In breve
ISO 27017 aggiunge indicazioni e controlli cloud per fornitori e clienti; ISO 27018 protegge i dati personali che un provider di public cloud tratta come responsabile.
Le edizioni in vigore sono ISO/IEC 27017:2026 e ISO/IEC 27018:2025, entrambe allineate alla ISO/IEC 27002:2022.
Non sono certificabili da sole: si verificano dentro la certificazione ISO 27001, come estensione dello scopo richiamata nella SoA.
Nel cloud le responsabilità sono condivise: vanno scritte in una matrice e nel contratto, anche verso il tuo provider IaaS.
La 27018 aiuta a rispettare l'art. 28 GDPR ma non sostituisce il contratto; per una certificazione privacy autonoma serve la ISO 27701.
Hai già la ISO 27001 e vendi un servizio cloud? Le estensioni 27017 e 27018 rispondono alle domande specifiche dei clienti su sicurezza e dati personali in cloud. Sono le domande che il certificato ISO 27001 da solo lascia aperte: chi gestisce le patch del server, dove stanno i dati, chi sono i tuoi sub-fornitori, cosa succede ai dati quando il contratto finisce.
ISO 27017 e ISO 27018 sono due linee guida della famiglia ISO/IEC 27000 pensate proprio per il cloud. La prima aggiunge ai controlli di sicurezza indicazioni e controlli specifici per chi fornisce e chi usa servizi cloud. La seconda si concentra sui dati personali che un provider di public cloud tratta per conto dei clienti. In questa guida vediamo le edizioni in vigore, come vengono verificate in audit (non come certificazioni autonome), come si ripartiscono le responsabilità tra provider e cliente, il rapporto con GDPR e ISO 27701 e i passi per estendere il tuo sistema.
Cosa sono ISO 27017 e ISO 27018?
ISO/IEC 27017 e ISO/IEC 27018 sono norme di guida che completano i controlli di ISO/IEC 27002 per il cloud. Non contengono requisiti di sistema di gestione: quelli restano nella ISO 27001. Il loro compito è dirti come applicare i controlli quando il servizio è erogato in cloud e quali controlli aggiuntivi servono per i rischi tipici di questo modello.
ISO/IEC 27017: i controlli di sicurezza per i servizi cloud
Secondo la scheda ufficiale ISO, la ISO/IEC 27017 si basa sulla ISO/IEC 27002 e aggiunge indicazioni specifiche per il cloud e controlli ulteriori, rivolti sia al cliente del servizio cloud sia al fornitore. L'obiettivo dichiarato è gestire i rischi che nascono dalla natura condivisa del cloud: infrastruttura, attività operative e responsabilità sono divise tra più soggetti e, se nessuno le mette nero su bianco, si aprono dei vuoti.
La norma si applica a tutti i modelli di distribuzione: public, private e hybrid cloud. ISO precisa che nel private cloud alcuni controlli vanno adattati, perché il "fornitore" e il "cliente" possono essere due funzioni della stessa organizzazione, per esempio l'IT centrale e una business unit. Per una PMI che vende software in abbonamento o servizi gestiti, la 27017 è il riferimento per rispondere a domande come: chi gestisce le vulnerabilità di quale strato, come sono separati i dati dei diversi clienti, come vengono registrate le attività degli amministratori.
ISO/IEC 27018: i dati personali nel public cloud
La ISO/IEC 27018 ha un perimetro più stretto. Riguarda la protezione dei dati personali (PII, nella terminologia ISO) nei servizi di public cloud, quando il fornitore agisce come responsabile del trattamento per conto dei clienti. Anche lei si appoggia alla ISO/IEC 27002 e, secondo ISO, copre i dati personali gestiti dal provider in tutto il ciclo: raccolta, conservazione, elaborazione, trasmissione e cancellazione.
ISO indica come destinatari i provider di public cloud che trattano dati per conto dei clienti, ma anche le organizzazioni che devono valutare un provider prima di affidargli dati personali. Se la tua piattaforma ospita anagrafiche di dipendenti, pazienti o clienti finali dei tuoi clienti, è la 27018 a dare struttura alle risposte che il loro DPO ti chiederà.
