Preposti alla sicurezza sul lavoro: guida ISMS Manager
Il preposto alla sicurezza sul lavoro, nel contesto di un Sistema di Gestione della Sicurezza delle Informazioni (SGSI), è l’Information Security Manager, la figura responsabile della progettazione, implementazione e rendicontazione dell’intero SGSI secondo ISO 27001:2022/Amd 1:2024 e ISO 27002:2022. La prima azione operativa raccomandata è la nomina formale con delega scritta di autorità, seguita immediatamente dalla redazione della Politica SGSI e dall’avvio del risk assessment. Senza questi tre elementi, nessun auditor certificatore può procedere.
Punti chiave
Il preposto alla sicurezza delle informazioni (ISMS Manager) deve essere nominato formalmente con delega scritta di autorità, e la Politica SGSI deve essere approvata dalla direzione prima di qualsiasi altra attività di implementazione.
| Punto | Dettagli |
|---|---|
| Nomina formale con delega | La lettera di nomina firmata dall’AD, con autorità esplicita, è il primo documento che l’auditor verifica. |
| Documentazione prioritaria | Politica SGSI, SoA, risk assessment e programma di audit interno sono i deliverable minimi certificabili. |
| Certificazioni raccomandate | CISM, CISSP, CISA e ISO 27001 Lead Implementer/Auditor validano le competenze del preposto sul mercato. |
| Timeline realistica | Da gap analysis a certificazione: 9–18 mesi per organizzazioni di media complessità. |
| Securityhub | Offre consulenza, template e supporto operativo per accompagnare le organizzazioni dalla nomina alla certificazione ISO 27001. |
Indice
- Chi sono i preposti alla sicurezza all’interno del SGSI?
- Responsabilità chiave mappate sulle clausole ISO 27001
- Quali competenze e certificazioni deve avere il preposto?
- Quali documenti deve produrre e mantenere il preposto?
- Come si nomina il preposto e quando conviene esternalizzare?
- Qual è la timeline realistica per arrivare alla certificazione?
- Strumenti, template e formazione per il preposto
- Checklist operativa: prime azioni nei 30, 60 e 90 giorni
- Il ruolo del preposto secondo il D.Lgs. 81/08
- Obblighi del preposto secondo il Testo Unico
- Come collabora il preposto con il datore di lavoro e gli RSPP?
- Modalità di nomina e requisiti formali del preposto
- Formazione obbligatoria per il preposto: contenuti e durata
- Procedure operative che il preposto deve applicare
- Cosa distingue davvero un SGSI che regge l’audit da uno che lo supera a fatica
- Securityhub affianca le organizzazioni dalla nomina alla certificazione
- Fonti
Chi sono i preposti alla sicurezza all’interno del SGSI?
L’ISMS Manager presidia la riservatezza, l’integrità e la disponibilità delle informazioni aziendali, i tre principi fondanti di qualsiasi SGSI conforme a ISO 27001. Riporta direttamente all’Alta Direzione o al CDA, con linee funzionali verso il CIO, il Chief Risk Officer e i responsabili di funzione. Questa posizione nell’organigramma non è una preferenza stilistica: la norma richiede che il ruolo abbia autorità sufficiente per imporre controlli, anche in assenza di consenso operativo.
Le principali interfacce del preposto includono:
- Alta Direzione: riceve il riesame periodico del SGSI e approva le risorse
- CIO / responsabile IT: coordina l’implementazione tecnica dei controlli
- Chief Risk Officer: allinea il risk assessment informativo al framework aziendale
- Responsabili di funzione: garantiscono l’applicazione dei controlli nei rispettivi reparti
- Auditor interni: ricevono il programma di audit e le evidenze operative
- Fornitori e terze parti: sono soggetti alle clausole contrattuali di sicurezza gestite dal preposto
Responsabilità chiave mappate sulle clausole ISO 27001
Le responsabilità operative del preposto coprono l’intero ciclo di vita del SGSI, dalla progettazione alla rendicontazione. Un annuncio esemplificativo per Information Security Manager include: definizione e presidio del programma di sicurezza, valutazione periodica dei rischi, supervisione della formazione e integrazione dei requisiti di sicurezza nei progetti aziendali.
