ISO/IEC 27031: la norma chiave per la continuità ICT

La ISO/IEC 27031 aiuta le organizzazioni a strutturare la prontezza ICT necessaria per garantire la continuità operativa. Il tema diventa decisivo quando la dipendenza da sistemi, dati e infrastrutture digitali espone il business a interruzioni sempre più impattanti.

Perché la continuità ICT è diventata una priorità strategica

Quotidianamente si evidenzia che le organizzazioni dipendono in modo sempre più critico dalle tecnologie dell’informazione e della comunicazione (ICT). Un’interruzione dei sistemi IT — causata da guasti hardware, attacchi informatici, catastrofi naturali o errori umani — può avere conseguenze devastanti sulla continuità operativa, sui margini e sulla reputazione aziendale.
In risposta a questa esigenza, l’ISO (International Organization for Standardization) e l’IEC (International Electrotechnical Commission) hanno sviluppato, nel contesto della grande famiglia ISO/IEC 27000, la norma ISO/IEC 27031 “Cybersecurity — Information and communication technology readiness for business continuity”, pubblicata nel 2011 ed ora in edizione del 2025, come parte della famiglia ISO/IEC 27000 dedicata alla sicurezza delle informazioni. La norma si posiziona come documento di riferimento per integrare la gestione della continuità ICT all’interno dei più ampi programmi di Business Continuity Management (BCM). Il documento è acquistabile nel sito www.iso.org e www.uni.com.
Un ulteriore elemento che rende attuale la ISO/IEC 27031 è confermato dalla crescente attenzione del legislatore europeo alla resilienza digitale, dimostrata attraverso la pubblicazione della direttiva NIS2 (Network and Information Security 2), entrata in vigore nel 2023, e al regolamento DORA (Digital Operational Resilience Act), applicabile al settore finanziario.
La NIS 2 impone a entità essenziali e importanti requisiti espliciti di business continuity e disaster recovery per i sistemi e il DORA richiede test di resilienza operativa digitale e piani di continuità documentati. Entrambe queste misure sono previste dalla ISO/IEC 27031. In questo articolo cerchiamo di comprendere meglio come questo documento può migliorare la prontezza ICT delle organizzazioni.

La prontezza ICT per la continuità del business

Comprendere il significato dell’ICT Readiness for Business Continuity (IRBC), ovvero la “prontezza ICT per la continuità del business” è fondamentale per acquisire familiarità con lo standard.
La prontezza ICT (ICT Readiness) è la capacità di un’organizzazione di garantire che i propri sistemi informatici e tecnologici siano sempre disponibili, sicuri e pronti a rispondere a qualsiasi evento, normale o straordinario. Include le seguenti dimensioni di carattere sia tecnico che organizzativo:

Le dimensioni operative della prontezza ICT

• disponibilità dei sistemi per garantire infrastrutture hardware e software operative h24 7/7, con ridondanza e failover automatico;
• sicurezza informatica per proteggere contro attacchi cyber, con firewall, antivirus, SIEM e politiche di accesso aggiornate;
• backup e ripristino tramite copie dei dati regolari e testate, con RTO (Recovery Time Objective) e RPO (Recovery Point Objective) definiti;
• Business Continuity & Disaster Recovery documentati tramite piani e periodicamente esercitati per garantire la continuità operativa in caso di incidente;
• gestione degli incidenti grazie a processi chiari di incident response, con team dedicati (es. CSIRT) e procedure di escalation;
• aggiornamenti e patch management per garantire sistemi sempre aggiornati per ridurre le vulnerabilità note;
• monitoraggio continuo grazie a strumenti di monitoring e alerting in tempo reale su reti, sistemi e applicazioni;
• formazione per disporre di utenti e tecnici consapevoli delle minacce e delle procedure da seguire.

L’obiettivo finale è garantire resilienza digitale ovvero la capacità di resistere, adattarsi e riprendersi rapidamente da qualsiasi evento che possa compromettere i sistemi ICT.

Scopo, obiettivi e terminologia della ISO/IEC 27031

La ISO/IEC 27031 descrive i concetti e i principi della “prontezza ICT per la continuità del business”. In particolare, la norma ha l’obiettivo di:

Gli obiettivi della norma

• definire i requisiti per identificare e mitigare i rischi legati alla disponibilità dei sistemi ICT;
• fornire un framework per pianificare, implementare, testare e revisionare i piani di continuità ICT;
• supportare le organizzazioni nell’allineamento tra obiettivi di business e capacità tecnologiche;
• integrare la gestione della continuità ICT con la ISO 22301 (Business Continuity Management) e la ISO/IEC 27001 (Information Security Management);
• migliorare la resilienza organizzativa attraverso una gestione proattiva degli incidenti ICT.

Per quanto concerne la terminologia la norma introduce e standardizza una serie di termini chiave, tra cui: ICT Readiness (prontezza ICT), Recovery Time Objective (RTO), Recovery Point Objective (RPO), Maximum Tolerable Period of Disruption (MTPD) e Minimum Business Continuity Objective (MBCO). Questi concetti forniscono un linguaggio comune che facilita la comunicazione tra team ICT e management. Inoltre aiutano le organizzazioni per una applicazione consapevole e puntuale degli SLA come richiesto da specifiche misure della NIS2.

Il legame tra la ISO/IEC 27031 e la ISO 22301

La ISO/IEC 27031 (ICT Readiness for Business Continuity) e la ISO 22301 (Business Continuity Management Systems) sono strettamente complementari e progettate per operare in modo sinergico.

