ISO/IEC 27001 è la norma internazionale di riferimento per il Sistema di Gestione della Sicurezza delle Informazioni (SGSI). Sempre più richiesta dai committenti, nei bandi di gara, dagli assicuratori cyber o per l'accesso a determinati mercati export, SYAGA vi accompagna dal gap assessment fino alla preparazione dell'audit di certificazione.
ISO 27001 non è un obbligo legale generale, ma sta diventando un prerequisito commerciale imprescindibile
ISO/IEC 27001 resta un percorso volontario. Tuttavia è sempre più richiesta nei bandi di gara, dai grandi committenti, da alcuni assicuratori cyber, o come prerequisito per l'accesso a determinati mercati export.
La maggior parte delle PMI e delle medie imprese non ha avviato alcun percorso strutturato di Sistema di Gestione della Sicurezza delle Informazioni. L'argomento è percepito come complesso, tecnico e lungo.
Le missioni di certificazione classiche impegnano i vostri team per diversi mesi e rappresentano un investimento consistente, spesso fuori dalla portata di una PMI.
Impegnare il responsabile IT o della sicurezza per mesi per costruire un SGSI non è sostenibile in una PMI dove ognuno riveste già più ruoli.
Un percorso strutturato in 3 fasi, basato sulla stessa metodologia già collaudata da SYAGA su PSSI-Express
Colloquio di inquadramento con la direzione e il responsabile SI, poi valutazione sistematica di ciascuna delle 93 misure di sicurezza dell'Allegato A (edizione 2022), ripartite sui 4 temi organizzativo, umano, fisico e tecnologico. Restituzione di un rapporto di scostamenti fattuale.
Redazione o aggiornamento della politica di sicurezza (SGSI), della Dichiarazione di Applicabilità (SoA) che giustifica l'applicazione o l'esclusione di ciascuna delle 93 misure, e di un piano di rimedio prioritizzato per colmare gli scostamenti identificati nella fase 1.
Monitoraggio dell'attuazione del piano di rimedio, revisione documentale e preparazione del vostro team all'audit condotto da un ente certificatore accreditato indipendente. SYAGA vi prepara all'audit; la certificazione stessa è rilasciata da questo ente terzo.
I documenti strutturanti del dossier di certificazione ISO 27001
Valutazione fattuale del vostro livello di conformità rispetto alla norma.
Documento normativo centrale del dossier di certificazione ISO 27001.
Il documento di governance richiesto dalle clausole 4 a 10 della norma.
La roadmap per colmare gli scostamenti identificati.
Documenti applicabili direttamente dai vostri team.
Tutti i documenti in formati che potete far evolvere.
Il SGSI ISO 27001 si sovrappone naturalmente a più standard
Standard centrale: clausole 4 a 10 (requisiti di gestione) e Allegato A (93 misure di sicurezza ripartite in 4 temi).
Le misure di gestione dei rischi cyber richieste dalla direttiva NIS2 si sovrappongono ampiamente alle misure dell'Allegato A ISO 27001. Un SGSI ISO 27001 facilita la messa in conformità NIS2 per le entità interessate.
Le misure della guida di igiene informatica dell'ANSSI (l'agenzia francese per la cybersicurezza) si sovrappongono in modo significativo alle misure dell'Allegato A ISO 27001. Corrispondenza documentata nel piano di rimedio.
Le misure tecniche e organizzative adeguate richieste dall'articolo 32 del GDPR si basano sulle stesse buone pratiche dell'Allegato A ISO 27001 (controllo degli accessi, cifratura, gestione degli incidenti).
Ogni missione ISO 27001 è dimensionata secondo il vostro perimetro e la vostra maturità attuale. Preventivo personalizzato sistematico.
Fotografia iniziale dei vostri scostamenti
Dal gap assessment alla preparazione dell'audit
Dopo la certificazione o in continuo
Cosa dice davvero la norma ISO/IEC 27001, spiegato in modo semplice. Ogni punto rimanda alla propria fonte ufficiale (ISO, AFNOR, COFRAC, ANSSI), aggiornato al 17/07/2026.
