Perché è importante oggi
All’inizio del 2026 molte startup e PMI europee stanno scoprendo un problema concreto durante audit clienti, rinnovi contrattuali o attività di due diligence: la certificazione ISO 27001:2013 non è più valida e la transizione alla ISO 27001:2022 non è stata completata entro la scadenza del 31 ottobre 2025.
Per fintech, software company e aziende in crescita, la questione emerge raramente durante una revisione interna pianificata. Più spesso compare in situazioni operative che richiedono risposte immediate. Un team commerciale impegnato nella chiusura di un contratto con un istituto finanziario riceve un questionario di sicurezza che richiede la certificazione aggiornata. Un reparto procurement domanda evidenze allineate ai nuovi controlli dell’Annex A. Oppure un investitore, durante una due diligence tecnica, nota che l’azienda continua a fare riferimento alla versione 2013 della norma nella documentazione interna.
A quel punto il problema smette di essere formale. L’organizzazione deve capire rapidamente se il sistema di gestione della sicurezza può essere riallineato senza dover ripartire completamente da zero.
Contesto di settore
La finestra ufficiale per la transizione dalla ISO 27001:2013 alla ISO 27001:2022 si è chiusa il 31 ottobre 2025. Dopo quella data, le certificazioni basate sulla versione precedente sono state ritirate o considerate scadute. Molte organizzazioni hanno sottovalutato l’impatto operativo del cambiamento, ritenendo inizialmente che si trattasse soprattutto di un aggiornamento documentale.
Nella pratica, startup e PMI hanno spesso rinviato il progetto per dare priorità allo sviluppo prodotto, alla raccolta di capitali, alle migrazioni cloud o ad altri percorsi normativi come NIS2 e DORA. In molti casi i team di sicurezza hanno scoperto solo durante gli audit che gli auditor si aspettavano evidenze concrete dell’applicazione operativa dei nuovi controlli.
Il problema è emerso con particolare evidenza nel fintech, dove la gestione dei fornitori, il controllo degli accessi e la governance cloud richiedono già un elevato carico operativo. Diverse società di certificazione e consulenza attive in Europa nel corso del 2025 hanno rilevato uno schema ricorrente: il problema non era tanto l’assenza dei controlli di sicurezza, quanto Statement of Applicability non aggiornati, trattamenti del rischio incompleti ed evidenze distribuite in modo poco coerente.
Un esempio operativo aiuta a comprendere la situazione. Una startup SaaS può già utilizzare autenticazione multifattore, sistemi EDR, scansioni di vulnerabilità e monitoraggio centralizzato dei log. Durante la verifica di transizione, però, l’auditor richiede evidenze allineate alla nuova struttura dei controlli ISO 27001:2022. È in quel momento che il team si accorge che la documentazione interna continua a fare riferimento a controlli ormai superati, fornitori non più utilizzati o infrastrutture già dismesse. I controlli tecnici esistono, ma il livello di governance non riflette più la realtà operativa dell’azienda.
Approccio pratico
Le organizzazioni che hanno mancato la scadenza si trovano generalmente davanti a due problemi distinti. Il primo riguarda la continuità commerciale e reputazionale: spiegare a clienti, partner e auditor la situazione della certificazione. Il secondo è operativo: recuperare rapidamente la conformità senza bloccare l’attività aziendale.
I progetti di recupero più efficaci nel 2026 stanno seguendo un percorso strutturato in quattro fasi, evitando di riprogettare completamente l’intero sistema di gestione della sicurezza.
La prima fase consiste in una gap analysis mirata rispetto ai requisiti della ISO 27001:2022 e ai controlli dell’Annex A. L’obiettivo non è avviare un progetto consulenziale di mesi, ma identificare rapidamente i punti in cui il sistema esistente non corrisponde più alle attività operative reali. Nelle startup le lacune più frequenti riguardano l’inventario degli asset, la gestione dei fornitori, le evidenze dei processi di sviluppo sicuro e la documentazione relativa alla risposta agli incidenti.
La seconda fase riguarda l’aggiornamento dello Statement of Applicability. In molti casi questo documento diventa il centro dell’intero percorso di recupero perché dimostra se l’organizzazione ha realmente chiaro come funzionano oggi i propri controlli di sicurezza. È proprio in questa fase che molte aziende scoprono controlli dichiarati come “implementati” anni prima ma senza un proprietario definito o evidenze verificabili.
Qui emerge spesso una scelta pratica importante. Alcune organizzazioni cercano di mantenere tutti i controlli storici per ridurre il rischio di rilievi durante l’audit. Altre decidono invece di semplificare l’ambiente di controllo e ricostruire lo SoA partendo solo dai controlli effettivamente verificabili dal punto di vista operativo. Nella maggior parte dei casi, il secondo approccio produce risultati migliori perché consente agli auditor di validare più facilmente controlli realmente utilizzati e mantenuti dai team IT, sicurezza ed engineering.
La terza fase è quella che molti responsabili sicurezza definiscono informalmente “evidence sprint”. In questa fase l’obiettivo è raccogliere evidenze concrete dei controlli già descritti nello SoA. Tra le evidenze più richieste rientrano revisioni degli accessi, processi di onboarding e offboarding, report di vulnerabilità, ticket di remediation, verifiche sui fornitori e tracciamento delle attività di awareness.
