ISO 27001 senza duplicare i controlli che hai già per NIS 2 e GDPR.
Il modello dei framework di Vigilio è configurabile: aggiungi ISO 27001 riusando i presidi e le misure che soddisfano già NIS 2. Un solo controllo ben fatto copre più standard — con evidenza verificabile per ciascuno.
Cos'è la ISO/IEC 27001, in breve
La ISO/IEC 27001 è lo standard internazionale che specifica i requisiti di un sistema di gestione della sicurezza delle informazioni (SGSI). L'edizione in vigore è la ISO/IEC 27001:2022, pubblicata il 25 ottobre 2022 e integrata dall'emendamento Amd 1:2024 sui cambiamenti climatici. Non è un obbligo di legge: è una norma volontaria, la cui conformità può essere certificata da un organismo accreditato. Chiede di valutare e trattare i rischi per riservatezza, integrità e disponibilità delle informazioni, scegliere i controlli necessari confrontandoli con i 93 dell'Allegato A e migliorare il sistema nel tempo.
Aggiornato al
I requisiti della ISO 27001, clausola per clausola.
Le parti dello standard su cui si concentra un audit di certificazione, con la clausola di riferimento da citare nella documentazione del SGSI.
| Tema | Cosa prevede | Riferimento |
|---|---|---|
| Campo di applicazione | L'organizzazione individua i fattori interni ed esterni rilevanti, le parti interessate e i loro requisiti, e definisce il campo di applicazione del SGSI. | Clausola 4 |
| Leadership | L'alta direzione dimostra il proprio impegno, stabilisce la politica per la sicurezza delle informazioni e assegna ruoli, responsabilità e autorità. | Clausola 5 |
| Trattamento del rischio | Un processo definito e ripetibile per valutare i rischi e un piano di trattamento, approvato dai responsabili dei rischi, che accettano anche i rischi residui. Valutazioni ed esiti si conservano come informazioni documentate. | Clausole 6.1 e 8 |
| Dichiarazione di applicabilità | Elenca i controlli necessari, motiva inclusioni ed esclusioni e indica se sono attuati. I controlli scelti si confrontano con l'Allegato A, per non trascurarne di necessari. | Clausola 6.1.3 |
| Controlli dell'Allegato A | 93 controlli in quattro temi: 37 organizzativi, 8 sulle persone, 14 fisici e 34 tecnologici. Rispetto ai 114 dell'edizione 2013 ne sono stati accorpati molti e aggiunti 11, tra cui threat intelligence, sicurezza dei servizi cloud e mascheramento dei dati. La guida all'attuazione è la ISO/IEC 27002:2022. | Allegato A · ISO/IEC 27002 |
| Audit e miglioramento | Monitoraggio e misurazione, audit interni a intervalli pianificati, riesame della direzione, gestione delle non conformità con azioni correttive e miglioramento continuo del sistema. | Clausole 9 e 10 |
Dalla ISO 27001:2013 alla 2022.
La transizione è conclusa: un certificato oggi valido fa riferimento all'edizione 2022. Le date restano per riferimento.
-
Pubblicata la ISO/IEC 27001:2022 data passata
Si apre il periodo di transizione di 36 mesi per i certificati emessi sull'edizione 2013.
-
Fine della transizione data passata
I certificati sull'edizione 2013 non migrati alla 2022 non sono più validi.
Fonti ufficiali
- ISO/IEC 27001:2022 ISO
- ISO/IEC 27001:2022/Amd 1:2024 ISO
- ISO/IEC 27002:2022, controlli di sicurezza delle informazioni ISO
Sintesi a fini di orientamento, aggiornata al 16 ottobre 2026. Fa fede il testo delle fonti ufficiali.
ISO 27001 non è un progetto una tantum. È un ciclo continuo di audit, verifica e miglioramento.
Un SGSI richiede di dimostrare il trattamento del rischio, l'efficacia dei controlli e la continuità tra i cicli di revisione. Chi gestisce già NIS 2 o GDPR sa che i controlli si sovrappongono: la sfida è non duplicare il lavoro e mantenere la coerenza tra i framework.
Framework configurabile: livelli e denominazioni personalizzabili.
Vigilio modella ogni framework come un albero a profondità configurabile. Per ISO 27001 puoi definire i livelli che corrispondono alla struttura della norma (Clausole, Controlli, Requisiti), popolarli di requisiti e collegarli ai presidi — gli stessi presidi che già coprono NIS 2. Nessun framework è rigido: la struttura si adatta alla norma, non il contrario.
Un presidio copre più framework: niente doppioni.
Il presidio è lo snodo tra requisito e misura. Un presidio può essere "primario" per un requisito ISO 27001 e "non primario" per uno NIS 2, massimizzando il riuso. Quando aggiungi ISO 27001 al tuo ambiente Vigilio, buona parte dei controlli che hai già adottato per NIS 2 conta automaticamente verso la copertura ISO — senza reinserirli.
Rischio lordo e netto: l'effetto di ogni misura è sempre visibile.
ISO 27001 richiede un processo di valutazione e trattamento del rischio documentato. Vigilio gestisce scenari di rischio classificati, una matrice configurabile e la distinzione tra rischio lordo — prima delle misure — e rischio netto. Scenario per scenario, vedi quanto ogni controllo riduce effettivamente l'esposizione.
