ISO 27001 per PMI e startup: un SGSI snello ma solido
Una startup o una PMI può attuare la ISO/IEC 27001:2022 con un SGSI snello: i requisiti sono uguali per ogni dimensione, ma il modo di soddisfarli si adatta. I punti da 4 a 10 non si possono escludere (contesto, leadership, rischi, supporto, attività operative, valutazione e miglioramento); i controlli dell'Allegato A li sceglie la valutazione dei rischi e ogni esclusione va giustificata nella dichiarazione di applicabilità. In un'azienda di 5-50 persone contano un campo di applicazione stretto e chiaro (spesso il prodotto e la piattaforma cloud), un responsabile del SGSI con tempo reale e sostegno della direzione, misure compensative dove ci sono troppe poche persone per separare i compiti e un buon uso dei controlli dei fornitori cloud. Anche la durata dell'audit si adatta: gli organismi di certificazione la stabiliscono soprattutto in base al numero di persone nel campo di applicazione.
Cosa non cambia con la dimensione
- Tutti i punti da 4 a 10: contesto e campo di applicazione, leadership e politica, valutazione e trattamento dei rischi, competenza e consapevolezza, attività operative, monitoraggio, audit interno, riesame di direzione e miglioramento continuo.
- Le informazioni documentate obbligatorie (campo di applicazione, politica, metodo di valutazione dei rischi, dichiarazione di applicabilità, piano di trattamento dei rischi, obiettivi, registrazioni di competenze, monitoraggio, audit interno e riesame di direzione).
- Evidenze che i controlli funzionano da un po' di tempo prima dell'audit di certificazione, non solo documenti approvati.
Cosa si può snellire
| Ambito | Come lo risolve di solito una piccola azienda |
|---|---|
| Campo di applicazione (punto 4.3) | Limitarlo a ciò che chiedono i clienti, per esempio il prodotto, la sua piattaforma cloud e le persone che lo gestiscono |
| Ruoli (5.3 e controllo 5.2) | Un responsabile del SGSI (spesso CTO o COO) e un piccolo comitato con i fondatori; responsabilità in una tabella RACI |
| Separazione dei compiti (controllo 5.3) | Se mancano persone, compensare con registrazione, allarmi, revisione delle modifiche da parte di un collega e verifica periodica della direzione, registrando la decisione nella valutazione dei rischi |
| Cloud (controllo 5.23) | Usare il modello di responsabilità condivisa e i report del fornitore; la vostra parte sono configurazione, accessi, backup e monitoraggio |
| Sicurezza fisica (controlli 7.1-7.14) | Con lavoro da remoto o coworking molti riguardano i data center del fornitore e i portatili; giustificate le esclusioni nella dichiarazione di applicabilità |
| Lavoro da remoto (controllo 6.7) | Regole brevi su dispositivi, cifratura del disco, blocco dello schermo e rete domestica |
| Audit interno (9.2) | Da una persona formata che non verifica il proprio lavoro, oppure da un auditor esterno per pochi giorni |
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)Errori comuni nelle piccole aziende
- Copiare campo di applicazione e controlli di una grande azienda e ritrovarsi con politiche che nessuno segue.
- Escludere controlli dell'Allegato A senza una giustificazione legata alla valutazione dei rischi.
- Lasciare il SGSI a una persona senza tempo né autorità: il piano si ferma alla prima scadenza.
- Scrivere i documenti e avviare l'audit senza mesi di registrazioni (riesami degli accessi, backup verificati, incidenti, indicatori).
- Pensare che il certificato del fornitore cloud copra la vostra azienda: copre la sua parte, non la vostra configurazione né le vostre persone.
Un piano realistico per 5-50 persone
- Fare una gap analysis rispetto ai punti e ai 93 controlli dell'Allegato A per capire dove siete davvero.
- Concordare con i fondatori un campo di applicazione stretto e nominare il responsabile del SGSI.
