Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
La Dichiarazione di Applicabilità (in inglese Statement of Applicability, SoA) è il documento obbligatorio della ISO/IEC 27001:2022 che elenca i 93 controlli dell'Allegato A e indica, per ciascuno, se è necessario, perché è incluso o escluso e se è attuato. La richiede il punto 6.1.3 d) e collega il risultato della valutazione del rischio ai controlli che l'organizzazione applica davvero.
Cosa richiede la norma nella Dichiarazione di Applicabilità?
Secondo il punto 6.1.3 d), l'organizzazione deve produrre una Dichiarazione di Applicabilità che contenga:
- I controlli necessari, determinati con il trattamento del rischio.
- La giustificazione della loro inclusione.
- Se tali controlli sono attuati o no.
- La giustificazione dell'esclusione di qualsiasi controllo dell'Allegato A.
I controlli necessari possono provenire dall'Allegato A o da altre fonti, come requisiti dei clienti o normativi. L'Allegato A serve a verificare che nessun controllo necessario sia stato trascurato.
Colonne consigliate della SoA
| Colonna | Contenuto |
|---|---|
| Controllo | Numero e nome del controllo dell'Allegato A (da 5.1 a 8.34) |
| Tema | Organizzativo, persone, fisico o tecnologico |
| Applicabile? | Sì / No |
| Giustificazione | Rischio trattato, requisito legale, contrattuale o di business; oppure motivo dell'esclusione |
| Stato di attuazione | Attuato, parziale, pianificato o non attuato |
| Riferimento | Politica, procedura o evidenza che supporta il controllo |
| Responsabile | Chi mantiene il controllo |
| Rischi collegati | Codici della matrice dei rischi trattati dal controllo |
I 93 controlli dell'Allegato A in 4 temi
| Tema | Intervallo | Controlli |
|---|---|---|
| Organizzativi | 5.1 – 5.37 | 37 |
| Persone | 6.1 – 6.8 | 8 |
| Fisici | 7.1 – 7.14 | 14 |
| Tecnologici | 8.1 – 8.34 | 34 |
Come si giustifica un'esclusione?
Un'esclusione è valida quando il controllo non serve a trattare alcun rischio individuato né a rispettare requisiti legali o contrattuali. Per esempio, un'azienda senza sviluppo software interno può escludere i controlli di sviluppo sicuro spiegando che non sviluppa software e che i suoi fornitori sono coperti dai controlli sui rapporti con i fornitori. La giustificazione deve essere concreta: scrivere solo «non applicabile» è una non conformità frequente.
Passi per costruire la SoA
- Completare la valutazione del rischio e decidere come trattare ogni rischio.
- Determinare i controlli necessari per quel trattamento.
- Confrontarli con i 93 controlli dell'Allegato A e segnare quelli applicabili.
- Scrivere la giustificazione di inclusione o esclusione di ogni controllo.
- Registrare lo stato di attuazione e l'evidenza di ogni controllo.
- Far approvare il piano di trattamento e accettare i rischi residui dai responsabili dei rischi.
- Rivedere la SoA a ogni modifica di rischi, campo di applicazione o controlli.
Errori frequenti
- Segnare tutti i controlli come applicabili senza collegamento ai rischi.
- Escludere controlli senza una giustificazione concreta.
- Dichiarare controlli attuati senza evidenze.
- Usare l'elenco di 114 controlli della versione 2013 in una SoA 2022.
- Non aggiornare la SoA dopo modifiche al campo di applicazione o alla valutazione del rischio.
Modello di Dichiarazione di Applicabilità
Il kit NexoDocs in italiano include una SoA in Excel con i 93 controlli della ISO/IEC 27001:2022, elenchi a discesa per applicabilità e stato, colonne per giustificazione, evidenza e responsabile e un riepilogo automatico per tema, oltre a un esempio compilato per un'azienda fittizia. Puoi scaricare gratis la matrice dei rischi ridotta (in inglese) per provare il formato.
Domande frequenti
La Dichiarazione di Applicabilità è obbligatoria?
Sì. La ISO/IEC 27001:2022 la richiede al punto 6.1.3 d) ed è uno dei primi documenti che l'auditor esamina durante la certificazione.
Quanti controlli deve contenere la SoA?
Deve considerare tutti i 93 controlli dell'Allegato A della versione 2022, indicando per ciascuno se si applica e perché. Può includere anche controlli aggiuntivi da altre fonti.
Si possono escludere controlli dell'Allegato A?
Sì, quando non servono a trattare i rischi né a rispettare requisiti legali o contrattuali. Ogni esclusione richiede una giustificazione concreta.
Chi approva la Dichiarazione di Applicabilità?
Di solito l'alta direzione o il responsabile del SGSI. La norma richiede inoltre che i responsabili dei rischi approvino il piano di trattamento e accettino i rischi residui.
Guide correlate
- Cos'è un SGSI e come si implementa con la ISO 27001?
- Documenti obbligatori ISO 27001:2022: elenco per punto della norma
- Valutazione dei rischi ISO 27001: cosa deve contenere la matrice
Aggiornato: 2026-10-20