La delega di autorità che la direzione deve trasferire al preposto comprende almeno tre poteri concreti: revocare accessi a sistemi critici in caso di incidente, imporre controlli temporanei senza approvazione gerarchica preventiva, e requisire risorse tecniche o umane per rispondere a una minaccia attiva.
Un consiglio: formalizzare l’autorità in un documento firmato dall’Amministratore Delegato, allegato alla lettera di nomina. Gli auditor lo richiedono quasi sempre nel primo giorno di audit: averlo pronto elimina un rischio di non conformità immediato.
Quali competenze e certificazioni deve avere il preposto?
Le competenze tecniche e gestionali richieste spaziano dal risk management alla crittografia applicata, dalla gestione degli incidenti alla governance della sicurezza. Anitec-Assinform raccomanda un percorso che combina formazione universitaria con certificazioni professionali riconosciute a livello internazionale.
Le certificazioni più rilevanti per il ruolo sono:
- CISM (Certified Information Security Manager): orientata alla governance e alla gestione del rischio
- CISSP (Certified Information Systems Security Professional): copertura tecnica e gestionale ad ampio spettro
- CISA (Certified Information Systems Auditor): focalizzata su audit e controllo dei sistemi informativi
- ISO 27001 Lead Implementer / Lead Auditor: certificazioni specifiche per chi gestisce o verifica un SGSI
Secondo Dgroove, CISM e ISO 27001 Lead Auditor/Implementer figurano tra le certificazioni più richieste dal mercato per i ruoli di governance della sicurezza. Un candidato con laurea in informatica o ingegneria e almeno una di queste certificazioni attive rappresenta il profilo minimo raccomandato per gestire un SGSI certificabile.
Quali documenti deve produrre e mantenere il preposto?
La documentazione è l’evidenza tangibile che un SGSI esiste e funziona. Implementare ISO 27001 richiede un insieme preciso di deliverable che l’auditor verificherà sistematicamente.
I documenti minimi sotto la responsabilità del preposto sono:
- Politica SGSI: documento di alto livello approvato dalla direzione
- Scope del SGSI: perimetro organizzativo e tecnologico certificato
- Risk Assessment e Risk Treatment Plan: analisi e piano di trattamento dei rischi
- Dichiarazione di Applicabilità (SoA): controlli selezionati dall’Allegato A con giustificazione
- Business Impact Analysis (BIA): valutazione dell’impatto sui processi critici
- DRP / BCP: piano di ripristino e continuità operativa
- Programma di audit interno: calendario, criteri e responsabili
- Registrazioni operative: log di accesso, report di incidenti, verbali di riesame
Un estratto di job description efficace assegna esplicitamente la proprietà di ciascun documento al preposto, con indicazione della frequenza di aggiornamento e del processo di approvazione. Securityhub fornisce un pacchetto documentale strutturato per ridurre il tempo di preparazione all’audit.
Come si nomina il preposto e quando conviene esternalizzare?
La nomina formale avviene con un atto scritto firmato dall’Amministratore Delegato, che specifica perimetro di responsabilità, autorità delegata e risorse assegnate. La scelta tra assunzione interna e consulenza esterna dipende da quattro variabili principali.
| Criterio | Assunzione interna | Consulenza esterna |
|---|---|---|
| Dimensione aziendale | Organizzazione con dati critici | PMI con SGSI di perimetro limitato |
| Competenze interne | Team IT strutturato | Assenza di competenze specialistiche |
| Budget | Costo fisso annuo (stipendio + formazione + tool) | Costo variabile per progetto o canone |
| Continuità | Presidio quotidiano garantito | Dipendenza dalla disponibilità del consulente |
Le domande da porre a un candidato o a un fornitore esterno:
- Ha gestito almeno un ciclo completo di certificazione ISO 27001 (gap analysis, implementazione, audit di certificazione)?
- Come struttura la raccolta delle evidenze operative nel tempo?
- Quali strumenti utilizza per la gestione del registro asset e del risk register?
- Come gestisce la comunicazione con l’Alta Direzione durante il riesame?
- Ha esperienza con i requisiti NIS2 o GDPR in combinazione con ISO 27001?
Qual è la timeline realistica per arrivare alla certificazione?
