Consulenza e certificazione ISO 27001

Cosa chiede la ISO 27001 e chi rilascia il certificato

La ISO/IEC 27001 chiede un sistema di gestione per la sicurezza delle informazioni (SGSI, in inglese ISMS): un modo documentato e verificabile di decidere quali informazioni contano, quali rischi le riguardano e quali controlli li tengono sotto una soglia che l'azienda ha scelto. In Italia la norma è pubblicata come UNI CEI EN ISO/IEC 27001:2024+A1:2024, che riprende senza modifiche la ISO/IEC 27001:2022 e il suo aggiornamento Amd 1:2024, come indicano le premesse dell'edizione UNI.

Due caratteristiche della norma decidono come si lavora. La prima: i requisiti dei punti dal 4 al 10 (contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni, miglioramento) non si possono escludere quando si dichiara la conformità, lo stabilisce il punto 1 della norma stessa. La seconda: i controlli dell'Allegato A non sono una lista da spuntare al cento per cento. Si scelgono in base al rischio e si motivano nella Dichiarazione di Applicabilità. La struttura della norma è spiegata nella guida completa alla ISO 27001, i controlli in requisiti dell'Allegato A e la loro guida applicativa in ISO 27002: i controlli.

Il certificato non lo rilascia il consulente e non lo rilascia un software. Lo rilascia un organismo di certificazione accreditato. In Italia l'accreditamento lo concede Accredia, l'Ente unico designato dal Governo italiano, e per i sistemi di gestione avviene ai sensi della ISO/IEC 17021-1, con la sicurezza delle informazioni fra gli ambiti coperti (Accredia, Certificazioni). Se vuoi capire prima che cosa sia un SGSI nella pratica quotidiana, parti da SGSI: cos'è e come funziona.

Quando conviene: i motivi per cui le aziende partono

Quasi nessuno avvia una ISO 27001 per passione. I motivi che incontriamo sono quattro, e ognuno cambia il modo di impostare il progetto.

• Un cliente enterprise la chiede. Arriva nel questionario fornitori o nel contratto, e la trattativa si ferma lì. Conta la data: si lavora a ritroso dalla scadenza commerciale.
• Una gara la mette fra i requisiti o fra i criteri premianti. Serve un certificato con il perimetro giusto: il campo di applicazione riportato sul certificato deve coprire il servizio che offri.
• Un cliente soggetto alla NIS2 ti valuta come fornitore. Il D.Lgs. 138/2024 mette la sicurezza della catena di approvvigionamento fra gli elementi minimi delle misure di gestione dei rischi (art. 24, comma 2, lettera d), e le richieste scendono lungo la filiera.
• Startup e SaaS che vendono a clienti strutturati. Qui la domanda vera è ISO 27001, SOC 2 o entrambe, e la risposta dipende da dove sono i clienti. Ne parliamo in ISO 27001 per startup e SaaS e in ISO 27001 vs SOC 2.

Chi ha già un sistema certificato su un altro schema, per esempio la ISO 9001, parte avvantaggiato. La 27001 adotta la struttura comune delle norme sui sistemi di gestione (lo dice la sua introduzione, al punto 0.2), quindi riesami, audit interni e gestione documentale si possono condividere: come si fa è spiegato nella guida al sistema di gestione integrato. Per orientarsi fra gli schemi c'è anche la panoramica sulle certificazioni ISO.

Il percorso dal gap al certificato, fase per fase

Le fasi in parte si sovrappongono, ma l'ordine conta: ogni passo produce documenti che il passo successivo usa e che l'organismo di certificazione chiederà di vedere.

1. Gap analysis e perimetro

Si misura la distanza fra quello che l'azienda fa già e quello che la norma chiede, requisito per requisito, con l'evidenza accanto a ogni stato. Nello stesso momento si decide il perimetro: quali servizi, sedi, sistemi e fornitori entrano. È la scelta che pesa di più su tempi e costi dell'intero percorso. Cosa resta in mano: perimetro proposto con il suo criterio, esito per requisito, piano di colmatura con responsabili e date. Il metodo completo è in gap analysis ISO 27001.

2. Valutazione del rischio e Dichiarazione di Applicabilità

Si sceglie una metodologia, la si applica al perimetro e si decide come trattare ciascun rischio: ridurlo, trasferirlo, evitarlo o accettarlo. Da qui nasce la Dichiarazione di Applicabilità, che elenca i controlli dell'Allegato A, dice quali si applicano e perché gli altri restano fuori. Cosa resta in mano: metodologia, registro dei rischi, piano di trattamento, Dichiarazione di Applicabilità. Per il metodo, la norma di riferimento della famiglia è la ISO/IEC 27005.

3. Controlli, politiche e persone

Si scrivono le politiche che servono davvero e si mettono in esercizio i controlli scelti: gestione degli accessi, backup e ripristino, gestione degli incidenti, valutazione dei fornitori, sviluppo sicuro dove c'è software. Si forma il personale che lavora nel perimetro. Cosa resta in mano: politiche approvate, procedure, configurazioni, registri della formazione. Su come rendere la formazione qualcosa di più di una firma: security awareness training.

