Modelli e registrazioni · ISO 27001 · Punto 6.1.3

Modello di dichiarazione di applicabilità ISO 27001

Il documento che collega la valutazione dei rischi ai 93 controlli dell’Appendice A: quali si applicano, perché, quali no e a che punto è ciascuno.

In una frase

La dichiarazione di applicabilità (SoA) è il documento che, secondo il punto 6.1.3 d) della ISO/IEC 27001, elenca i controlli necessari per trattare i rischi, giustifica perché sono inclusi, indica se sono attuati e giustifica ogni esclusione di un controllo dell’Appendice A; è il primo documento che chiede l’auditor perché definisce il perimetro reale della certificazione.

Contenuto revisionato il 17 ottobre 2026

Dove lo richiede la norma: ISO 27001 · Punto 6.1.3 I punti seguono la ISO/IEC 27001:2022; quelli che iniziano con «A.» sono controlli dell’Appendice A, richiesti nella misura in cui la dichiarazione di applicabilità li include.
Tipo di informazione: Documento obbligatorio Documento richiesto dal punto 6.1.3 d), da mantenere aggiornato
Chi lo compila: Responsabile della sicurezza La approva la direzione, insieme ai titolari dei rischi
Quando: Dopo ogni valutazione dei rischi E ogni volta che cambiano lo stato di un controllo o il campo di applicazione del sistema
Per quanto tempo si conserva: Versione in vigore e precedenti Conviene conservare le versioni superate del ciclo di certificazione: l’auditor confronta che cosa è cambiato e perché (7.5.3).

Che cosa richiede la norma

Che cosa impone la norma ISO 27001 e che cosa lascia alla sua discrezione

Dopo la valutazione dei rischi, la norma chiede di scegliere i controlli necessari per trattarli e di confrontarli con l’Appendice A per verificare di non averne tralasciato nessuno necessario. Il risultato si formalizza nella dichiarazione di applicabilità, che deve contenere i controlli necessari, la giustificazione della loro inclusione, se sono attuati o no e la giustificazione delle esclusioni.

La norma non obbliga ad applicare tutti i 93 controlli: obbliga a decidere su ciascuno. Ammette anche controlli propri o di altri quadri di riferimento, che si aggiungono alla dichiarazione accanto a quelli dell’Appendice A.

È un documento vivo: cambia quando cambiano i rischi, il campo di applicazione o lo stato di attuazione, e la sua versione in vigore è quella citata nel certificato.

Lo legga nel contesto: Pianificazione, nell’Academy ISO 27001

Struttura

Campi che il modello deve contenere

Identificativo e nome del controllo (Appendice A o altro quadro)
Si applica? Sì o no
Giustificazione dell’inclusione: rischio, requisito legale o contrattuale
Giustificazione dell’esclusione, se non si applica
Stato di attuazione: attuato, in corso, pianificato
Riferimento all’evidenza o alla procedura che lo sviluppa
Titolare del controllo
Versione, data e approvazione

Esempio

Esempio: tre righe della SoA di un’azienda di software

Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.

Campo	Contenuto
Organizzazione	Nubeta Servizi Digitali (fittizia) · piattaforma SaaS · 80 persone
5.23 Sicurezza delle informazioni per l’utilizzo dei servizi cloud	Si applica · Rischio R-07 (fornitore di hosting) e contratti con i clienti · Attuato · Procedura PS-12
7.4 Monitoraggio della sicurezza fisica	Si applica · Rischio R-15 (accesso all’ufficio) · In corso: telecamere previste per marzo 2027
8.30 Sviluppo affidato all’esterno	Non si applica · Tutto lo sviluppo è interno; da rivedere se si esternalizza
Controllo proprio	NB-01 Revisione dei permessi sul repository del codice · Si applica · Rischio R-03 · Attuato
Versione	v6 · approvata dal comitato di direzione il 9 settembre 2026

In audit

Errori che gli auditor rilevano più spesso

Esclusioni giustificate con «non applicabile» senza dire perché.
Controlli segnati come attuati senza un’evidenza che lo sostenga.
La SoA non indica quale rischio giustifica ogni controllo: non si vede il legame con la valutazione.
Versione diversa da quella riportata nel certificato o nel rapporto di audit.
Si usa ancora la struttura a 114 controlli dell’edizione 2013.

In Kimobox

Come si gestisce questa registrazione in Kimobox

1La dichiarazione di applicabilità riporta i controlli dell’Appendice A con il loro stato di attuazione.
2Ogni controllo resta collegato all’evidenza che lo dimostra e ai rischi che tratta.
3La dichiarazione è un documento controllato e gestito per versioni: si conserva chi ha approvato ogni versione e quando.

Domande frequenti

Cosa ci chiedono prima di iniziare

Si può escludere un controllo dell’Appendice A?

Sì, purché l’esclusione sia giustificata: perché il rischio non esiste nel campo di applicazione, perché è trattato con un altro controllo o perché l’attività non si svolge. Ciò che la norma non ammette è ignorare un controllo senza pronunciarsi.

La SoA dell’ENS vale per la ISO 27001?

Non direttamente. L’ENS spagnolo ha una propria dichiarazione di applicabilità sulle misure dell’Allegato II del Real Decreto 311/2022. Molte misure corrispondono a controlli dell’Appendice A, ed è utile tenere la tabella di equivalenza, ma sono due documenti distinti.

Gestisca le registrazioni ISO 27001 senza modelli sparsi

Le mostriamo il modulo in funzione con dati simili ai suoi.

Richiedi una demo

Continua a esplorare

Pagine correlate

Fonti

Da dove arriva ogni dato

Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.

ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni. Requisiti ISO/IEC · 25 ottobre 2022
ISO/IEC 27002:2022 — Controlli di sicurezza delle informazioni ISO/IEC · Febbraio 2022