ISO/IEC 27001:2022 – Cos’è e quali sono i vantaggi

La ISO/IEC 27001:2022 è lo standard internazionale che definisce come costruire e gestire un sistema di sicurezza delle informazioni. Non è un documento teorico: dal 31 ottobre 2025 i certificati basati sulla vecchia versione del 2013 non sono più validi, quindi ogni azienda che vuole dimostrare in modo credibile di proteggere i propri dati deve fare riferimento a questa edizione. In questa guida vediamo che cos’è, cosa è cambiato con l’aggiornamento del 2022, quali vantaggi concreti porta e come si ottiene.

Key Takeaways

• La ISO/IEC 27001:2022 riduce i controlli dell’Annex A da 114 a 93, riorganizzati in 4 categorie e con 11 controlli nuovi (tra cui cloud, threat intelligence e sicurezza nello sviluppo software).
• La scadenza per migrare dalla versione 2013 alla 2022 era il 31 ottobre 2025: dopo quella data i certificati 2013 sono decaduti (IAF MD 26).
• Il costo medio globale di una violazione di dati nel 2025 è stato di 4,44 milioni di dollari (IBM Cost of a Data Breach Report 2025).
• Nel 2024 il Garante Privacy italiano ha comminato circa 24 milioni di euro di sanzioni: la certificazione aiuta a dimostrare conformità e ridurre il rischio.
• Ottenere la certificazione richiede tipicamente 6-12 mesi tra gap analysis, implementazione del SGSI e audit di un ente accreditato.

Cos’è la ISO/IEC 27001:2022?

La ISO/IEC 27001:2022 è lo standard internazionale che stabilisce i requisiti per un Sistema di Gestione per la Sicurezza delle Informazioni (SGSI). È pubblicato congiuntamente dall’International Organization for Standardization (ISO) e dall’International Electrotechnical Commission (IEC), e rappresenta il riferimento più riconosciuto al mondo per proteggere la riservatezza, l’integrità e la disponibilità dei dati.

A differenza di un semplice insieme di misure tecniche, la norma impone un approccio di gestione del rischio: l’organizzazione identifica le proprie informazioni critiche, valuta le minacce a cui sono esposte e applica i controlli proporzionati. In pratica, un SGSI conforme consente di:

• Identificare e gestire in modo sistematico i rischi per la sicurezza delle informazioni
• Applicare controlli per proteggere dati aziendali, dei clienti e dei partner
• Garantire la conformità a leggi e regolamenti sulla protezione dei dati, a partire dal GDPR
• Migliorare la resilienza contro attacchi informatici, fughe di dati e violazioni della privacy

La certificazione non è obbligatoria per legge, ma è sempre più spesso un requisito contrattuale: gare d’appalto, clienti enterprise e settori regolamentati (finanza, sanità, pubblica amministrazione) la richiedono come prova oggettiva di affidabilità.

La ISO/IEC 27001:2022 è lo standard internazionale pubblicato da ISO e IEC che definisce i requisiti per un Sistema di Gestione per la Sicurezza delle Informazioni (SGSI). Impone un approccio basato sulla gestione del rischio e riguarda riservatezza, integrità e disponibilità dei dati. La certificazione non è obbligatoria per legge, ma è spesso richiesta come requisito contrattuale in gare d’appalto e settori regolamentati.

Cosa cambia rispetto alla versione 2013?

L’aggiornamento del 2022 ha ridotto i controlli dell’Annex A da 114 a 93. Il calo non deriva dall’eliminazione di misure, ma dal consolidamento di controlli sovrapposti e dall’introduzione di 11 controlli nuovi, pensati per lo scenario tecnologico attuale. I nuovi controlli coprono aree assenti o marginali nel 2013:

• Threat intelligence (intelligence sulle minacce)
• Sicurezza delle informazioni per i servizi cloud
• Prontezza ICT per la continuità operativa
• Monitoraggio della sicurezza fisica
• Mascheramento dei dati (data masking)
• Prevenzione della perdita di dati (data leakage prevention)
• Monitoraggio delle attività
• Filtraggio web
• Programmazione sicura (secure coding)
• Gestione della configurazione
• Cancellazione sicura delle informazioni

I 93 controlli sono ora raggruppati in 4 categorie (o temi) invece dei 14 domini della versione precedente, una struttura più semplice da mappare e implementare.

Le quattro categorie sono: controlli organizzativi (37), controlli tecnologici (34), controlli fisici (14) e controlli per le persone (8). A questo si aggiunge la nuova clausola 6.3 – Pianificazione delle modifiche, che obbliga a gestire in modo strutturato ogni cambiamento al SGSI, e una maggiore integrazione con altri standard come ISO 9001 (qualità) e ISO 22301 (continuità operativa).

