Certificazione ISO 27017 e ISO 27018

La richiesta arriva quasi sempre in questa forma: «serve la certificazione ISO 27018», oppure «la certificazione ISO 27017 e 27018». La scrive un questionario di qualifica fornitori, un cliente estero, una banca che ti sta valutando come fornitore ICT, oppure un bando che parla di servizi cloud. Chi la riceve va a cercare un organismo che rilasci quel certificato, e scopre che le risposte non tornano.

Non tornano per una ragione precisa, che quasi nessuno spiega in chiaro: quei due documenti non sono schemi di certificazione autonomi. Sono estensioni. Servono, valgono, si possono mettere sul certificato — ma non da soli. Capire questo passaggio prima di firmare un contratto di consulenza ti risparmia mesi e denaro.

Che cosa facciamo, in concreto

Ti portiamo dal punto in cui sei al certificato. Per prima cosa ti chiariamo che questi due documenti non stanno in piedi da soli. Sono estensioni della ISO/IEC 27001, quindi il percorso parte da lì. Poi si sceglie: la 27017 se il tema è la sicurezza dei servizi cloud, la 27018 se è la protezione dei dati personali nel cloud, spesso entrambe. Il lavoro utile è sui contratti e sulla divisione delle responsabilità fra chi fornisce e chi usa il servizio, che è il punto in cui i clienti fanno domande. Non certifichiamo noi: il certificato lo rilascia un organismo accreditato. E prima di cominciare cerchiamo i bandi a fondo perduto e i contributi attivi su digitalizzazione e sicurezza.

Che cosa sono, in due righe ciascuna

Entrambe nascono come codici di condotta nel senso tecnico che ISO dà a questa espressione: raccolte di controlli e di guida applicativa che si innestano sui controlli generali della ISO/IEC 27002. Non sono norme di requisiti come la 27001 e non definiscono un sistema di gestione: dicono, per ciascun controllo, che cosa cambia quando il servizio è in cloud.

La ISO/IEC 27017 si occupa di sicurezza delle informazioni nei servizi cloud. Aggiunge una guida specifica ai controlli della 27002. Introduce anche alcuni controlli che nel cloud non avevano equivalente. Per esempio la separazione degli ambienti virtuali fra clienti diversi e l'irrobustimento delle macchine virtuali. Poi la restituzione e la cancellazione degli asset del cliente alla fine del contratto. Infine la possibilità, per il cliente, di monitorare le attività che lo riguardano.

La ISO/IEC 27018 si occupa di dati personali, e in un ruolo ben preciso: quello di chi, erogando un servizio di cloud pubblico, tratta dati personali per conto di altri. Nel linguaggio della norma è il PII processor; nel linguaggio del GDPR è il responsabile del trattamento. Non riguarda chi decide le finalità del trattamento: riguarda chi esegue istruzioni altrui su dati altrui.

Le edizioni in vigore: attenzione, sono cambiate da poco

È il punto su cui, in questo momento, circolano più informazioni sbagliate. Entrambi i documenti sono stati rifatti negli ultimi mesi, e le edizioni che trovi citate nella maggior parte dei siti sono ritirate.

Non è un dettaglio bibliografico: il rifacimento serviva ad allineare i due documenti alla ISO/IEC 27002:2022, cioè ai controlli usati dall'attuale ISO/IEC 27001:2022. Chi ha costruito la dichiarazione di applicabilità sulle vecchie edizioni si ritrova con riferimenti che non combaciano più con l'Allegato A del proprio certificato.

Cambiano anche i titoli: entrambi hanno perso la dicitura «code of practice», sostituita da «controlli di sicurezza basati sulla ISO/IEC 27002 per i servizi cloud» nella 27017 e da «linee guida» nella 27018. Chi ti cita ancora «codice di condotta» nei documenti contrattuali usa una formula superata — e, come vedremo, per il GDPR quella parola ha un significato tecnico che qui non si applica.

