Business Continuity: standard, obblighi e certificazioni per la continuità operativa
ISO 22301, NIS2 e DORA: che cosa devi garantire, a chi devi dimostrarlo e da dove si parte
La continuità operativa risponde a una domanda che quasi nessuna organizzazione si pone finché non è tardi: se domani mattina questa attività si ferma, quanto a lungo possiamo restare fermi, e che cosa serve per ripartire? Non è un documento da scrivere una volta: è un sistema di gestione da tenere in esercizio, con prove periodiche che dimostrino che il piano funziona davvero. In questa pagina trovi la mappa completa: lo standard certificabile, gli obblighi europei che la richiedono e i percorsi di certificazione.
✅ La distinzione da tenere a mente: la gestione del rischio decide che cosa fare prima, perché l'evento non accada o faccia meno danno. La continuità operativa si occupa di che cosa succede dopo, quando l'attività si è comunque fermata. Sono complementari, e la ISO 22301 dà alla seconda un sistema di gestione certificabile.
🎓 Formazione accreditata sulla continuità operativa — corsi in italiano con esame ufficiale incluso, in aula virtuale o presso la tua sede.
📌 Navigazione rapida
Che cos'è la continuità operativa
Business continuity è la capacità di un'organizzazione di continuare a erogare le proprie attività critiche a un livello accettabile durante e dopo un evento che le interrompe: un guasto, un attacco informatico, l'indisponibilità di una sede, il fermo di un fornitore. Il perimetro è più ampio del disaster recovery, che riguarda il ripristino tecnico dei sistemi: la continuità include le persone, i processi, le sedi e la catena di fornitura.
Il lavoro si articola in quattro momenti: capire quali attività sono davvero critiche, decidere entro quanto devono ripartire, predisporre le soluzioni per farlo, e provarle. È l'ultimo passo quello che distingue un sistema vero da una cartella di documenti.
💡 L'errore più comune: scrivere il piano partendo dalla tecnologia. Il piano si costruisce partendo dalle attività — quali sono, chi le svolge, di che cosa hanno bisogno — e solo dopo si guarda quali sistemi le sostengono. Chi parte dai server produce un piano di disaster recovery e lo chiama continuità.
La BIA e i due numeri che decidono tutto
Il cuore del metodo è la Business Impact Analysis: l'analisi che stabilisce, attività per attività, quanto costa il fermo al passare del tempo. Da lì escono due parametri che determinano l'intera architettura della soluzione — e il suo costo.
◆ RTO — Recovery Time Objective
Entro quanto tempo l'attività deve essere di nuovo operativa. Risponde alla domanda «quanto possiamo restare fermi».
◆ RPO — Recovery Point Objective
Quanti dati possiamo permetterci di perdere, misurati in tempo: è la distanza massima accettabile fra l'ultimo salvataggio utile e l'evento.
◆ Livello minimo accettabile
Ripartire non significa tornare al cento per cento: si concorda in anticipo quale capacità ridotta è sufficiente nella fase di emergenza.
◆ Dipendenze
Persone, sedi, applicazioni, dati e fornitori: un RTO di quattro ore non vale nulla se un fornitore critico ne impiega tre giorni.
📚 Il collegamento con il rischio: la BIA misura l'impatto, la valutazione del rischio misura la probabilità e le cause. Servono entrambe: la prima dice quali attività meritano investimento, la seconda quali scenari sono realistici. Il metodo comune è quello della ISO 31000.
ISO 22301: lo standard certificabile
ISO 22301 è lo standard internazionale certificabile per la continuità operativa: stabilisce i requisiti di un Business Continuity Management System (BCMS). In pratica chiede di identificare le attività critiche, definire quanto a lungo possono restare ferme, predisporre che cosa serve per rimetterle in piedi e provare che il piano funziona davvero. La trattazione estesa è in ISO 22301.
