Lo Statement of Applicability (SoA) ISO 27001: guida legale e operativa

La predisposizione di una Dichiarazione di Applicabilità (Statement of Applicability – SoA) rappresenta uno dei principali passaggi nell’implementazione di un Sistema di Gestione della Sicurezza delle Informazioni (SGSI) conforme allo standard ISO 27001.

In questo articolo analizziamo di cosa si tratta, perché è fondamentale per l’accountability aziendale e come si relaziona con i framework normativi. Esaminiamo nel dettaglio cosa deve contenere per giustificare le scelte di sicurezza e ti accompagniamo, step-by-step, nella sua corretta implementazione.

La Dichiarazione di Applicabilità nello Standard ISO 27001

Abbiamo già parlato (qui) dell’importanza della certificazione ISO 27001 come scelta di governance di alto valore. Nel contesto del Sistema di Gestione per la Sicurezza delle Informazioni (SGSI), lo Statement of Applicability si colloca nella fase di pianificazione delle azioni da intraprendere per trattare i rischi per la sicurezza delle informazioni.

Nello specifico, il punto 6.1.3 lettera (d) della norma impone all’organizzazione, a valle del rigoroso processo di valutazione e trattamento del rischio, di redigere formalmente una Dichiarazione di Applicabilità.

Per essere ineccepibile e conforme in sede di audit, questo documento deve tassativamente includere quattro elementi fondamentali:

I controlli necessari per trattare i rischi per la sicurezza delle informazioni;
Le giustificazioni tecniche o di business per la loro inclusione;
Lo stato di implementazione, indicando esplicitamente se tali controlli siano stati attuati o meno;
Le giustificazioni puntuali per l’eventuale esclusione di qualsiasi controllo elencato nell’Appendice A della norma (che consta di 93 controlli di riferimento).

All’atto pratico, quindi, lo Statement of Applicability funge da cerniera logica fra la valutazione teorica dei rischi e l’attuazione pratica delle misure di difesa. Cristallizza le decisioni aziendali e attesta in modo trasparente e inequivocabile l’architettura di sicurezza dell’organizzazione.

Perché lo Statement of Applicability è fondamentale

Molte organizzazioni commettono l’errore di considerare lo Statement of Applicability un semplice requisito documentale necessario per superare l’ispezione dell’ente certificatore. In realtà, la sua importanza trascende l’ambito del mero audit, configurandosi come uno strumento operativo e strategico di vitale importanza per il business.

Collega il rischio all’azione. In primo luogo, come anticipato, funge da collegamento fra la valutazione dei rischi (Risk Assessment), il piano di trattamento dei rischi (Risk Treatment Plan) e l’implementazione concreta dei controlli.
Genera una panoramica strategica di come l’organizzazione agisce – concretamente – per tutelare il proprio patrimonio informativo e garantire la Riservatezza, Integrità e Disponibilità dei dati.
Supporta la governance. Aiuta gli stakeholder e il CdA a comprendere chiaramente quali rischi siano stati mitigati e quali deliberatamente accettati, permettendo all’Alta Direzione di mantenere il pieno controllo sulla postura di sicurezza aziendale (Cybersecurity Posture).

Ai sensi del Regolamento UE 2016/679 (GDPR), accountability significa essere in grado di dimostrare le scelte compiute per garantire la conformità. In fase di ispezione o contenzioso, l’efficacia esimente delle misure di sicurezza non si presume, ma si dimostra attraverso evidenze documentali.

Con la Sentenza C-340/21 la Corte di Giustizia dell’Unione Europea ha stabilito che l’accesso non autorizzato ai sistemi da parte di cybercriminali non è sufficiente, di per sé, a provare l’inadeguatezza dei presìdi tecnici e organizzativi adottati dal Titolare ai sensi degli artt. 24 e 32 del GDPR. Al tempo stesso, la Corte ha precisato che l’esonero dalla responsabilità risarcitoria (art. 82 GDPR) scatta esclusivamente se l’Autorità è messa in condizione di vagliare positivamente la “complessa ponderazione” dei rischi effettuata a monte dall’azienda.

È esattamente qui che lo Statement of Applicability assume un valore probatorio fondamentale.

Esibire unicamente la certificazione ISO 27001, infatti, può rivelarsi un’arma spuntata (come confermato anche da recenti provvedimenti sanzionatori del Garante Privacy in materia di violazione dei dati). L’organizzazione deve opporre una Dichiarazione di Applicabilità che funga da vera e propria “matrice di conformità legale”. Il documento dimostra in modo inequivocabile che il Titolare ha esercitato il proprio margine di discrezionalità tecnica, associando le minacce rilevate a controlli specifici e mirati. Uno Statement of Applicability redatto a regola d’arte è la prova che l’azienda non ha agito con negligenza, permettendo di superare con successo l’onere della prova liberatoria.

