Che cosa riguarda
ISO 22301 riguarda il sistema di gestione della continuità operativa. Collega analisi, strategie, piani, esercitazioni e miglioramento per affrontare eventi che possono interrompere le attività.
Un sistema per comprendere gli impatti delle interruzioni, definire priorità e organizzare la risposta e il ripristino.
A chi si rivolge
Organizzazioni che erogano servizi o svolgono attività la cui interruzione può avere effetti rilevanti per clienti e altre parti.
Perché intraprendere questo percorso
Possibili benefici di una gestione efficace: non risultati garantiti dal solo rilascio di un certificato o di una dichiarazione.
01
Priorità condivise
Individuare ciò che deve essere ripristinato.
02
Risposta organizzata
Chiarire ruoli e modalità operative.
03
Preparazione verificata
Mettere alla prova piani e capacità.
I temi da presidiare
Una lettura orientativa degli ambiti da considerare. I requisiti applicabili e il campionamento sono definiti sulla norma e sullo schema pertinenti.
Analisi degli impatti
Attività prioritarie e dipendenze.
Rischi di interruzione
Scenari pertinenti al contesto.
Strategie e piani
Soluzioni, risorse e risposta.
Esercitazioni
Valutazione e aggiornamento della capacità.
Dalla gestione alle evidenze
Campioni documentali e informazioni da esaminare, da selezionare in funzione del perimetro e dei rischi dell’incarico.
01. Un processo prioritario seguito dalle dipendenze ai criteri di ripristino.
02. Un’esercitazione esaminata per obiettivi, risultati e azioni successive.
03. La gestione della comunicazione verso clienti e soggetti coinvolti in uno scenario simulato.
04. La disponibilità di una risorsa alternativa rispetto a quanto previsto dal piano.
Come si svolge il percorso
01
Definire il perimetro
La domanda identifica attività, sedi, addetti e norma richiesta. Il riesame verifica la possibilità di assumere l’incarico, il campo applicabile e le competenze necessarie.
02
Pianificare la valutazione
Si definiscono programma, durata, gruppo di audit e modalità, secondo le regole dello schema. Il piano chiarisce quali processi e siti saranno campionati.
03
Raccogliere evidenze
Documenti, interviste e osservazioni delle attività sono messi in relazione. Eventuali rilievi devono essere affrontati secondo le modalità e i tempi applicabili.
04
Decidere e mantenere
La decisione è distinta dall’esecuzione dell’audit. Sorveglianze, rinnovo e comunicazione dei cambiamenti seguono il programma di certificazione pertinente.
Durata e modalità non sono fisse: dipendono dal perimetro, dalla complessità e dalle regole applicabili. Il rilascio è subordinato a un esito favorevole della valutazione e della decisione.
Da sapere prima di iniziare
Un piano scritto non dimostra da solo la capacità di continuità: sono importanti attuazione, esercitazioni e riesame.
Domande frequenti
È soltanto disaster recovery informatico?
No. La continuità riguarda anche persone, sedi, fornitori e processi, oltre alla tecnologia.
Garantisce operatività ininterrotta?
No. Serve a gestire la capacità di risposta e ripristino, non a eliminare ogni interruzione.
Come si definisce il perimetro?
Occorre identificare attività e servizi inclusi, dipendenze e sedi interessate.
L’organismo può progettare il nostro sistema?
La valutazione indipendente non va confusa con la consulenza. L’organizzazione resta responsabile del proprio sistema e delle proprie informazioni; le eventuali attività formative devono rispettare le condizioni di imparzialità applicabili.
Edizione e riferimenti
ISO 22301:2019 + Amd 1:2024
Riferimento editoriale: ISO 22301:2019 + Amd 1:2024. L’edizione applicabile all’incarico viene confermata in fase di riesame.
Riferimenti consultati il 9 ottobre 2026. Prima dell’incarico sono da confermare edizione applicabile, disposizioni di transizione e condizioni dello schema. Le sintesi non sostituiscono il testo ufficiale della norma.
Questa scheda è informativa e non attribuisce automaticamente un accreditamento ad ACM CERT per il servizio descritto. L’organismo competente, lo schema, il campo di accreditamento pertinente e le condizioni del servizio sono identificati nell’offerta.
