Un cliente storico ti gira un’email con un allegato: un questionario di sicurezza informatica di ottanta pagine. Vuole sapere dove tieni i dati, come gestisci i backup, chi ha gli accessi amministrativi, se hai un piano di disaster recovery (il ripristino dei sistemi dopo un guasto o un attacco) e come reagisci a un incidente. Ti dà tre settimane per rispondere.

Tu non sei una multinazionale. Sei la software house, il fornitore di servizi IT, lo studio di consulenza o l’azienda di logistica che quel cliente usa da anni. La prima reazione, di solito, è la stessa: «Non rientriamo nemmeno nel perimetro della NIS 2, perché dobbiamo compilare ottanta pagine di requisiti tecnici?».

Perché sei un anello della catena di qualcun altro. E per quel cliente, un anello debole è un rischio suo, non solo tuo.

Il punto è che a questa richiesta puoi rispondere in due modi. Ogni volta da capo, con giorni di lavoro tecnico e commerciale e una manciata di autocertificazioni che il cliente deve decidere se credere. Oppure con un allegato solo, validato da un ente terzo, che risponde in blocco alla maggior parte delle domande. Il secondo modo si chiama certificazione ISO. Vediamo cosa fa davvero, cosa non fa, e come usarla per chiudere i questionari e pesare di più nelle gare.

Perché il questionario arriva anche a te

La direttiva europea NIS 2, recepita in Italia con il D.Lgs. 138/2024 (in vigore dal 16 ottobre 2024), impone alle aziende dei settori critici di gestire non solo la propria sicurezza, ma anche quella della loro catena di fornitura (la supply chain, cioè l’insieme dei fornitori da cui dipende il servizio).

L’obbligo è scritto nero su bianco: la sicurezza della catena di approvvigionamento è tra le misure che i soggetti obbligati devono adottare secondo l’articolo 24 del D.Lgs. 138/2024, che recepisce l’articolo 21 della direttiva NIS 2. In pratica, i tuoi clienti in perimetro NIS 2 hanno l’obbligo legale di valutare il rischio informatico dei fornitori che accedono ai loro dati o ai loro sistemi, chiedere garanzie e, se serve, non rinnovare i contratti con chi rappresenta un anello debole.

Ecco perché il questionario arriva anche a chi la NIS 2 non tocca in modo diretto. Non sei obbligato dalla legge, sei obbligato dal mercato: se vuoi continuare a lavorare con la media e la grande impresa, e con la pubblica amministrazione, devi poter dimostrare di essere un fornitore sicuro. Il meccanismo, con i suoi tempi e le sue sanzioni, lo abbiamo raccontato per esteso nell’articolo sul doppio binario NIS 2 e GDPR; qui ci concentriamo su come rispondere senza perderci ore ogni volta.

Il costo nascosto di rispondere ogni volta da zero

Rispondere a un questionario di sicurezza serio non è un’ora di lavoro. È il commerciale che gira la richiesta all’IT, l’IT che recupera policy e configurazioni, qualcuno che rimette insieme le prove dei backup e degli accessi, il titolare che firma dichiarazioni di cui non è del tutto sicuro. Moltiplica tutto per ogni cliente che chiede, con domande sempre un po’ diverse, e il conto in giornate-uomo diventa pesante.

C’è anche un costo meno visibile. Un’autocertificazione, per quanto scritta bene, resta una parola data. Il cliente deve fidarsi senza una verifica indipendente, e in molti processi di vendor assessment (la valutazione dei fornitori) l’autodichiarazione vale meno di una prova esterna. Quando due fornitori sono in gara e uno porta un certificato riconosciuto mentre l’altro porta un modulo compilato da sé, la differenza si nota.

La certificazione ISO risolve entrambi i problemi in un colpo solo: sostituisce settimane di risposte personalizzate con un documento standard, e sostituisce la fiducia con la validazione di un ente terzo indipendente.

Cosa fa davvero una ISO 27001 (e cosa non fa)

La ISO/IEC 27001 (nella versione aggiornata del 2022) è lo standard internazionale per il Sistema di Gestione della Sicurezza delle Informazioni (in sigla SGSI, in inglese ISMS). Non è un timbro che si compra: è un insieme di politiche, procedure e controlli che l’azienda adotta e che un organismo di certificazione accreditato (un ente terzo autorizzato, esterno e indipendente) verifica con un audit prima di rilasciare il certificato, e ricontrolla ogni anno.