Lo SoA come scudo legale: D.Lgs. 231/01, NIS2 e DORA

Negli ultimi anni il quadro normativo digitale si è stratificato sempre di più, con l’introduzione di regolamenti per ogni settore (dal GDPR, all’AI ACT, passando per il Data Act, il Digital Operational Resilience Act, la direttiva NIS2, etc.), tanto che a livello comunitario è in corso da tempo un ampio dibattito su come semplificare gli oneri per enti ed imprese.

In questo contesto, lo Statement of Applicability agisce come una matrice per correlare le misure di sicurezza agli obblighi imposti dal legislatore.

D.Lgs. 231/01 e reati informatici: con l’inasprimento dell’art. 24-bis (che ora include reati come l’estorsione informatica tipica dei ransomware), lo SoA certifica l’efficace attuazione del Modello Organizzativo (MOG). Fornisce all’OdV la prova che le difese sono idonee a prevenire il reato, fungendo da esimente per la responsabilità amministrativa della società.
Direttiva NIS2 (e D.Lgs. 138/2024): la Direttiva prevede la responsabilità diretta del management e regole ferree (ex art. 21), in particolare sulla supply chain. Lo Statement of Applicability permette di tradurre le prescrizioni normative in azioni verificabili, mappando i controlli sui fornitori e diventando lo strumento primario per dimostrare la due diligence in caso di ispezioni.
Regolamento DORA: per gli operatori del settore finanziario e i loro fornitori di servizi ICT, DORA esige standard severissimi di resilienza. Attraverso lo Statement of Applicability l’organizzazione integra i requisiti cogenti ai controlli dell’Appendice A (in primis la gestione del rischio di terze parti), documentando la business continuity.

Cosa includere nello SoA? Requisiti e best practices

La compilazione della Dichiarazione di Applicabilità richiede un approccio analitico, che passi in rassegna la totalità dei controlli dell’Appendice A della ISO 27001. Come abbiamo visto, la norma (punto 6.1.3, lettera d) prescrive obbligatoriamente quattro elementi base, a cui si aggiungono – quali migliori prassi – almeno altri quattro elementi utili.

I 4 requisiti obbligatori (ISO 27001):

ID e nome del controllo: l’identificativo ufficiale dell’Annex A (ad esempio, “A.5.1”) e la relativa descrizione, necessari per inquadrare immediatamente la misura di sicurezza di riferimento.
Applicabilità: la dichiarazione formale che definisce se il controllo sia pertinente o meno alla specifica realtà aziendale (Sì / No / Non Applicabile).
Giustificazione: il fondamento razionale del documento. Spiega analiticamente il motivo per cui il controllo è stato selezionato o escluso.
Stato dell’implementazione: la fotografia dell’avanzamento dei lavori (es. “completamente implementato”, “parzialmente implementato”, “pianificato”).

Le 4 best practices legali e operative:

Proprietario del controllo (Owner): l’indicazione del ruolo responsabile, dirimente per evitare “zone d’ombra” nelle responsabilità.
Data di implementazione e data di revisione del controllo: le coordinate temporali che indicano l’entrata in vigore della misura e il suo ultimo test. Per un auditor, queste date costituiscono la prova che il sistema di gestione è mantenuto attivamente.
Tipo di requisito: inquadra la natura dell’obbligo (es. “normativo”, “contrattuale”, “commerciale”).
Rischi correlati: il riferimento incrociato al piano di trattamento dei rischi, indispensabile per chiudere il cerchio tra la minaccia rilevata a monte e la difesa adottata a valle.

La stesura delle giustificazioni, in particolare per le omissioni, rappresenta il vero banco di prova: escludere un controllo è legittimo, ma impone di documentare analiticamente le ragioni operative o logiche a supporto.

Come sviluppare lo Statement of Applicability in 5 step

La redazione dello Statement of Applicability richiede un approccio metodico. Di seguito, abbiamo individuato i 5 passaggi fondamentali:

Fase 1: Esecuzione del Risk Assessment. Identificazione degli asset, analisi delle minacce (inclusi, dove rilevanti, i fattori climatici) e classificazione dei rischi.
Fase 2: Definizione del piano di trattamento. Stabilire la strategia: mitigare, evitare, trasferire o accettare il rischio.
Fase 3: Selezione dei controlli e stesura della matrice. Confrontare le misure di mitigazione con i 93 controlli dell’Appendice A, compilando le giustificazioni per inclusioni o esclusioni e documentando lo stato di fatto.
Fase 4: Approvazione della Direzione. Il documento deve essere formalmente approvato dal management, certificando l’assunzione di responsabilità.
Fase 5: Riesame continuo. Lo SoA deve essere aggiornato al mutare delle minacce, dei processi o dei requisiti normativi.

Redigere uno Statement of Applicability ineccepibile richiede competenze trasversali tra diritto, organizzazione e cybersecurity. Un singolo errore di mappatura espone l’azienda e può bloccare l’iter di certificazione. Contattaci per una consulenza specialistica.

Lo Statement of Applicability: guida legale e operativa