ISO/IEC 27017: che cosa aggiunge davvero

La 27017 lavora su due piani. Sul primo riprende i controlli della ISO/IEC 27002. Per quelli che nel cloud cambiano faccia aggiunge una guida applicativa dedicata. La guida spiega che cosa significa quel controllo per chi eroga il servizio e per chi lo usa. Sul secondo introduce controlli nuovi, che nella 27002 non esistono perché riguardano situazioni che nascono solo con il cloud.

I temi coperti dai controlli aggiuntivi (sette nell'impianto storico dello schema, che l'edizione 2026 riordina sulla struttura della ISO/IEC 27002:2022) conviene leggerli, perché sono esattamente le domande che un cliente serio ti farà in fase di qualifica:

• Ruoli e responsabilità condivisi nell'ambiente cloud: chi risponde di che cosa, scritto e concordato, non lasciato all'intuizione.
• Rimozione e restituzione degli asset del cliente alla cessazione del contratto: dove finiscono i dati quando il rapporto si chiude, in quanto tempo, con quale prova di cancellazione.
• Separazione degli ambienti virtuali: la garanzia che l'ambiente di un cliente sia protetto e isolato da quello degli altri clienti.
• Irrobustimento delle macchine virtuali secondo le esigenze effettive del servizio.
• Procedure per le operazioni amministrative sull'ambiente cloud: sono le operazioni più potenti e le meno tracciate, e sono quelle da cui nascono gli incidenti peggiori.
• Possibilità per il cliente di monitorare le attività che lo riguardano: log accessibili, non solo log esistenti.
• Allineamento della sicurezza fra reti virtuali e reti fisiche.

ISO/IEC 27018: i dati personali nel cloud pubblico

La 27018 è molto più circoscritta della 27017, ed è proprio la sua ristrettezza a renderla utile. Si rivolge a chi eroga servizi di cloud pubblico e in quel ruolo tratta dati personali per conto del cliente: non ne decide le finalità, esegue istruzioni. È la posizione in cui si trovano quasi tutti i fornitori SaaS, gli hosting provider, i gestori di piattaforme, i servizi di posta e archiviazione.

I principi da cui parte sono quelli del quadro sulla privacy della ISO/IEC 29100, tradotti in controlli operativi. Insiste sulle materie che nei contratti cloud generano contenzioso. Per esempio, che cosa il fornitore può fare con i dati del cliente e che cosa non può. Poi il consenso, la limitazione di finalità, la gestione dei subincaricati, la restituzione e la cancellazione dei dati. Infine, che cosa fare quando un'autorità chiede di accedere ai dati. Contano anche la trasparenza sui luoghi di conservazione e la notifica al cliente in caso di violazione.

L'edizione 2025 ha aggiunto un allegato di corrispondenza con quella precedente: se hai un impianto documentale costruito sulla 27018:2019, è lo strumento con cui si fa la migrazione senza rifare tutto da capo.

Fornitore o cliente del servizio cloud: da dove stai cambia tutto

La distinzione fra fornitore (in inglese cloud service provider) e cliente (cloud service customer) è l'architrave della 27017, e viene ignorata con una regolarità impressionante. Lo stesso controllo dice cose diverse a seconda del posto in cui stai.

Da qui una conseguenza pratica: il certificato del tuo fornitore cloud non certifica te. Esibirlo risponde a metà della domanda; l'altra metà riguarda come hai configurato e governato quel servizio, e si dimostra solo con il proprio sistema di gestione.

Come si certificano, in concreto

Il percorso reale è questo, ed è uno solo. Si parte da un sistema di gestione della sicurezza delle informazioni conforme alla ISO/IEC 27001:2022, già certificato o da certificare insieme. Poi stabilisci un campo di applicazione che comprenda esplicitamente i servizi cloud interessati. Infine estendi la dichiarazione di applicabilità. Accanto ai novantatré controlli dell'Allegato A inserisci i controlli e la guida aggiuntiva della 27017. Quando tratti dati personali per conto altrui, aggiungi quelli della 27018. Ciascuno ha la propria giustificazione di inclusione o esclusione.