| ISO 22301 | ISO/IEC 27001 | Piano di disaster recovery | |
|---|---|---|---|
| Che cosa protegge | La capacità di continuare a erogare le attività critiche | La riservatezza, l'integrità e la disponibilità delle informazioni | Il ripristino tecnico di sistemi e dati |
| Perimetro | Persone, processi, sedi, fornitori, tecnologia | Tutte le informazioni dell'organizzazione | Infrastruttura informatica |
| Certificabile | Sì, da un ente terzo | Sì, da un ente terzo | No: è un documento operativo, non un sistema di gestione |
| Rapporto fra loro | Chi ha già un sistema di gestione attivo riusa buona parte dell'impianto | Tratta la continuità come uno dei controlli sulla disponibilità | È uno degli strumenti con cui si attua il piano di continuità |
💡 Se hai già un sistema ISO/IEC 27001: non parti da zero. Politica, ruoli, gestione documentale, audit interni, riesame della direzione e gestione del rischio sono già in casa: quello che manca è la parte specifica — BIA, strategie di continuità, piani, esercitazioni e prove.
Chi è obbligato: NIS2, DORA e il resto
La continuità operativa è il punto in cui si toccano più obblighi diversi. Nessuno impone la certificazione ISO 22301, ma diverse norme impongono il risultato che quella certificazione dimostra.
| Norma | Che cosa chiede sulla continuità |
|---|---|
| NIS2 Direttiva (UE) 2022/2555 D.lgs. 138/2024 |
Fra le misure dell'articolo 21 rientrano esplicitamente la continuità operativa, il backup e la gestione delle crisi, per i soggetti essenziali e importanti. |
| DORA Regolamento (UE) 2022/2554 dal 17 gennaio 2025 |
Chiede alle entità finanziarie una resilienza operativa digitale dimostrabile: politiche di continuità, test periodici e presidio dei fornitori ICT critici. La formazione è nei corsi DORA. |
| ISO/IEC 27001 volontario |
Tratta la continuità come uno dei controlli sulla disponibilità delle informazioni: è un presidio, non un sistema di gestione completo della continuità. |
| Contratti e gare | Nella pratica è spesso il committente a chiedere livelli di servizio con tempi di ripristino garantiti: lì la certificazione vale come prova, non come obbligo. |
Da dove iniziare, a seconda di dove sei
| La tua situazione | Il primo passo sensato |
|---|---|
| Non abbiamo nulla e dobbiamo cominciare | Si parte sempre dalla BIA, non dai piani. Per il quadro e la terminologia: ISO 22301 e il corso ISO 22301 Foundation, 14 ore. |
| Abbiamo un piano ma nessuno l'ha mai provato | È il caso più frequente, ed è quello che un auditor scopre in mezz'ora. La prova periodica è un requisito dello standard, non un optional: va pianificata, registrata e usata per correggere il piano. |
| Siamo già certificati ISO/IEC 27001 | Riusi politica, ruoli, audit e riesame: manca la parte specifica. Il confronto fra i due sistemi parte dalla ISO/IEC 27001. |
| Rientriamo nella NIS2 | Continuità, backup e gestione delle crisi sono fra le misure dell'articolo 21: il quadro d'insieme è nella mappa cybersecurity, la formazione nei corsi NIS. |
| Siamo un'entità finanziaria o un suo fornitore ICT | Il riferimento è DORA, con obblighi di test più stringenti: corsi sulla resilienza operativa digitale. |
| Devo condurre audit sul sistema | Il percorso è ISO 22301 Lead Auditor, 35 ore: pianificare e condurre audit di terza parte. |
| Il nostro punto debole sono i fornitori | È il collegamento con il risk management: i tempi di ripristino di un fornitore critico diventano i tuoi, e vanno verificati prima, non durante l'emergenza. |
Formazione e certificazioni
I corsi BITIL.COM su questi temi sono accreditati, con docenza in italiano o in inglese ed esame ufficiale incluso:
| Percorso | A chi serve |
|---|---|
| ISO 22301 Foundation 14 ore · esame 70 min |
Chi deve impostare o mantenere il sistema di gestione della continuità: principi, terminologia e struttura dello standard. |
| ISO 22301 Lead Auditor 35 ore · esame 180 min |
Chi deve pianificare e condurre audit di terza parte su un BCMS. |
| DORA Foundation | Entità finanziarie e loro fornitori ICT, per la resilienza operativa digitale. |
| NIS Foundation e NIS Officer | Chi deve presidiare gli obblighi della direttiva, continuità e gestione delle crisi comprese. |
| ISO 31000 Foundation 14 ore · esame 60 min |
Chi vuole il metodo di gestione del rischio che sta sotto alla BIA e alle scelte di continuità. |
Domande frequenti
Che differenza c'è fra business continuity e disaster recovery?
