Quanto costa e quanto tempo serve per la ISO 27001

La risposta breve: non esiste un prezzo unico per la ISO 27001. Il numero reale dipende da quanto è grande il perimetro che vuoi certificare, da quante sedi e fornitori coinvolge e da quanto lavoro c'è già fatto in casa. Per questo, invece di inseguire un listino, conviene capire da cosa è fatta la spesa: è lì che si decide se paghi poco o tanto.

Il tempo segue la stessa logica. Chi parte quasi da zero mette in conto dai 6 ai 12 mesi, chi ha già processi ordinati e strumenti in campo può chiudere in 3 o 4 mesi. Prima di guardare i numeri, conviene capire da cosa sono fatti, perché è lì che si decide se spendi poco o tanto.

In questo articolo vediamo le quattro voci di costo, da cosa dipende la spesa, le fasi del percorso, cosa fa lievitare il conto e come si accelera. Se invece vuoi già stimare il tuo caso, il calcolatore ROI ti dà una cifra sul tuo perimetro in pochi minuti.

Da cosa è fatto il costo della ISO 27001?

Il totale che ti serve non è una fattura sola, sono quattro voci diverse che vale la pena tenere separate. Confonderle è il primo motivo per cui i preventivi sembrano non tornare mai.

• Consulenza e implementazione. Il lavoro di costruire il sistema di gestione della sicurezza delle informazioni (ISMS): policy, analisi dei rischi, procedure, formazione. È la voce più variabile, perché dipende da quanto parti da lontano.
• Strumenti. Le piattaforme che raccolgono le evidenze, tengono traccia dei controlli e automatizzano i monitoraggi. Qui si gioca gran parte del risparmio di tempo.
• Audit dell'ente di certificazione. Il costo pagato all'organismo accreditato che rilascia il certificato. È separato dalla consulenza (chi ti aiuta a prepararti non può certificarti) ed è a due stadi.
• Mantenimento annuale. La ISO 27001 non è un traguardo unico: il certificato dura tre anni con audit di sorveglianza ogni anno, più il lavoro interno di tenere vivo il sistema.

La regola pratica: la prima e la seconda voce le puoi comprimere con le scelte giuste, la terza molto meno. Il mantenimento va messo a budget da subito, perché è ricorrente e troppi lo scoprono solo dopo.

Da cosa dipende la spesa (non solo dalla dimensione)

L'errore più comune è pensare che il conto scali con il numero di dipendenti. Non è così: due aziende della stessa dimensione possono spendere in modo molto diverso. I fattori che spostano davvero la spesa sono quattro.

• L'ampiezza del perimetro. È la leva numero uno. Certificare solo il prodotto e i sistemi che trattano i dati dei clienti costa molto meno che certificare tutta l'azienda. Il caso di un perimetro stretto lo raccontiamo in ISO 27001 per una startup SaaS.
• Sedi e fornitori. Ogni sede in più e ogni fornitore critico è un pezzo aggiuntivo da valutare, documentare e tenere sotto controllo.
• La maturità di partenza. Chi ha già policy scritte, analisi dei rischi e monitoraggi in campo parte avvantaggiato; chi parte da zero ha una fase di implementazione più lunga e una consulenza che pesa di più.
• Come si raccolgono le evidenze. A mano o in automatico: è la differenza che si sente sia il primo anno sia a ogni audit di sorveglianza.

Il punto chiave: la dimensione dell'azienda conta, ma il perimetro conta di più. Una media azienda che certifica solo un reparto può spendere meno di una PMI che vuole certificare tutto. Definire bene il perimetro all'inizio è la prima leva sulla spesa, ed è per questo che una stima seria parte dal tuo caso, non da una tabella.

Quanto tempo serve per certificarsi?

Il percorso si divide in fasi, e ogni fase ha una durata che dipende da quanto sei pronto. Ecco l'ordine reale delle cose.

1. Gap analysis. La fotografia di dove sei rispetto allo standard: cosa c'è, cosa manca, quanto lavoro serve. Poche settimane, ed è il momento in cui capisci davvero costi e tempi del tuo caso.
2. Implementazione dell'ISMS. La parte lunga: scrivere policy, fare l'analisi dei rischi, mettere in campo i controlli, formare le persone, raccogliere le evidenze. Da un paio di mesi a diversi mesi, a seconda del punto di partenza.
3. Stage 1. L'ente di certificazione verifica che la documentazione e l'impianto ci siano. Spesso emergono rilievi da chiudere prima di procedere.
4. Stage 2. L'audit vero e proprio: l'ente controlla che il sistema funzioni davvero sul campo, non solo sulla carta. Se va bene, arriva il certificato.

In totale, chi parte maturo chiude in 3 o 4 mesi, chi parte da zero mette in conto un anno. La differenza non la fa la dimensione, la fa quanto lavoro di detection, monitoraggio e documentazione hai già in casa.

Cosa fa salire il conto?

Se un preventivo è molto più alto di un altro, di solito il motivo è uno di questi. Vale la pena conoscerli prima di firmare.

• Un perimetro largo. Certificare tutta l'azienda invece di un reparto moltiplica sistemi, processi e controlli da coprire.
• Tante sedi o tanti fornitori. Ogni sede e ogni fornitore critico è un pezzo in più da valutare e documentare.
• Un punto di partenza immaturo. Se non c'è nulla di scritto e nessun monitoraggio, la fase di implementazione si allunga e la consulenza pesa di più.
• La raccolta manuale delle evidenze. Rincorrere screenshot, log ed export a mano è il costo nascosto più grande: mangia settimane e va rifatto a ogni audit di sorveglianza.

L'ultimo punto è il più sottovalutato. La certificazione non finisce con il timbro: ogni anno il sistema va mantenuto, e se le evidenze si raccolgono a mano il costo torna puntuale ogni dodici mesi.

Come si accelera (e si spende meno)?

Due leve fanno la differenza vera, e agiscono su tempi e costi insieme.

La prima è restringere il perimetro all'inizio. Partire dal nucleo che conta davvero (il prodotto, i sistemi che trattano i dati dei clienti) fa arrivare al certificato prima, e il perimetro si allarga dopo, quando la macchina è già rodata.

La seconda è automatizzare la raccolta delle evidenze. È qui che una piattaforma di compliance taglia le settimane: invece di rincorrere prove a mano, i controlli si collegano ai sistemi e le evidenze si aggiornano da sole. È il modello dietro la certificazione ISO 27001 veloce, e vale ancora di più per il mantenimento annuale.

Se stai valutando anche la SOC 2 (tipica per chi vende software all'estero), conviene guardare le due cose insieme: le abbiamo messe a confronto in ISO 27001 vs SOC 2, perché molti controlli si sovrappongono e affrontarle in parallelo riduce il conto.

In sintesi: la ISO 27001 costa quanto è largo il perimetro e quanto lavoro c'è da fare, non c'è un prezzo di listino. Il modo più economico di ottenerla è partire stretti, automatizzare le evidenze e mettere a budget il mantenimento fin dal primo giorno. Per una stima sul tuo caso parti dal calcolatore ROI o parlane con noi guardando i nostri servizi ISO 27001.