«ISO 901» per aziende italiane: guida a ISO 27001
In breve:
- «ISO 901» è un refuso; il nome corretto dello standard è ISO 27001.
- ISO 9001 riguarda la gestione della qualità, mentre ISO 27001 si concentra sulla sicurezza delle informazioni; scegliere il giusto dipende dalle esigenze aziendali.
«ISO 901» non esiste come standard internazionale. Si tratta di un refuso frequente: la norma corretta per la gestione della qualità è ISO 9001, mentre per la sicurezza delle informazioni il riferimento è ISO 27001 (versione attuale: ISO 27001:2022). Se la tua azienda opera nel settore IT, gestisce dati personali o partecipa a gare d’appalto in Europa centrale, è quasi certamente ISO 27001 ciò che cerchi. Tre azioni da compiere subito: verifica se i tuoi contratti o bandi richiedono esplicitamente ISO 27001; contatta un consulente specializzato per una valutazione preliminare del contesto; inizia a mappare gli asset informativi critici e le dipendenze tra processi.
Indice
- ISO 901 o ISO 27001? Qual è la differenza che conta per la tua azienda
- La tua azienda ha bisogno di ISO 27001? Una checklist rapida
- Cosa richiede ISO 27001:2026: elementi essenziali e documentazione
- Processo di certificazione ISO 27001 e tempistiche in Europa centrale
- Preparazione operativa: documenti, evidenze e errori da evitare
- Come scegliere consulenza e formazione per ISO 27001
- Punti chiave da ricordare subito
- Perché l’approccio pratico fa la differenza: una nota di Valerio
- Securityhub: consulenza e formazione ISO 27001 per PMI italiane
- Fonti utili e riferimenti normativi
ISO 901 o ISO 27001? Qual è la differenza che conta per la tua azienda
ISO 9001 e ISO 27001 rispondono a obiettivi distinti. ISO 9001 disciplina i sistemi di gestione della qualità (SGQ): definisce come strutturare processi, soddisfare i requisiti del cliente e migliorare continuamente le prestazioni operative. Più di 1 milione di organizzazioni sono certificate ISO 9001 a livello globale, con oltre 130.000 certificazioni attive in Italia. ISO 27001 è invece lo standard internazionale per un sistema di gestione della sicurezza delle informazioni (ISMS): il suo fulcro è la valutazione e il trattamento del rischio informativo, con l’applicazione di controlli tecnici e organizzativi definiti nell’Annex A.
Sul piano della diffusione, ISO 9001 è lo standard di gestione più adottato al mondo, con oltre 1 milione di certificazioni attive in più di 170 paesi e oltre 130.000 certificati in Italia. ISO 27001 ha una base installata più contenuta ma cresce rapidamente, trainata da requisiti normativi e contrattuali nel settore digitale.
| Dimensione | ISO 9001 | ISO 27001 |
|---|---|---|
| Obiettivo principale | Qualità dei processi e soddisfazione del cliente | Protezione delle informazioni e gestione del rischio |
| Ambito | Tutti i processi aziendali | Asset informativi, dati, sistemi IT |
| Approccio al rischio | Rischio di processo e qualità | Rischio informativo (riservatezza, integrità, disponibilità) |
| Certificabile da terzi | Sì | Sì |
| Versione corrente | ISO 9001:2015 (revisione prevista settembre 2026) | ISO 27001:2022 |
Quando scegliere solo ISO 9001? Per aziende manifatturiere o di servizi che devono dimostrare controllo dei processi produttivi senza trattare dati sensibili in modo sistematico. ISO 27001 diventa prioritaria per fornitori SaaS, studi professionali che trattano dati riservati, aziende con infrastrutture cloud o che partecipano a gare pubbliche con requisiti di sicurezza informatica. L’integrazione dei due standard è pratica diffusa: riduce duplicazioni su controllo documenti e audit interni, ma richiede coordinamento tra le funzioni qualità e IT. Avere già ISO 9001 agevola l’implementazione di ISO 27001, ma non è un prerequisito obbligatorio.
ISO 27001 supporta anche la conformità al GDPR, fornendo una struttura per proteggere i dati personali. Non sostituisce gli obblighi legali specifici del regolamento, ma riduce significativamente i gap di conformità.
La tua azienda ha bisogno di ISO 27001? Una checklist rapida
Rispondi a queste domande. Se più di due risposte sono «sì», ISO 27001 è raccomandata.
- L’azienda tratta dati personali di clienti, dipendenti o pazienti in modo sistematico?
- Esistono contratti con clienti o partner che richiedono esplicitamente garanzie di sicurezza informatica?
- L’azienda partecipa o intende partecipare a gare d’appalto pubbliche o private in Europa centrale?
- Si utilizzano servizi cloud (IaaS, PaaS, SaaS) per elaborare o archiviare dati aziendali critici?
- L’azienda gestisce proprietà intellettuale, codice sorgente o informazioni finanziarie riservate?
