Quanto tempo serve per la ISO 27001? Piano di progetto in 8 fasi per PMI
In un'azienda da 20 a 100 persone, implementare un SGSI secondo ISO/IEC 27001:2022 e arrivare all'audit di certificazione richiede di solito da 4 a 9 mesi. Il piano di riferimento del kit NexoDocs arriva all'audit di certificazione fase 2 nella settimana 30 (circa 7 mesi): 2 settimane di preparazione, 2 di contesto e campo di applicazione, 6 dedicate ai rischi, circa 8 di attuazione dei controlli e circa 12 di attività operative con evidenze (in parte in parallelo all'attuazione), poi audit interno e riesame di direzione prima della fase 1. A pesare di più sui tempi non è la stesura dei documenti, ma la disponibilità delle persone e il tempo in cui i controlli devono funzionare prima di poter essere verificati.
Le 8 fasi e la loro durata
Queste sono le fasi del piano di progetto con diagramma di Gantt del kit ISO 27001 NexoDocs in italiano (ISMS-PRJ-01 Piano di progetto SGSI, foglio «Piano»). Le settimane sono indicative per 20-100 persone e si ricalcolano appena inserite la data di inizio del progetto:
| Fase | Cosa succede | Settimane del piano |
|---|---|---|
| 1 · Preparazione | Autovalutazione dei gap, business case e sponsorizzazione, nomina del Responsabile SGSI e del Comitato per la sicurezza | 1-2 |
| 2 · Contesto e campo di applicazione | Contesto (compreso il cambiamento climatico, emendamento del 2024), parti interessate, campo di applicazione e mappa dei processi | 3-4 |
| 3 · Politica e obiettivi | Approvare la politica per la sicurezza delle informazioni e gli obiettivi | 5 |
| 4 · Rischi | Inventario degli asset, metodologia, workshop di valutazione del rischio, piano di trattamento e Dichiarazione di applicabilità | 5-10 |
| 5 · Implementazione | Politiche relative all'Appendice A, controlli tecnici prioritari, fornitori e cloud, sensibilizzazione, controllo dei documenti | 10-17 |
| 6 · Attività operative e misurazione | Gestire i controlli, registrare evidenze e incidenti, misurare gli indicatori, Comitato bimestrale | 14-25 |
| 7 · Audit interno | Audit interno completo, azioni correttive e riesame di direzione | 24-27 |
| 8 · Certificazione | Selezionare e incaricare un organismo di certificazione accreditato (dalla settimana 20), audit fase 1 e fase 2 | 20-30 |
Le fasi 5 e 6 si sovrappongono di proposito: ogni controllo inizia a produrre evidenze appena è attivo, senza aspettare gli altri. Per questo il piano non è una semplice somma di fasi in sequenza.
Perché non bastano poche settimane
I documenti possono essere pronti in poche settimane, soprattutto partendo da modelli. Quello che non si può accelerare molto è ciò che l'auditor vuole vedere in funzione:
- Registrazioni operative: la prova che i controlli sono applicati (riesami degli accessi, backup provati, incidenti registrati), non solo politiche approvate.
- Monitoraggio e misurazione (punto 9.1): indicatori misurati per almeno qualche ciclo.
- Un audit interno completo (9.2) e un riesame di direzione (9.3), con azioni correttive avviate, prima dell'audit di certificazione.
- Una sensibilizzazione (7.3) che raggiunga tutte le persone nel campo di applicazione, non solo l'IT.
- Il calendario dell'organismo di certificazione, da prenotare con alcune settimane di anticipo.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)Cosa allunga o accorcia il progetto
| Fattore | Effetto sui tempi |
|---|---|
| Campo di applicazione ampio (più sedi, molti sistemi o servizi) | Allunga il lavoro sui rischi, l'implementazione e gli audit |
| Tempo a disposizione del Responsabile SGSI | Con meno di un giorno alla settimana, il piano si allunga di diversi mesi |
| Sponsorizzazione reale dell'alta direzione | Senza di essa si fermano approvazioni, budget e cambiamenti dei processi |
| Controlli tecnici mancanti (MFA, backup provati, registrazione dei log) | Di solito il tratto più lungo dell'implementazione |
| Un altro sistema di gestione ISO già attivo (per esempio ISO 9001) | Accorcia i punti da 4 a 10 (documenti, audit interno, riesame di direzione) |
| Partire da modelli con un esempio compilato | Accorcia la stesura; non sostituisce le attività operative né le evidenze |
Certificazione in Italia: cosa incide sui tempi
Per un certificato riconosciuto, scegliete un organismo di certificazione accreditato per ISO/IEC 27001 da Accredia (o da un altro ente di accreditamento firmatario degli accordi europei); prevedete il tempo per confrontare le offerte e concordare le date, nel kit dalla settimana 20. Se la vostra azienda rientra nel D.Lgs. 138/2024 che recepisce la NIS2, gli obblighi verso l'ACN seguono scadenze proprie, indipendenti dal piano di progetto.
