Percorso verso la certificazione ISO/IEC 27001
In breve. Se un bando, un cliente grande o una gara ti chiedono la certificazione ISO/IEC 27001, ti accompagno dalla gap analysis iniziale fino all'audit dell'ente certificatore. Sono Lead Auditor ISO/IEC 27001:2022: ho fatto il percorso dal lato di chi verifica, e questo cambia cosa ti faccio preparare. Durata tipica per una PMI: sei-dodici mesi dalla gap analysis al certificato, a seconda di quanto esiste già.
Che cosa chiede davvero la norma
Un sistema di gestione della sicurezza delle informazioni: un modo documentato e verificabile di decidere quali informazioni proteggere, da cosa, con quali misure, e di dimostrare che le misure funzionano e vengono riesaminate. L'Allegato A elenca 93 controlli, ma non sono una checklist da spuntare tutta: sono il catalogo da cui selezioni ciò che è applicabile al tuo contesto, motivando le esclusioni nella Dichiarazione di applicabilità.
L'errore che costa di più non è tecnico: è certificare un perimetro gonfiato. Un perimetro ampio sembra più vendibile e poi va mantenuto per tre anni, con audit di sorveglianza ogni anno.
Le fasi
| Fase | Cosa produce |
|---|---|
| Gap analysis | Distanza fra come lavori oggi e cosa chiede la norma, rilievo per rilievo |
| Definizione del perimetro | Quali sedi, processi, servizi e asset entrano nel sistema, e perché |
| Analisi dei rischi | Metodo, criteri di accettazione, registro dei rischi, piano di trattamento |
| Documentazione | Politica, procedure, Dichiarazione di applicabilità, registri |
| Attuazione | Le misure messe in funzione davvero, con le evidenze che lo dimostrano |
| Formazione e audit interno | Personale formato, non conformità rilevate e chiuse |
| Riesame di direzione | Input, output deliberativi, verbale firmato |
| Audit di certificazione | Stage 1 documentale, Stage 2 di attuazione |
Fra Stage 1 e Stage 2 passano normalmente alcune settimane: servono a chiudere i rilievi documentali prima che l'ente guardi le evidenze operative.
Che cosa faccio e che cosa non faccio
Faccio: la gap analysis, il metodo di analisi dei rischi, la documentazione costruita insieme a chi poi la deve applicare, la formazione, l'audit interno e l'affiancamento fino alla verifica finale.
Non faccio: l'ente certificatore. Chi costruisce il sistema non può certificarlo — è un requisito di indipendenza, non una preferenza — e l'organismo di certificazione va scelto fra quelli accreditati. Non faccio nemmeno penetration test e verifiche tecniche di sicurezza: dove servono, te lo dico e porto chi le esegue.
Senza certificato, serve lo stesso?
Spesso sì, ed è una domanda onesta da farsi prima di partire. Se il motivo è un cliente che chiede garanzie contrattuali, un questionario di fornitura o un requisito NIS2 lungo la catena, una parte del sistema può bastare senza arrivare al certificato — e costa una frazione. Se il motivo è un bando che chiede il certificato, non ci sono scorciatoie. Distinguere i due casi al primo incontro è nell'interesse di entrambi.
Domande frequenti
Quanto dura il percorso?
Per una PMI fra sei e dodici mesi dalla gap analysis al certificato. Il fattore che sposta di più non è la dimensione: è quanto è già documentato e quanto l'azienda riesce a dedicare settimanalmente al progetto.
Quanto costa?
Due voci distinte, che conviene non confondere: la consulenza e l'ente certificatore. Il costo dell'ente dipende dalle giornate di audit, calcolate su numero di addetti e complessità del perimetro, e si ripete con gli audit di sorveglianza annuali e il rinnovo triennale. Il costo della consulenza dipende da quanto esiste già: la gap analysis serve anche a quantificarlo prima di impegnarsi.
La certificazione mi mette a posto anche con il GDPR e con NIS2?
No, ma copre buona parte del lavoro tecnico-organizzativo che entrambi richiedono. ISO 27001 riguarda la sicurezza delle informazioni; il GDPR riguarda la protezione dei dati personali, con obblighi — informative, basi giuridiche, diritti degli interessati — che la norma non tocca. Sono sistemi che si sovrappongono in parte, non uno dentro l'altro.
Possiamo certificare solo una parte dell'azienda?
Sì, e spesso conviene. Il perimetro va però definito in modo difendibile: se un processo escluso tratta le stesse informazioni di uno incluso, l'auditor lo rileva.
Serve un consulente o possiamo farcela da soli?
Si può fare da soli, soprattutto se c'è già qualcuno in azienda che conosce i sistemi di gestione. Quello che un consulente esterno porta davvero è il punto di vista di chi ha visto come guarda un auditor, e il fatto di non essere la persona che poi applica le procedure: l'audit interno fatto da chi ha scritto le procedure è l'anello debole di quasi tutti i sistemi.
Mezz'ora per capire se ti serve davvero il certificato o se basta una parte del sistema. La risposta cambia il preventivo di parecchio.
Parliamone insieme, gratis