ISO/IEC 27017 | ISO/IEC 27018 | |
|---|---|---|
Tema | Sicurezza delle informazioni nei servizi cloud | Protezione dei dati personali nel public cloud |
A chi si rivolge | Fornitori e clienti di servizi cloud | Provider di public cloud che agiscono come responsabili del trattamento |
Modelli di cloud | Public, private e hybrid | Public cloud |
Base | Controlli di ISO/IEC 27002 più controlli cloud aggiuntivi | Controlli di ISO/IEC 27002 adattati ai dati personali in cloud |
Certificabile da sola | No, si verifica dentro l'ISMS ISO 27001 | No, si verifica dentro l'ISMS ISO 27001 |
Quali sono le edizioni in vigore di ISO 27017 e ISO 27018?
Entrambe le norme sono state riviste per allinearsi alla ISO/IEC 27002:2022. Il catalogo ISO indica la ISO/IEC 27017:2026 (seconda edizione) come versione pubblicata, che ha sostituito la prima edizione del 2015. Per la ISO 27018 la versione in vigore è la ISO/IEC 27018:2025, terza edizione, che ha sostituito quella del 2019.
Cosa cambia con l'allineamento alla ISO 27002:2022
Il punto pratico è la coerenza. Le edizioni precedenti facevano riferimento alla vecchia struttura dei controlli della ISO 27002, mentre la tua Dichiarazione di Applicabilità (SoA) oggi segue l'Annex A della ISO/IEC 27001:2022. Con le nuove edizioni la numerazione torna coerente tra la SoA e i controlli cloud, e diventa più semplice integrare le due linee guida senza tabelle di conversione fatte a mano. ISO segnala inoltre che la 27018:2025 contiene un nuovo Annex B con indicazioni di attuazione più estese.
Cosa fare se il tuo certificato cita le edizioni precedenti
Se il tuo certificato ISO 27001 richiama già la 27017:2015 o la 27018:2019, non devi rifare tutto. In Italia, la circolare tecnica Accredia DC n. 22/2026 stabilisce che le certificazioni che includono 27017 e 27018 restano valide fino alla scadenza naturale o alla prima modifica utile, come un'estensione o una modifica dello scopo. Da quel momento vanno adeguate alle nuove regole. Conviene quindi pianificare l'aggiornamento della SoA alle nuove edizioni in vista del rinnovo, invece di scoprirlo durante l'audit.
Perché i clienti ti chiedono ISO 27017 e 27018 se hai già la ISO 27001?
Perché la ISO 27001 certifica che hai un sistema di gestione della sicurezza, non che hai risolto le questioni tipiche del cloud. Un cliente che ti affida dati e processi vuole sapere dove finisce la tua responsabilità e dove comincia la sua, e se i dati personali dei suoi utenti sono trattati secondo le sue istruzioni.
Il caso tipico: una software house che vende in SaaS
Pensa a un'azienda di 35 persone che vende un gestionale per le risorse umane in modalità SaaS. Il software gira sull'infrastruttura di un grande provider IaaS, l'azienda ha la ISO 27001 sull'intero sviluppo ed erogazione del servizio. Un nuovo cliente, un gruppo con 2.000 dipendenti, manda il suo questionario: chiede chi applica le patch al sistema operativo, se i dati dei suoi dipendenti sono separati da quelli degli altri clienti, in quali Paesi vengono conservati i backup, entro quando viene avvisato in caso di violazione e come vengono cancellati i dati a fine contratto.
Il certificato ISO 27001 non risponde a nessuna di queste domande in modo diretto. Un sistema esteso alle linee guida 27017 e 27018 sì, perché obbliga l'azienda ad aver già definito, documentato e verificato quelle risposte. Se ricevi spesso richieste simili, trovi un metodo per organizzarle nella guida ai questionari di sicurezza dei clienti.
