ISO 27001 vs SOC 2: differenze e quale serve alla tua azienda (e la qualificazione cloud ACN)
ISO/IEC 27001:2022 è una norma internazionale per un sistema di gestione della sicurezza delle informazioni (SGSI): un organismo di certificazione accreditato (in Italia da Accredia) lo verifica e rilascia un certificato valido 3 anni, con audit di sorveglianza annuali. SOC 2 è un quadro di attestazione dell'AICPA, l'associazione dei revisori statunitensi: una società di revisione CPA indipendente esamina i tuoi controlli rispetto ai Trust Services Criteria ed emette un report con un giudizio, non un certificato. I clienti negli Stati Uniti, soprattutto per software e servizi cloud, chiedono spesso SOC 2; in Italia e in Europa è più diffusa ISO 27001 e, per i servizi cloud alla Pubblica Amministrazione, serve la qualificazione dell'ACN. Gran parte del lavoro si sovrappone (rischi, politiche, accessi, incidenti, fornitori, evidenze).
Le differenze principali in sintesi
| Aspetto | ISO/IEC 27001:2022 | SOC 2 |
|---|---|---|
| Che cos'è | Norma internazionale per un sistema di gestione (SGSI) | Report di attestazione sui controlli di un fornitore di servizi |
| Chi lo rilascia | Organismo di certificazione accreditato | Società di revisione CPA indipendente (standard AICPA) |
| Risultato | Certificato pubblico e verificabile | Report con il giudizio del revisore, di solito condiviso sotto NDA |
| Requisiti | Capitoli 4-10 + Allegato A (93 controlli) tramite la Dichiarazione di applicabilità | Trust Services Criteria: Sicurezza (sempre) + Disponibilità, Integrità dell'elaborazione, Riservatezza e Privacy se scelti |
| Dimensione temporale | Certificato per 3 anni, sorveglianza annuale | Type 1: a una data; Type 2: su un periodo |
| Dove viene richiesto | In tutto il mondo, gare, Europa | Soprattutto clienti statunitensi di SaaS e cloud |
SOC 2 Type 1 e Type 2
Un report Type 1 esprime un giudizio sull'adeguatezza della progettazione dei controlli a una data precisa. Un report Type 2 verifica anche che abbiano funzionato efficacemente durante un periodo concordato con il revisore, di solito diversi mesi. Chi chiede SOC 2 si aspetta normalmente un Type 2; il Type 1 è spesso un primo passo mentre si accumulano le evidenze.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001Dove il lavoro si sovrappone
Gran parte di ciò che produce un progetto ISO 27001 vale anche come evidenza per un esame SOC 2:
- Valutazione e trattamento dei rischi (punti 6.1.2 e 6.1.3; criteri di rischio SOC 2 CC3).
- Politiche e ruoli (capitolo 5; controlli 5.1-5.4; ambiente di controllo SOC 2 CC1).
- Controllo degli accessi, autenticazione e revisione delle utenze (controlli 5.15-5.18 e 8.2-8.5; SOC 2 CC6).
- Gestione degli incidenti (controlli 5.24-5.28; SOC 2 CC7).
- Gestione delle modifiche (controllo 8.32; SOC 2 CC8) e dei fornitori (controlli 5.19-5.22; SOC 2 CC9).
- Audit interno e monitoraggio (punti 9.1 e 9.2; SOC 2 CC4).
Cosa non si trasferisce in automatico: SOC 2 richiede una descrizione del sistema secondo i criteri di descrizione dell'AICPA, e la società di revisione verifica campioni di evidenze lungo il periodo. ISO 27001 richiede invece elementi del sistema di gestione che SOC 2 non chiede allo stesso modo, come la Dichiarazione di applicabilità, gli obiettivi di sicurezza e il riesame della direzione. L'AICPA pubblica una tabella ufficiale di corrispondenza tra Trust Services Criteria e ISO 27001.
Il caso italiano: la qualificazione cloud dell'ACN
Chi vende servizi cloud (IaaS, PaaS o SaaS) alla Pubblica Amministrazione italiana deve ottenere la qualificazione dell'Agenzia per la cybersicurezza nazionale (ACN), che ha preso il posto di AgID in questo ruolo. Il Regolamento unico per le infrastrutture e i servizi cloud per la PA è in regime ordinario dal 1° agosto 2024 e collega i requisiti alla classificazione di dati e servizi della PA in ordinari, critici e strategici: più alto il livello, più stringenti i requisiti. Per un fornitore privato una certificazione ISO 27001 è una base solida per preparare la qualificazione, ma non la sostituisce, e lo stesso vale per un report SOC 2. Le domande si presentano dal portale servizi dell'ACN.
