Modelli e registrazioni · ISO 27001 · Punto A.5.31
Registro dei requisiti legali e contrattuali di sicurezza
L’elenco di leggi, regolamenti e contratti che impongono obblighi di sicurezza all’azienda, con che cosa chiedono e come si rispetta ciascuno.
In una frase
Il registro dei requisiti legali e contrattuali individua le leggi, i regolamenti e i contratti che impongono obblighi di sicurezza —protezione dei dati, NIS2, ENS, clausole dei clienti— e spiega come si rispetta ciascuno; lo chiede il controllo 5.31 della ISO/IEC 27001:2022, che richiede di identificarli, documentarli e mantenerli aggiornati.
- Dove lo richiede la norma
- ISO 27001 · Punto A.5.31 I punti seguono la ISO/IEC 27001:2022; quelli che iniziano con «A.» sono controlli dell’Appendice A, richiesti nella misura in cui la dichiarazione di applicabilità li include.
- Tipo di informazione
- Documento obbligatorio Controllo 5.31 dell’Appendice A, che chiede di documentarli e mantenerli aggiornati
- Chi lo compila
- Responsabile della sicurezza con l’ufficio legale I contratti li fornisce chi li firma: commerciale, acquisti
- Quando
- Quando cambia la legge o si firma un contratto Con una revisione completa almeno una volta l’anno
- Per quanto tempo si conserva
- Sempre in vigore Si mantiene aggiornato; le versioni precedenti mostrano da quando era noto ciascun obbligo
Che cosa richiede la norma
Che cosa impone la norma ISO 27001 e che cosa lascia alla sua discrezione
Il punto 4.2 chiede di conoscere i requisiti delle parti interessate, e il controllo 5.31 precisa quelli che derivano da leggi, regolamenti e contratti: identificarli, documentarli e mantenerli aggiornati, insieme all’approccio per rispettarli.
A differenza del registro degli obblighi di un sistema di compliance, questo si limita a ciò che riguarda la sicurezza delle informazioni. La sua utilità è doppia: alimenta la valutazione dei rischi e giustifica l’inclusione dei controlli nella dichiarazione di applicabilità.
Controlli vicini completano il quadro: diritti di proprietà intellettuale (5.32), protezione delle registrazioni (5.33) e privacy e protezione dei dati personali (5.34).
Struttura
Campi che il modello deve contenere
- Norma o contratto di origine, con il riferimento
- Requisito di sicurezza concreto che impone
- Ambito: quali processi, sistemi o dati riguarda
- Come si rispetta: controllo, procedura o evidenza
- Responsabile
- Termini di notifica o di risposta che fissa
- Data di identificazione e di ultima revisione
Esempio
Esempio: tre requisiti di un’azienda di software
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| GDPR, art. 33 | Notificare le violazioni dei dati personali all’autorità di controllo entro 72 ore · Procedura incidenti PS-08 · Responsabile della protezione dei dati |
| GDPR, art. 28 | Contratto di responsabile del trattamento con ogni cliente che ci affida dati · Modello di contratto approvato · Commerciale e legale |
| Contratto con un cliente pubblico spagnolo (fittizio) | Conformità all’ENS in categoria media · Certificazione prevista · Responsabile della sicurezza |
| Contratto con una compagnia assicurativa cliente (fittizia) | Avvisare degli incidenti gravi entro 24 ore · Aggiunto alla procedura PS-08 |
| Ultima revisione | 15 luglio 2026 |
In audit
Errori che gli auditor rilevano più spesso
- Elenco di leggi senza dire che cosa chiedono né come si rispettano.
- Gli impegni di sicurezza dei contratti con i clienti non compaiono.
- Termini di notifica contrattuali che la procedura incidenti ignora.
- Non si rivede dopo l’entrata in vigore di nuove norme, come il recepimento della NIS2.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1Le parti interessate e i loro requisiti di sicurezza si registrano in una tabella gestita per versioni.
- 2Ogni requisito si collega, nella dichiarazione di applicabilità, al controllo o alla procedura che lo soddisfa.
- 3La revisione periodica resta programmata e avvisa il suo responsabile.
Domande frequenti
Cosa ci chiedono prima di iniziare
È la stessa cosa del registro degli obblighi della ISO 37301?
No. Quello della ISO 37301 comprende tutti gli obblighi di conformità dell’organizzazione; questo si limita a quelli che riguardano la sicurezza delle informazioni. Se si hanno entrambi i sistemi, quello di sicurezza può essere una vista filtrata del registro generale.
Vanno inclusi i contratti con i clienti?
Sì. Il controllo 5.31 parla espressamente di requisiti contrattuali, e di solito sono i più esigenti: termini di avviso degli incidenti, audit del cliente o ubicazione dei dati.
Gestisca le registrazioni ISO 27001 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Modello di registro degli obblighi di compliance ISO 37301
Come documentare gli obblighi di compliance richiesti dalla ISO 37301: requisiti obbligatori e impegni…
Contesto dell’organizzazione
Il sistema di sicurezza delle informazioni comincia dal sapere quali asset vanno protetti e chi ha…
Modello di dichiarazione di applicabilità ISO 27001
Che cosa deve riportare la dichiarazione di applicabilità della ISO 27001 (6.1.3 d): controlli necessari…
Modello di valutazione dei rischi di sicurezza ISO 27001
Come documentare la valutazione dei rischi di sicurezza della ISO 27001: criteri di accettazione, titolare…
Fonti
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni. Requisiti ISO/IEC · 25 ottobre 2022
- ISO/IEC 27002:2022 — Controlli di sicurezza delle informazioni ISO/IEC · Febbraio 2022
- Regolamento (UE) 2016/679, regolamento generale sulla protezione dei dati EUR-Lex · 27 aprile 2016
- Direttiva (UE) 2022/2555 (NIS2) EUR-Lex · 14 dicembre 2022