ISO 27001: non è solo per le grandi aziende
La ISO 27001:2022 è lo standard internazionale per i Sistemi di Gestione della Sicurezza delle Informazioni (SGSI). Molte PMI la considerano irraggiungibile: troppo complessa, troppo costosa, troppo burocratica. La realtà è diversa. Con la versione 2022, lo standard è stato semplificato e i controlli ridotti da 114 a 93, organizzati in 4 categorie chiare.
Perché una PMI dovrebbe certificarsi
- Vantaggio competitivo: sempre più bandi pubblici e clienti enterprise richiedono la certificazione. Nel 2025, il 38% delle gare sopra i 100.000€ in Italia la richiedeva (fonte: ANAC).
- Conformità NIS2: implementare la ISO 27001 copre circa l'80% dei requisiti NIS2 Art. 21.
- Riduzione premi assicurativi: le compagnie cyber insurance offrono sconti dal 15 al 30% per aziende certificate.
- Protezione reale: le aziende certificate subiscono il 50% in meno di breach (fonte: IT Governance UK 2025).
Il percorso realistico per una PMI
Non serve un progetto da 18 mesi. Ecco un approccio in 6 mesi per una PMI da 20-100 dipendenti:
Mesi 1-2: fondamenta
- Definire lo scope del SGSI (non deve coprire tutta l'azienda — iniziate dal core business)
- Inventario degli asset informativi
- Risk assessment con metodologia semplice (es. matrice probabilità/impatto 5x5)
- Gap analysis rispetto ai 93 controlli dell'Annex A
Mesi 3-4: implementazione
- Scrivere le policy essenziali: sicurezza delle informazioni, accesso, backup, incident response
- Implementare i controlli tecnici prioritari: MFA, encryption, logging, patching
- Formazione del personale con test di verifica
- Implementare metriche e KPI di sicurezza
Mesi 5-6: audit e certificazione
- Audit interno per identificare non-conformità
- Correzione delle non-conformità trovate
- Management review formale
- Audit di certificazione Stage 1 (documentale) e Stage 2 (operativo)
Quanto costa davvero
Per una PMI da 30-50 dipendenti, i costi realistici:
- Consulenza esterna: 8.000-15.000€ (evitabile con competenze interne)
- Strumenti tecnici: 2.000-5.000€/anno (molti open source)
- Certificazione (ente accreditato): 4.000-8.000€
- Mantenimento annuale: 2.000-4.000€
Totale primo anno: 14.000-28.000€. Meno di un singolo breach, meno di una sanzione GDPR, e con un ROI misurabile in nuovi clienti e riduzione del rischio.