La ISO 22301 definisce il framework generale per il Sistema di Gestione della Continuità Operativa (BCMS) dell’intera organizzazione, stabilendo requisiti per identificare rischi, definire strategie di continuità e garantire il ripristino dei processi critici dopo un’interruzione.
La ISO/IEC 27031 si colloca come standard di supporto specifico per l’ICT, fornendo linee guida su come rendere i sistemi informativi e tecnologici pronti a sostenere la continuità operativa richiesta dalla ISO 22301. In sostanza, traduce i requisiti di business continuity nel dominio IT/ICT.

In altri termini la ISO 22301 identifica i processi critici e i relativi RTO/RPO, mentre la ISO/IEC 27031 guida l’organizzazione nel configurare l’infrastruttura ICT affinché i target siano effettivamente raggiungibili. La ISO/IEC 27031 introduce il concetto di IRBC (ICT Readiness for Business Continuity) come componente integrante del BCMS.
In sintesi, la ISO 22301 è il “cosa” — cosa deve garantire l’organizzazione in termini di continuità — e la ISO/IEC 27031 è il “come” — come l’ICT deve essere strutturato per rendere possibile quella continuità.

Dove si applica la ISO/IEC 27031

La norma è applicabile a organizzazioni di qualsiasi dimensione e settore, data la sua complessità per alcuni settori essa risulta particolarmente rilevante come:

I settori più coinvolti

• istituzioni finanziarie e bancarie, dove la disponibilità continua dei sistemi è un requisito normativo (si vedano anche le disposizioni di Banca d’Italia);
• strutture sanitarie, dove l’interruzione dei sistemi ICT può avere conseguenze dirette sulla salute dei pazienti;
• infrastrutture critiche nazionali operanti in settori quali: energia, trasporti, telecomunicazioni;
• pubblica amministrazione;
• aziende manifatturiere con processi produttivi automatizzati e dipendenti da sistemi IT/OT;
• provider di servizi cloud e data center, per i quali la disponibilità è il core business.

Si tratta a tutti gli effetti di un perimetro che è assimilabile a quello imposto dalle normative come NIS 2 e DORA che richiedono obblighi crescenti di resilienza digitale.

Il framework IRBC nella ISO/IEC 27031

La ISO/IEC 27031 è organizzata in diverse sezioni che coprono l’intero ciclo di vita della gestione della continuità ICT, seguendo il modello PDCA (Plan Do Check Act). Il punto centrale del documento è il framework IRBC, che comprende:

Le componenti del framework

• politiche e governance che implicano la definizione di politiche chiare per la continuità ICT, con ruoli e responsabilità ben definiti a tutti i livelli organizzativi;
• analisi dell’impatto sul business (BIA) tramite identificazione dei processi critici che dipendono dall’ICT e valutazione dell’impatto di eventuali interruzioni;
• valutazione del rischio per mezzo dell’identificazione delle minacce ai sistemi ICT (guasti, attacchi, disastri naturali) e valutazione della loro probabilità e impatto;
• strategie di continuità che prevedono lo sviluppo di strategie per garantire la disponibilità dei sistemi critici, inclusi backup, ridondanza, disaster recovery e cloud;
• piani di risposta agli incidenti tramite procedure documentate per rispondere, recuperare e ripristinare i servizi ICT in caso di interruzione (che dovrebbero considerare – per le aziende nel perimetro – anche la componente della NIS 2 e DORA);
• test, simulazioni e manutenzione dei piani per mezzo di pianificazione ed esecuzione regolare di esercitazioni e test per verificare l’efficacia dei piani e aggiornarli in base alle evoluzioni tecnologiche e organizzative. Il documento contiene una lista di possibili test.

Implementare la ISO/IEC 27031 in azienda

Il percorso tipico di implementazione della ISO/IEC 27031 si articola secondo i modelli comuni a tutte le norme che trattano della BC e che prevedono, secondo il modello PDCA: gap Analysis, business Impact Analysis, Risk Assessment, sviluppo e documentazione dei piani (ICT Continuity Plans – ICTCP e Disaster Recovery Plans – DRP), valutazione, audit e revisione continua.
Più interessanti sono le sfide che durante questo processo di implementazione devono essere considerate come:

Le principali criticità da affrontare

• mancanza di consapevolezza del management sull’importanza della continuità ICT come priorità anche verso il mercato;
• difficoltà nel tradurre i requisiti tecnici in termini comprensibili per il business e viceversa;
• risorse limitate per investimenti in ridondanza, backup e sistemi di failover;
• obsolescenza dei piani infatti è frequente che i documenti vengono redatti ma non aggiornati al variare dell’infrastruttura IT, dei risultati dei test e delle simulazioni e più in generale del contesto;
• scarsa cultura nella pianificazione e svolgimento delle esercitazioni che vengono percepite come costose e dirompenti invece che necessarie.

Perché la ISO/IEC 27031 rafforza la resilienza digitale

La ISO/IEC 27031 è molto più di un documento di carattere squisitamente tecnico, ma rappresenta un cambio nel modo in cui le organizzazioni affrontano la dipendenza dai sistemi ICT. La sua applicazione permette infatti di passare da un approccio reattivo — “cosa facciamo quando qualcosa si rompe?” — ad uno proattivo — “come garantiamo che i nostri sistemi siano sempre pronti?”. La ISO/IEC 27031 fornisce la mappa per orientarsi in questo percorso grazie ad un approccio strutturato e flessibile.