Il tuo cliente è ancora lontano da una conformità ISO/IEC 27001 dimostrabile: lo stato attuale è 47% sui controlli valutati, con 9 conformi, 7 parziali, 3 non conformi, 74 non ancora valutati e 10 gap aperti. La foto settimanale del 14/09/2026 riportava gli stessi valori; prevale il dato attuale.

La situazione è parziale, non una certificazione: l'ultima verifica registrata ha coperto soltanto 19 controlli, mentre il perimetro complessivo ne comprende 93.

Priorità operative:

1. 1Completare la valutazione dei 74 controlli non ancora esaminati
   • senza questa fase non è possibile sostenere una valutazione completa del SGSI.
2. 2Chiudere subito i gap ad alta priorità
   • A.5.23 — sicurezza dei servizi cloud: policy, due diligence dei provider, responsabilità condivise, exit strategy.
   • A.5.27 — apprendimento dagli incidenti: root cause, azioni correttive, verifica dell'efficacia.
   • A.5.28 — raccolta delle prove: procedura, strumenti, formazione e catena di custodia.
   • A.5.17 — informazioni di autenticazione: ciclo di vita delle credenziali e requisiti password.
3. 3Formalizzare il monitoraggio normativo
   • assegnare un responsabile per il controllo A.5.31.
4. 4Raccogliere evidenze operative, non solo policy
   • registri, test, revisioni, approvazioni, risultati di audit e azioni correttive.
5. 5Eseguire audit interno e riesame della direzione
   • prima di valutare la preparazione alla certificazione.

Il prossimo passo concreto è completare i controlli non valutati e attaccare evidenze verificabili ai cinque gap prioritari. Puoi operare nella pagina Assessment, aprendo i singoli controlli e i relativi gap.

Ho messo sul Desk tutti i 10 gap ISO/IEC 27001 aperti, inclusi quelli prioritari su cloud, incidenti, autenticazione e raccolta delle prove.

Per iniziare, suggerisco A.5.31 — Leggi, regolamenti e obblighi contrattuali, attualmente parzialmente conforme. Vuoi partire da questo?

Ho già elementi sufficienti per impostare la bozza:

Trovato

• LexDemo Solutions S.r.l. opera come SaaS legaltech B2B.
• Perimetro tecnologico: infrastruttura ibrida, AWS eu-south-1 primario ed eu-central-1 come disaster recovery.
• Framework pertinenti: GDPR, AI Act, NIS2, ISO/IEC 27001, ISO/IEC 27701 e obblighi contrattuali con clienti e fornitori.
• Il gap A.5.31 richiede processo, responsabilità e registro degli obblighi.

Non trovato

• Responsabile formale del monitoraggio normativo.
• Frequenza approvata dei controlli.
• Fonti operative già adottate e registro degli obblighi esistente.
• Criteri e tempi per la valutazione delle modifiche contrattuali.

Proposta — preparo una procedura pronta all'uso con ruoli a placeholder, registro obblighi come allegato operativo, monitoraggio continuo con frequenza da completare, clausole condizionali e le evidenze richieste per dimostrare l'attuazione di A.5.31.

Confermi questa impostazione? In assenza di un tuo modello Word, userò il template Legis predefinito.

Ho generato la bozza Word della Procedura per il monitoraggio degli obblighi legali, regolamentari e contrattuali: scopo, riferimenti, ruoli e responsabilità, fonti da monitorare, processo operativo ed evidenze richieste.

Il file è disponibile in Output, nel pannello a destra.