ISO 27001 è obbligatoria? Quando serve davvero

No: in Italia nessuna legge obbliga un'azienda, in quanto tale, a certificarsi ISO/IEC 27001. Non lo fa nemmeno la NIS2: il D.Lgs. 138/2024 chiede misure di sicurezza adeguate e richiama le norme internazionali come riferimento, non un certificato. La 27001 diventa necessaria quando la chiede qualcun altro: un cliente nel contratto, oppure ACN per qualificare un servizio cloud destinato alla PA. Nelle gare, invece, conta per punteggio e garanzia.

Chi pone la domanda di solito ha già davanti una richiesta concreta: un questionario fornitori, un disciplinare di gara, un cliente soggetto alla NIS2. Qui sotto i casi uno per uno, con l'articolo o l'atto che li regola, e cosa cambia tra essere conformi e essere certificati.

Quando la ISO 27001 è obbligatoria, in breve

• Per legge, in generale: mai. È una norma volontaria.
• NIS2: non chiede la certificazione. Chiede misure di gestione del rischio che tengono conto, ove applicabile, delle norme nazionali, europee e internazionali: la 27001 è una di queste, e il regolamento europeo di esecuzione la cita per alcuni fornitori digitali.
• Gare pubbliche per servizi e forniture: secondo ANAC non può essere un requisito di partecipazione a pena di esclusione. Può invece dare punti nell'offerta tecnica e ridurre la garanzia, se i documenti di gara lo prevedono.
• Servizi cloud per la PA: per la qualificazione ACN di livello 1 serve la 27001 con le estensioni 27017 e 27018 sul servizio, o in alternativa la CSA STAR Level 2.
• Contratti privati: è obbligatoria quando il cliente la scrive nel contratto o nella qualifica fornitori.

Conformità e certificazione non sono la stessa cosa

La ISO/IEC 27001 specifica i requisiti di un sistema di gestione per la sicurezza delle informazioni (SGSI). L'edizione di riferimento è la ISO/IEC 27001:2022. Un'azienda può applicarla senza certificarsi: in quel caso è conforme per sua dichiarazione, e nessuno lo verifica dall'esterno.

La certificazione è un passo in più: un organismo di certificazione accreditato verifica il sistema con un audit e rilascia un certificato con uno scopo preciso (sedi, processi, servizi coperti). Quasi tutti i casi in cui la 27001 diventa necessaria chiedono il certificato, non la semplice conformità, perché è l'unica prova che un cliente o una stazione appaltante possono controllare. Requisiti, controlli dell'Allegato A e percorso di certificazione sono nella guida completa alla ISO 27001.

NIS2: un riferimento per le misure, non un obbligo di certificazione

È il punto in cui circola più confusione, quindi conviene leggere il testo. L'articolo 24 del D.Lgs. 138/2024, che recepisce la direttiva (UE) 2022/2555, chiede ai soggetti essenziali e importanti misure tecniche, operative e organizzative adeguate e proporzionate. Secondo il comma 1, lettera a), queste misure tengono conto dello stato dell'arte "e, ove applicabile, delle pertinenti norme nazionali, europee e internazionali". La 27001 è una di queste norme, ma il decreto non la nomina e non chiede di certificarsi.

Due articoli dello stesso decreto vengono letti spesso come un obbligo di certificazione. Non lo sono:

• Articolo 27. Consente all'autorità nazionale competente NIS di imporre l'uso di prodotti, servizi e processi TIC certificati nei sistemi europei di certificazione della cybersicurezza previsti dal regolamento (UE) 2019/881, il Cybersecurity Act, o nelle more in schemi riconosciuti a livello nazionale o europeo. Riguarda la certificazione di prodotti, servizi e processi TIC, non quella del sistema di gestione dell'azienda.
• Articolo 28. L'autorità promuove l'uso di specifiche tecniche europee e internazionali, senza imporre un particolare tipo di tecnologia. L'elenco che ACN può pubblicare, secondo il comma 3, non ha carattere vincolante.