Il GDPR chiede "garanzie sufficienti"
Quando un tuo cliente ti affida dati personali, per il GDPR è il titolare e tu sei il responsabile del trattamento. L'art. 28, par. 1 del Regolamento dice che il titolare può ricorrere unicamente a responsabili che presentino garanzie sufficienti sulle misure tecniche e organizzative. È per questo che l'ufficio acquisti e il DPO del cliente insistono: devono poter dimostrare di aver scelto un fornitore adeguato. Le estensioni 27017 e 27018, verificate da un organismo di certificazione, sono un modo strutturato per offrire quelle garanzie, anche se, come vedremo, non sostituiscono il contratto.
Come si certificano ISO 27017 e ISO 27018?
Non esiste un certificato ISO 27017 o ISO 27018 autonomo sotto accreditamento. Le due norme sono linee guida: la loro applicazione viene verificata dentro la certificazione ISO 27001, come estensione dello scopo. Il certificato continua ad attestare la conformità alla sola ISO 27001.
Cosa dice la regola di accreditamento
La circolare Accredia DC n. 22/2026 è esplicita. Classifica la 27017 e la 27018 tra gli standard di "Tipo B" o linee guida della famiglia 27000, utili per individuare i controlli operativi del sistema di gestione, e afferma che non sono certificabili. Se però l'organizzazione dimostra di averle applicate correttamente, l'organismo di certificazione deve verificarne i controlli.
La stessa circolare prevede che l'audit di estensione dello scopo richieda tempo di audit aggiuntivo: almeno una giornata uomo in più per ciascuna norma ulteriore applicata, per ogni verifica e in qualsiasi fase. È un'informazione utile per pianificare, non solo per l'organismo: significa che 27017 e 27018 vengono controllate a ogni sorveglianza, non una volta sola.
Cosa compare sul certificato
Lo scopo di certificazione deve richiamare la Dichiarazione di Applicabilità, la sua revisione e le linee guida usate per i controlli. L'esempio riportato da Accredia è di questo tipo: servizi SaaS erogati secondo la SoA, revisione e data, integrata dai controlli previsti dalle linee guida ISO/IEC 27017 e ISO/IEC 27018. Nella banca dati delle certificazioni compaiono solo le norme di tipo A, cioè ISO/IEC 27001 e ISO/IEC 27701, mentre le altre norme della serie si leggono nella descrizione dello scopo.
Per te questo ha una conseguenza commerciale concreta. Nei documenti di vendita non scrivere "certificati ISO 27018": la formulazione corretta è certificazione ISO 27001 con scopo esteso ai controlli delle linee guida 27017 e 27018. È esattamente ciò che un cliente esperto controllerà leggendo il certificato. Se vuoi ripassare come funziona il percorso di base, parti dalla guida completa alla ISO 27001.
Responsabilità condivisa: chi fa cosa tra provider e cliente?
Nel cloud la sicurezza è sempre condivisa, ma la ripartizione cambia con il tipo di servizio. La 27017 nasce proprio per rendere esplicita la divisione dei compiti tra cliente e fornitore, in modo che nessun controllo resti scoperto perché ciascuno pensava se ne occupasse l'altro.
Come cambia la ripartizione tra IaaS, PaaS e SaaS
La regola generale è semplice: più il servizio è "alto" nella pila tecnologica, più responsabilità passano al provider. La tabella è un esempio di ripartizione tipica, da adattare al tuo servizio e da scrivere nel contratto e nella documentazione per i clienti.
Attività | IaaS | PaaS | SaaS |
|---|---|---|---|
Sicurezza fisica del data center | Provider | Provider | Provider |
Patch del sistema operativo | Cliente | Provider | Provider |
Configurazione e aggiornamento dell'applicazione | Cliente | Cliente | Provider |
Gestione degli utenti e dei permessi | Cliente | Cliente | Cliente, con strumenti del provider |
Classificazione dei dati caricati | Cliente | Cliente | Cliente |
Backup dei dati | Da definire nel contratto | Da definire nel contratto | Da definire nel contratto |
L'ultima riga è quella che genera più incomprensioni. Molti clienti danno per scontato che il provider faccia backup ripristinabili di tutto, molti provider garantiscono solo la continuità dell'infrastruttura. Scriverlo esplicitamente evita il problema peggiore: scoprire chi doveva fare cosa il giorno dopo un incidente.
