Il tuo piano di continuità documenta le copie di sicurezza, le repliche e i tempi di ripristino dei sistemi. Poi arriva l’auditor e chiede dove sta fisicamente la copia fuori rete, dentro cosa, e con quale certificazione. È il punto in cui molti piani si fermano. Questo articolo non spiega quale armadio comprare: spiega perché quella scelta è un requisito del sistema di gestione, come si traducono RTO e RPO su un nastro e su un contratto di carta, e cosa devi poter mostrare in sede di verifica.
Perché un piano di Disaster Recovery ben scritto può avere un capitolo scoperto
Il gap non nasce da distrazione, nasce da asimmetria. Le risorse vanno dove il rischio è più visibile: cloud, cluster, difese perimetrali, formazione contro il phishing. Sul dominio logico la mitigazione è puntuale. Poi si arriva al mondo fisico e il piano smette di essere altrettanto preciso.
Il risultato lo vedi in ogni azienda che ha investito bene sull’informatica: nastri LTO in un armadietto metallico da ufficio, contratti originali e libri sociali in faldoni su scaffali aperti, e nessuna riga del piano che dica come quegli asset sopravvivono a un incendio di venti minuti.
C’è una ragione tecnica dietro, e riguarda la termodinamica più che la sicurezza. Una cassaforte certificata solo contro lo scasso è fatta di leghe di acciaio spesse, che conducono calore. In un incendio si comporta da forno: la temperatura interna sale fino a superare la soglia di carbonizzazione della carta, intorno ai 170 gradi, e molto prima quella dei supporti magnetici.
Cosa chiede davvero la ISO 22301 sul piano fisico
La ISO 22301:2019 non nomina gli armadi ignifughi, ma chiede risorse adeguate a sostenere le strategie di continuità, e fra quelle risorse mette esplicitamente edifici e utenze, strutture e attrezzature, informazioni e dati. La protezione di quelle risorse contro il degrado o la distruzione richiede barriere fisiche, non solo procedure.
La norma condivide la struttura Annex L con ISO 9001 e ISO 27001, quindi si integra con quello che probabilmente hai già. I requisiti certificabili stanno nelle clausole dalla 4 alla 10.
| Clausola | Fase | Dove tocca la sicurezza fisica |
|---|---|---|
| 4. Contesto | Plan | Rischi fisici, legali e ambientali. L’emendamento Amd 1:2024 impone di valutare i rischi climatici, quindi alluvioni e incendi entrano nel perimetro formale |
| 5. Leadership | Plan | Allocazione delle risorse, capitali per le infrastrutture di protezione compresi |
| 6. Pianificazione | Plan | Le minacce fisiche vanno pesate al pari di quelle informatiche |
| 7. Supporto | Plan | Infrastrutture, ambienti di lavoro e documentazione: qui si colloca l’archivio certificato |
| 8. Attività operative | Do | Business Impact Analysis, strategie di mitigazione, piano di ripristino |
| 9. Valutazione | Check | Verifica dell’efficacia dei controlli, fisici inclusi |
| 10. Miglioramento | Act | Non conformità e miglioramento continuo |
Un dettaglio che pesa più di quanto sembri: l’emendamento Amd 1:2024, pubblicato a febbraio 2024, ha portato i rischi climatici dentro l’analisi del contesto. Eventi meteo estremi e incendi non sono più uno scenario che puoi trattare come marginale, sono una voce che l’auditor si aspetta di trovare valutata.
Se lavori anche sulla ISO 27001, la ISO 27002:2022 dedica l’intera clausola 7 ai controlli fisici: il 7.1 chiede perimetri di sicurezza definiti, il 7.4 il monitoraggio. Il sistema di continuità eredita quei controlli invece di duplicarli.
Come si calcolano RTO e RPO su un nastro e su un documento di carta
Qui sta la parte che nessun manuale di continuità operativa affronta davvero, ed è anche il punto in cui il piano di molte aziende si scopre fragile. Le quattro metriche che governano il ripristino nascono dalla Business Impact Analysis della clausola 8.2.2: MTPD, il tempo oltre il quale il danno diventa irreversibile; RTO, il tempo entro cui un processo deve tornare operativo; RPO, la quantità massima di dati che accetti di perdere; MBCO, il livello minimo di servizio durante la crisi.
Nel dominio informatico queste metriche si misurano in minuti. Applicate agli asset fisici cambiano di natura.
Prendi uno scenario concreto. Il piano prevede un RTO di 12 ore basato sui nastri estratti dalla rete e conservati in sede. Un incendio parziale colpisce lo stabile. Se quei nastri stavano in un contenitore non certificato per supporti magnetici, non sono danneggiati: sono illeggibili. L’RPO calcolato non regge, perché devi risalire a una copia esterna vecchia di settimane. L’RTO si allunga oltre l’MTPD, e il piano che avevi validato smette di descrivere la realtà.