Il caso dei fornitori digitali

Per una parte dei soggetti NIS2 il riferimento alla 27001 è più esplicito. Il regolamento di esecuzione (UE) 2024/2690 fissa i requisiti tecnici e metodologici delle misure di sicurezza per fornitori di servizi DNS, registri dei nomi di dominio di primo livello, fornitori di cloud computing e di data center, reti di distribuzione dei contenuti, fornitori di servizi gestiti e di servizi di sicurezza gestiti, mercati online, motori di ricerca, piattaforme di social network e prestatori di servizi fiduciari. Il considerando 3 dice che quei requisiti si basano su norme europee e internazionali come la ISO/IEC 27001 e la ISO/IEC 27002. Anche qui la norma è la base dei requisiti, non un certificato da presentare.

Perché i clienti NIS2 la chiedono lo stesso

Tra le misure minime l'articolo 24, comma 2, lettera d), mette la sicurezza della catena di approvvigionamento. Il comma 3 aggiunge che i soggetti tengono conto della qualità delle pratiche di sicurezza dei propri fornitori. Il decreto non dice come valutarle, e un certificato 27001 è il modo più rapido per un cliente di documentare quella valutazione. Per questo a molti fornitori la richiesta arriva da un cliente NIS2 anche quando loro non sono soggetti al decreto.

Avere la 27001 non chiude la NIS2: registrazione sulla piattaforma ACN (articolo 7), compiti e responsabilità degli organi di amministrazione (articolo 23) e notifica degli incidenti (articolo 25) restano adempimenti a parte. Il confronto punto per punto è in NIS2 vs ISO 27001.

Per chi ha già un sistema certificato c'è un raccordo ufficiale. Il 30 aprile 2025 UNI ha pubblicato, con il supporto di ACN, la prassi di riferimento UNI/PdR 174:2025, che permette di estendere un sistema di gestione 27001 ai controlli del NIST CSF 2.0. Il CSF conta perché il Framework nazionale ne riprende elementi, e sul Framework nazionale ACN ha costruito le misure di sicurezza di base NIS. Come è fatto il CSF lo spieghiamo nell'articolo sul NIST Cybersecurity Framework.

Gare pubbliche: requisito no, punteggio e garanzia sì

Nei servizi e nelle forniture l'articolo 100, comma 12, del Codice dei contratti pubblici (D.Lgs. 36/2023) stabilisce che, salvo l'articolo 102 o leggi speciali, "le stazioni appaltanti richiedono esclusivamente i requisiti di partecipazione previsti dal presente articolo". Le certificazioni di qualità non sono tra questi, e ANAC lo ha applicato proprio alla 27001:

• Parere di precontenzioso n. 375 del 1° ottobre 2025. Il disciplinare chiedeva a pena di esclusione ISO 9001, ISO 27001, ISO 20000 e ISO 18295. Per ANAC una clausola che impone certificazioni di qualità come requisito di partecipazione non è coerente con l'articolo 100, e la stazione appaltante doveva toglierla dagli atti di gara.
• Parere n. 345 del 9 settembre 2025. Quattro certificazioni, tra cui la 27001, chieste come capacità tecnica: clausola in contrasto con l'articolo 100, commi 11 e 12. Secondo ANAC quelle certificazioni "ben possono essere valorizzate dalla Stazione appaltante ai fini premiali, come ulteriori criteri di valutazione dell'offerta tecnica".

La riduzione della garanzia

L'articolo 106, comma 8, del Codice prevede una riduzione della garanzia fino a un massimo del 20%, cumulabile con le altre, per l'operatore che possiede certificazioni o marchi dell'allegato II.13, quando i documenti di gara li indicano e fissano l'importo della riduzione. L'allegato II.13 comprende la ISO/IEC 27001 alla voce sui sistemi di gestione per la sicurezza delle informazioni. Il possesso va segnalato in sede di offerta. Nelle procedure sotto le soglie europee l'articolo 53, comma 4-bis, esclude le riduzioni del comma 8.

