Certificazione ISO 22301

Chi arriva su questa pagina ha quasi sempre una richiesta precisa: un questionario di qualifica fornitori che chiede la continuità operativa, un capitolato che chiede la certificazione ISO 22301, un consiglio di amministrazione che dopo l'ultimo blocco informatico ha fatto la domanda più scomoda — «e se succede di nuovo, quanto restiamo fermi?». Oppure la NIS2.

La ISO 22301 certifica un sistema di gestione della continuità operativa: la capacità documentata e provata di continuare a erogare prodotti e servizi a un livello accettabile predefinito durante e dopo un evento che interrompe l'attività. Nessuna legge italiana la impone: è uno schema volontario. Ma è quello che vigilanza, grandi committenti e stazioni appaltanti riconoscono quando chiedono di dimostrare che la capacità di reggere un'interruzione è stata organizzata davvero.

Che cosa facciamo, in concreto

Ti portiamo dal punto in cui sei al certificato, e su questo schema il lavoro utile è uno solo: far funzionare il piano quando serve. Partiamo dall’analisi di impatto, che è il documento che regge tutto: quali attività non possono fermarsi, per quanto tempo e con quali conseguenze. Poi si scrivono le strategie e si provano, perché un piano mai testato non è un piano. Non certifichiamo noi: il certificato lo rilascia un organismo accreditato. E prima di cominciare cerchiamo i bandi a fondo perduto e i contributi attivi, spesso collegati a digitalizzazione e sicurezza.

Che cos'è, quale edizione vale, che cosa bolle in pentola

La norma segue la struttura comune alle norme di sistema di gestione: chi ha già una ISO 9001 ne riconosce l'impianto. Il certificato non attesta che l'azienda non si fermerà mai: attesta che ha identificato le attività prioritarie, quantificato quanto può restare senza, attuato strategie per starci dentro e scritto piani utilizzabili e provati. Il lavoro vero sta nel punto 8: analisi di impatto e valutazione del rischio (8.2), strategie e soluzioni (8.3), piani e procedure (8.4), programma di prove (8.5), valutazione delle capacità (8.6).

L'edizione in vigore è la ISO 22301:2019, in Italia UNI EN ISO 22301:2019. Nel febbraio 2024 è uscito l'emendamento Amd 1:2024 — Climate action changes, con cui ISO e IAF hanno inserito il cambiamento climatico in decine di norme con un testo identico: al punto 4.1 l'obbligo di determinare se sia una questione rilevante, al 4.2 la nota che le parti interessate possono avere requisiti connessi. Non apre una transizione: è un requisito che l'auditor verifica già oggi.

È poi in corso la terza edizione: il progetto ISO/CD 22301 del comitato ISO/TC 292 ha chiuso il periodo di commenti sulla bozza il 10 maggio 2026 e deve ancora passare per l'inchiesta internazionale. Nessuna data, nessuna transizione aperta: chi si certifica oggi si certifica sulla 2019.

Il cuore tecnico: analisi di impatto e valutazione del rischio

Il punto 8.2 chiede due analisi distinte, in quest'ordine e da non confondere. L'analisi di impatto sul business, in sigla BIA, parte dalle attività e non dai pericoli: se questa attività si ferma, che cosa succede, e quanto peggiora col passare del tempo? L'impatto si valuta su più assi (economico, contrattuale, sanzionatorio, reputazionale, sulla sicurezza delle persone) e in funzione del tempo: un'ora di fermo e tre giorni non sono la stessa cosa moltiplicata. Ne escono le attività prioritarie, quelle il cui fermo diventa inaccettabile per prime.

La valutazione del rischio fa il percorso inverso: identifica gli scenari che possono interrompere quelle attività (incendio, blocco informatico, assenza del personale chiave, perdita del fornitore critico, evento naturale) e ne stima probabilità ed effetti. Serve a decidere dove intervenire per ridurre la probabilità; la BIA a decidere quanto in fretta ripartire comunque.

RTO e RPO: la differenza che quasi tutti sbagliano

È l'errore più comune, e produce investimenti sbagliati. L'RTO guarda avanti, dal guasto alla ripartenza. L'RPO guarda indietro: quanto lavoro fatto prima del guasto va perso perché non era al sicuro.

Chi copia i dati una volta al giorno, la notte, ha un RPO di ventiquattro ore: se il server si rompe alle 17, il lavoro dell'intera giornata è perso. Un server più veloce migliora l'RTO e non tocca l'RPO. E nessuno dei due è una grandezza informatica: l'RTO di un reparto dipende da quanto ci mette un fornitore alternativo.