La ISO/IEC 27001:2022 riduce i controlli dell’Annex A da 114 a 93, ne introduce 11 nuovi (tra cui threat intelligence, sicurezza cloud, data masking e secure coding) e li riorganizza in 4 categorie: organizzativi (37), tecnologici (34), fisici (14) e persone (8). Aggiunge inoltre la clausola 6.3 sulla pianificazione delle modifiche.

La scadenza del 31 ottobre 2025 è passata: cosa significa?

Il documento IAF MD 26 dell’International Accreditation Forum ha fissato un periodo di transizione di tre anni dalla pubblicazione della norma (ottobre 2022), con scadenza al 31 ottobre 2025. Entro quella data tutte le organizzazioni certificate secondo la ISO/IEC 27001:2013 dovevano completare la migrazione alla versione 2022. Il termine, essendo oggi trascorso, ha un effetto pratico preciso: i certificati ancora basati sulla 2013 sono decaduti e non più validi.

La conseguenza spesso sottovalutata riguarda chi non ha completato la transizione in tempo. Un’organizzazione con un certificato 2013 scaduto non viene “rinnovata”: ai fini dell’accreditamento è trattata come un nuovo cliente e deve affrontare un audit di certificazione iniziale completo, non la più leggera visita di sorveglianza. Questo significa tempi e costi paragonabili a una prima certificazione. Chi oggi valuta un fornitore dovrebbe quindi verificare non solo che dichiari di essere “certificato ISO 27001”, ma che il certificato sia esplicitamente riferito all’edizione :2022 e in corso di validità.

Secondo il documento IAF MD 26 dell’International Accreditation Forum, il periodo di transizione dalla ISO/IEC 27001:2013 alla versione 2022 è scaduto il 31 ottobre 2025. Dopo tale data i certificati basati sulla versione 2013 non sono più validi e l’organizzazione che non ha migrato deve affrontare un nuovo audit di certificazione iniziale.

Quali vantaggi concreti offre la certificazione?

Al di là della conformità formale, la certificazione produce benefici misurabili. Il primo è la riduzione del rischio economico legato agli incidenti. Secondo l’IBM Cost of a Data Breach Report 2025, il costo medio globale di una violazione di dati è stato di 4,44 milioni di dollari: in calo del 9% rispetto ai 4,88 milioni del 2024 (la prima flessione in cinque anni, attribuita a un contenimento più rapido grazie all’automazione), ma ancora una cifra che poche aziende possono assorbire senza danni. Un SGSI strutturato riduce sia la probabilità sia l’impatto di questi eventi.

Il secondo vantaggio è la conformità normativa. La certificazione fornisce prove documentali dei controlli adottati sui dati personali, un elemento che si allinea direttamente agli obblighi del GDPR (Regolamento UE 2016/679). Non è una garanzia automatica contro le sanzioni, ma dimostra la diligenza richiesta dalla normativa. Nel 2024 il Garante per la protezione dei dati personali ha adottato 835 provvedimenti e comminato circa 24 milioni di euro di sanzioni: poter esibire un sistema di gestione certificato è un fattore che pesa, sia in fase di controllo sia in caso di contenzioso.

Gli altri benefici sono più commerciali che difensivi:

• Fiducia dei clienti: un certificato rilasciato da un ente accreditato è una prova verificabile da terzi, non un’autodichiarazione.
• Vantaggio competitivo: in molte gare d’appalto — soprattutto in IT, finanza e sanità — la certificazione è un requisito di ammissione o un criterio premiante.
• Continuità operativa: i controlli su backup, incident response e continuità riducono i tempi di fermo dopo un incidente.

Leggi anche: Concorsi a premi e GDPR: gli adempimenti sulla protezione dei dati

Come si ottiene la certificazione ISO/IEC 27001:2022?

Il percorso verso la certificazione segue passi definiti e richiede tipicamente da 6 a 12 mesi, in base alla dimensione dell’organizzazione e alla maturità dei controlli già in essere:

1. Gap analysis: si confronta lo stato attuale con i requisiti della norma per individuare le lacune.
2. Definizione del SGSI: si redigono politiche, procedure e la valutazione del rischio, e si selezionano i controlli applicabili dell’Annex A (documentati nella Dichiarazione di Applicabilità).
3. Implementazione e formazione: si applicano i controlli e si forma il personale, perché gran parte della sicurezza dipende dai comportamenti delle persone.
4. Audit interno: si verifica la conformità del sistema prima dell’esame esterno.
5. Audit di certificazione: un ente accreditato conduce l’audit in due fasi (documentale e sul campo) e, se l’esito è positivo, rilascia il certificato.