L'organismo di certificazione verifica il tutto nella stessa verifica della 27001. Il certificato che ti viene rilasciato è un certificato ISO/IEC 27001, il cui campo di applicazione dichiara che il sistema include i controlli della 27017 e della 27018. È questo il documento che mostrerai al cliente che ti ha chiesto «la ISO 27018», ed è questo che il cliente accetterà, perché è l'unica forma in cui quella cosa esiste.

Ne discende un corollario che vale la pena mettere per iscritto: se non hai la ISO/IEC 27001, il progetto vero è quella. Le due estensioni sono un incremento sul lavoro principale, non un percorso alternativo più breve. Chi arriva chiedendo «solo la 27018 perché costa meno» sta chiedendo qualcosa che non si può comprare.

GDPR: che cosa dimostrano e che cosa no

Qui serve precisione, perché è il terreno su cui si vendono più illusioni. Partiamo da ciò che la 27018 fa davvero.

L'articolo 28 del Regolamento (UE) 2016/679 impone al titolare del trattamento di ricorrere unicamente a responsabili che presentino «garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate». Se un fornitore ha attuato i controlli della 27018 dentro un sistema certificato, ha materiale solido per quella verifica. Per esempio politiche documentate, gestione dei subincaricati, procedure di cancellazione e restituzione, tracciamento degli accessi. È esattamente il tipo di evidenza che un titolare diligente cerca quando ti valuta.

Che cosa la ISO 27018 non è

Ciò che la 27018 non è, invece, te lo diciamo con altrettanta chiarezza. Il comma 5 dello stesso articolo 28 indica due strumenti che puoi usare come elemento per dimostrare le garanzie sufficienti. Uno è l'adesione a un codice di condotta approvato ai sensi dell'articolo 40. L'altro è un meccanismo di certificazione approvato ai sensi dell'articolo 42. La ISO/IEC 27018 non è né l'uno né l'altro: è un documento tecnico internazionale, non uno strumento approvato dalle autorità di controllo nel quadro del Regolamento. La parola «codice di condotta» che compare nella sua vecchia denominazione ha un significato ISO, non un significato GDPR, e la confusione fra i due è all'origine di molte affermazioni sbagliate.

ISO/IEC 27701, la norma che invece si certifica da sola

Se il tema che ti preme è la privacy più della sicurezza, la strada può essere un'altra. La ISO/IEC 27701:2025, seconda edizione pubblicata il 14 ottobre 2025, ha cambiato natura rispetto al passato. Non è più un'estensione che richiede una ISO/IEC 27001 alle spalle. Oggi è una norma autonoma sui sistemi di gestione, con requisiti propri, certificabile per conto suo.

La 27017 e la 27018 restano estensioni di controlli da agganciare alla 27001; la 27701 costruisce un sistema di gestione della privacy che vive di vita propria, con ruoli, obiettivi, audit interni e riesame di direzione. Tutte e tre restano distinte dalla certificazione dell'articolo 42 del GDPR, che è un istituto giuridico e non una norma tecnica.

Chi le chiede, e perché

La domanda cresce, e arriva dal mercato molto più che dalla legge.