Come stimare i vostri tempi
- Fate una gap analysis: la percentuale per punto della norma e per tema dell'Appendice A mostra quanto lavoro c'è davvero.
- Concordate il campo di applicazione con l'alta direzione: è la decisione che cambia di più i tempi.
- Inserite la data di inizio nel piano e adattate la durata delle attività dove la gap analysis è in rosso.
- Riservate fin dal primo giorno il periodo di attività operative con evidenze e l'audit interno: sono le parti più spesso sottovalutate.
- Verificate l'avanzamento ogni due settimane e spostate le date in base ai dati, non all'ottimismo.
Modello: il piano di progetto del kit ISO 27001
Il kit ISO 27001 NexoDocs in italiano include il piano di progetto SGSI ISMS-PRJ-01: un file Excel senza macro con le 23 attività delle 8 fasi già inserite, un responsabile proposto (dal foglio «CONFIGURAZIONE»), settimana di inizio e durata, un diagramma di Gantt che si ricalcola dalla data di inizio, lo stato automatico di ogni attività (In attesa, In corso, In ritardo, Completato) e l'avanzamento complessivo ponderato per durata. La prima attività è l'autovalutazione dei gap ISMS-GAP-01 dello stesso kit, e ogni attività indica il documento del kit che utilizza.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
Si può ottenere la certificazione ISO 27001 in 3 mesi?
È raro. Con un campo di applicazione molto ristretto, controlli tecnici già attivi e un forte impegno interno ci si può avvicinare, ma l'audit di certificazione richiede evidenze di funzionamento, un audit interno e un riesame di direzione già completati.
Quanto tempo passa tra la fase 1 e la fase 2?
Lo decide l'organismo di certificazione. In pratica qualche settimana, per correggere quanto emerso nella fase 1; il piano di riferimento ne prevede due.
Quante ore interne servono?
Dipende dal campo di applicazione. Come riferimento, il Responsabile SGSI dedica al progetto una parte importante della settimana, mentre i responsabili dei processi e l'IT partecipano ai workshop e all'attuazione dei controlli.
L'edizione 2022 cambia i tempi?
Non in modo sostanziale. L'edizione 2022 ha riorganizzato l'Appendice A in 93 controlli e ne ha aggiunti alcuni nuovi, che di solito richiedono lavoro tecnico in più alle organizzazioni che arrivano dall'edizione 2013.
Un kit di modelli basta per chiudere nei tempi?
No. Un kit accorcia la stesura e organizza il lavoro, ma i tempi dipendono dal campo di applicazione, dal tempo interno e da quanto ci mettono i controlli a produrre evidenze.
Guide correlate
Gap analysis ISO 27001: quanto è distante il vostro SGSI dalla norma?
Gap analysis ISO/IEC 27001:2022: 29 domande sui punti 4-10, i 93 controlli dell'Appendice A, come assegnare il punteggio con semaforo e cosa fare dopo.
Leggi la guida →Quanto costa la ISO 27001? Kit, consulente o software
Quanto costa la ISO 27001 in una PMI: audit di certificazione, consulente, software di compliance o kit di modelli a confronto, e quando conviene ciascuno.
Leggi la guida →Checklist di audit interno ISO 27001: struttura, rilievi e modello
Checklist di audit interno ISO/IEC 27001:2022: punti da 4 a 10 e 93 controlli dell'Appendice A, come classificare i rilievi e quali evidenze chiedere.
Leggi la guida →Aggiornato: 2026-10-29