Strategie, piani e prove

Dai parametri si passa alle strategie di continuità (8.3), da scegliere in funzione della capacità di rispettare gli RTO fissati. Le famiglie sono poche: duplicare, ridondare (scorte, personale formato su più mansioni, fornitori alternativi), sostituire con procedure degradate ma funzionanti, trasferire a terzi, accettare il rischio sopportabile.

Poi i piani di continuità (8.4): struttura di risposta con ruoli definiti prima, allertamento, comunicazione, ripristino. Un piano utilizzabile si legge sotto stress, ha nomi e numeri aggiornati, dice chi decide al posto di chi è irreperibile e resta disponibile anche fuori dai sistemi che potrebbero essere spenti. Un piano di ottanta pagine sul server caduto non è un piano.

Infine il programma di prove (8.5) e la valutazione delle capacità (8.6): i punti su cui vediamo più non conformità, perché un piano mai provato non vale nulla. Si procede per gradi (lettura commentata con chi il piano lo dovrà usare, prova a tavolino, prova tecnica su un componente, simulazione con le persone) e ogni prova va documentata da un rapporto che porti a correzioni tracciate.

Continuità, ripristino informatico e gestione della crisi

Tre cose diverse, che le aziende confondono con regolarità.

Chi ha solo il ripristino informatico lascia scoperte le interruzioni che non nascono dai sistemi. Chi ha ottimi piani tecnici ma nessuna struttura di crisi si trova, il giorno dell'evento, con tutti che aspettano una decisione e nessuno che possa prenderla.

Chi la chiede, e perché

La domanda arriva quasi sempre da fuori:

• banche, assicurazioni e intermediari finanziari, per cui la resilienza operativa è materia di vigilanza e, dal 2025, di regolamento europeo;
• servizi essenziali e utility (energia, acqua, gas, telecomunicazioni, trasporti) e la loro catena di fornitura; sanità, laboratori e strutture residenziali, dove il livello minimo di servizio è questione di sicurezza delle persone;
• data center, gestori di servizi informatici e software house, cui i clienti chiedono garanzie di disponibilità; logistica e magazzini conto terzi, dove un fermo si propaga a valle su decine di clienti;
• industria con filiere critiche (automotive, aerospazio, farmaceutico, dispositivi medici, alimentare) e grandi committenti in qualifica fornitori: è il canale che negli ultimi anni cresce di più.

C'è poi il canale delle gare pubbliche. La ISO 22301 figura nell'allegato II.13 del D.Lgs. 36/2023, l'elenco delle certificazioni rilevanti per la riduzione della garanzia, come UNI EN ISO 22301, tipologia «processo». Il meccanismo è quello dell'art. 106, comma 8: la garanzia si riduce del 30 per cento con la certificazione del sistema qualità, del 50 per cento per le micro, piccole e medie imprese in alternativa alla prima, di un ulteriore 10 per cento per le fideiussioni firmate digitalmente e verificabili telematicamente, e fino a un ulteriore 20 per cento per le certificazioni dell'allegato II.13, se la stazione appaltante le ha indicate nei documenti di gara iniziali. Ciascuna riduzione si applica sull'importo già ridotto.

Su questo conviene essere precisi: quella riduzione non è automatica. Se il bando non richiama quelle certificazioni, la ISO 22301 non produce da sola nessuno sconto. Resta valorizzabile come requisito premiante nell'offerta tecnica.

NIS2: che cosa chiede davvero, e perché non si certifica

La NIS2, direttiva (UE) 2022/2555, è stata recepita con il D.Lgs. 4 settembre 2024, n. 138. Fra le misure imposte ai soggetti essenziali e importanti, l'art. 24 elenca la «continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove applicabile, e gestione delle crisi»: la stessa materia della ISO 22301, scritta in una norma di legge.

DORA: il settore finanziario e l'obbligo di provare

Per le entità finanziarie il quadro è più stringente. Il regolamento (UE) 2022/2554, noto come DORA, si applica dal 17 gennaio 2025 ed è direttamente applicabile, senza legge di recepimento. Riguarda enti creditizi, imprese di investimento, istituti di pagamento e di moneta elettronica, imprese di assicurazione e riassicurazione, intermediari assicurativi sopra soglia, gestori di fondi, prestatori di servizi per le cripto-attività e piattaforme di crowdfunding, e indirettamente i loro fornitori informatici.