Sei fornitore e cliente nello stesso momento
Una PMI che vende SaaS è quasi sempre anche cliente di un provider più grande per l'infrastruttura. Questo significa che devi applicare la 27017 su entrambi i lati: come fornitore verso i tuoi clienti e come cliente verso il tuo provider IaaS o PaaS. Ciò che prometti ai clienti deve essere coerente con le garanzie che ottieni dai tuoi fornitori.
Anche qui la circolare Accredia dà un'indicazione utile: l'organismo deve verificare come garantisci la sicurezza delle infrastrutture che usi, comprese quelle cloud. Se i servizi esterni sono coperti da certificati accreditati in ambito EA/MLA, questi valgono come presunzione di conformità; altrimenti l'organismo deve sottoporre ad audit il sito specifico. In pratica: conserva i certificati dei tuoi provider, verifica che lo scopo copra i servizi che usi davvero e aggiorna la valutazione quando cambiano.
ISO 27018, GDPR e ISO 27701: come si collegano?
La ISO 27018 è uno strumento per dimostrare come proteggi i dati personali in cloud, ma non è una certificazione GDPR. Il Regolamento riconosce come elemento per dimostrare le garanzie del responsabile l'adesione a un codice di condotta approvato o a un meccanismo di certificazione approvato ai sensi dell'art. 42 (art. 28, par. 5): una certificazione ISO 27001 estesa alla 27018 non rientra in questa categoria.
Gli obblighi dell'art. 28 che la 27018 ti aiuta a presidiare
L'art. 28, par. 3 del GDPR elenca cosa deve prevedere il contratto con il responsabile. Tra gli impegni ci sono il trattamento solo su istruzione documentata del titolare, anche per i trasferimenti verso Paesi terzi, la riservatezza delle persone autorizzate, le misure dell'art. 32, l'assistenza al titolare per i diritti degli interessati e la cancellazione o restituzione dei dati a fine servizio. Il responsabile deve anche mettere a disposizione le informazioni necessarie e consentire le attività di revisione, comprese le ispezioni. Il par. 2 vieta di ricorrere a un altro responsabile senza autorizzazione scritta del titolare, e l'art. 33, par. 2 impone di informare il titolare senza ingiustificato ritardo dopo essere venuti a conoscenza di una violazione.
Un sistema esteso alla 27018 ti costringe a trasformare questi impegni in prassi verificabili: un elenco aggiornato dei sub-responsabili, una procedura di cancellazione testata, un flusso di notifica delle violazioni con tempi interni definiti. Il contratto resta indispensabile: la norma ti aiuta a rispettarlo e a dimostrarlo, non lo sostituisce.
Quando ti serve anche la ISO 27701
La ISO/IEC 27701:2025 è un'altra cosa: è un sistema di gestione per la privacy (PIMS) con requisiti propri, pensato per titolari e responsabili. ISO la definisce uno standard di sistema di gestione indipendente, utilizzabile anche da solo, e Accredia la indica come norma di tipo A, certificabile in autonomia. La 27018 copre solo il ruolo di responsabile nel public cloud; la 27701 copre l'intera gestione dei dati personali, compresi quelli che tratti come titolare, per esempio i dati dei tuoi dipendenti o dei tuoi lead commerciali.
Molti provider SaaS combinano le tre norme: ISO 27001 come base, 27017 e 27018 nella SoA, 27701 quando i clienti chiedono una certificazione privacy vera e propria. Se stai valutando questa strada, la guida alla ISO 27701 e al sistema di gestione privacy spiega requisiti e integrazione con la 27001.