4. Esercizio dei controlli e raccolta delle evidenze

Un controllo appena scritto non dimostra niente. L'auditor vuole vedere che gira: la revisione degli accessi eseguita, il test di ripristino con data ed esito, il fornitore valutato, l'incidente registrato e chiuso. Questa fase si comprime solo fino a un certo punto, perché le evidenze nascono con il passare del tempo. È anche la fase in cui la raccolta manuale costa di più, ed è qui che una piattaforma come Vanta cambia il lavoro (ne parliamo più sotto).

5. Audit interno e riesame di direzione

Sono requisiti della norma (punti 9.2 e 9.3), quindi vanno eseguiti prima dell'audit di certificazione, non promessi. L'audit interno verifica che il sistema funzioni e produce rilievi da chiudere; il riesame porta i risultati alla direzione, che decide risorse e priorità. Come si chiudono i rilievi senza trasformarli in burocrazia: gestione delle non conformità.

6. Audit di certificazione: Stage 1 e Stage 2

L'organismo accreditato lavora in due fasi. Nello Stage 1 esamina l'impianto documentale e la prontezza dell'azienda; nello Stage 2 verifica sul campo che i controlli siano applicati ed efficaci, intervistando chi li gestisce. Le non conformità emerse vanno gestite con l'organismo prima della decisione sul certificato. Le differenze fra audit interno, di seconda e di terza parte sono in audit di prima, seconda e terza parte; il percorso descritto passo per passo, con i documenti chiave, è in come ottenere la certificazione ISO 27001.

7. Dopo il certificato

Il certificato vive dentro un ciclo di certificazione: l'organismo torna con audit di sorveglianza e, prima della scadenza, con un audit di rinnovo (le tipologie di audit sono richiamate anche nel regolamento Accredia RG-01-01 per gli organismi che certificano sistemi di gestione). Nel frattempo il sistema va alimentato: rischi riesaminati, audit interni, riesami, formazione. Chi tratta il certificato come un traguardo arriva alla prima sorveglianza con mesi di evidenze mancanti.

Tempi e costi: da cosa dipendono

Una durata standard non esiste, e una durata promessa prima di aver visto il perimetro descrive un formato commerciale, non il tuo progetto. I fattori che spostano i tempi però si conoscono in anticipo:

• l'ampiezza del perimetro: servizi, sedi, entità legali, sistemi e fornitori;
• il punto di partenza: quante politiche, ruoli e registri esistono già, e se c'è un sistema di gestione certificato da riusare;
• il tempo di esercizio che serve ai controlli nuovi per produrre evidenze credibili;
• la disponibilità delle persone che gestiscono davvero i sistemi, il vincolo più frequente;
• il calendario dell'organismo per Stage 1 e Stage 2, che va prenotato per tempo.

Come riferimento esterno, Vanta dichiara nella FAQ della sua pagina ISO 27001 che la maggior parte dei team si certifica fra 12 e 24 settimane (vanta.com, pagina letta il 14/10/2026). È un dato del fornitore sui propri clienti: non è una media di mercato e non è una promessa nostra.

Il costo segue gli stessi fattori. Le voci sono quattro: supporto consulenziale, piattaforma per le evidenze, audit dell'organismo di certificazione e mantenimento negli anni del ciclo. La voce dell'audit non è a discrezione: l'organismo determina le giornate secondo la ISO/IEC 27006-1, partendo dalle persone che operano nel perimetro. La voce che quasi nessuno scrive nel preventivo è il tempo delle tue persone. Il dettaglio voce per voce, con le domande da fare a chi ti fa un'offerta, è in quanto costa la ISO 27001. Noi non pubblichiamo listini: dopo l'assessment ti diamo una stima che separa il nostro supporto dal costo dell'organismo.

Dove Vanta accelera e dove si ferma

La parte lenta di una certificazione non è scrivere le politiche: è dimostrare, mese dopo mese, che i controlli funzionano. Vanta si collega ai sistemi che l'azienda usa già (cloud, identity provider, HR, repository di codice), esegue test orari sui controlli, raccoglie le evidenze e genera e aggiorna la Dichiarazione di Applicabilità collegando ogni controllo a test e documenti reali (pagina ISO 27001 di vanta.com, letta il 14/10/2026). Quando un controllo smette di essere rispettato lo sai il giorno dopo, non alla vigilia dell'audit.

Dove si ferma è altrettanto preciso:

• non certifica: il certificato resta dell'organismo accreditato;
• non decide il perimetro né quale rischio accettare;
• non sistema i controlli che trova scoperti: la remediation la fa chi amministra i sistemi;
• non vede i sistemi senza integrazione, dove la raccolta delle evidenze resta lavoro manuale da pianificare.

Il valore cresce quando i framework sono più di uno, perché la stessa pagina del fornitore indica il riuso delle evidenze ISO 27001 verso SOC 2, GDPR e HIPAA. Il quadro completo è in Vanta: cos'è e come funziona, la categoria di prodotto in compliance automation: cos'è, il confronto con l'alternativa più vicina in Vanta vs Drata e il caso di chi lavora in cloud in evidenze SOC 2 e ISO 27001 sul cloud.