Il valore, ai fini dei questionari, sta nel fatto che i controlli della ISO 27001 coprono quasi tutto ciò che un cliente ti chiede: gestione degli accessi, backup e continuità operativa, cifratura dei dati, gestione degli incidenti, sicurezza dei fornitori, formazione del personale. Chi ti manda l’assessment, molto spesso, sta mappando le sue domande proprio su questi controlli. Presentare il certificato significa rispondere in blocco, con una garanzia che il cliente riconosce senza doverti credere sulla parola.

Qui però serve onestà, perché è il punto su cui molti si illudono. La ISO 27001 non ti mette automaticamente in regola con la NIS 2. Le due cose convergono su molto: chi ha già un SGSI conforme alla ISO 27001 parte avvantaggiato nell’adeguamento, perché buona parte delle misure tecniche e organizzative sono le stesse. Ma la NIS 2 aggiunge obblighi che la ISO da sola non copre: la registrazione sul portale dell’ACN (l’Agenzia per la Cybersicurezza Nazionale), le notifiche degli incidenti entro tempi stretti (24 ore per la prima segnalazione, 72 per quella completa), la responsabilità personale degli amministratori, il riesame periodico della direzione. La certificazione è una base solida e un accorciatoia per i questionari, non un sostituto della conformità normativa. Chi te la vende come “la NIS 2 risolta” ti sta raccontando una mezza verità.

ISO 9001: perché la qualità del processo conta quanto la sicurezza del dato

La ISO 9001 (Sistema di Gestione per la Qualità) non parla di sicurezza informatica, ma di come eroghi il servizio: procedure documentate, ruoli chiari, controllo delle non conformità, miglioramento continuo. Sempre più clienti la chiedono insieme alla 27001, perché un dato ben protetto ma consegnato dentro un processo caotico resta un rischio.

Le due certificazioni si rafforzano a vicenda e condividono la stessa impalcatura gestionale: politiche approvate dalla direzione, audit interni, riesame periodico. Chi implementa entrambe non fa due lavori separati, ma un unico sistema di gestione con due certificati in uscita. Ed è, non a caso, la stessa impalcatura che la NIS 2 chiede agli organi di amministrazione, il che rende l’investimento utile su più fronti contemporaneamente.

ISO nelle gare: requisito o criterio premiale?

Qui va fatta una precisazione, perché è dove circolano le semplificazioni più ottimistiche. Non è vero che senza ISO 27001 sei escluso da bandi “riservati”: la realtà è più sfumata e, se la conosci, la usi meglio.

Nel Codice dei contratti pubblici (D.Lgs. 36/2023), le certificazioni ISO vengono valorizzate soprattutto come criteri premiali: punti aggiuntivi nell’offerta tecnica, all’interno del punteggio complessivo, quando la gara si aggiudica con il criterio dell’offerta economicamente più vantaggiosa. In pratica, a parità di prezzo, il fornitore certificato prende più punti e vince.

Le ISO possono anche diventare un requisito di partecipazione vero e proprio, ma solo quando la stazione appaltante lo giustifica e lo mantiene proporzionato all’oggetto della gara. Sul fronte cybersicurezza questa strada si sta consolidando: il parere ANAC n. 103/2026 ha riconosciuto la legittimità di requisiti più stringenti, come la ISO 27001 e le qualificazioni ACN, quando sono giustificati da norme speciali e proporzionati, in particolare negli appalti cloud e IT. Tradotto: nelle gare dove si trattano dati e servizi digitali, la certificazione sta passando da “punto in più” a “biglietto d’ingresso”.

Anche fuori dal pubblico vale lo stesso principio. Nelle trattative con i grandi gruppi industriali la ISO 27001 raramente è un obbligo formale, ma è quasi sempre l’elemento che sposta la scelta tra due fornitori equivalenti.

Tre scenari realistici

Gli scenari che seguono non descrivono clienti reali, ma combinazioni realistiche di situazioni che si vedono di frequente nelle PMI italiane che lavorano con committenti in perimetro NIS 2.

Software house, 30 dipendenti: il questionario che diventa un vantaggio

Una software house che sviluppa gestionali su misura riceve, nel giro di sei mesi, quattro questionari di sicurezza da altrettanti clienti enterprise. Ogni volta è la stessa storia: due o tre giorni di lavoro del CTO e del responsabile IT sottratti allo sviluppo, risposte ricostruite a mano, allegati diversi per ogni cliente.

