Quanto costa DAVVERO la ISO27001?

Cercando su Google “quanto costa la ISO 27001?” si trovano moltissimi articoli contraddittori. Ogni piattaforma di compliance ti dirà che la propria soluzione è la migliore, la più rapida e la più economica. Ma pochissime ti forniranno un prezzo reale. Quindi, qual è la realtà? Quanto costa DAVVERO ottenere la conformità ISO 27001?

Hai davvero bisogno della ISO 27001?

Prima di addentrarci nel costo reale della ISO 27001, c'è una domanda importante da porsi. Hai davvero bisogno di ottenere questa certificazione? Come spesso accade, la risposta è “dipende”. Ecco una breve lista di controllo per capire se è adatta alla tua azienda in questo momento.

1. A che punto sei? Questa è la prima cosa da considerare. In molti (anzi, nella maggior parte dei) casi, le startup nelle fasi iniziali probabilmente non dovrebbero sprecare tempo, denaro e risorse per la ISO 27001. Ma ci sono delle eccezioni (vedi sotto).
2. Qual è il tuo mercato di riferimento? Stai proponendo il tuo prodotto a ospedali o assicurazioni? Se è così, la ISO 27001 potrebbe essere un requisito imposto da loro. E, come minimo, può aiutarti ad aprire molte porte.
3. Punti a ottenere la certificazione come DTx? Se la risposta è sì, allora dovresti assolutamente valutare di ottenere la ISO 27001 insieme ad altre certificazioni chiave come la ISO 13485.
4. Tratti dati sensibili? Se gestisci dati sanitari o altri dati sensibili, potresti aver bisogno della ISO 27001. Tuttavia, dipende da cosa fai esattamente. Quindi, probabilmente, dovresti chiedere una consulenza.

‍

Quali sono i costi iniziali della ISO 27001?

Intraprendere il percorso per la ISO 27001 può rappresentare un investimento considerevole. Ci sono 2 modi in cui dovrai sostenere dei costi.

1. I costi necessari per prepararsi all'audit
2. Le tariffe dell'ente di certificazione per l'audit stesso

Costi di preparazione per la ISO 27001.

Prepararsi per un audit ISO 27001 è un processo piuttosto lungo e complesso. In quasi tutti i casi, dovrai avvalerti di un consulente di sicurezza informatica che ti aiuti nel percorso. La sua esperienza sarà preziosa per capire su quali aspetti concentrarsi. Sarà inoltre in grado di consigliarti l'ente di certificazione più adatto a te. Aspettati di pagare tra i 50 e i 250 euro l'ora, a seconda dell'esperienza, della posizione geografica e della durata del contratto.

Oltre a questo, dovrai anche pagare per una piattaforma di compliance. La ISO 27001 è uno standard che richiede molta documentazione. Ottenerla richiede la raccolta di una mole significativa di prove relative ai tuoi sistemi, processi e policy. La maggior parte delle aziende trova molto più semplice gestire tutta questa documentazione con una piattaforma di compliance dedicata (sebbene abbiamo visto altri utilizzare strumenti come Confluence per ottenere lo stesso risultato). I costi delle piattaforme variano notevolmente, ma alcune note piattaforme addebitano circa 5.000 euro per ogni standard o normativa che si cerca di raggiungere. Queste piattaforme full-service includono raccolta di prove, modelli e checklist. Tuttavia, è importante notare che non offrono alcuna garanzia sul raggiungimento della conformità.

Costi di certificazione e audit per la ISO 27001

La ISO 27001 è uno standard internazionale che può essere rilasciato da qualsiasi ente di certificazione che abbia ottenuto l'accreditamento richiesto. Anche all'interno del mercato UE esistono decine di enti di certificazione. Poiché la ISO è uno standard, tutti dovrebbero applicare i medesimi requisiti. Tuttavia, esistono differenze di approccio che incidono sia sul prezzo che sui tempi necessari per ottenere la certificazione. Sottoporsi a un audit ISO 27001 può costare da un paio di migliaia di euro fino a 20.000 euro o più.