- Fare la valutazione dei rischi con chi conosce prodotto e infrastruttura e ricavarne trattamento e dichiarazione di applicabilità.
- Attuare prima le priorità tecniche: MFA, riesami degli accessi, backup verificati, registrazione e allarmi, configurazione sicura del cloud.
- Far funzionare i controlli e raccogliere evidenze per alcuni mesi, fare audit interno e riesame di direzione, poi prenotare fase 1 e fase 2.
Il piano di riferimento NexoDocs arriva alla fase 2 in circa 30 settimane per 20-100 persone; un team molto piccolo con un campo stretto è più rapido nella documentazione, ma non nel tempo che i controlli devono funzionare.
In Italia: primi passi e NIS2
Per le piccole imprese italiane un primo passo utile sono i Controlli essenziali di cybersecurity del Framework nazionale per la cybersecurity e la data protection, pensati proprio per le PMI: non sostituiscono un certificato ISO 27001 quando un cliente lo chiede, ma preparano la base. Il D.Lgs. 138/2024 (NIS2) riguarda in linea generale le medie e grandi imprese dei settori elencati (da 50 dipendenti o oltre certe soglie di fatturato e bilancio), con alcune eccezioni indipendenti dalla dimensione; una piccola azienda è spesso coinvolta indirettamente come fornitore di un soggetto NIS2. Verificate il vostro caso sul portale dell'ACN. Non è consulenza legale.
Modello: il kit ISO 27001 per un SGSI snello
Il kit ISO 27001 NexoDocs in italiano dà a un piccolo team i documenti già strutturati in Word ed Excel modificabili, con un esempio completo: gap analysis (ISMS-GAP-01), piano di progetto con Gantt (ISMS-PRJ-01), metodo e matrice dei rischi, piano di trattamento (ISMS-RSK-03), dichiarazione di applicabilità con i 93 controlli, politiche dell'Allegato A e programma di audit interno. Li adattate al vostro campo di applicazione invece di partire da zero; il kit non sostituisce il funzionamento dei controlli né l'audit dell'organismo di certificazione, e nessun kit può assicurare il risultato.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
La ISO 27001 conviene a una startup?
Sì quando la chiedono clienti o gare, o quando i questionari di sicurezza rallentano le vendite. Se ancora nessuno la chiede, costruire le basi (rischi, accessi, backup, incidenti) vi prepara già.
Un'azienda di 5 persone può certificarsi?
Sì. La norma non ha una dimensione minima. Valgono gli stessi punti e l'audit è più breve, perché dipende soprattutto dal numero di persone nel campo di applicazione.
Quali controlli dell'Allegato A può escludere una piccola azienda?
Qualsiasi controllo, se la valutazione dei rischi mostra che non serve e l'esclusione è giustificata nella dichiarazione di applicabilità. I punti da 4 a 10 non si possono escludere.
Serve una persona dedicata a tempo pieno alla sicurezza?
Di solito no. Serve un responsabile con ore dedicate ogni settimana e il sostegno della direzione; alcune attività, come l'audit interno, si possono esternalizzare.
Guide correlate
Quanto costa la ISO 27001? Kit, consulente o software
Quanto costa la ISO 27001 in una PMI: audit di certificazione, consulente, software di compliance o kit di modelli a confronto, e quando conviene ciascuno.
Leggi la guida →Quanto tempo serve per la ISO 27001? Piano di progetto in 8 fasi per PMI
Quanto tempo serve per implementare e certificare ISO/IEC 27001:2022 in una PMI: le 8 fasi settimana per settimana, cosa allunga i tempi e come accorciarli bene.
Leggi la guida →Gap analysis ISO 27001: quanto è distante il vostro SGSI dalla norma?
Gap analysis ISO/IEC 27001:2022: 29 domande sui punti 4-10, i 93 controlli dell'Appendice A, come assegnare il punteggio con semaforo e cosa fare dopo.
Leggi la guida →Aggiornato: 2026-10-30