L'art. 11 impone una politica di continuità operativa delle TIC esaustiva, con piani e procedure documentati per le funzioni essenziali o importanti, testati almeno una volta l'anno e a ogni modifica significativa; l'art. 12 politiche di backup e metodi di ripristino. L'art. 24 impone alle entità diverse dalle microimprese test adeguati almeno annuali su tutti i sistemi a supporto di funzioni essenziali o importanti; l'art. 26 i test avanzati basati su penetrazione guidata dalla minaccia (TLPT), almeno triennali per i soggetti individuati dalle autorità.

Vale la regola della NIS2: DORA non prevede una certificazione e la ISO 22301 non rende conformi al regolamento. Ma un sistema certificato copre gran parte dell'art. 11 e porta in dote la disciplina delle prove documentate: per un fornitore informatico di banche e assicurazioni accorcia in modo tangibile i questionari sul rischio di terze parti.

Gli obblighi di legge che non sostituisce

• Gli obblighi di sicurezza sul lavoro del D.Lgs. 81/2008 e le prescrizioni antincendio. Il piano di emergenza tutela le persone durante l'evento, il piano di continuità tutela l'attività dopo: nessuno dei due copre l'altro.
• Gli obblighi del GDPR: l'art. 32 del regolamento (UE) 2016/679 chiede la capacità di ripristinare tempestivamente disponibilità e accesso ai dati personali in caso di incidente, e la verifica periodica dell'efficacia. La 22301 aiuta a dimostrarlo, ma la conformità in materia di protezione dei dati ha adempimenti propri.
• Gli adempimenti NIS2 di registrazione e notifica e gli obblighi di segnalazione previsti da DORA; e gli impegni contrattuali sui livelli di servizio, da rileggere alla luce della BIA: capita spesso di scoprire che l'RTO reale è più lungo del ripristino promesso in contratto.

Come si incastra con gli altri schemi

• ISO/IEC 27001 — l'allegato A ha controlli sulla continuità: 5.29 sulla sicurezza delle informazioni durante l'interruzione, 5.30 sulla prontezza delle TIC, 8.13 sulle copie di sicurezza, 8.14 sulla ridondanza. Sono controlli, non un sistema di gestione: non chiedono la BIA, le strategie né le prove. La ISO 27001 non basta per la continuità operativa.
• ISO 22313:2020 e ISO/TS 22317:2021 — la guida all'uso della ISO 22301 e le linee guida per la BIA. Nessuna delle due è certificabile e nessuna contiene requisiti: spiegano come si fanno le cose che la 22301 chiede.
• ISO/IEC 27031:2025 — la prontezza delle tecnologie dell'informazione per la continuità operativa: il riferimento tecnico del disaster recovery.
• ISO/IEC 20000-1 — per i fornitori di servizi informatici la continuità del servizio è già un processo richiesto: si arriva alla 22301 con metà del lavoro fatto.
• ISO 28000 — stessa famiglia: riduce la probabilità che un evento ostile sulla catena di fornitura accada, mentre la 22301 organizza la risposta.

Come si arriva al certificato

Lo schema è accreditato in Italia: nella lista degli schemi di Accredia la voce «Certificazione di Sistemi di Gestione della Business Continuity» indica come norma di accreditamento la ISO/IEC 17021-1 e come norma di certificazione la UNI EN ISO 22301:2019. Un attestato non accreditato non ha lo stesso valore.

1. Ricerca di bandi e finanziamenti. Prima di ogni altra cosa verifichiamo, gratuitamente, quali bandi, contributi e forme di finanziamento a fondo perduto sono disponibili per il tuo progetto. Va fatto per primo perché può cambiare la convenienza dell'intera operazione, e perché molte scadenze non aspettano.
2. Definizione dell'ambito: quali sedi, quali attività, quali servizi. È la scelta che determina costo e credibilità.
3. Analisi di impatto e valutazione del rischio, la fase più lunga e la più utile: si fissano MTPD, RTO, RPO e livello minimo accettabile per ogni attività prioritaria.
4. Scelta e attuazione delle strategie, dove si scopre spesso che una parte del problema si risolve con accordi contrattuali e non con investimenti, e stesura dei piani, con ruoli, sostituti, contatti e soglie di attivazione.
5. Formazione e prove. Il programma va avviato prima dell'audit: senza almeno una prova documentata, la certificazione non si ottiene.
6. Audit interno e riesame di direzione, obbligatori prima della verifica esterna, poi l'audit di certificazione in due fasi. Infine il certificato, valido tre anni, con sorveglianze annuali.