• Fornitori di servizi gestiti e SaaS. Chi vende software come servizio è quasi sempre responsabile del trattamento dei dati dei propri clienti: la 27018 è la risposta più diretta ai loro questionari di sicurezza.
• Chi vende alla pubblica amministrazione. Nel Codice dei contratti pubblici, l'allegato II.13 del D.Lgs. 36/2023 («Certificazioni o marchi rilevanti ai fini della riduzione della garanzia», attuativo dell'articolo 106, comma 8) elenca sia la ISO/IEC 27017 sia la ISO/IEC 27018, nel gruppo delle certificazioni indicate come da introdurre, accanto alla ISO/IEC 27001 già riconosciuta e alla ISO/IEC 20000-1 sui servizi informatici. Riguarda la riduzione della garanzia, non l'ammissione alla gara: ma dice che il legislatore le ha riconosciute come rilevanti.
• Clienti esteri e gruppi multinazionali. Sono i più espliciti: i loro questionari di qualifica chiedono i due schemi per nome, e spesso in inglese, il che moltiplica l'equivoco sul certificato autonomo.
• Il settore finanziario, per effetto di DORA. Il Regolamento (UE) 2022/2554, in applicazione dal gennaio 2025, obbliga le entità finanziarie a governare il rischio dei fornitori terzi di servizi informatici lungo tutta la catena. DORA non impone certificazioni, ma controlli contrattuali, valutazioni e sorveglianza. In pratica, banche e assicurazioni hanno alzato l'asticella dei questionari sui fornitori cloud. Ed è lì che questi due schemi compaiono sempre più spesso.

La qualificazione dei servizi cloud per la PA

C'è poi il tema della qualificazione dei servizi cloud per la pubblica amministrazione, oggi in capo all'Agenzia per la Cybersicurezza Nazionale. Dal gennaio 2023 l'Agenzia ha ereditato da AgID la gestione del percorso. Il 27 giugno 2024 ha poi adottato il regolamento unico su infrastrutture e servizi cloud per la PA.

Gli obblighi di legge che non sostituiscono

Sono due documenti tecnici volontari: non spostano nessun obbligo.

• Non sostituiscono il GDPR. Restano interamente in capo a te il registro dei trattamenti, l'informativa e la valutazione d'impatto quando serve. Restano tuoi anche la notifica delle violazioni nei termini di legge e i contratti dell'articolo 28 con clienti e subincaricati. La 27018 ti aiuta a dimostrare le misure: non ti esonera da nulla. Sul tema abbiamo una pagina dedicata alla privacy e protezione dei dati.
• Non sostituiscono la NIS 2. Gli obblighi del D.Lgs. 4 settembre 2024, n. 138 valgono per i soggetti che vi rientrano indipendentemente da qualsiasi certificato, e si assolvono verso l'ACN.
• Non sostituiscono DORA. Per le entità finanziarie e per i loro fornitori ICT gli obblighi contrattuali e di sorveglianza restano quelli del Regolamento (UE) 2022/2554.

Come si arriva al certificato

1. Ricerca di bandi e finanziamenti. Prima di ogni altra cosa verifichiamo, gratuitamente, quali bandi, contributi e forme di finanziamento a fondo perduto sono disponibili per il tuo progetto. Va fatto per primo perché può cambiare la convenienza dell'intera operazione, e perché molte scadenze non aspettano.
2. Lettura della richiesta che hai ricevuto. Il questionario o il capitolato dice se ti serve la 27017, la 27018, entrambe, o in realtà la 27701: è una decisione che cambia il perimetro e va presa prima.
3. Definizione del ruolo e del campo di applicazione. Sei fornitore del servizio cloud, cliente, o entrambe le cose su servizi diversi? Quali servizi entrano nel certificato? È qui che si decide metà del costo.
4. Verifica dello stato della ISO/IEC 27001. Se c'è già, si controlla l'allineamento all'edizione 2022 e si programma l'estensione. Se non c'è, il progetto principale è quella.
5. Analisi delle differenze sui controlli cloud. Le lacune tipiche sono sempre le stesse: cancellazione e restituzione dei dati senza prova, log non accessibili al cliente, subincaricati non censiti, responsabilità condivise non scritte da nessuna parte.
6. Attuazione e aggiornamento della dichiarazione di applicabilità. I controlli aggiuntivi entrano nella dichiarazione con la loro giustificazione e producono registrazioni.
7. Audit interno e riesame di direzione estesi al perimetro cloud.
8. Verifica di certificazione. Insieme a quella della 27001, in due fasi. Alla fine il campo di applicazione del certificato richiama i controlli della 27017 e della 27018.
9. Mantenimento. Ciclo di tre anni con sorveglianze annuali.