L’ultima fase riguarda la strategia di audit. Le organizzazioni devono capire se proseguire con l’ente certificatore precedente oppure affrontare il percorso come una nuova certificazione ISO 27001:2022. La scelta dipende spesso dal tempo trascorso dalla scadenza e dall’eventuale interruzione dei cicli di sorveglianza.
Implementazione operativa
I progetti di recupero funzionano meglio quando la responsabilità viene distribuita tra i diversi team aziendali invece di rimanere confinata all’area compliance.
Nelle aziende fintech, ad esempio, è frequente vedere incontri settimanali tra sicurezza, sviluppo, IT, HR e ufficio legale per monitorare l’avanzamento delle attività. In queste riunioni si parla raramente solo di policy. Le discussioni ruotano soprattutto attorno a evidenze mancanti, processi non formalizzati e differenze operative tra reparti.
C’è un’osservazione che emerge spesso durante questi percorsi. La raccolta delle evidenze diventa molto più semplice quando l’azienda smette di trattare la ISO 27001 come un esercizio documentale e inizia invece a collegare i controlli ai processi quotidiani. Le approvazioni nelle piattaforme di versionamento possono diventare evidenze per i controlli di sviluppo sicuro. I log del sistema di gestione delle identità possono dimostrare le revisioni degli accessi senza richiedere attività manuali aggiuntive.
Questo approccio è particolarmente utile nelle startup, dove i team sono ridotti e il livello di formalizzazione varia molto. Un’azienda di trenta persone può avere misure tecniche solide e processi operativi efficaci, ma incontrare comunque difficoltà nel dimostrare coerenza organizzativa durante una verifica esterna.
Un altro problema ricorrente riguarda la gestione dei fornitori. La ISO 27001:2022 richiede maggiore visibilità sui servizi cloud, sulle dipendenze SaaS e sui partner esterni che trattano informazioni aziendali. Durante i progetti di recupero, molte PMI scoprono che le valutazioni dei fornitori esistono solo in modo informale all’interno di email, riunioni operative o decisioni tecniche non centralizzate.
Anche il contesto normativo europeo sta influenzando le priorità di implementazione. Le organizzazioni già impegnate su NIS2 o DORA stanno sempre più spesso utilizzando il percorso ISO 27001 per consolidare attività comuni legate alla gestione degli incidenti, alla supervisione dei fornitori e alla responsabilità del management.
Metriche e visibilità
Uno dei modi più efficaci per stabilizzare rapidamente un progetto di transizione in ritardo è introdurre indicatori operativi chiari invece di limitarsi alle sole scadenze dell’audit.
I team sicurezza e compliance monitorano generalmente quattro aree principali.
La prima riguarda lo stato di completamento dello Statement of Applicability, verificando assegnazione delle responsabilità, applicabilità dei controlli e collegamento con le relative evidenze. .
La seconda area riguarda l’aggiornamento delle evidenze. Durante gli audit, screenshot vecchi, report obsoleti o documentazione riferita a sistemi non più utilizzati generano immediatamente problemi di credibilità. Per questo motivo molte aziende iniziano a misurare la freschezza delle evidenze e il loro allineamento con l’infrastruttura attuale.
La terza area riguarda la chiusura delle remediation identificate durante la gap analysis. Questo consente al management di capire se i blocchi sono tecnici, organizzativi o procedurali.
La quarta area è la visibilità sulla reale preparazione all’audit. Diverse startup hanno iniziato a utilizzare dashboard interne per tracciare evidenze mancanti, policy incomplete e verifiche sui fornitori ancora aperte prima delle attività di certificazione e gli audit.
Nel fintech, queste metriche hanno anche un impatto diretto sulle relazioni commerciali. Anche in presenza di una certificazione temporaneamente scaduta, un’organizzazione che riesce a dimostrare un piano di riallineamento strutturato mantiene maggiore credibilità durante audit clienti e processi di due diligence.
La vera sfida del 2026
Aver mancato la scadenza della transizione alla ISO 27001:2022 non significa necessariamente dover ricostruire da zero l’intero programma di sicurezza. Nella maggior parte delle startup e delle PMI, i controlli tecnici esistono già all’interno dei processi operativi, degli ambienti cloud e delle attività di sviluppo software. La vera difficoltà nel 2026 è riallineare governance, documentazione ed evidenze a una realtà operativa che nel frattempo è cambiata. .
Le organizzazioni che stanno recuperando più rapidamente sono quelle che affrontano la transizione come un progetto di riallineamento operativo, non come un’emergenza documentale. Una gap analysis mirata, uno SoA realistico, una raccolta strutturata delle evidenze e una strategia di audit pragmatica permettono di tornare rapidamente in una condizione di conformità verificabile.
Per startup, fintech e PMI europee che lavorano con clienti enterprise o in contesti regolamentati, la ISO 27001:2022 continua a rappresentare un elemento concreto di affidabilità operativa, accesso al mercato e credibilità verso partner e investitori.
Hai bisogno di supporto per riallineare il tuo percorso ISO 27001:2022?
Il nostro team può aiutarti ad accelerare il recupero della conformità, chiudere le lacune operative e preparare la certificazione con un approccio concreto e orientato al business.