Per un’organizzazione di media complessità, il percorso dalla nomina del preposto alla certificazione richiede un arco di tempo generalmente esteso, con una timeline realistica che può variare in base alla complessità e risorse disponibili. Le fasi e le milestone principali seguono questa sequenza, descritta anche nella guida operativa di Factorial:
| Fase | Attività principale | Durata indicativa |
|---|---|---|
| Gap analysis | Confronto tra stato attuale e requisiti ISO 27001 | 2–4 settimane |
| Definizione perimetro | Scope documentato e approvato | 1–2 settimane |
| Inventario asset e risk assessment | Registro asset, analisi e trattamento rischi | 4–8 settimane |
| Selezione controlli e SoA | Allegato A, giustificazioni, piano di implementazione | Qualche settimana |
| Implementazione controlli | Procedure, formazione, configurazioni tecniche | Diversi mesi |
| Audit interno | Verifica evidenze, non conformità, azioni correttive | 2–4 settimane |
| Audit di certificazione (Stage 1 + Stage 2) | Verifica documentale e operativa da parte dell’ente | 2–4 settimane |
Le evidenze richieste per ogni milestone includono verbali di riunione, report di risk assessment firmati, log di sistema, registrazioni di formazione e comunicazioni interne. I costi variano in funzione della dimensione aziendale, del perimetro e del livello di supporto esterno: le voci principali da valutare sono il compenso del preposto o del consulente, gli strumenti software per la gestione del SGSI, la formazione del personale e le tariffe dell’ente di certificazione.
Strumenti, template e formazione per il preposto
La sfida pratica non è selezionare i controlli dell’Allegato A, ma dimostrare nel tempo che vengono applicati. Automatizzare l’inventario degli asset e il controllo degli accessi riduce significativamente il carico di lavoro richiesto per mantenere le evidenze operative.
I template utili coprono: politiche di sicurezza, procedure operative, modelli di SoA, registri asset, moduli di segnalazione incidenti e checklist di audit interno. Per la scelta degli strumenti, i criteri prioritari sono l’integrazione con i sistemi esistenti, la tracciabilità automatica delle evidenze e la facilità di esportazione per l’auditor.
Le risorse formative raccomandate includono i corsi accreditati ISACA per CISM e CISA, i programmi ISO 27001 Lead Implementer e Lead Auditor erogati da enti come BSI, Bureau Veritas e DNV, e i percorsi universitari con specializzazione in sicurezza informatica suggeriti da Anitec-Assinform. Securityhub eroga formazione su misura e fornisce template pronti all’uso per le organizzazioni che avviano o consolidano il proprio SGSI.
Checklist operativa: prime azioni nei 30, 60 e 90 giorni
Entro 30 giorni dalla nomina:
- Emettere la lettera di nomina formale con delega di autorità firmata dall’AD
- Redigere la bozza della Politica SGSI e sottoporla all’approvazione della direzione
- Avviare la gap analysis rispetto ai requisiti ISO 27001
- Compilare un inventario preliminare degli asset informativi prioritari
Tra 30 e 60 giorni:
- Completare il risk assessment sui processi e asset critici
- Definire il perimetro (scope) del SGSI in forma documentata
- Selezionare i controlli dell’Allegato A e avviare la redazione della SoA
- Pianificare il programma di formazione per il personale coinvolto
Tra 60 e 90 giorni:
- Avviare l’implementazione dei controlli prioritari
- Raccogliere le prime evidenze operative (log, verbali, registrazioni di formazione)
- Pianificare il primo audit interno
- Verificare l’allineamento con GDPR e NIS2 dove applicabile
Un consiglio: conservare ogni evidenza in una cartella strutturata per clausola ISO 27001 fin dal primo giorno. Gli auditor organizzano la verifica per clausola: avere le evidenze già ordinate in questo modo riduce il tempo di audit e dimostra maturità del processo.
Il ruolo del preposto secondo il D.Lgs. 81/08
In Italia, il termine «preposto alla sicurezza sul lavoro» identifica anche la figura prevista dal Decreto Legislativo 81/2008 (Testo Unico sulla Sicurezza sul Lavoro), distinta dall’ISMS Manager. Questa figura sovrintende alle attività lavorative e garantisce l’attuazione delle disposizioni in materia di salute e sicurezza nei luoghi di lavoro fisici. Nelle organizzazioni che perseguono la certificazione ISO 27001, le due figure coesistono con perimetri distinti: il preposto D.Lgs. 81/08 presidia la sicurezza fisica e operativa dei lavoratori, mentre l’ISMS Manager gestisce la sicurezza delle informazioni.