Cosa serve da parte dell'azienda

Un advisor guida il percorso, costruisce con te i documenti e prepara l'audit. Alcune cose però restano in azienda, e il calendario dipende da queste più che da qualsiasi strumento:

1. Uno sponsor in direzione che approva perimetro, politica e piano di trattamento del rischio, e partecipa al riesame. La leadership è un requisito della norma (punto 5) e l'auditor la verifica.
2. Un referente interno, anche a tempo parziale, che tiene il filo fra advisor, IT e direzione.
3. Chi gestisce i sistemi, disponibile per interviste, configurazioni e remediation.
4. L'accesso ai sistemi da collegare alla piattaforma, deciso con l'IT e con chi si occupa dei dati personali.
5. Il tempo per la formazione del personale nel perimetro, con traccia di chi l'ha completata.
6. Le decisioni sul rischio: quale rischio si accetta lo firma l'azienda, non chi la affianca.

Gli errori che allungano il percorso

• Perimetro troppo largo. Dichiarare tutta l'azienda al primo giro moltiplica evidenze, interviste e giornate di audit. Funziona meglio un perimetro che copre ciò che i clienti chiedono, da allargare in seguito.
• Documenti al posto delle evidenze. Una politica approvata dimostra che la politica esiste, non che viene applicata.
• Dichiarazione di Applicabilità copiata da un modello. Se le esclusioni non discendono dai rischi, lo Stage 1 lo fa emergere subito.
• Il consulente scrive tutto da solo. Un sistema che le persone non conoscono non regge alle interviste dello Stage 2.
• L'organismo scelto all'ultimo. Le date di audit si prenotano: se arrivano dopo la scadenza commerciale, il lavoro fatto non basta.
• Il certificato trattato come un traguardo. Un sistema che si ferma dopo lo Stage 2 rende la prima sorveglianza una rincorsa.

Come scegliere consulente e organismo di certificazione

Sono due ruoli distinti, e devono restarlo. Il regolamento Accredia per l'accreditamento degli organismi che certificano sistemi di gestione (RG-01-01, paragrafo 2.4) chiede all'organismo di dimostrare l'assoluta separazione fra la certificazione e le eventuali attività di consulenza svolte da soggetti a esso collegati, in ogni momento: dalla definizione delle politiche, lungo tutto il processo di certificazione, fino al rilascio, al mantenimento e al rinnovo dei certificati. In pratica: chi ti prepara non ti certifica, e un pacchetto che promette entrambe le cose dalla stessa mano merita qualche domanda in più.

Per l'organismo di certificazione

• verifica l'accreditamento per la ISO/IEC 27001 nelle banche dati Accredia, dove si consultano sia gli organismi accreditati sia le organizzazioni certificate;
• chiedi l'offerta in giornate di audit, così le proposte diventano confrontabili;
• chiedi le date disponibili per Stage 1 e Stage 2 prima di fissare il resto del piano.

Criteri e segnali d'allarme sono raccolti in come scegliere l'ente di certificazione.

Per il consulente

• parte da una gap analysis con evidenze, non da un pacchetto di documenti precompilati;
• propone un perimetro e ne spiega il criterio;
• lascia il sistema in mano alle tue persone, con un referente interno formato;
• dice con chiarezza cosa resta a te, cosa a lui e cosa all'organismo;
• ha un piano per tutto il ciclo di certificazione, non solo per il primo audit.

Cosa cambia nel 2026

• La transizione alla versione 2022 è chiusa. Il documento obbligatorio IAF MD 26 fissava al 31 ottobre 2025 il termine entro cui gli organismi dovevano completare la transizione dei clienti, e stabiliva che alla fine di quel periodo le certificazioni basate sulla ISO/IEC 27001:2013 scadono o vengono ritirate. Chi si certifica oggi lavora sull'edizione 2022 con l'aggiornamento del 2024.
• Il coordinamento internazionale dell'accreditamento ha cambiato casa. IAF ha cessato le attività il 1° gennaio 2026 e il suo lavoro prosegue in Global Accreditation Cooperation Incorporated, insieme a quello di ILAC (avviso sul sito iaf.nu). Per l'azienda non cambia la sostanza: in Italia l'accreditamento resta di Accredia.
• NIS2 e ISO 27001 si incrociano, ma non coincidono. Il D.Lgs. 138/2024 chiede misure di gestione dei rischi che tengano conto, ove applicabile, delle pertinenti norme nazionali, europee e internazionali (art. 24), e quando parla di certificazione richiama i sistemi europei di certificazione della cybersicurezza del regolamento (UE) 2019/881 per prodotti, servizi e processi TIC (art. 27). Un SGSI copre molto del lavoro su rischio, incidenti, continuità e fornitori; registrazione, notifiche e responsabilità degli organi di amministrazione restano obblighi da gestire a parte. Il confronto punto per punto è in NIS2 vs ISO 27001, e il tema delle certificazioni in ambito NIS2 in certificazione NIS2.