Come estendere il tuo sistema ISO 27001 a 27017 e 27018?
L'estensione non richiede un secondo sistema di gestione. Si lavora sugli strumenti che già hai, in particolare perimetro, valutazione dei rischi e SoA, e si aggiungono le evidenze specifiche del cloud. Questi sono i passi, nell'ordine in cui conviene affrontarli.
Verifica il perimetro: lo scopo del certificato deve includere il servizio cloud che vendi, con le sedi, i processi e le infrastrutture che lo erogano.
Aggiorna la valutazione dei rischi: aggiungi i rischi tipici del cloud, come la separazione tra clienti, gli accessi amministrativi, la dipendenza dal provider IaaS e la localizzazione dei dati.
Integra la SoA: per ogni controllo applicabile della 27017 e della 27018 indica se lo applichi, come e con quale evidenza, oppure perché lo escludi.
Allinea contratti e documentazione per i clienti: matrice delle responsabilità, accordo sul trattamento dei dati, elenco dei sub-responsabili, procedura di fine contratto.
Raccogli le evidenze: log degli accessi amministrativi, test di ripristino, prove di cancellazione, verifiche sui fornitori, registro delle violazioni.
Fai l'audit interno sul nuovo perimetro e poi chiedi all'organismo l'estensione dello scopo, di solito in occasione di una sorveglianza o del rinnovo.
Le evidenze che l'auditor ti chiederà
L'auditor non si accontenta della procedura scritta: vuole vederla funzionare. Per la 27017 aspettati di mostrare come separi i dati dei clienti, come registri e controlli le attività degli amministratori e come comunichi ai clienti le modifiche che li riguardano. Per la 27018 ti chiederà come tratti i dati solo secondo le istruzioni del cliente, come gestisci i sub-responsabili e come dimostri la cancellazione a fine contratto. Prepara esempi reali, non modelli vuoti: un ticket di richiesta di cancellazione chiuso, un log di accesso esportato, un verbale di test di ripristino.
L'audit interno prima dell'estensione
L'audit interno sul perimetro esteso è il momento in cui scopri se le evidenze reggono. Deve coprire i controlli aggiunti dalla SoA, non solo quelli già verificati negli anni precedenti, ed essere condotto da qualcuno imparziale rispetto al lavoro che verifica. Se vuoi capire come organizzarlo, trovi metodo ed errori tipici nella guida all'audit interno ISO.
Quali sono gli errori più comuni con ISO 27017 e 27018?
Gli errori più frequenti non riguardano la tecnologia ma il modo in cui l'estensione viene impostata e comunicata. Il primo è comunicare una certificazione inesistente: scrivere sul sito "certificati ISO 27017" quando il certificato attesta la ISO 27001 con scopo esteso.
Il secondo è appoggiarsi al certificato del provider IaaS come se fosse il tuo. Il grande provider certifica la sua infrastruttura, non la tua applicazione né il modo in cui gestisci gli accessi dei tuoi amministratori. La sua certificazione copre il suo strato: tu devi coprire il tuo, e dimostrare di aver valutato il suo.
Il terzo errore è trattare i sub-responsabili come un elenco da compilare una volta. Ogni nuovo strumento, dal servizio di invio email al sistema di ticketing, può trattare dati personali dei clienti e richiede autorizzazione e informazione secondo l'art. 28, par. 2 del GDPR. Un elenco vecchio di un anno è una non conformità che aspetta di essere trovata.
Il quarto è non testare mai la fine del contratto. Tutti scrivono che i dati vengono cancellati o restituiti, pochi lo hanno provato davvero, compresi i backup. Fai almeno una simulazione documentata: è l'evidenza che manca più spesso quando l'auditor la chiede.
Come Complaion ti aiuta con ISO 27017 e ISO 27018
Con Complaion estendi il tuo sistema ISO 27001 al cloud partendo da quello che hai già. Un Lead Auditor dedicato segue la tua azienda: verifica che il perimetro includa davvero il servizio cloud, ti aiuta a integrare i rischi e la SoA con i controlli 27017 e 27018 e propone il percorso più adatto alle tue esigenze, anche quando conviene affiancare la ISO 27701. L'audit interno sul perimetro esteso lo conduce il tuo Lead Auditor Complaion, che non verifica il proprio lavoro operativo.
