Quanto costa la ISO 27001: voci di costo e tempi

La risposta breve: un prezzo di listino per la ISO 27001 non esiste, ma il preventivo ha una struttura fissa. Sono quattro voci (consulenza e implementazione, strumenti, audit dell'organismo di certificazione, mantenimento) e una sola di queste non è negoziabile: le giornate di audit, che un organismo accreditato calcola con una tabella della norma e non a occhio. Sapere com'è fatto il conto è ciò che ti permette di capire se l'offerta che hai in mano è alta, bassa o semplicemente incompleta.

Il tempo segue la stessa logica. In base alla nostra esperienza sui progetti di certificazione, il percorso va da 3 a 12 mesi: chi ha già processi ordinati e strumenti in campo sta nella parte bassa del range, chi parte quasi da zero nella parte alta. Prima di guardare i numeri, conviene capire da cosa sono fatti, perché è lì che si decide se spendi poco o tanto.

In questo articolo vediamo le quattro voci di costo, da cosa dipende la spesa, come si calcolano le giornate di audit, quanto pesa il ciclo di tre anni, cosa non è mai scritto nel preventivo e le cinque domande da fare prima di firmare. Se invece ti serve prima il quadro della norma, parti dalla guida completa alla ISO 27001: qui parliamo solo di costi e tempi. E se vuoi già stimare il tuo caso, il calcolatore ROI ti dà una cifra sul tuo perimetro in pochi minuti.

Da cosa è fatto il costo della ISO 27001?

Il totale che ti serve non è una fattura sola, sono quattro voci diverse che vale la pena tenere separate. Confonderle è il primo motivo per cui i preventivi sembrano non tornare mai.

• Consulenza e implementazione. Il lavoro di costruire il sistema di gestione della sicurezza delle informazioni (ISMS): policy, analisi dei rischi, procedure, formazione. È la voce più variabile, perché dipende da quanto parti da lontano.
• Strumenti. Le piattaforme che raccolgono le evidenze, tengono traccia dei controlli e monitorano i sistemi. Qui si gioca gran parte del risparmio di tempo.
• Audit dell'organismo di certificazione. Il costo pagato all'organismo accreditato che rilascia il certificato. È separato dalla consulenza (chi ti aiuta a prepararti non può certificarti) ed è a due stadi.
• Mantenimento annuale. La ISO 27001 non è un traguardo unico: il certificato dura tre anni, con un audit di sorveglianza nel primo e nel secondo anno e il rinnovo nel terzo, più il lavoro interno di tenere vivo il sistema.

La regola pratica: la prima e la seconda voce le puoi comprimere con le scelte giuste, la terza molto meno. Il mantenimento va messo a budget da subito, perché è ricorrente e troppi lo scoprono solo dopo.

Da cosa dipende la spesa (non solo dalla dimensione)

L'errore più comune è pensare che il conto scali con il numero di dipendenti. Non è così: due aziende della stessa dimensione possono spendere in modo molto diverso. I fattori che spostano davvero la spesa sono quattro.

• L'ampiezza del perimetro. È la leva numero uno. Certificare solo il prodotto e i sistemi che trattano i dati dei clienti costa molto meno che certificare tutta l'azienda. Il caso di un perimetro stretto lo raccontiamo in ISO 27001 per una startup SaaS.
• Sedi e fornitori. Ogni sede in più e ogni fornitore critico è un pezzo aggiuntivo da valutare, documentare e tenere sotto controllo.
• La maturità di partenza. Chi ha già policy scritte, analisi dei rischi e monitoraggi in campo parte avvantaggiato; chi parte da zero ha una fase di implementazione più lunga e una consulenza che pesa di più.
• Come si raccolgono le evidenze. A mano o in automatico: è la differenza che si sente sia il primo anno sia a ogni audit di sorveglianza.

Il punto chiave: la dimensione dell'azienda conta, ma il perimetro conta di più. Una media azienda che certifica solo un reparto può spendere meno di una più piccola che vuole certificare tutto. Definire bene il perimetro all'inizio è la prima leva sulla spesa, ed è per questo che una stima seria parte dal tuo caso, non da una tabella.

Perché l'audit costa quello che costa

Questa è la voce che quasi nessuno spiega, e invece è l'unica misurabile in modo oggettivo. La durata dell'audit non è una scelta commerciale dell'organismo: si calcola in giornate-uomo a partire dal numero effettivo di addetti nel perimetro dell'ISMS e dalla complessità dell'organizzazione, secondo l'allegato C (normativo) della ISO/IEC 27006-1:2024, la norma che fissa i requisiti per gli organismi che certificano ISO 27001.

