Le informazioni sono diventate uno dei patrimoni più esposti di qualunque impresa. Dati dei clienti, progetti, listini, credenziali di accesso ai gestionali e ai servizi in cloud viaggiano ogni giorno fra dipendenti, fornitori e sistemi diversi, e una loro perdita o diffusione può fermare la produzione, compromettere un rapporto commerciale o aprire un procedimento davanti al Garante. In questo scenario la ISO/IEC 27001 è lo standard internazionale di riferimento per organizzare la sicurezza delle informazioni in modo strutturato e verificabile, ed è spesso chiesta da clienti e committenti. Secondo i dati dell’ISO Survey 2024 riportati dal sottocomitato ISO/IEC JTC 1/SC 27 che cura la norma, a fine 2024 in Italia i certificati ISO/IEC 27001 accreditati erano 3.300, distribuiti su circa 6.000 siti.
Che cos’è la ISO 27001
La ISO/IEC 27001:2022 specifica i requisiti per stabilire, attuare, mantenere e migliorare in modo continuo un sistema di gestione per la sicurezza delle informazioni, spesso indicato con la sigla inglese ISMS. È applicabile a tutte le organizzazioni, indipendentemente dal tipo, dalle dimensioni o dalla natura, e quindi tanto a un’azienda manifatturiera quanto a uno studio professionale o a una società di servizi informatici. L’obiettivo del sistema è preservare la riservatezza, l’integrità e la disponibilità delle informazioni, cioè fare in modo che siano accessibili solo a chi è autorizzato, che restino corrette e complete e che siano disponibili quando servono.
L’edizione vigente è la terza, pubblicata dall’ISO il 25 ottobre 2022, a cui nel febbraio 2024 si è aggiunto un emendamento che chiede all’organizzazione di valutare se il cambiamento climatico sia un tema rilevante per il proprio contesto. In Italia la norma è recepita come UNI CEI EN ISO/IEC 27001:2024+A1:2024. Il periodo di transizione dalla precedente edizione del 2013 si è chiuso il 31 ottobre 2025, data entro la quale i certificati basati sulla vecchia versione sono scaduti o sono stati ritirati.
Come è costruita la norma
La ISO 27001 segue la struttura comune a tutte le norme ISO sui sistemi di gestione, la stessa della ISO 9001 e della ISO 14001. I requisiti sono organizzati nei punti da 4 a 10, che riguardano il contesto dell’organizzazione, la leadership, la pianificazione, il supporto, le attività operative, la valutazione delle prestazioni e il miglioramento. Per dichiarare la conformità alla norma nessuno di questi requisiti può essere escluso.
Il cuore del sistema è la gestione del rischio. L’organizzazione definisce un metodo per valutare i rischi relativi alla sicurezza delle informazioni, li valuta, decide come trattarli e torna a valutarli durante le attività operative. Per il trattamento dei rischi la norma mette a disposizione, nella sua appendice A, un elenco di controlli di riferimento, che nell’edizione 2022 sono 93, raggruppati in quattro temi. I controlli organizzativi sono 37, quelli relativi alle persone 8, quelli fisici 14 e quelli tecnologici 34. La loro descrizione dettagliata e le indicazioni per attuarli si trovano nella norma collegata ISO/IEC 27002:2022.
I controlli non sono una lista da applicare per intero, ma un riferimento da cui l’organizzazione sceglie le misure adeguate ai rischi individuati, motivando le scelte. È ciò che rende la norma adatta anche a una piccola impresa, perché il sistema si dimensiona sulla realtà aziendale e non su un modello astratto.
Una scelta volontaria, il rapporto con NIS2 e GDPR
Nessuna norma impone in via generale alle imprese di certificarsi ISO 27001, che resta una scelta volontaria. Il suo peso cresce però insieme agli obblighi di sicurezza informatica. Il D.Lgs. 4 settembre 2024, n. 138, che recepisce la direttiva NIS2, chiede ai soggetti essenziali e importanti di adottare misure di gestione dei rischi per la sicurezza informatica sotto la responsabilità degli organi di vertice, e affida all’Autorità nazionale competente NIS il compito di promuovere l’uso di specifiche tecniche europee e internazionali relative alla sicurezza dei sistemi informativi e di rete. Per alcune categorie di fornitori di servizi digitali, come i fornitori di servizi di cloud computing, di data center e di servizi gestiti, il Regolamento di esecuzione (UE) 2024/2690 dichiara di basare i propri requisiti su norme come la ISO/IEC 27001 e la ISO/IEC 27002.
In Italia la UNI/PdR 174:2025 ha definito un sistema di gestione per la cybersicurezza che integra i requisiti della ISO 27001 con il NIST Cybersecurity Framework, e che Accredia ha presentato come uno strumento potenzialmente utile a rispondere agli obblighi del decreto, sottolineando che la possibilità di una certificazione sotto accreditamento rappresenta un valore aggiunto. Chi rientra nel perimetro della NIS2 trova quindi nella ISO 27001 una struttura che aiuta a organizzare e documentare le misure richieste, ma la certificazione non equivale di per sé alla conformità al decreto, e gli obblighi specifici fissati dall’Agenzia per la cybersicurezza nazionale vanno verificati puntualmente.
