Certificazioni · Sicurezza delle informazioni
ISO 27001 — Sicurezza delle informazioni.
Il sistema di gestione della sicurezza delle informazioni. Protegge dati, competenze e sistemi, rafforza la conformità al GDPR ed è sempre più spesso una chiave d’accesso a gare e clienti, specie nell’ICT e nei servizi.
A chi si rivolge
- Aziende ICT, società di servizi e fornitori della pubblica amministrazione a cui i clienti affidano dati e sistemi.
- Organizzazioni soggette (o potenzialmente soggette) alla direttiva NIS 2 e al D.Lgs. 138/2024.
- Imprese che vogliono dimostrare con un certificato le misure di sicurezza richieste dall’art. 32 del GDPR.
Il bisogno
Protegge i dati, e dimostra ai clienti che lo fai davvero.
La ISO/IEC 27001 definisce i requisiti di un sistema di gestione della sicurezza delle informazioni: un modo strutturato per proteggere riservatezza, integrità e disponibilità dei dati, partendo dall’analisi dei rischi reali dell’azienda. Non è un antivirus in più: è il metodo con cui decidi che cosa proteggere, come e con quali controlli, documentandolo nella dichiarazione di applicabilità.
Non è obbligatoria, ma porta vantaggi concreti: è sempre più richiesta nelle gare e nella qualifica dei fornitori; rafforza la conformità al GDPR come «misura tecnica e organizzativa adeguata» (art. 32); offre una base solida per gli obblighi della NIS 2. Il certificato lo rilascia un organismo terzo accreditato.
- ISO/IEC 27001:2022
- Accredia
- Allegato A — dichiarazione di applicabilità
- Analisi del rischio
- GDPR — art. 32
- NIS 2 — D.Lgs. 138/2024
Che cosa facciamo
Dall’analisi del rischio al certificato.
-
Analisi del contesto e degli asset
Mappiamo le informazioni che contano — dati dei clienti, competenze, sistemi, fornitori — e definiamo il perimetro del sistema: che cosa proteggere e da che cosa.
-
Valutazione e trattamento del rischio
Individuiamo minacce e vulnerabilità, misuriamo il rischio e scegliamo come trattarlo. È il cuore della norma: la sicurezza si costruisce sui rischi reali.
-
Controlli dell’Allegato A e dichiarazione di applicabilità
Selezioniamo i controlli dell’Allegato A (organizzativi, sulle persone, fisici e tecnologici) applicabili alla tua realtà e li dichiariamo nella SoA, con la motivazione di ogni scelta.
-
Politiche, procedure e gestione degli incidenti
Politiche, regole d’uso, gestione degli accessi, copie di sicurezza, continuità operativa e una procedura di gestione degli incidenti che funziona anche sotto pressione.
-
Formazione, consapevolezza e audit interno
La sicurezza è fatta di persone: formiamo il personale sui rischi (phishing, password, dati) e proviamo il sistema con un audit interno prima dell’organismo.
-
Assistenza all’audit e integrazione GDPR / NIS 2
Ti affianchiamo nelle due fasi dell’audit dell’organismo accreditato e colleghiamo il sistema agli obblighi GDPR e, dove applicabile, alla NIS 2.
Che cosa consegniamo
Che cosa resta in azienda, a lavoro finito.
- Un certificato rilasciato da un organismo terzo accreditato.
- Un requisito o punteggio sempre più richiesto nelle gare e nella qualifica dei fornitori.
- Un rafforzamento concreto della conformità al GDPR (misure tecniche e organizzative ex art. 32).
- Una base solida per gli obblighi NIS 2 e per la fiducia di clienti e partner.
Chi fa che cosa
Responsabilità chiare, dal primo giorno.
Svolto direttamente da iCuraImpresa
Analisi del contesto, analisi del rischio, progettazione del sistema, politiche e procedure, formazione, audit interno, assistenza all’audit, mantenimento.
Coordinato da iCuraImpresa
Fornitori IT e sistemisti per le misure tecniche di loro competenza (reti, backup, accessi).
Svolto da terzi
L’organismo di certificazione accreditato svolge l’audit e rilascia il certificato.
Come lavoriamo
Il percorso verso il certificato.
- 01
Analisi dei gap
Fotografiamo lo stato della sicurezza delle informazioni rispetto alla norma e definiamo il perimetro.
- 02
Analisi del rischio e progettazione
Valutiamo i rischi, scegliamo i controlli dell’Allegato A, redigiamo la dichiarazione di applicabilità e costruiamo politiche e procedure.
- 03
Formazione e audit interno
Formiamo le persone, alziamo la consapevolezza e verifichiamo il sistema con un audit interno.
- 04
Audit di certificazione e mantenimento
L’organismo accreditato verifica in due fasi e rilascia il certificato; gestiamo sorveglianze annuali, riesame dei rischi e rinnovo triennale.
Domande frequenti
Le domande che ci fanno più spesso.
La ISO 27001 è obbligatoria?
No, non è obbligatoria per legge. Sta però diventando requisito o punteggio in molte gare — soprattutto con la pubblica amministrazione e nel settore ICT — e un titolo richiesto negli albi fornitori di chi ti affida i propri dati.
La ISO 27001 sostituisce il GDPR?
No: sono due cose diverse che si rafforzano a vicenda. Un sistema conforme alla ISO 27001 è un modo strutturato di garantire le «misure tecniche e organizzative adeguate» richieste dall’art. 32 del GDPR; la conformità al GDPR resta più ampia (basi giuridiche, informative, diritti degli interessati).
Che cosa sono i controlli dell’Allegato A?
Sono i controlli di sicurezza previsti dalla norma (93 nell’edizione 2022, in quattro temi: organizzativi, sulle persone, fisici e tecnologici). Non si applicano tutti: si scelgono in base al rischio e si dichiarano nella dichiarazione di applicabilità, motivando inclusioni ed esclusioni.
Serve un reparto IT strutturato per partire?
No. La ISO 27001 è una norma organizzativa, non solo tecnica: riguarda processi, persone e responsabilità. Si parte da un’analisi dei gap e si costruisce il sistema anche in aziende piccole o che si appoggiano a fornitori IT esterni.
Quanto dura la certificazione?
Tre anni, con audit di sorveglianza annuali e un audit di rinnovo alla scadenza.
Fonti e riferimenti
- ISO/IEC 27001:2022 — Information security management systems. Requirements
- Regolamento (UE) 2016/679, art. 32
- Direttiva (UE) 2022/2555 (NIS 2) e D.Lgs. 4 settembre 2024, n. 138
Contenuti verificati al 7 ottobre 2026. Le norme cambiano: prima di decidere, verifichiamo insieme il caso specifico.
Servizi correlati
Spesso insieme a questo servizio
-
GDPR e privacy
Registro, informative e DPO: la conformità che il sistema sostiene.
Scopri di più -
ISO 9001
Il sistema per la qualità, con la stessa struttura.
Scopri di più -
ISO 37001
Il sistema anticorruzione, integrabile.
Scopri di più
Il prossimo passo
Vuoi certificarti ISO 27001?
Verifichiamo insieme il perimetro giusto e i rischi da coprire, con un solo referente per sicurezza delle informazioni, GDPR e certificazione. Ti rispondiamo noi, per email o per telefono, per capire insieme che cosa serve.