Due conseguenze pratiche, entrambe utili quando hai un'offerta davanti.

• Il preventivo si chiede in giornate, non a corpo. Quante giornate per lo Stage 1, quante per lo Stage 2, su quanti addetti sono state calcolate. Così due offerte diventano confrontabili anche se i totali sono diversi.
• Un'offerta molto più bassa delle altre di solito ha meno giornate. Non è per forza un problema (il conteggio parte da tutte le persone che operano nel perimetro dell'ISMS, esterni e freelance compresi, con una riduzione ammessa solo per i gruppi che svolgono attività identiche e ripetitive: per questo due organismi possono leggere il perimetro in modo diverso), ma è la prima domanda da fare.

Vale anche la pena verificare che l'organismo sia accreditato, e accreditato proprio per la ISO/IEC 27001: in Italia l'accreditamento è competenza di Accredia, che pubblica l'elenco degli organismi nella sua banca dati. Un certificato emesso da un organismo non accreditato costa meno e vale meno, soprattutto se ti serve per una gara o per un cliente che lo controlla. Ultimo vincolo che sposta il budget, e vale la pena conoscerlo per intero: la ISO/IEC 17021-1 vieta all'organismo di certificazione, e a ogni parte della stessa entità giuridica, di offrire o fornire consulenza sui sistemi di gestione (clausola 5.2.5); e quando la consulenza arriva da un soggetto legato all'organismo, la mitigazione che la norma riconosce è non certificare quel sistema per almeno due anni dalla fine della consulenza (clausola 5.2.7). Chi ti prepara e chi ti certifica sono due fatture diverse, sempre, e non è una questione di opportunità: è una condizione dell'accreditamento.

Quanto tempo serve per certificarsi?

Il percorso si divide in fasi, e ogni fase ha una durata che dipende da quanto sei pronto. Ecco l'ordine reale delle cose.

1. Gap analysis. La fotografia di dove sei rispetto allo standard: cosa c'è, cosa manca, quanto lavoro serve. Poche settimane, ed è il momento in cui capisci davvero costi e tempi del tuo caso.
2. Implementazione dell'ISMS. La parte lunga: scrivere policy, fare l'analisi dei rischi, mettere in campo i controlli, formare le persone, raccogliere le evidenze. Da un paio di mesi a diversi mesi, a seconda del punto di partenza. Il percorso passo per passo lo abbiamo raccontato in come ottenere la certificazione ISO 27001.
3. Stage 1. L'organismo verifica che la documentazione e l'impianto ci siano. Spesso emergono rilievi da chiudere prima di procedere.
4. Stage 2. L'audit vero e proprio: l'organismo controlla che il sistema funzioni davvero sul campo, non solo sulla carta. Se va bene, arriva il certificato.

In totale, dentro il range da 3 a 12 mesi: chi parte maturo chiude in 3 o 4 mesi, chi parte da zero arriva ai 12. La differenza non la fa la dimensione, la fa quanto lavoro di detection, monitoraggio e documentazione hai già in casa.

Il conto vero è il ciclo di tre anni

Il primo anno è quello che si guarda, il triennio è quello che si paga. Il certificato ISO 27001 ha validità di tre anni e in quei tre anni l'organismo non sparisce. Svolge un audit almeno una volta per anno civile: sorveglianza nel primo e nel secondo anno (la prima entro dodici mesi dalla decisione di certificazione) e, nell'anno del rinnovo, al posto della sorveglianza, un audit di rinnovo prima della scadenza. La cadenza è fissata dalla ISO/IEC 17021-1, la norma che regola gli organismi di certificazione. Le sorveglianze sono più brevi dell'audit iniziale, il rinnovo di nuovo più corposo.

Accanto alla parcella dell'organismo c'è la parte che la norma chiede a te, ogni anno, e che non arriva come fattura: l'audit interno, il riesame della direzione, l'aggiornamento dell'analisi dei rischi e della Dichiarazione di Applicabilità quando cambiano sistemi, fornitori o organizzazione. Se questa parte non è a budget, il secondo anno diventa una corsa e il terzo un rischio: le non conformità che maturano in silenzio si pagano al rinnovo.

