Migliorare la resilienza digitale delle aziende: UNI/PdR 174

Quello del sicurezza informatica è un tema essenziale e prioritario, un imprescindibile asset strategico per tutte le organizzazioni, sia pubbliche sia private, soprattutto in considerazione dei sempre più gravi e frequenti fatti di cronaca. 

A questa esigenza risponde la UNI/PdR 174:2025, di recente pubblicata.

La prassi di riferimento – promossa da Accredia in collaborazione con CINI Cybersecurity National Lab (Laboratorio Nazionale per la Cybersecurity del Consorzio Interuniversitario Nazionale Informatica), UNINFO e altri attori istituzionali – integra e armonizza due documenti di estrema rilevanza: la UNI CEI EN ISO/IEC 27001:2024 e il Cyber Security Framework 2.0 del National Institute of Standards and Technology (NIST).

Questi documenti, pur essendo accomunati dall'obiettivo della gestione sistematica del rischio cyber, hanno approcci e caratteristiche molto differenti. Possono tittavia convergere in un metodo e un modo di operare univoci, consentendo alle organizzazioni di migliorare la loro resilienza digitale e, al contempo, di disporre di uno schema pre-normativo orientato alla certificazione volontaria.

Un sistema di gestione della sicurezza informatica più forte

Lo standard ISO/IEC 27001, già ampiamente adottato in Europa e nel mondo, fornisce un quadro normativo prescrittivo e dettagliato per la gestione della sicurezza delle informazioni. Il NIST CSF 2.0 (Cybersecurity Framework 2.0) rappresenta invece un efficace strumento per valutare e potenziare il proprio profilo di cybersicurezza, adottato da molte aziende negli Stati Uniti.

La convergenza di questi due riferimenti internazionali permette di creare un sistema di gestione della sicurezza informatica più forte e strutturato, in grado di garantire vantaggi concreti a chi lo adotta. La prassi di riferimento è sviluppata conformemente alla struttura di tutti gli standard sui sistemi di gestione (HS, Harmonized Structure).

Uno degli elementi chiave che la UNI/PdR 174 presenta è la creazione di un Cyber-Information Security Management System (C-ISMS), un sistema di gestione che combina i principi della sicurezza delle informazioni con un approccio più flessibile e dinamico che permette alle organizzazioni di adattare le proprie strategie di cybersicurezza al rischio effettivo, cioè alle specifiche esigenze interne. In pratica il C-ISMS fornisce una struttura metodologica per l’identificazione, la valutazione e la mitigazione dei rischi informatici, consentendo alle aziende di migliorare la propria capacità di protezione e di reazione agli attacchi cyber.

La prassi di riferimento è dunque uno strumento potenzialmente utile a rispondere agli obblighi del recente Decreto Legislativo 138/2024 (“Recepimento della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di cibersicurezza nell’Unione”) che, tra numerose altre, pone misure di sicurezza più rigorose per le organizzazioni operanti in settori critici.

La prassi di riferimento permette di:

• superare la dicotomia tra rigidità e flessibilità che può influenzare la decisione su quale standard adottare;
• comprendere le aree comuni dei due schemi per adottare strategie di sicurezza più robuste a vantaggio della resilienza ai rischi cyber e alle minacce emergenti, ottenendo quindi risposte più efficaci;
• semplificare le azioni a chi già possiede la certificazione alla norma UNI CEI EN ISO/IEC 27001 per identificare l’eventuale divario con il Framework CSF e per colmare le differenze;
• indirizzare chi ha già redatto il proprio Programma di Sicurezza sul modello del Framework CSF verso le posture necessarie per l’ottenimento della certificazione alla norma UNI CEI EN ISO/IEC 27001.

Il documento è corredato di due appendici che forniscono prospetti di facile consultazione per evidenziare le relazioni bidirezionali tra i Punti e i Controlli della norma UNI CEI EN ISO/IEC 27001 con le Funzioni, Categorie e Sottocategorie del Framework NIST CSF.

La UNI/PdR 174:2025 è scaricabile gratuitamente dal Catalogo UNIstore, previa registrazione.