UNI/PdR 174:2025 e NIS2

Uno strato di governo del rischio cyber sopra la norma ISO/IEC 27001

UNI PdR 174-2025

La UNI/PdR 174:2025 non sostituisce la ISO/IEC 27001, né introduce un nuovo sistema di gestione indipendente. È una prassi di riferimento che si innesta strutturalmente sull’ISMS per rendere il governo del rischio cyber leggibile in chiave NIS2 e coerente con le aspettative di vigilanza della Agenzia per la Cybersicurezza Nazionale.

Dal NIST al FNCDP: un cambio di paradigma

Il Framework Nazionale per la Cybersecurity e la Data Protection (FNCDP) nasce come adattamento italiano del NIST Cybersecurity Framework, sviluppato negli Stati Uniti in un contesto culturale e regolatorio profondamente diverso da quello europeo.
Il modello NIST — e di conseguenza il FNCDP — non nasce come standard di certificazione, né come sistema di gestione in senso ISO.
È un framework outcome-oriented, pensato per supportare il governo del rischio cyber attraverso obiettivi, risultati attesi e responsabilità decisionali, piuttosto che tramite processi formalizzati o funzioni organizzative rigidamente definite.
In questo approccio, la funzione Govern assume un ruolo centrale: non descrive attività operative, ma come l’organizzazione indirizza, supervisiona e assume consapevolmente il rischio cyber. È un modello che guarda prima agli esiti e alle decisioni, e solo in seconda battuta ai meccanismi con cui tali decisioni vengono attuate.
Quando questo paradigma viene recepito in Europa — e in particolare nel FNCDP — si innesta però in un contesto in cui molte organizzazioni hanno già strutturato la propria sicurezza attorno a sistemi di gestione certificabili, in primis la norma ISO/IEC 27001.
Qui non si tratta di un limite della ISO/IEC 27001, ma di una differenza di modello.
I sistemi di gestione ISO sono per loro natura process-based e function-based: organizzano attività, responsabilità e controlli in modo coerente e verificabile.
Il FNCDP, invece, introduce una chiave di lettura diversa, che non sostituisce i sistemi di gestione, ma li osserva da un piano superiore, orientato alla governance del rischio cyber e alla responsabilità complessiva dell’organizzazione

Il risultato è che molte realtà europee oggi:

  • conoscono e applicano correttamente la ISO/IEC 27001;
  • gestiscono in modo strutturato la sicurezza delle informazioni e il rischio ICT;
  • ma si trovano a confrontarsi con un framework — FNCDP/NIS2 — che non valuta i processi, bensì il modo in cui il rischio cyber viene governato, compreso e indirizzato a livello organizzativo.

È in questo spazio di raccordo, tra un ISMS solido e un approccio outcome-oriented di matrice NIST, che si colloca la UNI/PdR 174:2025 (definita con la sigla C-ISMS)

Dove si colloca la UNI/PdR 174 in questo contesto

La UNI/PdR 174:2025 contribuisce a rendere più leggibile il collegamento tra sistemi di gestione ISO e il paradigma di governo del rischio cyber introdotto dal FNCDP e dalla NIS2.
In questo senso, rappresenta un passo importante nel tentativo di avvicinare due mondi che, fino a poco tempo fa, dialogavano poco.
Allo stesso tempo, la PdR 174 resta coerente con il modello dei sistemi di gestione certificabili, sia nella struttura sia nelle modalità di verifica.
Questo comporta che alcune dimensioni centrali del paradigma NIS2 — in particolare quelle legate alla responsabilità decisionale dell’organo di vertice e alla dimostrazione della consapevolezza del rischio cyber — non vengano affrontate in modo esplicito o diretto.
Non si tratta di una lacuna formale, ma di una scelta di perimetro: la PdR 174 migliora l’allineamento tra ISMS e contesto regolatorio, senza trasformare il modello di audit né spostare automaticamente il focus dal piano operativo a quello decisionale.
È su questo punto che, nella pratica, si giocherà la reale capacità delle organizzazioni di rispondere alle aspettative di vigilanza introdotte dalla NIS2.