ISO/IEC 27001 è un metodo riconosciuto per individuare le minacce che gravano sui vostri dati, gestire i rischi e mettere in atto le protezioni adeguate, affinché le vostre informazioni restino riservate, disponibili e affidabili. Non è un software, è un'organizzazione da mettere in atto nell'azienda.
Fonte: AFNOR CertificationA differenza di altri percorsi (come l'omologazione di sicurezza imposta ad alcuni sistemi dello Stato francese), ISO 27001 è facoltativa: è una norma certificabile, non un obbligo normativo generale. La scegliete per rassicurare clienti, partner e assicuratori.
Fonte: ANSSI (scheda metodo)Mai l'azienda stessa, né un consulente: solo un ente certificatore indipendente e accreditato può rilasciarlo (il COFRAC è l'unico organismo francese di accreditamento, creato nel 1994). Il certificato ottenuto è valido 3 anni.
Fonte: COFRACValutazione preliminare (opzionale), preparazione, revisione dei documenti, audit in loco per verificare cosa è realmente in atto, rilascio del certificato (3 anni), poi una visita di controllo ogni anno e un audit completo di rinnovo al termine dei 3 anni. Niente è definitivo una volta per tutte.
Fonte: AFNOR CertificationSecondo uno studio AFNOR condotto tra aziende certificate: l'89% ha registrato meno incidenti di sicurezza, l'83% ha processi di sicurezza interni più solidi, e l'88% ha mantenuto clienti che avrebbero potuto andarsene senza la certificazione.
Fonte: studio AFNOR 2019È la norma di sicurezza delle informazioni più utilizzata al mondo, secondo la stessa ISO. E l'accreditamento che controlla gli enti certificatori (come il COFRAC in Francia) è riconosciuto a livello internazionale da accordi tra paesi, il che facilita l'accesso a mercati in Europa e altrove.
Fonte: ISO (comitato JTC1/SC27)Non serve essere una multinazionale né un'azienda del digitale. Ecco, con il supporto di fonti ufficiali, chi può (e talvolta deve) interessarsene.
La certificazione si rivolge a « tutte le organizzazioni, imprese ed enti pubblici, di qualsiasi dimensione e settore, che detengono dati, fisici o dematerializzati ». La stessa AFNOR precisa che non riguarda « unicamente gli hosting provider di dati, le start-up, le multinazionali o le imprese del settore informatico » : studio commercialista, officina, associazione, comune, clinica... se avete dei dati, rientrate nel perimetro.
Fonte: AFNOR Certification (17/07/2026)La scheda metodo ufficiale dell'ANSSI (mai 2025) lo conferma nero su bianco: per ISO/IEC 27001, la casella « Obbligo » è spuntata su « Facoltativo ». Al contrario, l'omologazione di sicurezza (il regime davvero obbligatorio) si applica solo ai sistemi informativi dello Stato francese e degli operatori regolamentati francesi (OIV/OSE). Due mondi diversi: non confondeteli se un fornitore vi parla di obbligo legale ISO 27001, non è corretto.
Fonte: ANSSI, scheda metodo v1.0 (mai 2025)Il testo europeo NIS2 (questo sì obbligatorio) cita esplicitamente la famiglia di norme ISO/IEC 27000, di cui fa parte ISO 27001, come riferimento di buone pratiche per le misure di cybersicurezza da adottare. La Commissione europea chiede agli Stati membri di « promuovere l'uso delle norme europee e internazionali pertinenti ». In concreto: ISO 27001 diventa il mezzo più riconosciuto per dimostrare la propria conformità NIS2 di fronte a un regolatore.