Il quadro è lo stesso della ISO 9001, con una differenza: per la 9001 il Codice prevede anche la riduzione fissa del 30% e il legame con l'attestazione SOA nei lavori. I dettagli sono nell'articolo su quando la ISO 9001 serve negli appalti.

Cloud per la PA: qui la 27001 è un requisito

C'è un caso in cui il certificato è condizione esplicita. Il Regolamento ACN per le infrastrutture digitali e per i servizi cloud per la pubblica amministrazione, adottato ai sensi dell'articolo 33-septies del decreto-legge 179/2012, all'allegato 4, paragrafo 2.3, chiede ai fornitori privati che vogliono la qualificazione di livello 1 (QC1):

• un'autocertificazione di conformità alla ISO 9001, con un campo di applicazione che comprenda almeno l'erogazione del servizio e l'assistenza tecnica alla PA;
• la certificazione ISO/IEC 27001 "con estensioni ISO/IEC 27017 e ISO/IEC 27018 per il servizio cloud oggetto di qualifica", con uno scope che copra almeno la progettazione e l'erogazione del servizio, oppure in alternativa la certificazione CSA STAR Level 2.

Per le istanze presentate dopo i primi sei mesi di applicazione del regolamento, i certificati devono venire da un ente accreditato da un organismo nazionale di accreditamento di un Paese dell'Unione, o con accordo di mutuo riconoscimento con quello italiano, e vanno rinnovati senza interruzioni per tutto il periodo di qualificazione. Cosa sono le due estensioni e come entrano nello scopo del certificato è spiegato nell'articolo su ISO 27017 e ISO 27018.

Contratti privati: obbligatoria quando la firma il cliente

Nei rapporti tra aziende non c'è un articolo 100 che limiti cosa il cliente può chiedere. Se la 27001 compare nel contratto, nel capitolato o nella qualifica fornitori, per quel rapporto è un obbligo, e spesso con una data. Succede soprattutto a chi tratta dati o sistemi dei clienti: fornitori SaaS, servizi IT gestiti, sviluppo software, data center.

Prima di partire conviene capire chi leggerà il certificato. Un cliente americano di solito chiede un report SOC 2, non il certificato ISO: le differenze sono in ISO 27001 vs SOC 2. Un cliente europeo o una PA leggono la 27001.

Come capire se a te serve

Quattro domande bastano per decidere, e conviene farsele prima di aprire il progetto:

1. Chi la chiede, e dove è scritto? Un contratto, un disciplinare, un questionario, il regolamento ACN. Se non è scritto da nessuna parte, è una scelta commerciale, non un obbligo.
2. Serve il certificato o basta dimostrare le misure? Un questionario NIS2 si può spesso chiudere con evidenze; un contratto che cita la 27001 o la qualificazione ACN vuole il certificato di un organismo accreditato.
3. Quale scopo deve coprire? Il certificato vale per i processi e i servizi indicati. Uno scope che lascia fuori il servizio venduto al cliente non risponde alla richiesta.
4. Entro quando? In una gara il possesso si segnala in sede di offerta (per la riduzione della garanzia lo prevede l'articolo 106, comma 8), quindi il certificato va ottenuto prima della scadenza delle offerte. Per un contratto vale la data scritta nel contratto. Si parte da quella data e si conta all'indietro: gap analysis, analisi del rischio, Dichiarazione di Applicabilità, audit interno, audit dell'organismo.

Da dove partire

Se un cliente, una gara o la qualificazione ACN ti chiedono la ISO 27001 con una scadenza, il primo passo è leggere la richiesta e fissare scopo e data. Da lì si costruisce il percorso fino all'audit dell'organismo accreditato: lo trovi nella pagina sulla certificazione ISO 27001 con AmagisTech.