. Serve a controllare che l'impianto sia coerente e pronto per la verifica sul campo.
• Stage 2 (efficacia). L'auditor verifica che il sistema funzioni davvero nella pratica, raccogliendo evidenze che i controlli siano applicati e i processi seguiti dalle persone.

Se l'esito è positivo, l'organismo rilascia il certificato, valido 3 anni. Durante il triennio l'organizzazione riceve audit di sorveglianza annuali che verificano il mantenimento del sistema, e al terzo anno affronta un audit di ricertificazione per rinnovare il ciclo. La certificazione, quindi, non è un traguardo che si raggiunge una volta e si archivia: è un impegno continuo, ed è proprio questo a darle valore agli occhi di clienti e partner.

Il percorso verso la certificazione

Il cammino per arrivare al certificato segue passi abbastanza standard, che si possono riassumere così: definizione dello scope, impegno formale della direzione, valutazione dei rischi e scelta del trattamento, redazione della SoA e delle politiche, implementazione dei controlli, formazione e consapevolezza del personale, audit interno, riesame della direzione e infine l'audit di certificazione in due fasi. Chiudono il quadro gli audit di sorveglianza annuali e la ricertificazione al terzo anno.

I tempi variano molto in base alla maturità di partenza e alla dimensione dell'organizzazione: in genere il percorso richiede da 3 a 9 mesi. Un'azienda che parte con processi già ordinati impiega meno; chi costruisce il sistema da zero deve mettere in conto più tempo per far sedimentare abitudini e documentazione. Abbiamo dedicato una guida ai passi per ottenere la certificazione ISO 27001 e un approfondimento sulle voci che compongono quanto costa la ISO 27001, così da inquadrare per tempo sia l'impegno organizzativo sia quello economico.

Perché la ISO 27001 conta

La ISO 27001 è una certificazione volontaria, eppure sempre più aziende la considerano un requisito di fatto. I motivi sono concreti e commerciali prima ancora che tecnici.

• Fiducia dei clienti. Il certificato è un attestato riconosciuto a livello internazionale che l'organizzazione gestisce la sicurezza delle informazioni con metodo. Riduce l'attrito nella fase di valutazione da parte di clienti grandi e strutturati.
• Gare e vendor assessment. In molti bandi e in quasi tutti i processi di qualifica fornitori la ISO 27001 è un criterio premiante o un requisito minimo. Averla significa restare in gara; non averla può significare essere esclusi in partenza.
• Sicurezza della catena di fornitura. Con l'entrata in vigore di NIS2 e DORA, le aziende soggette a questi obblighi devono presidiare la sicurezza dei propri fornitori. Un fornitore certificato ISO 27001 offre una garanzia già pronta e verificabile, e per questo viene preferito.

Quest'ultimo punto merita attenzione. La ISO 27001 non coincide con NIS2 o DORA, ma le clausole 4-10 e i controlli dell'Allegato A coprono buona parte delle misure di gestione del rischio che quelle normative richiedono. Un SGSI già in piedi è una base di partenza solida per affrontare gli adempimenti normativi, non un lavoro parallelo da fare due volte.

ISO 27001 e gli altri riferimenti: SOC 2 e NIS2

Chi valuta la ISO 27001 spesso la confronta con altri standard e normative, per capire cosa serve davvero al proprio caso.

Il paragone più frequente è con SOC 2, un framework di origine statunitense molto diffuso nel mondo del software e dei servizi cloud. I due strumenti hanno logiche diverse: la ISO 27001 certifica un sistema di gestione, SOC 2 produce un rapporto di attestazione sui controlli. Spesso le aziende che vendono a clienti sia europei sia americani finiscono per adottarli entrambi. Il confronto punto per punto, con i criteri per scegliere, è nell'articolo ISO 27001 vs SOC 2.

Sul fronte europeo, la domanda ricorrente è come si collochi la ISO 27001 rispetto agli obblighi di legge. La certificazione non sostituisce la conformità normativa, ma la agevola in modo significativo, perché condivide gran parte dell'impianto di gestione del rischio. Il rapporto tra i due mondi è chiarito in NIS2 e ISO 27001: quando la certificazione aiuta, dove non basta e come farle convivere senza duplicare gli sforzi.

ISO 27001 per startup e aziende SaaS

Per una startup o una software house che vende un prodotto SaaS, la ISO 27001 ha una funzione molto pratica: sblocca la vendita verso clienti enterprise che, senza una certificazione riconosciuta, non firmerebbero. Molte trattative si fermano proprio sul questionario di sicurezza, e il certificato è ciò che permette di superarlo rapidamente.

La buona notizia è che un'azienda giovane, con pochi sistemi e processi ancora plasmabili, può costruire un SGSI snello e coerente più facilmente di una realtà stratificata. Il campo di applicazione è ristretto, l'infrastruttura è spesso cloud e nativa, la documentazione si costruisce mentre l'azienda cresce. Il percorso pensato per questo profilo, con le scelte che fanno la differenza, è descritto in ISO 27001 per startup e SaaS.

Gli errori da evitare

Chi affronta la ISO 27001 per la prima volta tende a inciampare sempre negli stessi punti. Vale la pena conoscerli in anticipo.

• Trattarla come un progetto documentale. Produrre politiche e procedure che nessuno applica porta dritti a non conformità allo Stage 2. Il sistema deve vivere nel lavoro reale.
• Definire uno scope sbagliato. Uno scope troppo ampio appesantisce il progetto; uno troppo stretto rischia di non coprire ciò che il cliente si aspetta di vedere certificato.
• Copiare la SoA da un modello. La Dichiarazione di Applicabilità deve riflettere il rischio reale dell'organizzazione, non un elenco generico preso altrove.
• Dimenticare le persone. Senza formazione e consapevolezza, i controlli tecnici restano fragili. La clausola sul supporto e i controlli sul tema Persone esistono per questo.

Come aiuta AmagisTech

AmagisTech affianca le aziende mid-market italiane lungo tutto il percorso ISO 27001: dalla gap analysis iniziale, che misura la distanza tra la situazione attuale e i requisiti della norma, all'impianto del Sistema di Gestione della Sicurezza delle Informazioni, fino alla preparazione all'audit di certificazione. L'obiettivo è arrivare allo Stage 2 con un sistema che funziona davvero, non solo con una cartella di documenti in ordine.

Il valore aggiunto è la continuità dopo il certificato: mantenere un SGSI vivo richiede monitoraggio, gestione degli incidenti e miglioramento costante, ed è qui che le capacità di security operations gestite fanno la differenza tra una certificazione mantenuta con fatica e una che si regge sui processi. Per capire da dove partire, puoi vedere i nostri servizi di cybersecurity gestita.

In sintesi: la ISO 27001:2022 è lo standard che trasforma la sicurezza delle informazioni da attività improvvisata a sistema governato dal rischio. Clausole 4-10, 93 controlli dell'Allegato A e una SoA costruita sul rischio reale sono gli ingredienti; la certificazione, valida 3 anni con sorveglianza annuale, è la prova verificabile che il sistema funziona. Sempre più spesso è ciò che apre le porte di gare, clienti enterprise e catene di fornitura soggette a NIS2 e DORA.