Sui tempi: per un'azienda di dimensioni medie con una ISO 9001 già attiva servono dai quattro ai sei mesi; chi parte da zero deve mettere in conto di più.

Quanto costa la certificazione ISO 22301

Non esiste un listino, e chi ti dà una cifra al telefono senza aver visto nulla la sta indovinando. Il costo ha due voci separate: le giornate dell'organismo, determinate da regole internazionali in funzione di addetti, siti e complessità, e la consulenza, che varia con quanto sistema esiste già. Sulla 22301 pesa un terzo elemento: le strategie di continuità possono comportare investimenti veri, che non sono costo di certificazione ma decisioni aziendali messe in evidenza dall'analisi.

Come si forma il prezzo lo abbiamo spiegato voce per voce su quanto costa certificarsi. Per un numero sul tuo caso, richiedi un preventivo: la prima analisi non ha costo.

Come lavoriamo

Partiamo sempre da una domanda scomoda: chi ti ha chiesto la ISO 22301 e che cosa ti serve davvero ottenere. Se la richiesta arriva da un questionario di qualifica guardiamo che cosa chiede esattamente, perché a volte non chiede la certificazione ma un'evidenza che costa meno. Se arriva dalla NIS2 o da DORA, impostiamo il lavoro perché l'analisi serva a entrambi i fronti.

La BIA la facciamo parlando con chi lavora nei processi, non compilando un modello a tavolino: è l'unico modo perché i numeri siano difendibili. E il programma di prove lo avviamo presto, perché è là che si scopre che cosa non funziona mentre c'è tempo per correggerlo.

Gli errori che allungano i tempi

Sono sempre gli stessi quattro.

Scrivere il piano senza analisi di impatto. Senza sapere che cosa non può fermarsi e per quanto, le strategie sono scelte a caso.

Non provare mai il piano. Un piano mai esercitato non funziona il giorno in cui serve, e in audit la prova si chiede.

Dimenticare i fornitori critici. La continuità si rompe quasi sempre fuori, non dentro: i fornitori vanno dentro l’analisi.

Cercare i contributi a percorso avviato. I bandi hanno finestre e regole sull’avvio delle spese: chiederli dopo aver firmato significa quasi sempre perderli.

Dove operiamo

Lavoriamo dalle nostre cinque sedi (Milano, Bologna, Roma, Brescia e Chiari) e seguiamo aziende in tutta Italia. È un lavoro in gran parte da remoto, su processi, dati e fornitori; le esercitazioni si fanno sul posto, perché è lì che si vede se il piano regge o se esiste solo sulla carta.

Il testo ufficiale della norma ISO 22301 si acquista sul sito UNI.

Domande frequenti

Quanto costa la certificazione ISO 22301?
Non c'è un listino: dipende dall'ambito, dalle sedi, dagli addetti e da quanto sistema esiste già. La spiegazione voce per voce è su quanto costa certificarsi; per una cifra sul tuo caso puoi richiedere un preventivo senza impegno.

Che differenza c'è fra continuità operativa e disaster recovery?
Il disaster recovery rimette in funzione i sistemi informatici; la continuità operativa tiene in piedi l'erogazione qualunque sia la causa del fermo. Il primo è una delle strategie della seconda, non un suo sostituto.

La ISO 27001 basta per la continuità?
No. L'allegato A contiene controlli sul tema (5.29, 5.30, 8.13, 8.14) ma non chiede la BIA, le strategie di continuità né il programma di prove: è un presidio, non un sistema di gestione della continuità operativa.

Serve per NIS2?
Serve come evidenza, non come conformità. L'art. 24 del D.Lgs. 138/2024 impone fra le misure la continuità operativa, il backup, il ripristino in caso di disastro e la gestione delle crisi, ma non prevede alcuna certificazione: la «certificazione NIS2» non esiste.

Quanto dura il percorso?
Per un'azienda di dimensioni medie con una ISO 9001 già attiva servono dai quattro ai sei mesi; chi parte da zero deve mettere in conto di più. La fase che allunga i tempi è quasi sempre l'analisi di impatto.

Esistono contributi o finanziamenti per certificarsi?
Spesso sì, e in molti casi coprono una parte rilevante della spesa. La ricerca dei bandi aperti la facciamo noi, gratuitamente, prima di iniziare. L'esito però dipende sempre dal singolo bando e dalla graduatoria, e nessuno può garantirlo in anticipo.