- Negli ultimi 12 mesi si sono verificati incidenti di sicurezza (accessi non autorizzati, perdita di dati, attacchi ransomware)?
- Fornitori terzi hanno accesso ai sistemi o ai dati aziendali?
- Il settore di appartenenza è soggetto a regolamentazioni specifiche sulla sicurezza dei dati (finanza, sanità, pubblica amministrazione)?
Per le aziende che operano nel cloud o nell’IT, ISO 27001 è spesso un requisito di ingresso nelle gare d’appalto, non un semplice vantaggio competitivo.
Cosa richiede ISO 27001:2026: elementi essenziali e documentazione
ISO 27001:2022 richiede la costruzione di un ISMS strutturato attorno a quattro pilastri: definizione dell’ambito, valutazione del rischio, selezione dei controlli e miglioramento continuo. La versione aggiornata ha riorganizzato i controlli dell’Annex A in quattro categorie (organizzativi, persone, fisici, tecnologici) e richiede il coinvolgimento attivo del top management nella politica di sicurezza.
Documentazione minima richiesta:
- Politica di sicurezza delle informazioni, approvata dalla direzione
- Registro degli asset informativi e dei rischi associati
- Statement of Applicability (SoA): collega i rischi identificati ai controlli selezionati dell’Annex A e deve essere giustificato e mantenuto aggiornato
- Procedure operative per controllo accessi, gestione patch, backup e gestione degli incidenti
- Piani di formazione e registrazioni delle sessioni svolte
- Piani di continuità operativa e prove di ripristino documentate
- Registrazioni di audit interni e riesami della direzione
Un consiglio: per una PMI, la documentazione non deve essere voluminosa: deve essere applicata e dimostrabile. Un registro dei rischi aggiornato trimestralmente vale più di cento procedure mai usate.
Per approfondire la struttura operativa, la guida all’implementazione ISO 27001 di Securityhub offre un percorso passo-passo calibrato sulle PMI.
Processo di certificazione ISO 27001 e tempistiche in Europa centrale
Il ciclo di certificazione si articola in quattro fasi, analoghe a quelle di altri standard ISO:
| Fase | Contenuto | Durata indicativa |
|---|---|---|
| Preparazione e gap analysis | Mappatura asset, valutazione rischi, redazione documentazione | 2–6 mesi |
| Stage 1 (audit documentale) | Verifica della documentazione e dell’ambito ISMS da parte dell’ente certificatore | 1–3 giorni |
| Stage 2 (audit di certificazione) | Verifica dell’implementazione concreta dei controlli e delle evidenze operative | 2–5 giorni |
| Sorveglianza annuale e ricertificazione triennale | Audit annuali di mantenimento; ricertificazione completa ogni tre anni | 1–2 giorni/anno |
La certificazione ISO prevede che gli enti valutino sia la documentazione sia la sua applicazione concreta: registrazioni temporali, prove di test di backup e ripristino, report di incidenti sono spesso decisive per il superamento dell’audit.
Per una PMI italiana di dimensioni medio-piccole, il percorso completo dalla preparazione al certificato richiede diversi mesi. Aziende con infrastrutture IT complesse o ambiti estesi possono richiedere un periodo più lungo. I costi variano in base alle ore di consulenza, alla dimensione aziendale, alla complessità dell’infrastruttura IT e al numero di giorni di audit dell’ente certificatore. Per una stima personalizzata, è necessaria una richiesta di offerta specifica: le variabili in gioco rendono qualsiasi cifra generica poco affidabile.
Preparazione operativa: documenti, evidenze e errori da evitare
Gli enti di certificazione non si limitano a leggere le procedure: verificano che siano applicate. Le evidenze operative più richieste includono log di accesso con timestamp, report di vulnerability assessment, prove documentate di test di ripristino da backup, registrazioni di formazione con firme e date, e verbali di riesame della direzione.
Errori ricorrenti che causano non conformità:
- Documentazione aggiornata solo prima dell’audit, non mantenuta nel tempo
- Assenza di prove di formazione del personale (registrazioni, attestati, quiz)
- Processi definiti sulla carta ma non applicati operativamente (es. gestione patch non eseguita nei tempi dichiarati)
- Ambito ISMS mal definito: troppo ampio genera complessità ingestibile, troppo ristretto esclude asset critici
- SoA non aggiornata dopo modifiche all’infrastruttura o ai processi
Per colmare gap rapidamente prima dell’audit, prioritizza le evidenze sui controlli ad alto rischio: controllo accessi privilegiati, cifratura dei dati sensibili, gestione degli incidenti. L’importanza della documentazione ISO per le PMI è un tema che Securityhub affronta con template operativi pronti all’uso.
Come scegliere consulenza e formazione per ISO 27001
Domande da porre al consulente
- Quante certificazioni ISO 27001 ha seguito negli ultimi tre anni, e in quali settori?
