ISO 27001 vs NIST CSF: differenze e quale scegliere

La ISO/IEC 27001 è una norma di sistema di gestione che si certifica con un audit di terza parte; il NIST Cybersecurity Framework (CSF) 2.0 è un catalogo volontario di 106 risultati di sicurezza, senza certificazione. Se clienti o bandi chiedono un certificato serve la 27001; il CSF serve a misurare e comunicare la postura, e in Italia le misure NIS2 di ACN ne usano i codici.

Per questo la domanda pratica di solito non è quale dei due adottare, ma quale fare per primo e come usare l'altro senza rifare il lavoro. Qui trovi le differenze che pesano nella scelta, dove si sovrappongono e come si incastrano con gli obblighi NIS2.

Le differenze in breve

• Natura: la ISO/IEC 27001 specifica requisiti per stabilire, attuare, mantenere e migliorare un sistema di gestione per la sicurezza delle informazioni (SGSI). Il CSF 2.0 descrive risultati da raggiungere e lascia a ciascuna organizzazione il modo di raggiungerli.
• Certificazione: la 27001 si certifica con un organismo di certificazione accreditato. Per il CSF il NIST, nelle sue FAQ, dichiara di non offrire certificazioni e di non avere in programma uno schema di valutazione della conformità.
• Struttura: la 27001 ha i requisiti obbligatori nei punti dal 4 al 10 e, nell'Appendice A, 93 controlli di riferimento in quattro temi (organizzativi, persone, fisici, tecnologici). Il CSF 2.0 ha 6 funzioni, 22 categorie e 106 sottocategorie.
• Accesso: la norma ISO si acquista; il CSF si scarica gratis, e il NIST ricorda che le sue pubblicazioni sono in genere di pubblico dominio negli Stati Uniti.
• Chi lo chiede: un certificato 27001 lo chiedono clienti, capitolati e questionari fornitori. Il CSF lo incontri come linguaggio di riferimento per il reporting al vertice e, in Italia, dentro le misure di sicurezza NIS2.

Cosa sono, in poche righe

ISO/IEC 27001

È lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni. In Italia è recepito come UNI CEI EN ISO/IEC 27001:2024+A1:2024, che riprende senza modifiche l'edizione internazionale ISO/IEC 27001:2022 e il suo emendamento Amd 1:2024. Il punto 1 della norma dice che chi dichiara la conformità non può escludere nessuno dei requisiti dei punti dal 4 al 10: contesto, leadership, pianificazione con valutazione e trattamento del rischio, supporto, attività operative, valutazione delle prestazioni, miglioramento. I controlli dell'Appendice A, invece, si selezionano in base al rischio e la scelta si documenta nella Dichiarazione di Applicabilità.

NIST CSF 2.0

È il quadro volontario del National Institute of Standards and Technology statunitense, pubblicato il 26 febbraio 2024 come documento NIST CSWP 29. Ordina i risultati di sicurezza in sei funzioni: Govern, Identify, Protect, Detect, Respond, Recover. Il documento precisa che quei risultati non sono una checklist di azioni e che sono neutrali rispetto a settore, paese e tecnologia. Abbiamo contato le voci dell'Appendice A: 22 categorie e 106 sottocategorie. Struttura, profili e Tier sono spiegati nella guida al NIST Cybersecurity Framework 2.0.

Le differenze che contano davvero nella scelta

Requisiti contro risultati

La 27001 dice cosa deve fare il sistema di gestione: definire il perimetro, valutare e trattare il rischio (punti 6.1.2 e 6.1.3), condurre audit interni (9.2), fare il riesame di direzione (9.3), gestire le non conformità. È un ciclo che si ripete e che un auditor esterno verifica.

Il CSF dice quali risultati di sicurezza raggiungere, per esempio GV.PO (la politica di sicurezza è stabilita, comunicata e fatta rispettare) o DE.CM (gli asset sono monitorati per individuare anomalie e indicatori di compromissione). Non chiede un ciclo di audit e non fissa un livello minimo: ogni organizzazione costruisce un profilo attuale, sceglie un profilo target e lavora sul divario.

Un certificato contro un profilo

Alla fine di un percorso 27001 c'è un certificato che il cliente può verificare. Con il CSF non c'è un attestato, ma c'è un documento utile: il CSWP 29 indica che un profilo attuale può servire a comunicare le capacità di sicurezza e le aree di miglioramento a partner e potenziali clienti, e che un profilo target può esprimere ai fornitori le aspettative da raggiungere. È uno strumento di comunicazione, non una prova di conformità rilasciata da terzi.

Governo del rischio e consiglio di amministrazione

La funzione Govern del CSF 2.0 porta il rischio cyber dentro la gestione del rischio d'impresa, e i quattro Tier (Partial, Risk Informed, Repeatable, Adaptive) danno al vertice un modo semplice per dire dove si è e dove si vuole arrivare. La 27001 copre lo stesso terreno con il punto 5, Leadership, e con il riesame di direzione, ma con il linguaggio di un sistema di gestione. Una divisione dei compiti che regge: la 27001 fa funzionare la macchina, il CSF aiuta a raccontarla al consiglio.

