Consulenza ISO 27001

Dal kickoff alla decisione di certificazione, ISO 27001 richiede tipicamente 4–9 mesi. Le aziende senza precedenti controlli o documentazione di sicurezza richiedono più tempo; le organizzazioni con pratiche di sicurezza esistenti e una certa documentazione possono muoversi più velocemente. Le fasi principali sono: analisi dei gap e scoping ISMS (2–4 settimane), build delle policy e del risk register (6–12 settimane), implementazione dei controlli tecnici (parallela, 4–12 settimane), raccolta delle prove e audit interno (4–6 settimane), audit Fase 1 (2–4 settimane) e audit Fase 2 (2–4 settimane). La nostra analisi dei gap nella prima settimana ti fornisce una timeline accurata del progetto prima che inizi l'engagement principale.

ISO 27001 è più comune nell'approvvigionamento enterprise europeo ed è sempre più richiesto sotto gli obblighi di supply chain NIS2. SOC 2 è lo standard per i buyer enterprise statunitensi e le aziende SaaS che vendono nel mercato USA. Se vendi in entrambi i mercati, o se i tuoi buyer sono grandi multinazionali, potresti aver bisogno di entrambi. Strutturiamo engagement combinati ISO 27001 + SOC 2 con una base di prove condivisa — circa il 70% dei controlli Annex A si mappano ai SOC 2 Trust Service Criteria, rendendo la doppia certificazione il 20–35% più economica di due programmi separati.

Il nostro engagement a prezzo fisso di consulenza ISO 27001 parte da €12,000 per uno scope ISMS ben definito in un'azienda di 20–100 persone. Le organizzazioni più grandi, gli scope ISMS più ampi o i programmi combinati ISO 27001 + SOC 2 vengono quotati individualmente. L'engagement copre analisi dei gap, progettazione ISMS, risk register, redazione delle policy, implementazione dei controlli tecnici, raccolta delle prove, audit interno e coordinamento con i revisori per Fase 1 & Fase 2. La quota dell'ente di certificazione è separata (tipicamente €5,000–€15,000 a seconda del revisore e della dimensione dell'organizzazione).

ISO 27001 non è imposto dal GDPR, ma supporta sostanzialmente la conformità all'articolo 32 del GDPR — che richiede “misure tecniche e organizzative appropriate” per proteggere i dati personali. Un ISMS ISO 27001 è la prova più difendibile che quelle misure siano sistematiche, documentate e revisionate. Molte autorità di supervisione e DPA considerano la certificazione ISO 27001 come prova forte della conformità GDPR in materia di sicurezza. Se elabori volumi significativi di dati personali dell'UE, o se operi in un settore regolamentato, ISO 27001 vale la pena perseguirla per la sola gestione del rischio normativo — indipendentemente da qualsiasi requisito dei buyer enterprise.