La sicurezza informatica si conferma un elemento centrale nella gestione delle organizzazioni pubbliche e private. L’aumento degli attacchi e la complessità crescente dei sistemi digitali rendono necessario disporre di strumenti normativi e metodologici capaci di garantire un approccio strutturato e coerente alla gestione del rischio cyber.

Con questo obiettivo nasce la UNI/PdR 174:2025, la nuova Prassi di Riferimento pubblicata da UNI – Ente Italiano di Normazione, frutto della collaborazione con Accredia, il CINI Cybersecurity National Lab, UNINFO e altri enti istituzionali.

Il documento integra e armonizza due riferimenti internazionali di rilievo: la UNI CEI EN ISO/IEC 27001:2024 e il Cybersecurity Framework 2.0 del National Institute of Standards and Technology (NIST).

Un modello integrato per la gestione del rischio cyber e la sicurezza informatica

La ISO/IEC 27001 è uno standard ampiamente riconosciuto a livello internazionale, che definisce un quadro normativo prescrittivo e strutturato per la gestione della sicurezza delle informazioni. Il NIST Cybersecurity Framework 2.0 (CSF 2.0), invece, fornisce un modello operativo volto a valutare e rafforzare la postura di cybersicurezza.

La UNI/PdR 174:2025 consente di far convergere questi modelli in un unico schema operativo, favorendo la costruzione di sistemi di gestione più robusti e integrati, orientati anche alla certificazione volontaria.

Il Cyber-Information Security Management System (C-ISMS)

Elemento distintivo della prassi è la definizione del Cyber-Information Security Management System (C-ISMS), un sistema di gestione che unisce i principi della sicurezza delle informazioni a un approccio adattivo al rischio.

Il C-ISMS fornisce una struttura metodologica per l’identificazione, la valutazione e la mitigazione dei rischi informatici, permettendo alle organizzazioni di migliorare la propria capacità di protezione e risposta agli incidenti cyber.

Coerenza con il quadro normativo europeo

La prassi rappresenta anche un supporto operativo per l’applicazione del Decreto Legislativo 138/2024, che recepisce la Direttiva (UE) 2022/2555 (NIS 2) e introduce requisiti più stringenti in materia di cybersicurezza per i soggetti operanti in settori essenziali e strategici.

La UNI/PdR 174:2025 può quindi essere adottata come riferimento per allineare le pratiche aziendali alle nuove disposizioni legislative, promuovendo un livello di sicurezza più elevato e coerente con gli standard europei.

Benefici operativi e allineamento tra standard

La prassi di riferimento consente di:

• superare la contrapposizione tra modelli di gestione rigidi e approcci flessibili;
• individuare le aree comuni tra ISO/IEC 27001 e NIST CSF, favorendo l’integrazione di strategie di sicurezza più efficaci;
• semplificare l’analisi dei gap per chi è già certificato secondo la norma UNI CEI EN ISO/IEC 27001;
• orientare chi utilizza il Framework NIST CSF verso le posture necessarie all’ottenimento della certificazione ISO/IEC 27001.

Due appendici tecniche completano il documento, con prospetti che evidenziano in modo bidirezionale la corrispondenza tra i Punti e i Controlli della ISO/IEC 27001 e le Funzioni, Categorie e Sottocategorie del Framework NIST CSF.

Per leggere altri articoli, naviga sul nostro sito web!