Piano di trattamento dei rischi ISO 27001: cosa includere e come gestirlo
Il piano di trattamento dei rischi ISO 27001 registra cosa si farà per ogni rischio che non viene accettato così com'è: l'opzione scelta (mitigare, trasferire, evitare o accettare), i controlli o le azioni, il responsabile, la data concordata, l'avanzamento e il rischio residuo atteso. La ISO/IEC 27001:2022 lo richiede al punto 6.1.3, insieme all'approvazione del piano e all'accettazione del rischio residuo da parte dei proprietari del rischio; il punto 8.3 ne richiede l'attuazione, conservando le evidenze dei risultati.
Cosa richiede la ISO/IEC 27001:2022 per il trattamento del rischio
Il trattamento inizia dove finisce la valutazione del rischio (punto 6.1.2). In sintesi, il punto 6.1.3 chiede all'organizzazione di:
- scegliere per ogni rischio un'opzione di trattamento adeguata, in base ai risultati della valutazione;
- determinare i controlli necessari per attuare quell'opzione, da qualsiasi fonte;
- confrontare quei controlli con l'Appendice A, per non trascurare nessun controllo necessario;
- redigere la Dichiarazione di applicabilità con i controlli inclusi ed esclusi e la relativa giustificazione;
- formulare il piano di trattamento dei rischi;
- ottenere dai proprietari del rischio l'approvazione del piano e l'accettazione del rischio residuo.
Il punto 8.3 richiede di attuare il piano e di conservare informazioni documentate sui risultati. L'auditor quindi non verifica solo che il piano esista: verifica che le azioni avanzino, che ci siano evidenze e che qualcuno con autorità abbia approvato il rischio che rimane. Per i soggetti NIS2, il D.Lgs. 138/2024 recepisce le misure di gestione del rischio dell'art. 21 della direttiva: un piano di trattamento ben tenuto aiuta anche a documentarle.
Le colonne di un piano di trattamento dei rischi in Excel
La norma non prescrive un formato. Queste sono le colonne del piano di trattamento del kit NexoDocs (ISMS-RSK-03 Piano di trattamento dei rischi), pensate per seguire ogni riga dal registro dei rischi fino alla Dichiarazione di applicabilità:
| Colonna | A cosa serve |
|---|---|
| ID rischio e rischio | Lo stesso ID del registro dei rischi: collega valutazione, trattamento e Dichiarazione di applicabilità |
| Livello attuale | Il livello valutato nell'analisi, prima del trattamento |
| Opzione | Mitigare, Trasferire, Evitare o Accettare |
| Azione o controllo da attuare | Cosa si farà davvero, in una frase verificabile |
| Controlli Appendice A | I controlli collegati (per esempio A.5.17 e A.8.5 per le credenziali) |
| Responsabile e data concordata | Chi lo esegue ed entro quando |
| Stato e % avanzamento | Pianificato, In corso, Attuato, Accettato o Annullato; base del monitoraggio mensile |
| Impatto residuo e probabilità residua | La stima dopo l'applicazione dell'azione |
| Livello residuo e categoria residua | Calcolati automaticamente con gli stessi criteri della valutazione |
| Rischio residuo approvato da e data di approvazione | L'evidenza che il proprietario del rischio lo ha accettato |
| Budget o risorse | Cosa serve per rispettare la data |
| Risultato atteso / indicatore di efficacia | Come si saprà che ha funzionato (per esempio il 100% degli account con MFA) |
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)Le quattro opzioni di trattamento del rischio
| Opzione | Quando usarla | Esempio |
|---|---|---|
| Mitigare | Il rischio supera i criteri di accettazione ed esistono controlli ragionevoli | Rendere obbligatoria la MFA per ridurre il furto di credenziali |
| Trasferire | Un terzo può assorbire parte dell'impatto | Polizza cyber o contratto con il fornitore cloud |
| Evitare | L'attività non vale il rischio | Smettere di conservare dati delle carte sui propri server |
| Accettare | Il livello rientra nei criteri o trattarlo sarebbe sproporzionato | Rischio basso accettato dal proprietario, con data e firma |
Trasferire un rischio non elimina la responsabilità: l'organizzazione continua a rispondere a clienti e autorità e deve gestire il terzo. Nemmeno accettare significa «non fare nulla»: è una decisione documentata del proprietario del rischio, da riesaminare alla valutazione successiva.
