ISO 22301: quando si ferma qualcosa, l’azienda no.
La ISO 22301 prepara l’organizzazione a continuare le attività durante e dopo un’interruzione: un guasto, un attacco informatico, un fornitore che si ferma. NIS2 e DORA chiedono misure di continuità, e la 22301 è un modo riconosciuto di organizzarle.
Cos’è
Sapere prima cosa fare quando qualcosa si ferma.
La norma chiede un sistema di gestione che prepari l’organizzazione a continuare le attività durante e dopo un’interruzione: si capisce quali attività contano di più e quanto possono restare ferme, si scelgono le strategie, si scrivono i piani e si provano. È in revisione, senza una data di uscita.
A chi serve
- Chi fornisce servizi con livelli di servizio garantiti
- Chi è un anello critico nella filiera dei propri clienti
- Chi rientra in NIS2 o, nel settore finanziario, in DORA
- Chi ha già la ISO/IEC 27001 e vuole coprire anche la continuità
Cosa ti porta
NIS2 impone misure di continuità operativa — backup, disaster recovery, gestione delle crisi — e incoraggia le norme internazionali senza imporne una.
Direttiva (UE) 2022/2555, art. 21(2)(c) e art. 25Dal 17/01/2025 DORA chiede alle entità finanziarie una politica completa di continuità operativa ICT.
Reg. (UE) 2022/2554, art. 11Nelle gare che lo prevedono la garanzia si riduce fino al 20%: la UNI EN ISO 22301 è tra le certificazioni dell’allegato II.13.
D.Lgs. 36/2023, art. 106 c. 8 e allegato II.13
Il percorso
Dall’analisi al certificato, in quattro passi.
- 1
Analisi d’impatto
Quali attività contano di più, quanto possono restare ferme, da chi e da cosa dipendono.
- 2
Strategie e piani
Come si riparte, con quali risorse, chi decide durante la crisi. Tutto scritto prima che serva.
- 3
Prove e audit interno
I piani si provano davvero; poi l’audit interno e il riesame della direzione dicono se reggono.
- 4
Audit di certificazione
L’organismo accreditato lo fa in due fasi, la seconda nelle sedi dell’azienda. Il certificato dura tre anni, con una sorveglianza ogni anno.
10ISO
Come ti aiuterà 10ISO
Il lavoro che si ripete lo faranno gli agenti; le decisioni restano a te e a chi ti accompagna. 10ISO è in arrivo: questo è quello che stiamo costruendo.
- Analisi d’impatto e piani aggiornati quando cambia un processo o un fornitoreIn arrivo
- Le prove dei piani calendarizzate, con i risultati e le azioni che ne esconoIn arrivo
- Le evidenze in comune con la ISO/IEC 27001 e con le misure NISIn arrivo
- Le scadenze di revisione di ogni piano, in una listaIn arrivo
Domande
Le domande che arrivano per prime su ISO 22301.
NIS2 o DORA obbligano alla ISO 22301?
No. Entrambi chiedono misure di continuità operativa, e NIS2 incoraggia le norme internazionali senza imporne una. La 22301 è un modo riconosciuto per organizzarle e dimostrarle.
Conviene aspettare la nuova edizione?
La revisione è ancora in una fase iniziale e ISO non ha fissato una data. Oggi si certifica sulla 2019 con l’emendamento del 2024.
La 22301 si integra con la ISO/IEC 27001?
Sì: le due norme condividono la struttura comune dei sistemi di gestione ISO, quindi politica, audit interni, riesame della direzione e azioni correttive si fanno una volta per tutte e due.
Fonti
Ogni riferimento di questa scheda viene da una di queste fonti, controllate il 28/09/2026. Se una legge o una norma cambia, la scheda si aggiorna.
Fonti
- ISO — ISO 22301:2019, Business continuity management systems (si apre in una nuova scheda)
- Directive (EU) 2022/2555, NIS2 (EUR-Lex) (si apre in una nuova scheda)
- Regulation (EU) 2022/2554, DORA (EUR-Lex) (si apre in una nuova scheda)
- D.Lgs. 36/2023, art. 106 — garanzie per la partecipazione (Normattiva) (si apre in una nuova scheda)
- D.Lgs. 36/2023, allegato II.13 — certificazioni per la riduzione delle garanzie (testo della GU n. 77 del 31/03/2023) (si apre in una nuova scheda)
- ISO — Management system standards (si apre in una nuova scheda)
Lista d’attesa
Ti scriviamo quando 10ISO apre.
Un minuto: chi sei, la tua email e la norma che ti interessa. Non è un abbonamento e non ti chiediamo una carta.