Consulenza ISO 27001: un sistema di sicurezza che funziona davvero, non un faldone.
La certificazione ISO/IEC 27001 dimostra a clienti, partner e gare d'appalto che la sicurezza delle informazioni è gestita con metodo. Ti accompagno dall'analisi dei rischi fino all'audit di certificazione, con documenti snelli e controlli proporzionati alla tua azienda.
Quando la ISO 27001 fa la differenza
Non è obbligatoria per legge, ma sempre più spesso è richiesta dal mercato.
Clienti esigenti
Software house, MSP, cloud e servizi digitali: la certificazione risponde in anticipo ai questionari di sicurezza e apre le porte ai clienti enterprise.
Requisito o punteggio
Molti bandi la richiedono o la premiano. Averla prima della gara vale più che rincorrerla dopo.
Conformità dimostrabile
Un sistema ISO 27001 organizza gran parte delle misure di sicurezza richieste dalla NIS2 e dal GDPR in un unico quadro verificabile.
Dalla decisione al certificato
Le durate sono indicative per una PMI e dipendono dal perimetro e dal punto di partenza.
Perimetro e gap analysis
Definizione del campo di applicazione, analisi della situazione attuale rispetto alla norma e piano di lavoro.
Valutazione e trattamento dei rischi
Metodologia, registro dei rischi, Dichiarazione di Applicabilità (SoA) con i controlli dell'Allegato A pertinenti.
Politiche, procedure e controlli
Solo i documenti che servono, controlli tecnici e organizzativi, formazione e consapevolezza del personale.
Audit interno e riesame della direzione
Audit interno indipendente, azioni correttive e riesame: i prerequisiti per presentarsi all'ente di certificazione.
Audit di Stage 1 e Stage 2
Audit dell'ente di certificazione accreditato (in Italia sotto Accredia). Ti affianco durante tutte le verifiche.
Audit di sorveglianza
Due audit di sorveglianza e il rinnovo al terzo anno. Il sistema deve vivere, non solo esistere.
Le certificazioni sulla versione 2013 sono scadute il 31 ottobre 2025: oggi si certifica solo sulla ISO/IEC 27001:2022.
Consulenza ISO 27001 in sei passi
Gap analysis
Fotografia della situazione attuale rispetto ai requisiti della norma e ai 93 controlli dell'Allegato A.
Analisi e trattamento dei rischi
Metodologia semplice e ripetibile, registro dei rischi e piano di trattamento condiviso con la direzione.
Documentazione snella
Politiche, procedure e SoA scritte per essere usate, non per riempire scaffali.
Controlli tecnici
Accessi, backup, crittografia, gestione delle vulnerabilità e dei fornitori: il punto di vista di chi lavora anche sul lato tecnico.
Audit interno
Audit con l'occhio di un Lead Auditor ISO 27001: arrivi all'ente di certificazione senza sorprese.
Accompagnamento e mantenimento
Supporto durante Stage 1, Stage 2 e sorveglianze, e integrazione con NIS2, GDPR e ISO/IEC 42001.
Consulente e certificatore non sono la stessa cosa
Indipendenza
Il certificato lo rilascia un ente di certificazione accreditato, scelto da te. Il mio ruolo è prepararti e affiancarti: per regola di imparzialità chi fa consulenza non può certificare la stessa azienda.
Un unico sistema
- ISO/IEC 27001 come base per la sicurezza delle informazioni.
- Estensione a NIS2 e GDPR con gli stessi documenti.
- ISO/IEC 42001 per chi gestisce sistemi di IA e vuole allinearsi all'AI Act.
ISO/IEC 27001:2022 in tre numeri
Raggruppati in quattro temi: 37 organizzativi, 8 sulle persone, 14 fisici, 34 tecnologici.
Dalla 4 alla 10 sono requisiti obbligatori: contesto, leadership, pianificazione, supporto, attività, valutazione, miglioramento.
Certificazione iniziale, due audit di sorveglianza annuali, ricertificazione.
La SoA (Dichiarazione di Applicabilità) indica quali controlli applichi e perché: è il documento che gli auditor leggono per primo.
ISO 27001: le domande che mi fanno più spesso
Quanto tempo serve per ottenere la certificazione ISO 27001?
Per una PMI con un perimetro chiaro, indicativamente tra 4 e 8 mesi dall'avvio all'audit di certificazione. Dipende dal punto di partenza e dal tempo che il team interno può dedicare.
La ISO 27001 è obbligatoria?
No, è uno standard volontario. Però è sempre più richiesta da clienti, gare d'appalto e assicurazioni cyber, e aiuta a dimostrare la conformità a NIS2 e GDPR.
Puoi rilasciare tu il certificato?
No. Il certificato lo rilascia un ente di certificazione accreditato. Io preparo l'azienda, conduco l'audit interno e ti affianco negli audit esterni: per imparzialità, consulenza e certificazione devono restare separate.
Abbiamo ancora un certificato sulla versione 2013: è valido?
No. Il periodo di transizione è terminato il 31 ottobre 2025 e i certificati sulla ISO/IEC 27001:2013 non sono più validi. Serve una certificazione sulla versione 2022.
Che rapporto c'è tra ISO 27001 e NIS2?
La ISO 27001 non sostituisce gli adempimenti NIS2, ma la maggior parte delle misure di sicurezza richieste trova corrispondenza nei suoi controlli. Partire da un sistema ISO 27001 riduce molto il lavoro.
La consulenza è disponibile anche online?
Sì. Lavoro da Bagni di Lucca (LU) con aziende in tutta Italia, in presenza in Toscana e da remoto ovunque.
Riferimenti: ISO/IEC 27001:2022 e Amendment 1:2024, ISO/IEC 27002:2022, IAF MD 26 (transizione). Contenuto informativo. Aggiornato a novembre 2026.
Sicurezza e conformità, in un unico percorso
Pronto a certificarti?
Una prima valutazione per stimare perimetro, tempi e impegno necessario.