Come valutare il rischio residuo
Il rischio residuo è ciò che resta dopo il trattamento. Valutatelo con la stessa scala della valutazione (nel kit, impatto per probabilità, ciascuno da 1 a 4) e confrontatelo con gli stessi criteri di accettazione. Per impostazione predefinita il kit usa: Medio da 6, Alto da 9 e Critico da 16; un rischio alto va trattato entro 3 mesi al massimo. Se il livello residuo resta sopra i criteri, aggiungete azioni oppure fatelo accettare esplicitamente dal proprietario, con una giustificazione.
Esempio dal kit compilato (NubeSur): il furto delle credenziali degli sviluppatori parte da un livello 12 (Alto). Con la MFA obbligatoria su repository, cloud ed email, l'impatto residuo è valutato 4 e la probabilità 1, il livello residuo è 4 (Basso) e il responsabile dello sviluppo lo approva con una data.
Il legame con la Dichiarazione di applicabilità
Sono due facce dello stesso lavoro. Il piano dice cosa si farà per ogni rischio; la Dichiarazione di applicabilità dice quali controlli dell'Appendice A sono inclusi o esclusi, perché e se sono attuati. Ogni controllo del piano dovrebbe comparire come incluso nella Dichiarazione, e ogni controllo incluso dovrebbe essere giustificato da un rischio, da un requisito legale o contrattuale o da una decisione dell'organizzazione.
Rilievi frequenti negli audit
- Azioni vaghe come «migliorare la sicurezza», senza un controllo preciso né una data.
- Responsabili generici («l'IT») invece di un ruolo o di una persona.
- Rischio residuo non valutato o non approvato dal proprietario del rischio.
- Date scadute senza una nuova data o una spiegazione.
- Controlli del piano assenti dalla Dichiarazione di applicabilità, o viceversa.
- Un piano non aggiornato dopo una nuova valutazione del rischio.
Modello: il piano di trattamento dei rischi del kit ISO 27001
Il piano di trattamento del kit ISO 27001 di NexoDocs in italiano è una cartella Excel senza macro con le colonne di questa guida, menu a tendina per opzione e stato, livello e categoria residui calcolati automaticamente secondo i criteri approvati (foglio «Criteri») e un esempio completo di un'azienda fittizia. È collegato alla metodologia di valutazione del rischio, al registro dei rischi e alla Dichiarazione di applicabilità del kit.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
Il piano di trattamento dei rischi è obbligatorio nella ISO 27001?
Sì. Il punto 6.1.3 richiede di formularlo e conservarlo come informazione documentata, e il punto 8.3 ne richiede l'attuazione conservando i risultati.
Chi approva il piano di trattamento dei rischi?
I proprietari del rischio. Approvano il piano e accettano il rischio residuo; registrate in ogni riga il nome o il ruolo e la data.
Si possono accettare rischi alti?
La norma lo consente se il proprietario del rischio prende una decisione informata e documentata, ma l'auditor si aspetterà una giustificazione chiara e un riesame periodico. Nei criteri del kit è previsto solo in via eccezionale, con l'approvazione dell'alta direzione.
Ogni quanto si aggiorna il piano?
A ogni cambiamento della valutazione del rischio e nel normale monitoraggio del SGSI; in pratica, un controllo mensile dell'avanzamento e un riesame completo almeno una volta l'anno.
Un modello garantisce di superare l'audit?
No. La certificazione dipende da come è attuato il SGSI e dall'audit di un organismo di certificazione; un buon modello organizza il lavoro e lascia evidenze chiare.
Guide correlate
Valutazione dei rischi ISO 27001: cosa deve contenere la matrice
Cosa richiede la ISO/IEC 27001:2022 per la valutazione del rischio, le colonne di una matrice dei rischi e come calcolare il livello. Campione gratuito.
Leggi la guida →Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
Cosa deve contenere la Dichiarazione di Applicabilità ISO/IEC 27001:2022 per i 93 controlli, come giustificare le esclusioni, errori tipici. Con modello Excel.
Leggi la guida →Gap analysis ISO 27001: quanto è distante il vostro SGSI dalla norma?
Gap analysis ISO/IEC 27001:2022: 29 domande sui punti 4-10, i 93 controlli dell'Appendice A, come assegnare il punteggio con semaforo e cosa fare dopo.
Leggi la guida →Aggiornato: 2026-10-29