- Lavora con la versione ISO 27001:2022 o ancora con la precedente?
Criteri di valutazione
- Competenza tecnica verificabile su ISMS, non solo su standard di qualità generici
- Disponibilità in lingua italiana e presenza operativa in Europa centrale
- Approccio alla formazione del personale: la formazione blended (aula più esercitazioni pratiche) produce i migliori risultati per piccoli team IT
- Supporto continuativo, non solo per il primo audit
Segnali di allarme
- Garanzia del certificato senza audit indipendente da un ente accreditato
- Prezzi significativamente inferiori alla media di mercato senza spiegazione della struttura dei costi
- Assenza di referenze verificabili o case study concreti
- Nessuna menzione della versione ISO 27001:2022 nei materiali proposti
Per valutare i fattori critici di successo prima di scegliere un partner, Securityhub mette a disposizione una guida dedicata.
Punti chiave da ricordare subito
ISO 27001:2022 è lo standard corretto per la sicurezza delle informazioni: «ISO 901» è un refuso, e scegliere il percorso giusto fin dall’inizio evita perdite di tempo e risorse.
| Punto | Dettagli |
|---|---|
| «ISO 901» è un refuso | Lo standard corretto per la sicurezza informatica è ISO 27001:2022, non «ISO 901» né «ISO 9001». |
| ISO 9001 vs ISO 27001 | ISO 9001 gestisce la qualità dei processi; ISO 27001 protegge gli asset informativi con valutazione del rischio. |
| Quando serve ISO 27001 | Dati sensibili, contratti IT, gare in Europa centrale: in questi casi ISO 27001 è spesso requisito, non opzione. |
| Ciclo di certificazione | Preparazione che può durare diversi mesi, audit in due fasi, sorveglianza annuale e ricertificazione periodica nel tempo. |
| Securityhub per le PMI | Securityhub accompagna le PMI italiane con assessment, documentazione su misura, formazione e supporto all’audit. |
Perché l’approccio pratico fa la differenza: una nota di Valerio
La maggior parte delle aziende che arrivano a noi con domande su «ISO 901» o «ISO 9001» ha in realtà un problema concreto da risolvere: un cliente che chiede garanzie di sicurezza, una gara da cui sono stati esclusi, o un incidente che ha reso evidente la fragilità dei processi interni. Lo standard è lo strumento, non il fine.
Quello che osservo con più frequenza è che le PMI sottovalutano il valore dell’assessment iniziale. Molte aziende hanno già in atto controlli sufficienti per il 60–70% dei requisiti ISO 27001: il problema è che non sono documentati, non sono dimostrabili e non sono applicati in modo coerente. Un gap analysis ben condotta trasforma questo potenziale latente in un percorso di certificazione più breve e meno costoso.
L’altro errore sistematico è delegare tutto al consulente esterno senza coinvolgere il management. ISO 27001 richiede esplicitamente la leadership della direzione: un ISMS costruito solo dall’IT, senza mandato formale della direzione, non supera lo stage 1. Il coinvolgimento del top management non è una formalità, è un requisito verificato in audit.
Securityhub: consulenza e formazione ISO 27001 per PMI italiane
Securityhub affianca le PMI italiane in ogni fase del percorso verso la certificazione ISO 27001: dall’assessment iniziale degli asset informativi alla redazione della documentazione su misura, dalla formazione operativa del team IT e del management fino al supporto diretto durante gli audit di stage 1 e stage 2.
Il pacchetto tipico per una PMI include gap analysis, template operativi pronti (SoA, registro dei rischi, procedure), sessioni di formazione in italiano e assistenza continuativa per gli audit di sorveglianza. Tutto il lavoro è svolto in lingua italiana, con piena comprensione del contesto normativo e contrattuale dell’Europa centrale.
Per iniziare, consulta la guida completa alla certificazione oppure richiedi direttamente una valutazione preliminare gratuita del tuo contesto.
Fonti utili e riferimenti normativi
- ISO 27001:2022, testo ufficiale: pagina ufficiale ISO per l’acquisto della norma nella versione corrente. La norma si acquista esclusivamente dagli organismi ufficiali; evitare copie non ufficiali prive di valore legale.
- ISO 9001:2015, testo ufficiale: versione attualmente in vigore per i sistemi di gestione della qualità, con revisione prevista per settembre 2026.
- ISO survey sulla diffusione degli standard: dati aggiornati sul numero di certificazioni attive per paese e standard.
- Famiglia ISO 9000: panoramica degli standard correlati a ISO 9001 e delle risorse di supporto disponibili.
- Per la scelta dell’ente di certificazione, verificare sempre che sia accreditato presso l’organismo nazionale competente (in Italia: Accredia; in Germania: DAkkS; in Austria: Akkreditierung Austria). Un certificato rilasciato da un ente non accreditato non ha valore nei bandi pubblici e nei contratti internazionali.
Raccomandati
