ISMS: cos'è e perché non è solo un faldone di documenti

Quando un cliente automotive richiede un label TISAX®, o quando l'azienda rientra nella NIS 2, prima o poi compare la sigla ISMS. La reazione tipica è: "Servono procedure scritte". Un ISMS produce documenti, ma non coincide con i documenti. Questo articolo chiarisce cos'è, come funziona e perché costituisce la base comune di ISO/IEC 27001, TISAX e NIS 2.

La definizione

ISMS sta per Information Security Management System; in italiano si usa la sigla SGSI, sistema di gestione della sicurezza delle informazioni.

È l'insieme di regole, ruoli, processi e controlli con cui un'azienda:

• individua quali informazioni proteggere e da quali minacce;
• decide quali rischi ridurre e in che modo;
• applica le misure scelte nell'operatività quotidiana;
• verifica che funzionino;
• corregge e migliora nel tempo.

L'espressione chiave è sistema di gestione. Come per la qualità (ISO 9001), non si tratta di un progetto con una data di fine, ma di un modo stabile di gestire un tema. La sicurezza delle informazioni riguarda riservatezza, integrità e disponibilità: chi può accedere a un dato, se il dato è corretto, se è disponibile quando serve.

Il riferimento: ISO/IEC 27001:2022

Lo standard internazionale per l'ISMS è la ISO/IEC 27001, nella versione 2022, articolata in due parti.

I requisiti del sistema (punti 4-10)

• Contesto (4): organizzazione, parti interessate, perimetro.
• Leadership (5): impegno della direzione, politica di sicurezza, ruoli e responsabilità.
• Pianificazione (6): valutazione e trattamento dei rischi, obiettivi di sicurezza.
• Supporto (7): risorse, competenze, consapevolezza, comunicazione, informazioni documentate.
• Attività operative (8): attuazione dei piani e dei trattamenti del rischio.
• Valutazione delle prestazioni (9): monitoraggio, audit interno (punto 9.2), riesame di direzione.
• Miglioramento (10): non conformità, azioni correttive, miglioramento continuo.

I controlli dell'Annex A

L'Annex A contiene 93 controlli raggruppati in 4 temi: organizzativi, relativi alle persone, fisici e tecnologici. Non vanno applicati tutti indistintamente: dopo l'analisi dei rischi si stabilisce quali servono e la scelta viene motivata nella Dichiarazione di Applicabilità (Statement of Applicability).

Il ciclo PDCA

Il modo più semplice per comprendere un ISMS è il ciclo PDCA (Plan-Do-Check-Act). La ISO/IEC 27001:2022 non lo impone come schema obbligatorio, ma la sua struttura segue la stessa logica di miglioramento continuo:

• Plan: perimetro, politica, analisi dei rischi, obiettivi.
• Do: attuazione di controlli, procedure, formazione.
• Check: misurazione, raccolta delle evidenze, audit interno e riesame di direzione.
• Act: correzione delle non conformità e miglioramento.

Poi il ciclo ricomincia, perché persone, fornitori, sistemi e minacce cambiano. Un ISMS che non viene alimentato resta carta.

Perché non è solo un faldone

Un errore frequente consiste nell'adottare procedure preconfezionate e archiviarle. Il risultato è un sistema presente sulla carta ma non applicato, che in audit emerge subito:

• la procedura prevede la revisione semestrale degli accessi, mai eseguita;
• la politica richiede l'autenticazione a più fattori, ma la VPN non la utilizza;
• l'elenco dei fornitori critici manca o risale a tre anni prima;
• il personale non sa a chi segnalare un'email sospetta.

Chi verifica non legge solo i documenti: chiede evidenze come log, verbali, registri, configurazioni e interviste. Un ISMS ben costruito produce queste evidenze come effetto naturale dell'operatività, non come esercizio da svolgere la settimana prima dell'audit.

I ruoli in un ISMS

Un ISMS funziona se i compiti risultano chiari. In una PMI i ruoli tipici:

• Direzione: approva la politica, assegna le risorse, partecipa al riesame.
• Responsabile della sicurezza delle informazioni (o CISO, anche esterno): coordina il sistema, segue rischi, incidenti e audit.
• Responsabile IT ed eventuale fornitore IT esterno: applicano e documentano le misure tecniche.
• Responsabile qualità: porta l'esperienza dei sistemi di gestione e spesso cura documenti e audit.
• Responsabili di processo: produzione, acquisti, HR, commerciale, che applicano le regole ogni giorno.
• Tutto il personale: conosce le regole essenziali e sa segnalare un problema.

Non servono nuove figure a tempo pieno: serve che ciascuno conosca le proprie responsabilità.

ISMS, TISAX e NIS 2

TISAX

TISAX non è una certificazione: è un assessment svolto da un audit provider accreditato da ENX Association, che porta a un label (AL2 o AL3) valido tre anni e condiviso sul portale ENX. Il catalogo di riferimento è il VDA ISA: versione 6 per gli assessment ordinati entro il 2026, VDA ISA2027 per quelli ordinati dal 1° gennaio 2027. Il catalogo richiede espressamente un sistema di gestione della sicurezza delle informazioni e prende ampio spunto dalla ISO/IEC 27001.

NIS 2

La Direttiva (UE) 2022/2555, recepita con il D.Lgs. 138/2024, richiede ai soggetti essenziali e importanti misure di gestione del rischio e degli incidenti, continuità operativa, sicurezza della catena di fornitura e formazione, oltre all'approvazione delle misure da parte degli organi di amministrazione. È esattamente ciò che un ISMS organizza.

In sintesi: un ISMS costruito bene una volta consente di rispondere a TISAX, NIS 2 e ISO/IEC 27001 senza tre sistemi paralleli.

Il supporto di General Tech di Rosario Zappalà

La costruzione dell'ISMS è seguita da Rosario Zappalà, consulente indipendente, auditor interno ISO/IEC 27001:2022, da remoto e con sopralluoghi quando necessari. Dopo una call gratuita di 30 minuti e una proposta scritta personalizzata, il percorso comprende analisi della situazione attuale, politiche e procedure su misura, raccolta delle evidenze con Responsabile IT, fornitore IT e Responsabile qualità, valutazione interna e audit interno. Non vengono rilasciate certificazioni: l'obiettivo è preparare l'azienda alla verifica dell'organismo di certificazione o dell'audit provider.

Domande frequenti

ISMS e SGSI coincidono?

Sì. ISMS è la sigla inglese, SGSI quella italiana.

Per avere un ISMS serve la certificazione ISO/IEC 27001?

No. Un ISMS conforme alla norma può essere costruito e mantenuto senza richiedere la certificazione. Per TISAX e NIS 2 conta che il sistema esista e funzioni.

Quanto tempo richiede un ISMS operativo?

Dipende da dimensioni, perimetro e punto di partenza. Un primo ciclo si chiude con audit interno e riesame di direzione.

Una piccola PMI ha davvero bisogno di un ISMS?

Se opera nella filiera automotive o rientra nella NIS 2, di norma sì. Un ISMS per una PMI può essere snello: poche regole chiare, applicate e verificate valgono più di cento pagine inutilizzate.