ISO 27017 e 27018: cos'è, differenze e certificazione

ISO/IEC 27017 e ISO/IEC 27018 sono due linee guida della famiglia ISO 27000 dedicate al cloud. La 27017 aggiunge controlli di sicurezza per chi fornisce e per chi usa servizi cloud; la 27018 riguarda la tutela dei dati personali quando un cloud pubblico li tratta per conto del cliente. Non si certificano da sole: in Italia entrano nello scopo del certificato ISO 27001.

Di solito se ne sente parlare in due momenti: quando un cliente enterprise o una gara chiede la ISO 27001 con le estensioni cloud, e quando bisogna valutare un fornitore SaaS che le dichiara. Qui trovi cosa contengono, in cosa differiscono e cosa compare davvero su un certificato.

ISO 27017: cos'è

La ISO/IEC 27017 è una raccolta di controlli e indicazioni per la sicurezza delle informazioni nei servizi cloud, costruita sopra la ISO/IEC 27002. L'edizione in vigore è la ISO/IEC 27017:2026, seconda edizione, pubblicata il 27 luglio 2026 secondo il catalogo dell'IEC, l'ente che pubblica la norma insieme a ISO. Sostituisce la versione del 2015, che il catalogo dell'ente di normazione estone EVS dà per ritirata dalla stessa data.

Secondo la descrizione ufficiale, la norma fa due cose:

• aggiunge indicazioni specifiche per il cloud ai controlli della ISO/IEC 27002:2022 che sono rilevanti;
• introduce controlli aggiuntivi, con le relative indicazioni, che esistono solo nel cloud.

Si rivolge a entrambi i lati del contratto: i fornitori di servizi cloud (CSP) e i loro clienti (CSC). Vale per ogni modello di distribuzione, cloud privato compreso, con gli adattamenti necessari quando fornitore e cliente sono due reparti della stessa azienda.

Cosa c'è dentro, in pratica

Il testo della norma è a pagamento, ma i grandi fornitori ne descrivono il contenuto. Google Cloud, nella pagina sulla 27017 che descrive l'edizione 2015, la riassume così: indicazioni cloud su 37 controlli della ISO/IEC 27002 e sette controlli nuovi, che riguardano:

• chi è responsabile di cosa tra fornitore e cliente;
• la rimozione o la restituzione degli asset alla fine del contratto;
• la separazione dell'ambiente virtuale di ciascun cliente;
• la configurazione delle macchine virtuali;
• le operazioni amministrative sull'ambiente cloud;
• il monitoraggio, da parte del cliente, delle attività nel cloud;
• l'allineamento tra rete virtuale e rete fisica.

L'edizione 2026 è riallineata alla ISO/IEC 27002:2022, che ha riorganizzato i controlli rispetto alla versione precedente: i temi restano un buon orientamento, la numerazione va letta sull'edizione che usi.

ISO 27018: cos'è

La ISO/IEC 27018 riguarda i dati personali (PII, nella terminologia ISO) trattati in un cloud pubblico. L'edizione in vigore è la ISO/IEC 27018:2025, terza edizione, pubblicata il 26 agosto 2025; la versione del 2019 risulta ritirata dalla stessa data nel catalogo IEC.

Secondo la descrizione ufficiale, stabilisce obiettivi di controllo, controlli e linee guida per la tutela dei dati personali coerenti con i principi di privacy della ISO/IEC 29100, sulla base della ISO/IEC 27002:2022 e tenendo conto dei requisiti normativi sulla protezione dei dati. Si applica alle organizzazioni di ogni tipo e dimensione che trattano dati personali come responsabili del trattamento, tramite servizi cloud e su contratto per altre organizzazioni. Può servire anche a chi i dati li tratta come titolare.

Il legame con il GDPR

Il ruolo è quello del responsabile del trattamento dell'art. 28 del GDPR. Il paragrafo 1 chiede al titolare di affidarsi solo a responsabili che presentino garanzie sufficienti sulle misure tecniche e organizzative. Il paragrafo 5 dice che l'adesione a un codice di condotta approvato (art. 40) o a un meccanismo di certificazione approvato (art. 42) può essere usata come elemento per dimostrarle.

La 27018 non è nessuna delle due cose, perché, come vedremo, non è nemmeno certificabile da sola. Applicata e verificata dentro una ISO 27001 è un'evidenza utile da mettere nel fascicolo del fornitore, accanto alle misure dell'art. 32 del GDPR, ma non sostituisce la valutazione del titolare.

Differenze tra ISO 27017 e ISO 27018

• Oggetto: la 27017 copre la sicurezza delle informazioni nel cloud in generale; la 27018 solo i dati personali.
• A chi si rivolge: la 27017 parla a fornitori e clienti cloud, per ogni modello di distribuzione; la 27018 a chi tratta dati personali come responsabile in un cloud pubblico.
• Base comune: entrambe partono dai controlli della ISO/IEC 27002:2022; la 27018 aggiunge i principi di privacy della ISO/IEC 29100.
• Edizioni in vigore: 27017:2026 e 27018:2025.

Per un fornitore SaaS che tratta dati dei clienti servono di solito entrambe, ed è così che le chiede anche ACN, come vedremo più sotto.

Si possono certificare? Cosa dice Accredia

La risposta breve è no, non da sole. La Circolare tecnica DC n. 22/2026 di Accredia, del 17 giugno 2026, classifica la ISO/IEC 27017, la 27018 e le altre norme dello stesso tipo della serie 27000 come standard di Tipo B o linee guida, utili per individuare i controlli operativi necessari nel sistema di gestione, e scrive: "Tali standard non sono certificabili."