Anche il rapporto con il GDPR va chiarito. La ISO 27001 aiuta a dimostrare l’adozione di misure tecniche e organizzative adeguate per la sicurezza dei dati, ma riguarda la sicurezza e non l’insieme degli obblighi del Regolamento europeo sulla protezione dei dati, come la liceità dei trattamenti, le informative e i diritti degli interessati. Non è nemmeno una certificazione del GDPR in senso proprio. Le certificazioni previste dal GDPR si basano su criteri approvati dall’autorità di controllo competente o dal Comitato europeo per la protezione dei dati e sono rilasciate dall’autorità stessa oppure da organismi accreditati, che in Italia lo sono secondo la ISO/IEC 17065 e i requisiti aggiuntivi del Garante, mentre la ISO 27001 certifica un sistema di gestione secondo regole di accreditamento diverse.
Chi rilascia la certificazione
L’ISO scrive le norme ma non certifica le organizzazioni e non rilascia certificati. La certificazione è rilasciata da organismi di terza parte, e l’accreditamento dell’organismo dà una conferma indipendente della sua competenza. In Italia l’accreditamento è svolto da Accredia, che verifica la competenza degli organismi secondo la ISO/IEC 17021-1, la norma generale sugli enti che certificano sistemi di gestione, e la ISO/IEC 27006-1:2024, che aggiunge requisiti specifici per la sicurezza delle informazioni. Prima di scegliere l’organismo conviene verificare che il suo accreditamento copra lo schema ISO/IEC 27001.
Il percorso verso la certificazione
Il percorso si articola in due fasi, la costruzione del sistema in azienda e la verifica da parte dell’organismo. La costruzione parte dalla definizione del campo di applicazione, cioè quali sedi, processi e servizi il sistema copre, che è anche il perimetro a cui il certificato si riferisce e che va sempre letto sul certificato stesso. Prosegue poi con questi passaggi.
- L’analisi del contesto, delle parti interessate e dei loro requisiti, compresi quelli contrattuali e di legge.
- La politica per la sicurezza delle informazioni e l’assegnazione di ruoli e responsabilità da parte della direzione.
- La valutazione e il trattamento dei rischi, con la scelta motivata dei controlli dell’appendice A.
- L’attuazione dei controlli, dalla gestione degli accessi e dei fornitori ai backup, alla gestione degli incidenti e alla formazione del personale.
- L’audit interno e il riesame della direzione, che verificano il funzionamento del sistema prima dell’audit esterno.
La certificazione iniziale avviene con un audit in due fasi. La prima, detta stage 1, esamina la documentazione e il livello di preparazione dell’organizzazione. La seconda, lo stage 2, valuta l’attuazione e l’efficacia del sistema sul campo. Il certificato ha un ciclo di tre anni, durante il quale l’organismo svolge audit di sorveglianza almeno una volta per anno solare, salvo l’anno della ricertificazione, con la prima sorveglianza entro dodici mesi dalla decisione di certificazione. Prima della scadenza del triennio l’organismo svolge l’audit di ricertificazione, che avvia un nuovo ciclo.
Integrazione con gli altri sistemi di gestione
Poiché condivide la struttura delle altre norme ISO, la ISO 27001 si integra in modo naturale con un sistema qualità ISO 9001 già esistente, con cui condivide documentazione, audit interni e riesame della direzione. Allo stesso modo può essere affiancata, per la protezione dei dati personali, dalla ISO/IEC 27701, che nell’edizione 2025 è diventata una norma autonoma sui sistemi di gestione per la privacy, certificabile anche da sola oppure insieme alla ISO 27001, e dalla ISO/IEC 42001 per chi sviluppa o utilizza sistemi di intelligenza artificiale. Per un’impresa che ha già un sistema certificato il passo è più breve, perché la parte comune del sistema è già impostata, mentre la valutazione dei rischi e i controlli sulla sicurezza delle informazioni vanno costruiti.
Una leva di fiducia verso clienti e filiera
La ISO 27001 trasforma la sicurezza delle informazioni da insieme di misure tecniche sparse a sistema governato dalla direzione, con rischi valutati, responsabilità chiare e verifiche periodiche. Per una PMI che lavora con clienti strutturati, che gestisce dati per conto di altri o che rientra nel perimetro della NIS2, è anche un linguaggio comune con cui dimostrare affidabilità e rispondere più agevolmente alle richieste di clienti e committenti. Affianchiamo le imprese nell’analisi iniziale, nella costruzione del sistema di gestione, nella sua integrazione con i sistemi già certificati e nella preparazione all’audit dell’organismo.
