Documenti obbligatori ISO 27001:2022: elenco per punto della norma
La ISO/IEC 27001:2022 richiede informazioni documentate per: il campo di applicazione del SGSI (4.3), la politica per la sicurezza delle informazioni (5.2), i processi di valutazione e trattamento del rischio e i relativi risultati (6.1.2, 6.1.3, 8.2, 8.3), la Dichiarazione di Applicabilità (6.1.3 d), gli obiettivi di sicurezza (6.2), le evidenze di competenza (7.2), la pianificazione operativa (8.1), i risultati di monitoraggio e misurazione (9.1), il programma e i risultati di audit interno (9.2), i risultati del riesame di direzione (9.3) e le non conformità e azioni correttive (10.2).
Informazioni documentate obbligatorie per punto
| Punto | Documento o registrazione | Tipo |
|---|---|---|
| 4.3 | Campo di applicazione del SGSI | Documento |
| 5.2 | Politica per la sicurezza delle informazioni | Documento |
| 6.1.2 | Processo di valutazione del rischio (metodologia) | Documento |
| 6.1.3 | Processo di trattamento del rischio e piano di trattamento | Documento |
| 6.1.3 d) | Dichiarazione di Applicabilità (SoA) | Documento |
| 6.2 | Obiettivi per la sicurezza delle informazioni | Documento |
| 7.2 | Evidenze della competenza del personale | Registrazione |
| 8.1 | Informazioni che dimostrano che i processi sono eseguiti come pianificato | Registrazione |
| 8.2 | Risultati delle valutazioni del rischio | Registrazione |
| 8.3 | Risultati del trattamento del rischio | Registrazione |
| 9.1 | Risultati di monitoraggio e misurazione | Registrazione |
| 9.2.2 | Programma di audit e risultati degli audit | Registrazione |
| 9.3.3 | Risultati dei riesami di direzione | Registrazione |
| 10.2 | Non conformità, azioni intraprese e risultati delle azioni correttive | Registrazione |
I documenti che decide l'organizzazione
Il punto 7.5.1 b) aggiunge tutte le informazioni documentate che l'organizzazione ritiene necessarie per l'efficacia del SGSI. In pratica si tratta di procedure (controllo dei documenti, audit interno, azioni correttive, gestione dei cambiamenti) e delle registrazioni operative che dimostrano che i controlli funzionano.
Documenti attesi per i controlli dell'Allegato A
Diversi controlli dell'Allegato A si dimostrano meglio con documenti. Non sono obbligatori di per sé, ma se il controllo è applicabile l'auditor si aspetterà evidenze come:
- Politiche specifiche: controllo degli accessi, uso accettabile, classificazione, fornitori, cloud, lavoro da remoto, backup, crittografia (5.1, 5.10, 5.12, 5.15, 5.19, 5.23, 6.7, 8.13, 8.24).
- Inventario delle informazioni e degli altri asset associati (5.9).
- Procedure operative documentate (5.37).
- Gestione degli incidenti di sicurezza delle informazioni (da 5.24 a 5.28).
- Requisiti legali, cogenti e contrattuali individuati (5.31).
- Sicurezza delle informazioni durante un'interruzione e prontezza ICT (5.29, 5.30).
SGSI e NIS2 in Italia
Con il recepimento della direttiva NIS2 (D.Lgs. 138/2024), molte organizzazioni italiane devono dimostrare misure di gestione del rischio informatico. Un SGSI documentato secondo la ISO/IEC 27001 aiuta a organizzare queste evidenze, ma non sostituisce la verifica degli obblighi specifici di legge. La certificazione è rilasciata da un organismo di certificazione accreditato, in Italia di norma da Accredia.
Come organizzare la documentazione
Una struttura semplice rende più facile l'audit: un indice principale con codice, versione, responsabile e data di revisione di ogni documento; cartelle per punto della norma (contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni, miglioramento) e una cartella con le politiche dell'Allegato A. Ciò che conta è che ogni documento sia approvato, sotto controllo di versione e disponibile per chi ne ha bisogno (punto 7.5.3).
Il kit NexoDocs in italiano
Il kit NexoDocs in italiano riunisce i documenti obbligatori, le politiche per i controlli dell'Allegato A, registri Excel con formule, un indice principale ed esempi compilati per un'azienda fittizia, ordinati per fase. Ogni documento va adattato alla propria organizzazione. Puoi provare gratis la matrice dei rischi ridotta (in inglese).
Domande frequenti
Quanti sono i documenti obbligatori della ISO 27001:2022?
Dipende da come si raggruppano: circa 14 voci di informazioni documentate richieste dai punti da 4 a 10, più quanto l'organizzazione ritiene necessario e quanto richiedono i controlli applicabili dell'Allegato A.
Le procedure sono obbligatorie?
La norma non richiede procedure con nomi precisi, ma richiede informazioni documentate sufficienti. La maggior parte delle organizzazioni documenta almeno controllo dei documenti, audit interno e azioni correttive.
Cosa è cambiato rispetto alla versione 2013?
È stata aggiunta la pianificazione delle modifiche (6.3) e l'Allegato A è passato da 114 a 93 controlli in 4 temi: Dichiarazione di Applicabilità e politiche vanno aggiornate.
Avere tutti i documenti garantisce la certificazione?
No. L'auditor verifica che i documenti siano applicati e che esistano evidenze; la certificazione è rilasciata da un organismo di certificazione dopo il suo audit.
Guide correlate
- Cos'è un SGSI e come si implementa con la ISO 27001?
- Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
- Valutazione dei rischi ISO 27001: cosa deve contenere la matrice
Aggiornato: 2026-10-20