Da quale iniziare
| La tua situazione | Primo passo abituale |
|---|---|
| Vendi software o servizi cloud ad aziende statunitensi che chiedono SOC 2 | SOC 2 (Type 1, poi Type 2) |
| Vendi in Italia ed Europa o partecipi a gare | ISO 27001 |
| Vuoi vendere servizi cloud alla PA italiana | ISO 27001 come base e qualificazione ACN |
| Nessun cliente chiede ancora nessuno dei due | Impostare le basi del SGSI (rischi, politiche, accessi, backup) e decidere quando arriva un requisito reale |
Chiedi ai clienti che cosa richiedono davvero: alcuni questionari di sicurezza accettano più evidenze, altri ne indicano una nel contratto.
Cambiamento in arrivo: la bozza dei criteri 2027
Il 28 ottobre 2026 l'AICPA ha pubblicato una bozza di aggiornamento dei criteri SOC 2: accorpa criteri che si sovrappongono, ne aggiunge altri e introduce punti di attenzione sull'intelligenza artificiale. I commenti sono aperti fino al 15 gennaio 2027; se approvati, i nuovi criteri si applicherebbero agli incarichi che iniziano dal 31 dicembre 2027, con adozione anticipata consentita. Se il tuo servizio usa l'IA, ISO/IEC 42001 copre quel sistema di gestione.
Come aiuta il kit ISO 27001 di NexoDocs
Il kit ISO 27001 di NexoDocs contiene i documenti del SGSI in Word ed Excel modificabili: metodologia e matrice di valutazione dei rischi, piano di trattamento, Dichiarazione di applicabilità con i 93 controlli, politiche dell'Allegato A, programma e checklist di audit interno e una gap analysis. Per SOC 2 o per la qualificazione ACN sono la base di politiche, rischi ed evidenze, ma il kit non contiene la descrizione del sistema SOC 2 né i requisiti ACN e non sostituisce alcun esame. Nessun kit o consulente può promettere un certificato o un giudizio senza rilievi: dipende dal funzionamento dei controlli e dal revisore.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
SOC 2 è una certificazione?
No. SOC 2 è un'attestazione: una società di revisione CPA emette un report con il suo giudizio sui controlli. Il certificato è quello ISO 27001, rilasciato da un organismo accreditato.
ISO 27001 sostituisce SOC 2?
Non automaticamente. Alcuni clienti accettano ISO 27001 al posto di SOC 2, altri chiedono il report per contratto. Il lavoro si sovrappone molto, quindi il secondo costa molto meno del primo.
Per vendere cloud alla PA basta ISO 27001?
No. Serve la qualificazione dell'ACN secondo il Regolamento unico per il cloud della PA; ISO 27001 aiuta a preparare i requisiti ma non la sostituisce.
Un'azienda italiana può ottenere un report SOC 2?
Sì. L'esame è svolto da una società di revisione secondo gli standard AICPA; molte lavorano con organizzazioni fuori dagli Stati Uniti.
Quali Trust Services Criteria sono obbligatori?
La Sicurezza (i criteri comuni) è sempre inclusa. Disponibilità, Integrità dell'elaborazione, Riservatezza e Privacy si aggiungono in base a ciò che prometti ai clienti.
Guide correlate
Cos'è un SGSI e come si implementa con la ISO 27001?
SGSI: cos'è il sistema di gestione della sicurezza delle informazioni, cosa richiede la ISO/IEC 27001:2022, quali documenti servono e come si certifica.
Leggi la guida →Gap analysis ISO 27001: quanto è distante il vostro SGSI dalla norma?
Gap analysis ISO/IEC 27001:2022: 29 domande sui punti 4-10, i 93 controlli dell'Appendice A, come assegnare il punteggio con semaforo e cosa fare dopo.
Leggi la guida →Documenti obbligatori ISO 27001:2022: elenco per punto della norma
Le informazioni documentate richieste dalla ISO/IEC 27001:2022 punto per punto (politica, rischi, SoA, obiettivi, audit) e i documenti attesi per l'Allegato A.
Leggi la guida →Aggiornato: 2026-10-30