La stessa circolare spiega come entrano nel certificato:

• se l'organizzazione dimostra di applicarle, l'organismo di certificazione deve verificare l'applicazione dei controlli;
• lo scopo del certificato deve citare la Dichiarazione di Applicabilità (SoA), il suo stato di aggiornamento e gli standard presi a riferimento per i controlli; nell'esempio della circolare, lo scopo descrive l'erogazione di servizi SaaS secondo la SoA, integrata dai controlli delle linee guida ISO/IEC 27017 e 27018 con la loro edizione;
• il certificato deve chiarire che la conformità riguarda solo lo standard di Tipo A, cioè la ISO/IEC 27001;
• per l'audit di estensione dello scopo l'organismo deve prevedere, in ogni verifica, almeno una giornata uomo in più per ogni standard aggiuntivo applicato;
• nella banca dati Accredia le certificazioni si registrano solo sugli standard di Tipo A; le altre norme compaiono nella descrizione dello scopo.

Le certificazioni che già includono 27017 e 27018 restano valide fino alla scadenza naturale o alla prima modifica, per esempio un'estensione dello scopo; dopo vanno adeguate alla circolare.

All'estero è normale leggere di certificazione ISO 27017: Google Cloud, per esempio, dichiara una certificazione accreditata ISO/IEC 27017 e 27018 del proprio sistema di gestione, ottenuta dopo l'audit di una terza parte indipendente, per Google Cloud Platform, Google Workspace e Apigee, con l'elenco dei servizi coperti. Quando valuti un fornitore, guarda cosa attesta il certificato e quale perimetro copre, non solo i loghi in fondo alla pagina.

E la ISO 27701?

Per la privacy c'è una norma che invece si certifica. Secondo la stessa circolare, con la ISO/IEC 27701:2025 il sistema di gestione per la privacy (PIMS) è diventato uno standard autonomo e non è più un'estensione della 27001. Quindi: la 27018 indica controlli per il cloud pubblico, la 27701 è un sistema di gestione certificabile per conto suo.

Cosa chiede ACN per il cloud della PA

In Italia le due norme compaiono per nome nel Regolamento di ACN per le infrastrutture digitali e i servizi cloud della Pubblica Amministrazione. Per la qualificazione di livello QC1, l'Allegato 4 (par. 2.3) chiede ai fornitori privati la certificazione ISO/IEC 27001 "con estensioni ISO/IEC 27017 e ISO/IEC 27018 per il servizio cloud oggetto di qualifica", con uno scopo che copra almeno la progettazione e l'erogazione del servizio. In alternativa si può presentare la certificazione CSA STAR Level 2.

Il regolamento chiede poi che le certificazioni siano emesse da un ente accreditato da un organismo di accreditamento di un paese UE, o legato da un accordo di mutuo riconoscimento a quello italiano, e che coprano senza interruzioni l'intero periodo di qualificazione. Gli altri criteri per scegliere un fornitore sono in come scegliere un cloud provider.

Chi ne ha bisogno

• Chi vende servizi cloud o SaaS a clienti enterprise o alla PA: la 27017 risponde alle domande sul cloud nei questionari di sicurezza, la 27018 a quelle sui dati personali.
• Chi usa il cloud per i propri sistemi: la 27017 ha indicazioni anche per i clienti, utili per scrivere nella SoA chi fa cosa tra te e il provider.
• Chi valuta fornitori: sapere che queste norme entrano nello scopo della 27001 aiuta a leggere un certificato senza fermarsi al titolo.

Come si integrano nel percorso ISO 27001

1. Chiarisci il tuo ruolo. Fornitore, cliente cloud o entrambi: cambia quali indicazioni della 27017 ti riguardano, e se ti serve la 27018.
2. Porta i controlli nella valutazione del rischio e nella SoA. I controlli cloud si scelgono come quelli dell'Allegato A della ISO 27001, con la giustificazione di inclusione o esclusione.
3. Scrivi la divisione delle responsabilità con il provider. È il primo dei temi cloud che Google elenca per la 27017, e una delle prime domande in audit.
4. Prepara le evidenze sull'ambiente reale. Separazione degli ambienti, configurazioni, accessi amministrativi e log si dimostrano su com'è configurato il cloud oggi. Uno strumento come una CNAPP legge gli account e mostra dove la configurazione si discosta dalla policy.
5. Scegli l'organismo e concorda lo scopo. Chiedi come scriverà lo scopo, quali edizioni citerà e quante giornate di audit aggiunge per le due linee guida.
6. Allinea le edizioni. Oggi sono la 27017:2026 e la 27018:2025. Se il tuo certificato cita le edizioni precedenti, chiedi all'organismo come e quando aggiornarlo.

Il percorso completo verso il certificato, fase per fase, è nella nostra guida completa alla ISO 27001.

In sintesi

In sintesi: la ISO/IEC 27017:2026 aggiunge controlli e indicazioni di sicurezza per fornitori e clienti cloud, la ISO/IEC 27018:2025 riguarda i dati personali trattati da un cloud pubblico come responsabile. Per Accredia non sono certificabili da sole: entrano nello scopo del certificato ISO 27001 attraverso la SoA, ed è in questa forma che ACN le chiede ai fornitori cloud della PA.

Se stai costruendo la ISO 27001 e un cliente ti chiede anche le estensioni cloud, conviene metterle nel perimetro fin dall'inizio, invece di aggiungerle con un'estensione dopo. Ne parliamo nella pagina sulla certificazione ISO 27001 con AmagisTech.