Che cos’è la dichiarazione di applicabilità?
Il punto 6.1.3 d) della ISO/IEC 27001:2022 richiede una dichiarazione di applicabilità che contenga i controlli necessari, la giustificazione della loro inclusione, se sono attuati e la giustificazione dell’esclusione di controlli dell’Annex A. Collega il trattamento del rischio all’Annex A: ogni controllo nasce da un rischio, da un requisito di legge o contrattuale o da una scelta aziendale.
Cosa contiene
- Controllo: numero e titolo dell’Annex A, ad esempio 5.15 Controllo degli accessi.
- Applicabile: sì o no, per ciascuno dei 93 controlli.
- Giustificazione: perché è incluso (rischio, requisito di legge o contrattuale, esigenza aziendale, buona pratica) o escluso (attività non svolta, rischio assente, fuori dal campo di applicazione).
- Stato: attuato, parzialmente, pianificato o non attuato.
- Evidenza e responsabile: dove l’auditor vede che funziona e chi ne risponde.
- Versione e approvazione: data, versione e approvazione; l’auditor verifica la coerenza con il piano di trattamento del rischio vigente.
Esempio: azienda SaaS di 60 persone
Un’azienda di software completamente da remoto, che ospita il prodotto presso un fornitore cloud certificato ISO 27001 e sviluppa internamente. Otto righe della sua dichiarazione:
Errori frequenti negli audit
- Escludere un controllo senza motivo, o solo con “non pertinente”.
- Una dichiarazione non coerente con il piano di trattamento del rischio, o che elenca ancora i 114 controlli della ISO 27001:2013.
- Stato “attuato” senza evidenze consultabili dall’auditor.
- Nessuna versione, data o approvazione: non si sa quale dichiarazione sia vigente.
- Escludere un controllo che il campo di applicazione richiede chiaramente, come la sicurezza del cloud quando tutto gira nel cloud.
Costruire la dichiarazione in Dazr
- Dai Suoi controlli: ogni controllo dell’Annex A del framework ISO 27001 riceve una decisione applicabile o escluso, con motivi e giustificazione.
- Lo stato viene dal lavoro: stato, evidenze e data di riesame vengono dal controllo, quindi la dichiarazione resta aggiornata.
- Filtrare e approvare: filtri applicabili o esclusi, approvi una versione e veda quando la dichiarazione è cambiata dopo l’ultima approvazione.
- Esportazione: PDF per l’auditor, CSV o Excel per lavorarci; l’auditor può anche consultarla in sola lettura.
- Piano: la dichiarazione di applicabilità è inclusa in Pro, 99 € al mese, con 14 giorni di prova gratuita.
Dazr La aiuta a costruire e documentare la dichiarazione; Dazr non certifica. La certificazione è rilasciata da un organismo di certificazione accreditato.
Fonte: ISO/IEC 27001:2022, punto 6.1.3 e Annex A (93 controlli). Verificato il 19 ottobre 2026.
Domande frequenti
Devono esserci tutti i 93 controlli?
Sì. Ogni controllo dell’Annex A compare con una decisione. I controlli esclusi restano nel documento, con il motivo dell’esclusione.
Possiamo escludere un controllo?
Sì, con una giustificazione, ad esempio perché l’attività non è svolta, il rischio non esiste o è fuori dal campo di applicazione. “Non pertinente” da solo non è una giustificazione.
Esiste un modello ufficiale?
No. La ISO/IEC 27001 prescrive il contenuto, non il formato. Una tabella con controllo, applicabilità, giustificazione, stato ed evidenza è la forma abituale.
Con Dazr diventiamo certificati ISO 27001?
No. Dazr tiene in ordine controlli, evidenze e dichiarazione per l’audit; il certificato lo rilascia un organismo di certificazione accreditato.