ISO 27001: non è solo per le grandi aziende
La ISO 27001:2022 è lo standard internazionale per i Sistemi di Gestione della Sicurezza delle Informazioni (SGSI). Molte PMI la considerano irraggiungibile: troppo complessa, troppo costosa, troppo burocratica. La realtà è diversa. Con la versione 2022, lo standard è stato semplificato e i controlli ridotti da 114 a 93, organizzati in 4 categorie chiare.
Perché una PMI dovrebbe certificarsi
- Vantaggio competitivo: nel privato la certificazione è sempre più spesso richiesta nei processi di qualifica dei fornitori dei clienti enterprise. Nelle gare pubbliche invece va inquadrata correttamente: ANAC ha ribadito che il possesso di certificazioni di qualità (ISO 9001, ISO 27001 e simili) non può essere imposto come requisito di partecipazione a pena di esclusione, perché l'art. 100 del d.lgs. 36/2023 non lo prevede tra i requisiti richiedibili (ANAC, parere di precontenzioso n. 375 del 1 ottobre 2025).
- Conformità NIS2: un SGSI ISO 27001 già operativo copre buona parte degli obblighi di gestione del rischio previsti dall'art. 24 del d.lgs. 138/2024 (il recepimento italiano della NIS2), ma non li esaurisce: il riferimento puntuale sono gli allegati della Determinazione ACN 379907/2025, applicabile dal 15 gennaio 2026, che elencano 37 misure e 87 requisiti per i soggetti importanti e 43 misure e 116 requisiti per gli essenziali.
- Riduzione premi assicurativi: le compagnie cyber insurance offrono sconti dal 15 al 30% per aziende certificate.
- Protezione reale: il valore non è il certificato ma il sistema che lo regge: inventario degli asset, analisi dei rischi, gestione degli accessi e degli incidenti diventano processi ripetibili invece di prassi affidate alla memoria delle persone.
Il percorso realistico per una PMI
Non serve un progetto da 18 mesi. Ecco un approccio in 6 mesi per una PMI da 20-100 dipendenti:
Mesi 1-2: fondamenta
- Definire lo scope del SGSI (non deve coprire tutta l'azienda: iniziate dal core business)
- Inventario degli asset informativi
- Risk assessment con metodologia semplice (es. matrice probabilità/impatto 5x5)
- Gap analysis rispetto ai 93 controlli dell'Annex A
Mesi 3-4: implementazione
- Scrivere le policy essenziali: sicurezza delle informazioni, accesso, backup, incident response
- Implementare i controlli tecnici prioritari: MFA, encryption, logging, patching
- Formazione del personale con test di verifica
- Implementare metriche e KPI di sicurezza
Mesi 5-6: audit e certificazione
- Audit interno per identificare non-conformità
- Correzione delle non-conformità trovate
- Management review formale
- Audit di certificazione Stage 1 (documentale) e Stage 2 (operativo)
Quanto costa davvero
Per una PMI da 30-50 dipendenti, i costi realistici:
- Consulenza esterna: 8.000-15.000€ (evitabile con competenze interne)
- Strumenti tecnici: 2.000-5.000€/anno (molti open source)
- Certificazione (ente accreditato): 4.000-8.000€
- Mantenimento annuale: 2.000-4.000€
Totale primo anno: 14.000-28.000€. Meno di un singolo breach, meno di una sanzione GDPR, e con un ROI misurabile in nuovi clienti e riduzione del rischio. Il percorso Blueprint è progettato per accompagnare le PMI dalla gap analysis alla certificazione, integrando strumenti come Presidio XDR per i controlli tecnici e Cipher per il risk assessment.