È rilevante per aziende che gestiscono dati di clienti, proprietà intellettuale, servizi digitali, informazioni riservate o rapporti di fornitura soggetti a requisiti di sicurezza. PMI tecnologiche, studi professionali, software house, servizi gestiti, manifattura e fornitori B2B possono applicarla in modo proporzionato al perimetro e alle conseguenze di un incidente.
Un riferimento da calare nel contesto.
- Rende espliciti perimetro, responsabilità e criteri di trattamento dei rischi informativi.
- Aiuta a coordinare controlli tecnici, organizzativi e di gestione dei fornitori.
- Fornisce evidenze verificabili di un processo continuo di sicurezza, non una garanzia assoluta di assenza di incidenti.
Cosa mette a fuoco.
- 01Contesto, perimetro dell’ISMS, inventario delle informazioni e valutazione del rischio.
- 02Trattamento dei rischi, controlli selezionati e Dichiarazione di Applicabilità.
- 03Gestione degli accessi, fornitori, incidenti, continuità e competenze, secondo i rischi pertinenti.
- 04Misurazione, audit interni, riesame e miglioramento.
Dal riferimento alle attività.
- Definizione del perimetro e analisi dei processi, asset informativi, dipendenze e fornitori.
- Facilitazione della valutazione e del trattamento dei rischi e della selezione dei controlli.
- Organizzazione di responsabilità, evidenze, sensibilizzazione e verifiche interne.
- Preparazione all’audit con l’organismo di certificazione; gli aspetti tecnici specialistici restano assegnati a competenze adeguate.
Un sistema nuovo, con un perimetro chiaro.
La prima applicazione parte da ciò che l’azienda deve proteggere e dai servizi inclusi nel perimetro, non da una lista di controlli da spuntare. Si valutano impatti e scenari, si definisce il trattamento del rischio, si individuano i controlli necessari e si pianificano prove ed evidenze prima dell’audit.
Un ISMS certificato richiede aggiornamento dei rischi quando cambiano tecnologie, fornitori, servizi o minacce, oltre a verifiche su incidenti, accessi e controlli. Il mantenimento include audit interni, riesame e azioni di miglioramento; sorveglianza e rinnovo sono condotti dall’organismo indipendente secondo il ciclo di certificazione.
La ricertificazione avviene alla scadenza del ciclo definito dall’organismo e richiede una valutazione complessiva del sistema. In fase di rinnovo vanno riesaminati perimetro, rischi, controlli, incidenti e cambiamenti rilevanti, non solo aggiornati i documenti.
Edizione e transizione.
ISO/IEC 27001:2022 è l’edizione corrente; la pagina ISO riporta l’Amd 1:2024 sulle modifiche relative al cambiamento climatico nei requisiti di contesto delle norme di sistema.
IAF MD 26:2023 fissava al 31 ottobre 2025 il completamento della transizione delle organizzazioni certificate dall’edizione 2013 alla 2022: tale periodo è concluso. Al 5 novembre 2026 non è stata verificata una nuova edizione sostitutiva della 2022; per l’applicabilità degli emendamenti si deve fare riferimento al testo normativo e al proprio organismo.
Domande frequenti.
ISO/IEC 27001 riguarda solo l’infrastruttura IT?
No. Il sistema considera informazioni e processi nel perimetro, incluse persone, responsabilità, fornitori e controlli organizzativi oltre agli aspetti tecnologici.
La certificazione garantisce che non ci saranno attacchi?
No. La certificazione attesta la valutazione di un sistema rispetto ai requisiti, non elimina i rischi né garantisce l’assenza di incidenti.
È possibile integrare il sistema con altri ISO?
Sì. La struttura di gestione permette di coordinare contesto, audit, riesame e miglioramento con altri sistemi, mantenendo specifici i controlli di sicurezza.
Fonti ufficiali.
Riferimenti consultati per le informazioni sullo standard. I collegamenti si aprono in una nuova scheda.
Un percorso ISO/IEC 27001:2022 per la tua organizzazione.
Prima certificazione, mantenimento, rinnovo o adeguamento: indica il punto di partenza.