I costi esatti dipendono solitamente dalle dimensioni dell'azienda, dai rischi di sicurezza informatica da gestire e dal mercato di riferimento. Ad esempio, una piccola azienda che gestisce solo dati non sensibili e vende direttamente ai consumatori in Italia affronterà costi molto inferiori rispetto a una media impresa B2B di tecnologia sanitaria che vende a ospedali tedeschi.

Quali sono i costi nascosti della ISO 27001?

Esistono diversi costi nascosti legati al perseguimento di qualsiasi certificazione di conformità e la ISO 27001 non fa eccezione.

Costi indiretti

Ottenere una certificazione come la ISO 27001 richiede un notevole investimento di tempo da parte del team, specialmente degli sviluppatori. Dovranno impegnarsi a collaborare con il consulente per fornire tutta la documentazione e le prove necessarie per il processo. Sarà inoltre richiesta la loro disponibilità durante l'audit per fornire eventuali prove a supporto aggiuntive.

Costi di mantenimento

La ISO 27001 comporta costi continuativi di cui è necessario tenere conto. Principalmente, questi riguardano il costo di un'eventuale piattaforma di conformità e quello per mantenere aggiornate tutte le prove. Tuttavia, tieni presente che la ISO 27001 viene raramente affrontata isolatamente. Quasi certamente ci saranno altri standard o normative a cui dovrai conformarti. Un buon consulente sarà in grado di aiutarti ad ammortizzare i costi di mantenimento su tutti questi aspetti.

Costi opportunità

Le tempistiche per ottenere la ISO 27001 possono variare enormemente a seconda dell'approccio scelto. Di conseguenza, possono esserci costi opportunità se la certificazione richiede più tempo del previsto. Questo è particolarmente vero se operi in un settore in cui la ISO 27001 è obbligatoria. È necessario concordare con il consulente una tempistica di consegna e pianificare di conseguenza. In base alla nostra esperienza, la maggior parte delle aziende dovrebbe essere in grado di raggiungere lo standard richiesto entro 6 mesi. Tuttavia, potresti comunque rimanere bloccato in coda in attesa che l'ente di certificazione completi l'audit. È qui che un buon consulente può essere d'aiuto, indirizzandoti verso un ente di certificazione che sappia completare il lavoro in modo tempestivo.

Altre FAQ sulla ISO 27001

Raramente la ISO 27001 è il primo compito di conformità da affrontare. E non viene mai gestita isolatamente.

In che ordine dovrei affrontare i compiti di conformità?

La nostra esperienza dimostra che spesso è meglio lavorare sulla ISO 27001 dopo aver completato gli adempimenti iniziali per il GDPR. Un vantaggio chiave è che evita che i compiti di conformità sovraccarichino il team. Non ha senso perseguire la conformità se il processo impedisce di sviluppare i propri prodotti! Inoltre, per molte aziende, la conformità al GDPR è richiesta molto prima di affrontare la ISO 27001.

Le piattaforme aiutano davvero con la conformità?

Standard come la ISO 27001 richiedono la raccolta di un'ampia varietà di prove e presentano una serie di requisiti molto strutturati. Ciò significa che una piattaforma come CHECKSME può davvero aiutarti a raggiungere la conformità più rapidamente. Le aziende che provano a farlo senza una piattaforma finiscono solo per replicare le stesse funzionalità in strumenti come Confluence.

Posso ottenere la ISO 27001 senza un consulente esterno?

È perfettamente possibile ottenere qualsiasi certificazione autonomamente senza un consulente esterno. Molte aziende dispongono di competenze interne che lo consentono. Tuttavia, anche in questo caso, ci sono chiari vantaggi nell'avere un consulente dedicato:

• Competenza approfondita: Probabilmente hanno aiutato centinaia di aziende e conoscono tutte le insidie e le scorciatoie.
• Consigli sulla scelta dell'organismo notificato: Esistono decine di organismi notificati diversi che si occupano di ISO 27001. Scegliere quello giusto renderà la tua certificazione molto più rapida e semplice.
• Evitare lavoro inutile. Di norma, gli standard consistono in requisiti fondamentali che tutti devono soddisfare, insieme a una serie di elementi facoltativi che dipendono dal tuo caso aziendale. Un buon consulente si assicurerà che tu svolga solo gli elementi necessari.

‍