Quanto tempo serve per la certificazione ISO 27017 e 27018

Sui tempi: per un'azienda di dimensioni medie con una ISO 9001 già attiva servono dai quattro ai sei mesi per arrivare alla verifica. Con una ISO/IEC 27001:2022 già in esercizio, da estendere solo ai controlli cloud, i tempi sono sensibilmente più brevi. Spesso agganci l'estensione alla sorveglianza già programmata. È il modo più economico di farlo, e lo decidi con qualche mese di anticipo.

Come si incastrano con gli altri schemi

• ISO/IEC 27001 — è il presupposto, non un'opzione. Senza il sistema di gestione della sicurezza delle informazioni, la 27017 e la 27018 non hanno dove agganciarsi.
• ISO/IEC 27701:2025 — l'alternativa da valutare quando la domanda vera riguarda il governo della privacy e non la sicurezza del cloud. Oggi si certifica in autonomia.
• ISO/IEC 20000-1 — il sistema di gestione dei servizi. Se eroghi servizi cloud gestiti, è l'altra metà del discorso: la 27017 dice come proteggerli, la 20000-1 come governarli.
• ISO 22301 — la continuità operativa. È la domanda che arriva subito dopo «i miei dati sono al sicuro?», cioè «e se il vostro servizio si ferma?».
• ISO 9001 e ISO 28000 — la base organizzativa e, per chi accanto alla catena digitale ne ha una fisica, la sicurezza della catena di fornitura.

Quanto costa la certificazione ISO 27017 e ISO 27018

Non esiste un listino, e chi ti dà una cifra al telefono senza aver visto nulla la sta indovinando. Il costo si compone di due voci separate. La prima sono le giornate dell'organismo di certificazione, determinate da regole internazionali in funzione della complessità e delle dimensioni. La seconda è la consulenza, che varia molto a seconda di quanto sistema esiste già in azienda.

Qui una variabile pesa più di tutte: hai già la ISO/IEC 27001? Se sì, l'estensione ai controlli cloud è un incremento contenuto, che spesso si aggancia a una verifica già in calendario. Se no, il progetto è la 27001, e i due documenti aggiungono un delta minore rispetto al lavoro principale.

Come si forma quel numero, che cosa lo fa salire o scendere, come si sceglie l'organismo di certificazione e quanto la certificazione restituisce lo abbiamo scritto per esteso: quanto costa certificarsi.

Per la tua situazione serve un numero vero: richiedi un preventivo indicando i servizi cloud interessati, il tuo ruolo di fornitore o cliente, le sedi, gli addetti e le certificazioni già attive. Prima di iniziare verifichiamo gratuitamente quali bandi e contributi sono aperti per il tuo progetto.

Come lavoriamo

Prima di tutto leggiamo il documento che ti ha portato qui, e lo traduciamo. A volte troviamo richieste di «certificazione ISO 27018» che si risolvono con l'estensione di una 27001 già in casa. Capita anche l'opposto: richieste generiche di «sicurezza cloud» dietro cui c'è un'esigenza di privacy che la 27701 copre meglio.

Poi lavoriamo sulla dichiarazione di applicabilità, il documento dove questi progetti riescono o falliscono. Una fatta bene è leggibile da un cliente e regge in verifica; una fatta male è un elenco di controlli marcati «applicabile» senza che nessuno sappia dire dove sta l'evidenza. Sul cloud la differenza è ancora più marcata, perché metà dei controlli riguarda cose che il fornitore deve mettere a disposizione del cliente, e la prova è che il cliente ne disponga davvero.