Fonte: EUR-Lex, direttiva (UE) 2022/2555, considerando 79-80Secondo la Commissione europea, NIS2 copre 18 settori critici: energia, trasporti, sanità, finanza, gestione delle acque, infrastrutture digitali (già presenti in NIS1), più ora le comunicazioni elettroniche al pubblico, i social network, la gestione dei rifiuti, la fabbricazione di prodotti critici, i servizi postali e di corriere, la pubblica amministrazione e il settore spaziale. La regola sulla dimensione: « le entità medie e grandi » di questi settori dovranno adottare misure di gestione dei rischi informatici e notificare gli incidenti significativi.
Fonte: Commissione europea, digital-strategy.ec.europa.euLa definizione ufficiale europea (Raccomandazione 2003/361/CE) fissa soglie precise. Un'impresa supera la soglia « media » (ed entra nel probabile campo di applicazione di NIS2) non appena supera uno di questi parametri:
| Categoria | Effettivo | Fatturato |
|---|---|---|
| Microimpresa | meno di 10 | 2 M€ o meno |
| Piccola impresa | meno di 50 | 10 M€ o meno |
| Media impresa | meno di 250 | 50 M€ o meno |
Il 20 janvier 2026 la Commissione europea ha proposto un emendamento mirato per alleggerire la messa in conformità di 28 700 imprese, di cui 6 200 micro e piccole imprese. Prova che il tema non riguarda già più solo i grandi gruppi: strutture modeste si ritrovano, tramite i loro clienti o il loro settore, a dover rispondere alle stesse esigenze.
Fonte: Commissione europea, digital-strategy.ec.europa.eu (20/01/2026)Niente panico inutile qui, solo i dati ufficiali. Cosa dice davvero la legge sulle multe, chi le applica, e perché ISO 27001 resta la vostra migliore protezione contro di esse.
È il punto più rassicurante: non essere certificati ISO 27001 non comporta, di per sé, alcuna multa. La norma è facoltativa (lo conferma la scheda metodo ufficiale dell'ANSSI: casella « Obbligo » spuntata su « Facoltativo »). Una norma facoltativa non ha logicamente alcun meccanismo di sanzione legale collegato alla sua assenza.
Fonte: ANSSI, scheda metodo v1.0 (mai 2025)Se la vostra attività rientra nel campo di applicazione della direttiva europea NIS2 (questa sì obbligatoria), le multe sono quantificate nero su bianco dalla Commissione europea: fino a 10 000 000 EUR o il 2% del fatturato mondiale dell'esercizio precedente per un'entità « essenziale » (si applica l'importo più elevato), e fino a 7 000 000 EUR o l'1,4% del fatturato mondiale per un'entità « importante ». È esattamente per evitare questo rischio che ISO 27001 è raccomandata come prova di conformità.
Fonte: Commissione europea, FAQ ufficiale NIS2Non sono multe automatiche né forfettarie. L'autorità competente deve tenere conto di « la natura, la gravità e la durata della violazione, il danno causato o le perdite subite, [e] il carattere doloso o colposo della violazione ». Un'azienda in buona fede che corregge rapidamente un incidente non viene trattata come un'azienda negligente e recidiva.
Fonte: Commissione europea, FAQ ufficiale NIS2Ogni Stato membro designa la propria autorità competente per applicare NIS2. In Francia è l'ANSSI (Agenzia nazionale per la sicurezza dei sistemi informativi) l'ente incaricato dell'attuazione e del controllo. Nel mars 2026 ha messo a disposizione un referenziale nazionale (ReCyF, non obbligatorio) per aiutare le aziende a orientarsi e a confrontare i propri percorsi esistenti, tra cui ISO 27001.
Fonte: cyber.gouv.fr (ANSSI)Le autorità competenti dispongono anche di strumenti non finanziari: istruzioni vincolanti, ordine di attuare le raccomandazioni di un audit di sicurezza, oppure ordine di messa in conformità delle misure di sicurezza. La direttiva prevede inoltre disposizioni sulla responsabilità delle persone che ricoprono funzioni di direzione generale. La multa non è generalmente la prima risposta a un'inadempienza.
