ISO/IEC 27001: la sicurezza delle informazioni, dimostrata.
La ISO/IEC 27001 chiede di valutare i rischi sulle informazioni, scegliere i controlli per trattarli e dimostrare che funzionano. La chiedono clienti, la PA per il cloud, e aiuta chi deve rispondere di NIS2.
Cos’è
Rischi valutati, controlli scelti, prove raccolte.
La norma chiede un sistema di gestione che protegga riservatezza, integrità e disponibilità delle informazioni attraverso un processo di gestione del rischio. Vale per ogni settore; l’informatica è quello con più certificati. I certificati sull’edizione 2013 non valgono più dal 31/10/2025.
A chi serve
- Chi sviluppa software o gestisce dati per conto dei clienti
- Chi offre servizi cloud alla Pubblica Amministrazione
- Chi rientra in NIS2 e vuole un metodo riconosciuto per le misure di sicurezza
- Chi riceve questionari di sicurezza dai clienti e vuole rispondere con un certificato
Cosa ti porta
Per qualificare un servizio cloud per la PA al livello QC1, ACN chiede la ISO/IEC 27001 con le estensioni 27017 e 27018, oppure CSA STAR livello 2.
ACN, misure per i servizi cloud, livello QC1Chi è certificato ha un ponte verso le misure di base NIS: la UNI/PdR 174:2025, sviluppata con il supporto di ACN.
ACN, UNI/PdR 174:2025Nelle gare che lo prevedono la garanzia si riduce fino al 20%: la ISO/IEC 27001 è tra le certificazioni dell’allegato II.13.
D.Lgs. 36/2023, art. 106 c. 8 e allegato II.13
Il percorso
Dall’analisi al certificato, in quattro passi.
- 1
Perimetro e rischi
Si decide cosa proteggere — sedi, sistemi, processi — e si valutano i rischi sulle informazioni.
- 2
Controlli e applicabilità
Si scelgono i controlli, si scrive perché ciascuno è applicato o escluso, e si mettono in funzione.
- 3
Audit interno e riesame
Prima di chiamare l’ente, un audit interno e il riesame della direzione dicono se il sistema regge.
- 4
Audit di certificazione
L’organismo accreditato lo fa in due fasi, la seconda nelle sedi dell’azienda. Il certificato dura tre anni, con una sorveglianza ogni anno.
10ISO
Come ti aiuterà 10ISO
Il lavoro che si ripete lo faranno gli agenti; le decisioni restano a te e a chi ti accompagna. 10ISO è in arrivo: questo è quello che stiamo costruendo.
- L’analisi dei rischi e i controlli scelti, tenuti allineati quando cambia qualcosaIn arrivo
- Le evidenze dei controlli raccolte dove nascono: accessi, backup, formazione, fornitoriIn arrivo
- Le misure NIS che la 27001 copre già, e quelle che mancanoIn arrivo
- Una norma in più, 22301 o 9001, sugli stessi capitoliIn arrivo
Domande
Le domande che arrivano per prime su ISO/IEC 27001.
La ISO/IEC 27001 basta per essere in regola con NIS2?
No. ACN misura la conformità sull’attuazione di tutti i requisiti delle sue misure di base, non su un certificato. Chi è certificato parte avanti, e la UNI/PdR 174:2025 aiuta a vedere cosa manca.
Con la 27001 sono in regola con il GDPR?
No. Accredia lo scrive chiaramente: un certificato di sistema non garantisce la conformità legale. Per il GDPR le certificazioni sono solo quelle previste dall’art. 42.
Ho ancora un certificato ISO/IEC 27001:2013: vale?
No. I certificati sull’edizione 2013 sono scaduti o ritirati il 31/10/2025: serve una certificazione sull’edizione 2022.
Fonti
Ogni riferimento di questa scheda viene da una di queste fonti, controllate il 28/09/2026. Se una legge o una norma cambia, la scheda si aggiorna.
Fonti
- ISO — ISO/IEC 27001:2022, Information security management systems (si apre in una nuova scheda)
- IAF MD 26 — Transition requirements for ISO/IEC 27001:2022 (si apre in una nuova scheda)
- ACN — servizi cloud per la PA, misure del livello QC1 (si apre in una nuova scheda)
- ACN — UNI/PdR 174:2025 per i soggetti NIS certificati ISO/IEC 27001 (si apre in una nuova scheda)
- ACN — FAQ NIS su misure di sicurezza e notifica degli incidenti (si apre in una nuova scheda)
- Accredia — Organismi di certificazione dei sistemi di gestione (si apre in una nuova scheda)
- D.Lgs. 36/2023, art. 106 — garanzie per la partecipazione (Normattiva) (si apre in una nuova scheda)
- D.Lgs. 36/2023, allegato II.13 — certificazioni per la riduzione delle garanzie (testo della GU n. 77 del 31/03/2023) (si apre in una nuova scheda)
Lista d’attesa
Ti scriviamo quando 10ISO apre.
Un minuto: chi sei, la tua email e la norma che ti interessa. Non è un abbonamento e non ti chiediamo una carta.