Al quinto questionario, arrivato da un prospect molto più grande dei clienti attuali, la richiesta è netta: senza una certificazione riconosciuta o prove equivalenti, la trattativa non parte nemmeno. L’azienda decide di certificarsi ISO 27001. Il percorso, tra scrittura delle procedure, messa a norma dei sistemi e audit dell’ente, dura circa nove mesi.

Il risultato non è solo il contratto con il prospect, che si sblocca. È che i questionari successivi si chiudono con un’email: certificato in allegato, più una breve nota sui punti specifici non coperti. Le due-tre giornate di lavoro per assessment diventano mezz’ora. Il tempo liberato ripaga l’investimento più in fretta di quanto il titolare si aspettasse.

Fornitore di componentistica: certificato contro autocertificazione

Un’azienda di componentistica meccanica, 60 dipendenti, fornisce un grande gruppo industriale. Il gruppo, soggetto NIS 2, avvia una revisione dei fornitori critici e chiede a tutti garanzie sulla sicurezza dei sistemi con cui si scambiano ordini, disegni tecnici e dati di produzione.

Il fornitore è in concorrenza con un’altra azienda per l’aumento di una commessa. Le due offerte, sul prezzo e sulla qualità del prodotto, si equivalgono. La differenza la fa il resto: la prima azienda presenta un certificato ISO 27001 e ISO 9001; la seconda, un questionario compilato da sé, senza verifiche esterne.

Nel processo di vendor risk management del gruppo, l’autocertificazione pesa poco. La commessa aggiuntiva va al fornitore certificato, non perché il prodotto fosse migliore, ma perché rappresentava un rischio di filiera più basso e documentabile. Per il gruppo, scegliere un fornitore già validato da un ente terzo significa una casella in meno da controllare nel proprio adempimento NIS 2.

Servizi IT verso la PA: i punti che decidono la gara

Una società di servizi informatici, 25 dipendenti, partecipa a una gara per la fornitura di servizi cloud a un ente pubblico. Il disciplinare assegna un punteggio premiale al possesso della ISO 27001 e alle qualificazioni in materia di sicurezza.

La società è certificata; due concorrenti no. Sull’offerta economica le tre proposte sono vicine, ma i punti della certificazione, sommati a quelli dell’offerta tecnica, spostano l’aggiudicazione. Senza quel certificato, a parità di tutto il resto, la gara sarebbe andata a un altro. Qui la ISO non è stata un obbligo di legge: è stata la leva che ha trasformato un’offerta competitiva in un’offerta vincente.

Come arrivare alla certificazione senza affogare nella burocrazia

Il timore più comune è che certificarsi significhi creare montagne di carta e imporre gli stessi obblighi a tutti i propri sotto-fornitori. È l’opposto di come dovrebbe funzionare. Il principio guida, richiamato anche dalle FAQ dell’ACN sulla gestione dei fornitori, è la proporzionalità: le misure vanno modulate sul rischio reale, non applicate in blocco.

In concreto, un percorso snello si costruisce su quattro passaggi.

Il primo è mappare e categorizzare i fornitori per fascia di rischio. I fornitori critici, che gestiscono dati sensibili, sviluppano codice o hanno accessi amministrativi di rete (provider cloud, gestori di servizi IT, software gestionali), vanno tenuti sotto controllo. Non ha senso sottoporre allo stesso scrutinio chi ti consegna la cancelleria o fa manutenzione agli impianti fisici.

Il secondo è chiedere garanzie commisurate al rischio. Un questionario da cento domande a chi ti fornisce stampanti è tempo perso; verificare i backup e le policy di cifratura del tuo provider di posta o cloud è indispensabile.

Il terzo sono le clausole contrattuali. Nei contratti con i fornitori critici servono accordi chiari sui tempi di notifica in caso di attacco (data breach) e sul diritto di effettuare verifiche periodiche (il cosiddetto right to audit).

Il quarto è il monitoraggio nel tempo. La sicurezza non è una fotografia scattata una volta: per i fornitori critici serve un riesame almeno annuale e un occhio sulle vulnerabilità che emergono.

Questi quattro passaggi non sono un peso in più della ISO 27001: sono esattamente ciò che lo standard ti fa strutturare. Costruire il sistema di gestione e ottenere la certificazione, per una PMI, richiede in genere dai sei ai dodici mesi, a seconda delle dimensioni, del numero di sedi e di quanto sono già ordinati i sistemi in partenza.

Cosa puoi fare adesso

Tre passaggi, in ordine di urgenza, per smettere di subire i questionari e iniziare a usarli a tuo favore.