La piattaforma Complaion raccoglie le evidenze del cloud, dai log di accesso ai test di ripristino, gestisce i documenti come la matrice delle responsabilità e l'elenco dei sub-responsabili, tiene lo scadenziario di sorveglianze, rinnovi e revisioni e prepara l'audit. Il percorso con Complaion evita le non conformità e porta all'audit esterno con un successo del 100%. Lavoriamo già con oltre 1.000 clienti. Scopri i servizi per ISO 27017 e ISO 27018, affianca se serve il nostro DPO esternalizzato oppure contattaci per un preventivo.
Domande frequenti su ISO 27017 e ISO 27018
Posso ottenere la certificazione ISO 27017 senza la ISO 27001?
No. La ISO 27017 è una linea guida e non è certificabile da sola sotto accreditamento. La sua applicazione viene verificata dall'organismo di certificazione dentro la certificazione ISO 27001, come estensione dello scopo. Il certificato attesta la conformità alla ISO 27001 e richiama nello scopo i controlli della 27017.
Qual è la differenza tra ISO 27017 e ISO 27018?
La ISO 27017 riguarda la sicurezza delle informazioni nei servizi cloud e si rivolge sia ai fornitori sia ai clienti, in qualsiasi modello di cloud. La ISO 27018 riguarda la protezione dei dati personali nel public cloud quando il provider agisce come responsabile del trattamento. Molti provider SaaS le applicano entrambe, perché i clienti chiedono garanzie su tutti e due i fronti.
Quali sono le edizioni in vigore?
Per la ISO 27017 è in vigore la seconda edizione, ISO/IEC 27017:2026, che ha sostituito quella del 2015. Per la ISO 27018 è in vigore la terza edizione, ISO/IEC 27018:2025, che ha sostituito quella del 2019. Entrambe sono allineate alla ISO/IEC 27002:2022, quindi alla struttura dei controlli dell'Annex A della ISO 27001:2022.
La ISO 27018 rende il mio servizio conforme al GDPR?
No, ma ti aiuta a dimostrare le garanzie che il GDPR chiede al responsabile del trattamento. Il Regolamento riconosce come prova delle garanzie i codici di condotta approvati e i meccanismi di certificazione approvati ai sensi dell'art. 42, e la ISO 27018 non è tra questi. Il contratto sul trattamento previsto dall'art. 28 resta obbligatorio.
Mi serve la ISO 27701 se ho già la ISO 27018?
Dipende da cosa chiedono i clienti e da quali dati tratti. La ISO 27018 copre solo il ruolo di responsabile nel public cloud, mentre la ISO 27701 è un sistema di gestione privacy completo, certificabile in autonomia, che copre anche i trattamenti in cui sei titolare. Se i clienti chiedono una certificazione privacy esplicita, la 27701 è la risposta più adatta.
Uso un grande provider IaaS certificato: basta il suo certificato?
No. Il certificato del provider copre la sua infrastruttura e i servizi inclusi nel suo scopo, non la tua applicazione né la tua organizzazione. Ti serve per valutare il fornitore e, se è accreditato, l'organismo può considerarlo presunzione di conformità per quella parte. Gli strati che gestisci tu restano da coprire con i tuoi controlli.
Quanto tempo di audit in più richiedono 27017 e 27018?
In Italia, la circolare Accredia DC n. 22/2026 prevede almeno una giornata uomo aggiuntiva per ciascuna norma ulteriore applicata, per ogni verifica e in qualsiasi fase, al netto delle riduzioni applicabili. Il tempo complessivo dipende dal perimetro e dalla dimensione dell'organizzazione. Per sapere quanto incide sul tuo caso conviene partire da un'analisi del perimetro e da un preventivo.