Obblighi del preposto secondo il Testo Unico
Il preposto ai sensi del D.Lgs. 81/08 ha obblighi specifici: sovrintendere e vigilare sull’osservanza delle procedure di sicurezza da parte dei lavoratori, segnalare al datore di lavoro le condizioni di pericolo, interrompere l’attività in caso di rischio grave e imminente, e verificare che i lavoratori utilizzino correttamente i dispositivi di protezione individuale. La responsabilità penale del preposto è personale e non delegabile verso il basso.
Come collabora il preposto con il datore di lavoro e gli RSPP?
Il preposto D.Lgs. 81/08 opera in coordinamento con il datore di lavoro, che mantiene la responsabilità primaria, e con il Responsabile del Servizio di Prevenzione e Protezione (RSPP), che fornisce supporto tecnico e consulenza specialistica. Il preposto riceve le istruzioni dal datore di lavoro e le traduce in controllo operativo quotidiano, segnalando all’RSPP le situazioni che richiedono valutazione tecnica approfondita.
Modalità di nomina e requisiti formali del preposto
La nomina del preposto D.Lgs. 81/08 non richiede un atto scritto obbligatorio per legge, ma è fortemente raccomandata per ragioni probatorie. Il preposto è individuato in base alle competenze e ai poteri gerarchici effettivamente esercitati: chi di fatto sovrintende ai lavoratori assume automaticamente gli obblighi di legge, indipendentemente dalla nomina formale.
Formazione obbligatoria per il preposto: contenuti e durata
La formazione obbligatoria per il preposto D.Lgs. 81/08 è disciplinata dall’Accordo Stato-Regioni. Il percorso prevede una formazione generale di 4 ore e una formazione specifica di durata variabile in base al settore di rischio (basso, medio, alto). Il preposto deve inoltre seguire un modulo aggiuntivo di 8 ore specifico per le funzioni di supervisione. L’aggiornamento periodico è obbligatorio ogni 5 anni.
Procedure operative che il preposto deve applicare
Il preposto deve conoscere e applicare le procedure di emergenza e evacuazione, i protocolli di segnalazione degli infortuni, le modalità di utilizzo e verifica dei dispositivi di protezione individuale, e le procedure di controllo delle attrezzature di lavoro. Deve inoltre essere in grado di riconoscere i segnali di rischio imminente e attivare le misure di contenimento previste dal piano di emergenza aziendale.
Cosa distingue davvero un SGSI che regge l’audit da uno che lo supera a fatica
La maggior parte delle organizzazioni arriva all’audit di certificazione con la documentazione in ordine ma con le evidenze operative lacunose. Questo è il punto dove si perde più tempo e dove emergono le non conformità più costose da correggere. La delega di autorità al preposto, se rimane un documento formale senza traduzione operativa concreta, non convince nessun auditor esperto.
La raccomandazione più controcorrente che mi sento di dare è questa: investire nelle prime 8 settimane quasi esclusivamente sulla raccolta sistematica delle evidenze, anche prima di completare tutti i controlli. Un’organizzazione che dimostra di registrare, tracciare e revisionare i propri processi di sicurezza in modo coerente ottiene più credibilità di una che ha implementato 90 controlli ma non sa dove sono i log. La certificazione ISO 27001 premia la disciplina operativa, non la perfezione tecnica.
Securityhub affianca le organizzazioni dalla nomina alla certificazione
Ottenere la certificazione ISO 27001 richiede competenze specifiche, documentazione strutturata e un presidio continuo delle evidenze. Securityhub offre pacchetti documentali pronti all’audit, formazione su misura per il preposto e il team, e supporto operativo in ogni fase del percorso di certificazione.
Per le organizzazioni che non dispongono di un ISMS Manager interno, Securityhub eroga il servizio in modalità consulenziale, coprendo gap analysis, redazione della documentazione, preparazione all’audit interno e accompagnamento durante l’audit di certificazione. Per avviare il percorso, è possibile consultare la guida completa alla certificazione o contattare direttamente il team per una valutazione iniziale senza impegno.
Fonti
- Information Security Manager
- Come implementare la ISO 27001 passo dopo passo? | Factorial
- Figure professionali cybersecurity: i ruoli più richiesti nel 2026 – Dgroove
Raccomandati