Dove si sovrappongono

Più di quanto sembri. Nella nostra lettura, alcuni accoppiamenti sono evidenti:

• politica: punto 5.2 della 27001 e categoria GV.PO del CSF (approfondimento in politica per la sicurezza delle informazioni);
• ruoli e responsabilità: punto 5.3 e categoria GV.RR;
• valutazione del rischio: punti 6.1.2 e 8.2 e categoria ID.RA;
• fornitori: i controlli organizzativi dell'Appendice A sui rapporti con i fornitori e la categoria GV.SC, dedicata al rischio cyber della catena di fornitura;
• miglioramento: punto 10 e categoria ID.IM.

Il collegamento puntuale, però, va fatto su una mappatura e non a intuito. Il catalogo dei riferimenti informativi del CSF 2.0, gestito dal programma NIST OLIR, elenca una mappatura fra ISO/IEC 27001:2022 e CSF 2.0. Il NIST avverte che sulle mappature inviate da soggetti esterni non fa test di correttezza e che la loro presenza nel catalogo non è un avallo: si usano come punto di partenza, con spirito critico.

Anche il NIST, nelle FAQ, ricorda di lavorare da oltre dieci anni con ISO e IEC per allineare i documenti, al punto che le risorse ISO/IEC permettono oggi di organizzare i controlli secondo le funzioni del CSF.

In Italia c'entra la NIS2

Per un'azienda italiana il CSF non è una scelta astratta. ACN, nella pagina sulle modalità e specifiche di base, scrive che le misure di sicurezza della Determinazione ACN 379907/2025 sono sviluppate in accordo al Framework nazionale per la Cybersecurity e la Data Protection (edizione 2025), sono organizzate in funzioni, categorie, sottocategorie e requisiti, e che codice e descrizione di ogni misura fanno riferimento alle sottocategorie del framework.

Abbiamo confrontato i codici: le 37 misure dell'allegato 1 (soggetti importanti) e le 43 dell'allegato 2 (soggetti essenziali) portano tutte un codice che esiste identico nel core del CSF 2.0. Chi è soggetto NIS2 lavora quindi già sulla struttura del CSF, con in più i requisiti che ACN ha scritto per ciascuna misura. Il Framework nazionale è spiegato nella guida al Framework nazionale per la cybersecurity.

E la 27001? Avere il certificato non equivale a dimostrare le misure ACN, ma il sistema di gestione è la base su cui reggerle. Il ponte formale esiste: la UNI/PdR 174:2025, pubblicata il 30 aprile 2025 con il supporto di ACN, definisce un sistema di gestione armonizzato sia alla ISO/IEC 27001 sia al NIST CSF 2.0. In una notizia del 15 maggio 2025 ACN la definisce un ponte metodologico che permette a chi è già certificato ISO/IEC 27001 di estendere il sistema di gestione ai controlli e alle misure del CSF. Il rapporto fra obblighi e certificazione è approfondito in NIS2 vs ISO 27001.

ISO 27001 o NIST: quale scegliere

La risposta dipende da chi deve leggere il risultato.

• Clienti, capitolati o questionari fornitori chiedono un certificato: parti dalla ISO/IEC 27001. Il CSF non può sostituirla, perché non esiste un certificato CSF da esibire.
• Sei soggetto NIS2: le misure ACN usano già i codici del CSF, quindi il profilo lo costruisci comunque. La 27001 ti dà il ciclo di gestione che tiene in piedi quelle misure nel tempo, con audit e riesame.
• Il consiglio di amministrazione vuole capire a che punto siete: il CSF, con profilo attuale, profilo target e Tier, è il modo più leggibile di presentarlo, anche se il lavoro poi gira su un sistema di gestione.
• Vendi a clienti negli Stati Uniti: il CSF è un quadro statunitense e il tuo profilo attuale si può condividere con un potenziale cliente. Se ti chiedono anche un report SOC 2, il confronto è in ISO 27001 vs SOC 2.

Come usarli insieme senza raddoppiare il lavoro

1. Un solo perimetro. Definisci il campo di applicazione del SGSI (punto 4.3) e usa lo stesso perimetro per il profilo CSF.
2. Una sola analisi del rischio. La valutazione richiesta dal punto 6.1.2 alimenta sia la scelta dei controlli dell'Appendice A sia il profilo target del CSF.
3. Una mappatura dichiarata. Parti dalla mappatura ISO/IEC 27001:2022 verso CSF 2.0 del catalogo NIST e correggila sul tuo caso; se sei soggetto NIS2, aggiungi la colonna con i codici dell'allegato ACN che ti riguarda.
4. Evidenze raccolte una volta. La stessa prova (un registro accessi, un verbale di riesame, un test di ripristino dei backup) vale per il controllo ISO, per la sottocategoria CSF e per il requisito ACN.
5. Un solo riesame. Nel riesame di direzione del punto 9.3 aggiorna anche il profilo attuale: così il CSF diventa una misura che si ripete, non una fotografia.

Se parti da zero, una gap analysis ISO 27001 costruita con questa doppia colonna ti dice in un passaggio sia cosa manca per la certificazione sia dove sei rispetto al CSF.

In sintesi

La ISO/IEC 27001 è un sistema di gestione certificabile; il NIST CSF 2.0 è un vocabolario di 106 risultati che non si certifica. Non sono alternativi: la 27001 dà il ciclo e il certificato, il CSF il linguaggio per misurare e comunicare, e in Italia le misure NIS2 di ACN ne usano già i codici. La scelta di dove partire la decide chi deve leggere il risultato.

Se vuoi costruire un SGSI ISO/IEC 27001 che regga anche la mappatura sul CSF e sulle misure ACN, guarda come lavoriamo sulla certificazione ISO 27001.