Fonte: Commissione europea, FAQ ufficiale NIS2Gli Stati membri avevano tempo fino al 17 octobre 2024 per recepire NIS2 nel diritto nazionale. Alla data di redazione, nessuna fonte ufficiale pubblica un caso reale con un importo di sanzione effettivamente applicato in Francia o nell'UE: le cifre sopra riportate sono massimali legali massimi, non importi mediamente riscontrati. Aggiorneremo questa pagina non appena sarà pubblicato un caso ufficiale.
Fonte: Commissione europea, digital-strategy.ec.europa.euQuali date contano davvero? Cosa è già obbligatorio, cosa è già operativo e cosa sta arrivando. Con il supporto di fonti ufficiali, comprensibile in 2 minuti, aggiornato al 18/07/2026.
Esisteva una versione 2013, oggi superata. La scheda metodo ufficiale dell'ANSSI (mai 2025) lo conferma nero su bianco nella sua tabella comparativa: « Ultima versione: ISO27001 versione 2022 ». Questa versione copre i domini organizzativo, fisico e tecnologico del perimetro da certificare. In concreto: ogni nuova certificazione, o ogni rinnovo, avviene ormai su questa versione.
Fonte: ANSSI, scheda metodo v1.0 (mai 2025)La direttiva europea NIS2 è entrata in vigore in janvier 2023, ma la data che conta per le aziende è il 17 octobre 2024: il termine entro cui ogni Stato membro doveva aver recepito il testo nel proprio diritto nazionale. Da questa data, NIS2 si applica concretamente, e cita proprio la famiglia di norme ISO/IEC 27000 (di cui ISO 27001 fa parte) come riferimento di buone pratiche per conformarvisi.
Fonte: Commissione europea, digital-strategy.ec.europa.euIl giorno successivo al termine di recepimento di NIS2, la vecchia direttiva NIS1 (quella del 2016) è stata ufficialmente abrogata. Un solo testo di riferimento ormai in Europa per la cybersicurezza normativa dei settori critici: nessun dubbio su quale quadro si applichi.
Fonte: Commissione europea, digital-strategy.ec.europa.euIl certificato ISO 27001, una volta rilasciato da un ente accreditato, è valido 3 anni. Ma non per questo è immutabile: AFNOR Certification prevede una visita di controllo ogni anno, poi un audit completo di rinnovo alla scadenza dei 3 anni. L'ANSSI conferma esattamente lo stesso meccanismo nella sua scheda di mai 2025: durata di 3 anni, revisione annuale della direzione e audit di follow-up. Due fonti ufficiali diverse, lo stesso calendario.
Fonte: AFNOR Certification, ANSSI (mai 2025)Il 20 janvier 2026 la Commissione europea ha proposto un emendamento mirato per semplificare la messa in conformità di 28 700 imprese, di cui 6 200 micro e piccole imprese. A questa data si tratta di una proposta, non ancora di un testo adottato: il calendario normativo che circonda ISO 27001 può quindi ancora muoversi nei prossimi mesi, senza rimettere in discussione l'interesse della norma stessa.
Fonte: Commissione europea, digital-strategy.ec.europa.eu (20/01/2026)Per i sistemi informativi dello Stato francese e degli operatori regolamentati, l'ANSSI ha una propria procedura, l'omologazione di sicurezza, attualmente in versione 2.1 (2025), anch'essa con una durata massima di 3 anni e una revisione annuale dei sistemi consigliata. Non è lo stesso percorso di ISO 27001 (facoltativa), ma entrambi avanzano allo stesso ritmo di 3 anni, il che facilita la vita di chi deve gestirli entrambi contemporaneamente.
Fonte: ANSSI, scheda metodo v1.0 (mai 2025)Contattateci per un preventivo personalizzato secondo il vostro perimetro e la vostra maturità attuale.
Gratis: il vostro punteggio + i vostri scostamenti. Il rapporto dettagliato e l'attestazione: 499 € + IVA, solo se decidete voi.
contact@syaga.eu