Regola pratica per confrontare due offerte: chiedi sempre il costo del ciclo completo di tre anni, non del primo audit. È l'unico numero che descrive la spesa reale.

I costi che non vedi nel preventivo

Se un'offerta sembra troppo buona, di solito la differenza è in una di queste voci. Nessuna è nascosta per malizia: semplicemente non sta nella riga del totale.

• Trasferte e spese degli auditor. Spesso quotate a parte, e contano se le tue sedi sono lontane o distribuite.
• Le giornate di follow-up. Se allo Stage 1 o allo Stage 2 emergono non conformità, chiuderle richiede attività aggiuntive dell'organismo, che sono giornate in più.
• Il testo della norma. ISO 27001 e i suoi allegati si acquistano, non sono documenti liberi: è una voce piccola ma va prevista, e vale per ogni copia che serve al team.
• Il tempo interno delle persone. La voce più grande e l'unica che non arriva come fattura: chi scrive le policy, chi raccoglie le prove, chi risponde alle domande dell'auditor lo fa al posto del suo lavoro.
• La raccolta manuale delle evidenze. Rincorrere screenshot, log ed export a mano mangia settimane e va rifatto a ogni sorveglianza. È il costo che torna puntuale ogni dodici mesi.
• L'estensione del perimetro. Partire stretti è la scelta giusta, ma allargare dopo (una sede, un prodotto, una società del gruppo) è un audit aggiuntivo: meglio saperlo prima e metterlo nel piano.

Si può finanziare?

In parte, e conviene sapere quale parte. Il voucher cloud e cybersecurity del MIMIT copre il 50% delle spese ammissibili fino a 20.000 euro, ma le categorie ammesse sono hardware e software di sicurezza e servizi cloud: i servizi di configurazione, monitoraggio e supporto continuativo sono ammissibili solo se connessi ai servizi acquistati e fino al 30% del piano di spesa, mentre la formazione e la consulenza slegata dagli acquisti non lo sono, e la parcella dell'organismo di certificazione non rientra tra le categorie ammissibili. Tradotto: il voucher non finanzia il certificato, finanzia gli strumenti con cui costruisci e mantieni i controlli, cioè la seconda voce del conto. Che è comunque la voce che decide quanto ti costerà il mantenimento negli anni successivi.

Come si accelera (e si spende meno)?

Due leve fanno la differenza vera, e agiscono su tempi e costi insieme.

La prima è restringere il perimetro all'inizio. Partire dal nucleo che conta davvero (il prodotto, i sistemi che trattano i dati dei clienti) fa arrivare al certificato prima, e il perimetro si allarga dopo, quando la macchina è già rodata.

La seconda è far raccogliere le evidenze dai sistemi, non dalle persone. È qui che una piattaforma di compliance taglia le settimane: invece di rincorrere prove a mano, i controlli si collegano ai sistemi e le evidenze si aggiornano da sole. È il modello dietro la certificazione ISO 27001 veloce, e vale ancora di più per le sorveglianze annuali.

Se stai valutando anche la SOC 2 (tipica per chi vende software all'estero), conviene guardare le due cose insieme: le abbiamo messe a confronto in ISO 27001 vs SOC 2, perché molti controlli si sovrappongono e affrontarle in parallelo riduce il conto.

Cinque domande da fare prima di firmare

1. Quante giornate-uomo sono previste per lo Stage 1 e per lo Stage 2, e su quanti addetti del perimetro sono calcolate?
2. L'organismo è accreditato per la ISO/IEC 27001, e lo trovo nella banca dati Accredia?
3. Trasferte, spese di emissione del certificato e giornate di follow-up sono incluse o quotate a parte?
4. Qual è il costo del ciclo di tre anni, sorveglianze e rinnovo compresi, non solo del primo audit?
5. Cosa resta a carico nostro: chi scrive le policy, chi raccoglie le evidenze, chi fa l'audit interno e il riesame della direzione?

Se un fornitore risponde a tutte e cinque senza girare intorno, il preventivo è confrontabile. Se non risponde, il numero in fondo alla pagina non significa niente.

In sintesi: la ISO 27001 costa quanto è largo il perimetro e quanto lavoro c'è da fare, non c'è un prezzo di listino. Il modo più economico di ottenerla è partire stretti, far produrre le evidenze ai sistemi e mettere a budget il triennio fin dal primo giorno. Per una stima sul tuo caso parti dal calcolatore ROI o parlane con noi guardando i nostri servizi ISO 27001.