Certificazione, accreditamento e modello europeo

La UNI/PdR 174:2025 è stata concepita fin dall’origine come una prassi potenzialmente certificabile.
Come indicato anche da Accredia, la PdR 174 è destinata a costituire un riferimento per schemi di certificazione accreditati, una volta completato il relativo percorso di adozione nel sistema nazionale di accreditamento.
Questa prospettiva di certificazione non introduce tuttavia un nuovo modello autonomo, né si pone in alternativa ai sistemi di gestione esistenti.
La PdR 174 si colloca invece in continuità naturale con la ISO/IEC 27001, configurandosi come un’estensione del perimetro dell’ISMS verso i temi della cybersicurezza e del governo del rischio cyber, in coerenza con il contesto NIS2.
La prospettiva di certificazione della UNI/PdR 174 si inserisce quindi nel modello di valutazione europeo dei sistemi di gestione, ampliandone il campo di applicazione verso la governance del rischio cyber, senza alterarne l’impianto metodologico di fondo.
Il riferimento resta quello dei sistemi di gestione process-based, già noti alle organizzazioni che operano in ambito ISO, con l’obiettivo di rendere il sistema più leggibile e interpretabile in chiave regolatoria.
In questo senso, la UNI/PdR 174 non rappresenta una discontinuità, ma un passaggio evolutivo:
non sostituisce la ISO/IEC 27001, non la supera e non la rende obsoleta, ma ne estende il raggio di lettura verso le esigenze di governo del rischio cyber introdotte dal FNCDP e dalla NIS2.

UNI/PdR 174 e soggetti NIS2: valorizzare l’esistente

Per molte entità soggette a NIS2, la UNI/PdR 174:2025 rappresenta un’opportunità concreta di capitalizzare il lavoro organizzativo già svolto.
Una parte significativa di queste organizzazioni ha infatti costruito nel tempo un sistema di gestione della sicurezza delle informazioni conforme o certificato secondo la ISO/IEC 27001, investendo in processi, ruoli, analisi dei rischi e meccanismi di controllo.
In questo scenario, la PdR 174 consente di riutilizzare tale base organizzativa come fondamento tecnico e metodologico, innestandola in una cornice più coerente con il linguaggio e le aspettative introdotte dalla NIS2 e dal FNCDP.
Non si tratta di aggiungere nuovi adempimenti formali, ma di ricondurre un sistema esistente a una lettura orientata al governo del rischio cyber, rendendolo più interpretabile in chiave regolatoria.
La possibilità di adottare — e in prospettiva certificare — la PdR 174 offre quindi alle organizzazioni un riferimento strutturato e riconoscibile a livello europeo, utile per dare continuità al percorso intrapreso con i sistemi di gestione ISO, senza doverli ripensare o duplicare.
Allo stesso tempo, è importante chiarire un punto che spesso viene dato per scontato:
la presenza di un ISMS conforme o certificato secondo la ISO/IEC 27001 non equivale a una compliance diretta alla NIS2.
La stessa UNI/PdR 174 lo rende evidente nel momento in cui introduce un livello ulteriore di lettura e governo del rischio cyber, distinto dalla mera organizzazione dei processi e dei controlli.

In altri termini, la PdR 174:

  • riconosce il valore del lavoro già svolto sul piano dei sistemi di gestione;
  • ne utilizza i risultati come base di partenza;
  • ma chiarisce, in modo esplicito, che il percorso di adeguamento alla NIS2 non si esaurisce nella certificazione ISO/IEC 27001.

È proprio questa distinzione — tra gestione del sistema di sicurezza delle informazioni e governo del rischio cyber — che consente di evitare fraintendimenti e di impostare un percorso di adeguamento più consapevole e sostenibile.

Torna in alto