Audit di compliance ISO 27001 con continuità tra cicli.
Crea un audit di compliance per ISO 27001 e Vigilio eredita requisiti, valutazioni e osservazioni dal ciclo precedente. Aggiorni solo ciò che è cambiato. Il ciclo di vita dell'audit — Pianificato → In corso → Completato — è tracciato e confrontabile: la continuità tra cicli di revisione è un requisito ISO 27001 che Vigilio soddisfa per design.
Ogni controllo ha uno stato, un responsabile e uno storico di verifiche.
Le verifiche periodiche di efficacia registrano data, esito (Efficace / Parziale / Non efficace), autore ed eventuali evidenze allegate. Quando arriva l'auditor esterno, le evidenze strutturate e storicizzate sono già pronte — non devi raccoglierle all'ultimo momento.
Un SGSI che lavora con ciò che hai già.
Framework a struttura configurabile
Aggiungi ISO 27001 senza stravolgere ciò che hai già: livelli e denominazioni si adattano alla norma.
Riuso dei controlli tra standard
I presidi NIS 2 che hai già coprono anche ISO 27001 dove si sovrappongono: zero doppioni.
Rischio lordo e netto sempre visibili
Matrice configurabile, scenari classificati, effetto di ogni misura calcolato scenario per scenario.
Continuità tra cicli di audit
Ogni audit ISO 27001 eredita dal precedente: requisiti, valutazioni, osservazioni.
Domande frequenti su ISO 27001 e Vigilio
Lo standard
La ISO 27001 è obbligatoria?
No. La ISO/IEC 27001 è una norma volontaria: nessuna legge la impone in generale. Può però essere richiesta da clienti, contratti o bandi, e la certificazione rilasciata da un organismo accreditato è il modo per dimostrare a terzi che il SGSI è conforme.
La certificazione ISO 27001 basta per essere conformi alla NIS 2?
No. La NIS 2 ha obblighi di legge che una certificazione non sostituisce: la registrazione sulla piattaforma ACN, la notifica degli incidenti al CSIRT Italia, le misure di sicurezza di base nelle modalità stabilite dall'ACN e la responsabilità degli organi di amministrazione. Un SGSI ben gestito copre però buona parte del lavoro su analisi dei rischi e controlli.
Quanti controlli ha l'Allegato A della ISO 27001:2022?
93, divisi in quattro temi: 37 organizzativi, 8 sulle persone, 14 fisici e 34 tecnologici. L'edizione 2013 ne aveva 114 in 14 domini.
Bisogna applicare tutti i 93 controlli?
No. I controlli si scelgono in base alla valutazione del rischio; la Dichiarazione di applicabilità elenca quelli necessari, motiva le esclusioni e indica se sono attuati. L'Allegato A serve a verificare di non averne trascurato nessuno di necessario.
Un certificato sulla ISO 27001:2013 è ancora valido?
No. Il periodo di transizione all'edizione 2022 si è chiuso il 31 ottobre 2025: i certificati non migrati entro quella data non sono più validi.
Vigilio
Come si aggiunge ISO 27001 se ho già NIS 2 su Vigilio?
Configuri il framework ISO 27001 nell'ambiente Vigilio (livelli, requisiti, presidi). I presidi che hai già associato alle misure NIS 2 vengono collegati anche ai requisiti ISO 27001 corrispondenti: la copertura viene riconosciuta automaticamente, senza reinserire i controlli.
Vigilio supporta la valutazione del rischio richiesta da ISO 27001?
Sì. Vigilio gestisce scenari di rischio, matrice configurabile (severità × probabilità → criticità), rischio lordo e netto, e il collegamento tra misure di mitigazione e scenari. L'audit di rischio è uno dei tre tipi di campagna disponibili, con cicli confrontabili nel tempo.
Le verifiche di efficacia soddisfano i requisiti di monitoraggio ISO 27001?
Sì. Ogni misura accumula verifiche periodiche con esito, autore ed evidenze. Lo storico è permanente e consultabile. Questo fornisce la documentazione del monitoraggio e della revisione dell'efficacia dei controlli richiesta dalla norma.
Posso gestire ISO 27001 insieme a NIS 2 e GDPR nello stesso ambiente?
Sì. Tutti i framework vivono nello stesso ambiente Vigilio, condividendo lo stesso inventario di asset, le stesse misure e le stesse verifiche. Ogni framework misura la propria copertura in modo indipendente, ma i controlli sono condivisi: fai il lavoro una volta sola.
Vigilio sulle piattaforme di recensioni.
Approfondisci
Gap analysis ISO 27001
Dieci domande per stimare quanto sei vicino alla certificazione.
GuidaMappatura NIS 2 ↔ ISO 27001
Le misure dell'art. 21 sui controlli ISO/IEC 27001:2022.
ProdottoSoftware NIS 2
Asset, misure di sicurezza, audit e incidenti in un unico flusso di conformità.
GlossarioGlossario GRC
Presidio, BIA, soggetto essenziale: i termini spiegati senza giri di parole.
Vuoi vedere ISO 27001 integrato con NIS 2 e GDPR?
Una demo guidata mostra come Vigilio gestisce più framework senza duplicare controlli e verifiche.