ISO 27001: cosa certifica davvero e cosa scrivi nei contratti
Supporto legale al percorso di certificazione ISO/IEC 27001 e a tutto quello che ci gira intorno: contratti, questionari dei clienti, rapporto con NIS2 e GDPR.
La ISO/IEC 27001:2022 è uno standard internazionale volontario che definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. Non è una legge: nessuno è obbligato a certificarsi, ma un cliente o un bando possono chiederla. La certificazione la rilascia un organismo di certificazione, in Italia di norma accreditato da Accredia, dopo un audit; il certificato copre un perimetro preciso e va mantenuto con audit periodici. Aiuta a dimostrare misure di sicurezza adeguate anche ai fini di GDPR e NIS2, ma non le sostituisce.
Il problema
Di solito la ISO 27001 entra in azienda per una ragione commerciale: un cliente importante la chiede, oppure un bando dà punti a chi ce l’ha. Il percorso viene affidato a chi si occupa di sistemi, e va bene così, perché la gran parte del lavoro è tecnica e organizzativa. Però intorno al certificato nascono questioni che tecniche non sono: cosa dichiari nei questionari dei clienti, cosa prometti nei contratti, come il sistema di gestione si collega agli obblighi di GDPR e NIS2. Quando il perimetro certificato è più stretto di quello che il commerciale racconta, il problema prima o poi arriva.
Il taglio giuridico
Lo standard chiede alla direzione di dimostrare leadership e impegno sul sistema di gestione (clausola 5.1): non è una cosa che si delega del tutto all’IT. Le sanzioni qui non sono amministrative ma contrattuali: se dichiari a un cliente una certificazione che non copre il servizio che gli vendi, rischi l’inadempimento e il risarcimento. Con i fornitori vale lo stesso al contrario: quello che chiedi a loro deve essere coerente con quello che hai certificato. E poi ci sono le verifiche: l’audit iniziale dell’organismo di certificazione, gli audit di sorveglianza e il rinnovo, oltre agli audit che i clienti possono pretendere per contratto.
Come lavoro
Lavoro accanto a chi segue la parte tecnica del percorso, sia il tuo team sia un consulente esterno, e mi occupo di quello che lo standard lascia ai giuristi. Controllo che il perimetro certificato corrisponda a quello che dichiari ai clienti, rivedo i contratti con i fornitori e quelli con i clienti, preparo risposte ai questionari di sicurezza che siano vere e difendibili. Collego il sistema di gestione agli obblighi di GDPR e NIS2, così che la stessa documentazione serva a più scopi e nessuno debba rifarla due volte.
Riferimenti normativi
- ISO/IEC 27001:2022, Sistemi di gestione per la sicurezza delle informazioni: requisiti
- Clausola 5.1 ISO/IEC 27001: leadership e impegno della direzione
- Art. 32 GDPR: sicurezza del trattamento
- Art. 42 GDPR: certificazioni (la ISO 27001 non è una certificazione ai sensi dell'art. 42)
Domande frequenti
Quanto costa la certificazione ISO 27001?
Dipende soprattutto da quanto è grande il perimetro da certificare e da quanto lavoro c'è da fare prima dell'audit. Ci sono due voci distinte: il costo dell'organismo di certificazione, che fa l'audit, e quello del percorso di preparazione. Per la mia parte di consulenza il preventivo è gratuito: dopo una breve call in cui mi spieghi perimetro ed esigenze, ti preparo una proposta.
La ISO 27001 è obbligatoria?
No, è uno standard volontario. Diventa di fatto necessaria quando la chiede un cliente, un capitolato o un bando, e in quel caso l'obbligo nasce dal contratto.
NIS2 vs ISO 27001: se sono certificato sono a posto con la NIS2?
Non automaticamente. Un sistema certificato copre buona parte delle misure di sicurezza che la NIS2 chiede e aiuta a dimostrarle, ma la NIS2 ha obblighi propri, come la registrazione, le notifiche degli incidenti e la responsabilità degli organi di amministrazione, che la certificazione non copre da sola.