Un certificato ISO 27001 aiuta comprovabilmente nell'adempimento degli obblighi di gestione della sicurezza previsti dalla Direttiva (EU) 2022/2555, ma non li copre completamente. La norma descrive come un'organizzazione affronta sistematicamente la sicurezza delle informazioni attraverso un sistema di gestione; la Direttiva (EU) 2022/2555 (in particolare l'articolo 21) descrive quali misure concrete deve adottare un'entità essenziale o importante, e l'articolo 23 obbliga alla segnalazione degli incidenti a un'autorità di vigilanza. Quest'ultimo aspetto non è disciplinato da nessuna norma ISO, indipendentemente da quanto sia buono il certificato.
La differenza non sta quindi nella qualità ma nello scopo. ISO 27001 è una norma volontaria che un'organizzazione può far certificare per dimostrare di avere la sicurezza delle informazioni in ordine. La Direttiva (EU) 2022/2555 è una normativa con obblighi legali di gestione della sicurezza, un obbligo di registrazione e un obbligo di segnalazione, attuati in ciascun paese — nei Paesi Bassi tramite la Cybersecurity Act. Un'azienda può quindi essere certificata ISO 27001 e comunque dover intraprendere ulteriori azioni per rispettare gli obblighi legali, e viceversa un'azienda può lavorare sul rispetto degli obblighi di gestione della sicurezza senza mai voler ottenere un certificato.
Dove si sovrappongono
ISO 27001 funziona con una valutazione dei rischi e un elenco di misure di gestione (il cosiddetto Allegato A) che assomigliano molto alle dieci misure citate dagli obblighi di gestione della sicurezza della Direttiva (EU) 2022/2555: controllo degli accessi, crittografia, backup, valutazione dei fornitori, gestione degli incidenti e altri ricorrono in entrambi. Un'organizzazione che mantiene seriamente il suo sistema ISO già dispone di documentazione e responsabilità per molte di queste misure. Questo riduce considerevolmente il lavoro nella costruzione di un fascicolo per l'adempimento degli obblighi di gestione della sicurezza, ed è anche il motivo per cui i clienti che inviano questionari sulla sicurezza considerano spesso un certificato ISO 27001 come un segnale forte.
L'ambito di applicazione è però leggermente diverso. ISO 27001 permette a un'organizzazione di determinare autonomamente l'ambito del sistema di gestione — ad esempio solo il reparto IT o solo una sede. L'obbligo di gestione della sicurezza della Direttiva (EU) 2022/2555 si applica all'intera entità soggetta alla legge, come delimitata dal legislatore e dal settore. Un certificato con ambito limitato non dice quindi automaticamente nulla sul resto dell'organizzazione. Chi vuole verificare come questa delimitazione si applica al proprio settore, la trova presentata in modo più chiaro visitando la ricerca per argomenti per situazione piuttosto che nella norma stessa.
Dove ISO 27001 non disciplina nulla
Due obblighi della legge non hanno equivalenti nella norma. Il primo è l'obbligo di registrazione: le entità essenziali e importanti devono registrarsi presso l'autorità di vigilanza nazionale, con dati sull'organizzazione e i suoi contatti. ISO 27001 non chiede nulla al riguardo — è una norma di certificazione, non uno sportello legale.
Il secondo è l'obbligo di segnalare gli incidenti. L'articolo 23 della direttiva descrive un processo graduale di segnalazione all'autorità di vigilanza competente, con un primo avviso poco dopo la scoperta e ulteriori passaggi successivamente. ISO 27001 richiede sì un processo di gestione degli incidenti, ma tale processo è orientato internamente: descrive come un'organizzazione affronta essa stessa un incidente, non a chi e quando deve segnalarlo esternamente. Chi vuole comprendere chiaramente questa differenza può leggere la strutturazione di questi termini nel precedente articolo sull'obbligo di segnalazione su questo sito.
Anche il modo in cui vengono valutati i fornitori varia in termini di peso. ISO 27001 presta attenzione alle relazioni con i fornitori come parte della più ampia valutazione dei rischi. L'obbligo di gestione della sicurezza della Direttiva (EU) 2022/2555 rende la valutazione della catena di approvvigionamento una parte esplicita dell'articolo 21, il che spiega perché le organizzazioni soggette all'obbligo lo sottolineano così fortemente presso i loro fornitori MKB tramite questionari e clausole contrattuali.
Cosa significa questo in pratica
Per un'organizzazione già certificata ISO 27001, questo di solito significa che gran parte delle prove già esiste, ma deve essere riorganizzata diversamente: per ogni misura di due diligence uno stato, una prova e un responsabile, più i testi per la registrazione e la notifica che la norma non prescrive. Per un'organizzazione senza certificato, significa che non deve necessariamente avviare un percorso ISO per adempiere al dovere di due diligence — la legge richiede le misure, non il certificato in sé.
Se e come questo si concretizza esattamente per un'organizzazione specifica dipende dal settore, dalle dimensioni e dal ruolo nella catena di fornitura, e alla fine è il controllore competente o un giurista a valutarlo, non questo articolo. Una prima indicazione la ottiene rispondendo a poche domande per vedere la sua posizione, e chi vuole sapere come le informazioni su questo sito sono strutturate e da dove provengono le fonti, lo legge nella pagina su come secria.eu raccoglie le informazioni.
Se dopo la lettura ha ancora una domanda concreta sulla sua situazione specifica, ad esempio su cosa un certificato prova e non prova nei confronti di un cliente? Consulti le risposte alle domande frequenti, oppure avvii la verifica gratuita per vedere quale passo successivo si adatta alla sua organizzazione.