Il disaster recovery riguarda il ripristino tecnico di sistemi e dati; la continuità operativa riguarda la capacità dell'organizzazione di continuare a erogare le attività critiche, e comprende persone, processi, sedi e fornitori. Il piano di disaster recovery è uno degli strumenti con cui si attua il piano di continuità, non un suo sostituto.
Che cosa sono RTO e RPO?
Sono i due parametri che escono dalla Business Impact Analysis. L'RTO è il tempo entro cui un'attività deve tornare operativa; l'RPO è la quantità di dati che si può accettare di perdere, misurata come distanza temporale dall'ultimo salvataggio utile. Insieme determinano l'architettura della soluzione e il suo costo.
La certificazione ISO 22301 è obbligatoria?
No, nessuna norma la impone. Diverse norme però impongono il risultato: NIS2 include continuità, backup e gestione delle crisi fra le misure dell'articolo 21, e DORA chiede al settore finanziario una resilienza operativa dimostrabile. La certificazione è il modo più riconosciuto di dimostrare che quel risultato c'è.
Se abbiamo la ISO/IEC 27001 dobbiamo fare anche la 22301?
Non necessariamente, dipende da che cosa vi viene chiesto. La 27001 tratta la continuità come uno dei controlli sulla disponibilità delle informazioni; la 22301 costruisce un sistema di gestione completo, con BIA, strategie, piani ed esercitazioni. Chi ha già la prima parte da una base solida e aggiunge la parte specifica.
Ogni quanto va provato il piano?
Lo standard non fissa una frequenza universale: chiede che le prove siano pianificate, coerenti con il rischio e con gli obiettivi di ripristino, documentate e usate per migliorare il piano. In pratica la frequenza si decide per criticità dell'attività, e ogni cambiamento rilevante di processi, sedi o fornitori è di per sé un motivo per riprovare.
Da quale corso conviene partire?
Da ISO 22301 Foundation, 14 ore: dà terminologia e struttura dello standard, che servono anche solo per leggere un capitolato o un questionario di un cliente. Il livello Lead Auditor, 35 ore, riguarda chi deve verificare il sistema, non chi lo costruisce.
La continuità vale anche per un'organizzazione piccola?
Sì, e spesso conta di più: una struttura piccola ha meno ridondanze e dipende da poche persone e da pochi fornitori. L'impianto è lo stesso, con uno sforzo proporzionato: poche attività critiche, obiettivi di ripristino realistici e una prova all'anno valgono più di un piano di cento pagine mai aperto.
Formazione accreditata su ISO 22301, DORA e NIS2
Corsi in italiano con esame ufficiale incluso, in aula virtuale o presso la tua sede. Guarda i corsi ISO 22301, i percorsi DORA e il calendario delle prossime edizioni.
⚠️ Nota sui riferimenti normativi
Questa pagina ha finalità informative e divulgative e non costituisce consulenza legale. I riferimenti citati sono la Direttiva (UE) 2022/2555 (NIS2) con il D.lgs. 138/2024 di recepimento, il Regolamento (UE) 2022/2554 (DORA) e le norme ISO 22301, ISO/IEC 27001 e ISO 31000. Per l'applicazione al caso concreto fa sempre fede il testo ufficiale in vigore. BITIL.COM è un'organizzazione di formazione accreditata: verifica i nostri accreditamenti.
Keywords: business continuity, continuità operativa, ISO 22301, BCMS, business impact analysis, BIA, RTO, RPO, disaster recovery, piano di continuità, resilienza operativa, DORA, NIS2 articolo 21, gestione delle crisi, backup, ISO 27001, ISO 31000, corsi business continuity, certificazione ISO 22301