Curiamo che il campo di applicazione sia scritto in modo spendibile davanti a un committente e siamo presenti in verifica. Se hai già un ciclo di certificazione in corso, progettiamo l'estensione in modo da non pagare due volte le stesse giornate.

Gli errori che allungano i tempi

Sono sempre gli stessi quattro.

Cercare la certificazione senza la 27001. Non esiste da sola: sono estensioni di scopo, e senza il sistema di base non c’è nulla da estendere.

Confonderle fra loro. La 27017 è sulla sicurezza del servizio, la 27018 sui dati personali: rispondono a domande diverse dei clienti.

Lasciare vaga la divisione delle responsabilità. Nel cloud è il punto critico: se non è scritta, il problema torna a chi ha firmato il contratto.

Cercare i contributi a percorso avviato. I bandi hanno finestre e regole sull’avvio delle spese: chiederli dopo aver firmato significa quasi sempre perderli.

Dove operiamo

Lavoriamo dalle nostre cinque sedi (Milano, Bologna, Roma, Brescia e Chiari) e seguiamo aziende e fornitori di servizi in tutta Italia. È un lavoro quasi tutto da remoto, sui sistemi, sui contratti e sulle procedure. Il sopralluogo serve per la sicurezza fisica delle sedi che restano dentro il perimetro.

Il testo ufficiale della norma ISO 27018 si acquista sul sito UNI.

Domande frequenti

Quanto costa la certificazione ISO 27017 e ISO 27018?
Dipende soprattutto dal fatto che tu abbia già o meno la ISO/IEC 27001, e poi dai servizi cloud coinvolti, dalle sedi e dagli addetti. Non pubblichiamo importi perché sarebbero inventati: il metodo con cui si forma il prezzo è su quanto costa certificarsi, e un numero sul tuo caso lo puoi chiedere dalla pagina richiedi un preventivo.

Esistono contributi o finanziamenti per certificarsi?
Sì, spesso esistono bandi camerali, regionali o nazionali che coprono una parte rilevante della spesa, e la ricerca la facciamo noi gratuitamente prima di partire. L'esito però dipende dal bando e dalla graduatoria: nessuno può garantirti che il contributo arrivi.

Posso certificarmi solo ISO 27018, senza la ISO 27001?
No. La ISO/IEC 27018 non è uno schema di certificazione autonomo: è un'estensione che si attua e si verifica dentro un sistema di gestione conforme alla ISO/IEC 27001. Lo stesso vale per la ISO/IEC 27017.

Edizioni, GDPR e responsabilità

Quale edizione è in vigore oggi?
La ISO/IEC 27017:2026, pubblicata il 27 luglio 2026, che ha sostituito l'edizione 2015 ritirata lo stesso giorno; e la ISO/IEC 27018:2025, pubblicata il 26 agosto 2025, che ha sostituito l'edizione 2019 ritirata in pari data.

La ISO 27018 mi rende conforme al GDPR?
No. Aiuta a dimostrare le misure tecniche e organizzative che l'articolo 28 chiede al responsabile del trattamento, ma non è né un codice di condotta approvato ai sensi dell'articolo 40 né una certificazione ai sensi dell'articolo 42. Per quest'ultima esiste Europrivacy.

Che differenza c'è fra ISO 27017 e ISO 27018?
La 27017 riguarda la sicurezza delle informazioni nei servizi cloud e parla sia al fornitore sia al cliente. La 27018 riguarda i dati personali trattati per conto altrui nel cloud pubblico e parla al fornitore nel ruolo di responsabile del trattamento. Spesso servono entrambe, ma rispondono a domande diverse.

Il certificato del mio fornitore cloud vale anche per me?
No. Il certificato del provider copre quello che il provider fa. La configurazione, gli accessi, i dati che ci metti dentro e i contratti con i tuoi clienti restano tua responsabilità, e si dimostrano con il tuo sistema di gestione.