Il certificato ha validità triennale, con audit di sorveglianza annuali e un audit di rinnovo al terzo anno. In Italia l’accreditamento degli organismi di certificazione è gestito da Accredia, l’ente unico nazionale designato: verificare che l’organismo sia accreditato è essenziale, perché solo un certificato accreditato ha valore verso terzi.

La certificazione ISO/IEC 27001:2022 si ottiene attraverso gap analysis, definizione e implementazione del SGSI, formazione del personale, audit interno e audit di certificazione da parte di un ente accreditato. Il percorso richiede tipicamente 6-12 mesi. Il certificato è valido tre anni, con audit di sorveglianza annuali.

Perché scegliere un partner tecnologico già certificato?

Quando un’azienda affida dati a un fornitore — una piattaforma software, un gestore di campagne, un provider cloud — eredita di fatto il livello di sicurezza di quel fornitore. Scegliere un partner già certificato ISO/IEC 27001:2022 trasferisce a monte gran parte della gestione del rischio.

In Wexa gestiamo dati personali di migliaia di partecipanti a concorsi e iniziative promozionali. Per questo abbiamo scelto di ottenere e mantenere la certificazione ISO/IEC 27001:2022: significa che i controlli su accessi, cifratura, backup e gestione degli incidenti non sono promesse commerciali, ma processi verificati periodicamente da un ente terzo. Per i nostri clienti questo si traduce in un vantaggio pratico: quando devono dimostrare al proprio DPO o in una gara d’appalto che la catena di trattamento dei dati è sicura, il nostro certificato è parte della prova.

La domanda giusta da porre a qualsiasi fornitore, quindi, non è “siete sicuri?” ma “siete certificati ISO/IEC 27001:2022 da un ente accreditato, e il certificato è in corso di validità?”. La risposta, verificabile, dice molto più di qualsiasi dichiarazione generica.

Leggi anche: La piattaforma Wexa per la gestione dei concorsi a premi

FAQ

Qual è la differenza tra ISO 27001 e ISO 27001:2022?

“ISO 27001” indica lo standard in generale; “:2022” è l’edizione attualmente in vigore, che ha sostituito quella del 2013. La versione 2022 riduce i controlli dell’Annex A da 114 a 93, ne introduce 11 nuovi e li riorganizza in 4 categorie. Dal 31 ottobre 2025 solo i certificati riferiti alla :2022 sono validi.

La certificazione ISO 27001 è obbligatoria per legge?

No. La ISO/IEC 27001:2022 non è imposta da alcuna legge italiana o europea. È però spesso un requisito contrattuale, un criterio nelle gare d’appalto e uno strumento per dimostrare la conformità ad altre normative, come il GDPR (Regolamento UE 2016/679).

Quanto tempo serve per certificarsi?

In genere da 6 a 12 mesi, a seconda della dimensione dell’organizzazione e della maturità dei controlli già presenti. Il percorso comprende gap analysis, implementazione del sistema di gestione, formazione, audit interno e audit di certificazione da parte di un ente accreditato.

Cosa è successo ai certificati ISO 27001:2013?

Sono decaduti. Il periodo di transizione fissato dal documento IAF MD 26 è scaduto il 31 ottobre 2025: dopo quella data i certificati basati sulla versione 2013 non sono più validi. Un’organizzazione che non ha migrato in tempo deve affrontare un nuovo audit di certificazione iniziale.

Come verifico che un fornitore sia davvero certificato?

Chiedete il certificato e controllate tre elementi: che sia riferito all’edizione :2022, che sia in corso di validità (non scaduto) e che l’organismo che lo ha rilasciato sia accreditato (in Italia da Accredia). Solo un certificato accreditato ha valore verso terzi.

Conclusione

La ISO/IEC 27001:2022 non è un adempimento burocratico, ma il modo più riconosciuto per dimostrare che un’organizzazione gestisce la sicurezza delle informazioni con metodo. Con la scadenza del 31 ottobre 2025 ormai alle spalle, la versione 2022 è l’unico riferimento valido: 93 controlli, 4 categorie, un approccio orientato al rischio e alla conformità con il GDPR.

Wexa è certificata ISO/IEC 27001:2022 e gestisce i dati delle campagne promozionali con controlli verificati da un ente terzo. Se stai valutando un partner tecnologico e la sicurezza dei dati è una tua priorità, parla con il team Wexa: la certificazione è il punto di partenza della conversazione, non uno slogan.