Conta quanto ti costano oggi i questionari. Prendi gli ultimi assessment che hai ricevuto e stima le giornate-uomo spese a rispondere, più le trattative rallentate o perse per mancanza di prove. È il numero che ti dice se e quando la certificazione si ripaga.

Fai un’analisi dei divari (gap analysis). Prima di partire con la certificazione, verifica quanto sei già vicino ai requisiti della ISO 27001. Molte PMI hanno già metà dei controlli in piedi senza saperlo: capire cosa manca davvero evita di sovradimensionare il progetto.

Allinea sicurezza e qualità, senza duplicare. Se pensi anche alla ISO 9001, o se sei già in perimetro NIS 2, imposta un unico sistema di gestione invece di tre progetti separati. Le procedure, gli audit interni e il riesame della direzione servono a tutti e tre, e farli una volta sola è ciò che tiene bassi i costi.

Domande frequenti su ISO 27001, ISO 9001 e questionari

La certificazione ISO 27001 mi mette in regola con la NIS 2? No, ma ti avvicina molto. La ISO 27001 e la NIS 2 condividono gran parte delle misure tecniche e organizzative, quindi chi è già certificato parte avvantaggiato. Restano però fuori alcuni obblighi specifici della NIS 2: la registrazione sul portale ACN, le notifiche degli incidenti nei tempi previsti, la responsabilità diretta degli amministratori e il riesame periodico della direzione. La certificazione è una base solida, non un sostituto della conformità normativa.

La ISO 27001 sostituisce il questionario del cliente? Nella maggior parte dei casi lo riduce a poche righe. I controlli della norma coprono quasi tutte le aree che un assessment di sicurezza indaga, quindi spesso basta allegare il certificato e integrare con una breve nota sui punti non compresi nel perimetro di certificazione. Non tutti i clienti si accontentano del solo certificato, ma quasi tutti accettano di ridurre drasticamente le domande a fronte di una validazione di ente terzo.

ISO 27001 o ISO 9001: quale serve per le gare? Dipende dall’oggetto. La ISO 9001 (qualità) è richiesta o premiata in moltissime gare, di ogni settore. La ISO 27001 (sicurezza delle informazioni) pesa dove si trattano dati e servizi digitali, e negli appalti cloud e IT sta diventando in alcuni casi un requisito di partecipazione, non solo un criterio premiale. Per un fornitore che lavora con dati altrui, averle entrambe è la posizione più forte.

Sono una PMI fuori dal perimetro NIS 2: mi conviene comunque certificarmi? Se lavori, o vuoi lavorare, con aziende in perimetro NIS 2 o con la pubblica amministrazione, la risposta è quasi sempre sì. Non perché te lo imponga la legge, ma perché sono i tuoi clienti a doverti valutare come parte della loro catena di fornitura. La certificazione è ciò che ti tiene dentro le trattative invece di farti escludere in fase di assessment.

Quanto tempo serve per certificarsi ISO 27001? Per una PMI, di solito tra i sei e i dodici mesi, tra la definizione del sistema di gestione, l’adeguamento dei sistemi e l’audit dell’organismo di certificazione. La durata dipende dalle dimensioni, dal numero di sedi e da quanto sono già strutturati i processi di partenza.

Quanto costa la certificazione? Non esiste un prezzo unico: varia in base alle dimensioni dell’azienda, alla complessità dei sistemi e al numero di sedi. Il costo si compone di due parti distinte: il lavoro di adeguamento e l’audit dell’organismo di certificazione accreditato, che è l’ente terzo indipendente che rilascia il certificato. Un’analisi preliminare serve proprio a stimare l’impegno reale prima di partire, evitando sia il sottodimensionamento sia i progetti gonfiati.

La tua azienda sta perdendo tempo sui questionari o punti nelle gare?

Se ogni assessment di un cliente ti porta via giornate di lavoro, o se ti accorgi di arrivare secondo nelle gare per mancanza di certificazioni, il problema non è la burocrazia: è che stai giocando con gli strumenti sbagliati.

In FinData accompagniamo le PMI lungo tutto il percorso: analisi del perimetro NIS 2 diretto e indiretto, definizione di procedure snelle di vendor risk management e certificazione ISO 27001 e ISO 9001, dall’analisi dei rischi fino all’audit con l’ente di certificazione, senza carta inutile.

Il primo passo è capire dove sei. Contattaci per un’analisi preliminare del tuo livello di conformità.