Con un documento cartaceo il conto è ancora più netto. L’RTO di un contratto originale non digitalizzato che brucia è infinito. Quel bene non è interrotto, è annientato: non esiste procedura di ripristino, non esiste copia da cui ripartire. Vale per i contratti firmati, i libri sociali, le fideiussioni, i titoli di credito, i brevetti depositati in originale.
Questa asimmetria fra ripristino logico, misurabile, e ripristino fisico, spesso impossibile, è la ragione per cui la BIA va estesa agli asset materiali. Non è un adempimento formale: è ciò che rende credibili i numeri che hai scritto nel piano.
La ISO 22301 è obbligatoria per le PMI italiane?
Per la maggior parte delle PMI la certificazione resta volontaria. Il confine però si è assottigliato, e oggi conviene guardare a quattro fronti separati.
NIS2 e DORA. Il regolamento DORA è operativo da gennaio 2025 per il settore finanziario, mentre la direttiva NIS2 all’articolo 21 chiede misure tecniche e organizzative proporzionate, e nomina esplicitamente i piani di continuità operativa, la gestione delle copie di sicurezza e la sicurezza della catena di fornitura. Anche se non rientri fra i soggetti obbligati, se fornisci un soggetto che lo è, il requisito arriva comunque per via contrattuale.
Codice degli Appalti. Il D.Lgs. 36/2023 prevede meccanismi di premialità per chi possiede certificazioni riconosciute, fra cui punteggi aggiuntivi e riduzione delle garanzie fideiussorie. In una gara pubblica la ISO 22301 smette di essere un costo e diventa un elemento di competitività.
Articolo 2220 del Codice Civile. Questo vale per tutti, senza eccezioni e da molto prima delle direttive europee. Scritture contabili, inventari, fatture originali e corrispondenza vanno conservati per dieci anni dall’ultima registrazione. La mancata esibizione in caso di accertamento apre la strada all’accertamento induttivo, e la forza maggiore non ti copre se non dimostri di aver adottato cautele adeguate. L’obbligo di conservazione implica un dovere di custodia attiva, che un armadio da ufficio non soddisfa.
Assicurazione. La compagnia che valuta una polizza contro l’interruzione di attività guarda ai presidi effettivi. È il fronte in cui la spesa si trasforma in leva negoziale, e ne parliamo più avanti.
Quanto costa un fermo operativo, con i numeri del 2026
I dati servono a dare una scala al rischio, quindi vanno letti con l’anno di riferimento accanto.
L’Allianz Risk Barometer 2026, costruito su 3.338 esperti di gestione del rischio in quasi cento paesi, mette gli incidenti informatici al primo posto con il 42 per cento delle preferenze, il valore più alto mai registrato e il quinto anno consecutivo in vetta. Al secondo posto entra l’intelligenza artificiale con il 32 per cento, che sale dalla decima posizione dell’edizione 2025: è il salto più ampio in quindici anni di rilevazione. L’interruzione di attività scende al terzo posto, e per la prima volta esce dai primi due (nel 2025 era seconda con il 31 per cento).
Incendio ed esplosione restano al nono posto con il 13 per cento, ma la classifica delle percezioni dice poco sui danni reali. Sull’analisi di oltre mille sinistri da interruzione di attività raccolti in cinque anni fino al 2023, Allianz Commercial attribuisce all’incendio il 36 per cento del valore complessivo: è la causa singola più costosa, perché impone tempi di ricostruzione lunghi e distrugge materialmente scorte e siti produttivi.
Sul fronte italiano, il Rapporto Clusit 2026 conta 5.265 incidenti gravi nel mondo durante il 2025, in crescita del 49 per cento. L’Italia assorbe il 9,6 per cento del totale con 507 incidenti, in aumento del 42 per cento sull’anno prima. Il manifatturiero cresce del 79 per cento, e il 16 per cento degli attacchi globali a quel settore colpisce aziende italiane: se sei in una filiera manifatturiera, sei statisticamente esposto.
Sul costo del fermo i numeri vanno presi per quello che sono, cioè stime. Le società di consulenza informatica italiane collocano il costo di un’ora di blocco fra 500 e 3.000 euro secondo settore e livello di digitalizzazione. Per un’azienda da 3 milioni di fatturato e 20 dipendenti una stima prudente supera i 2.180 euro l’ora, sommando fatturato perso, costo del personale inattivo e spese di ripristino. Due giorni lavorativi di blocco valgono oltre 100.000 euro, senza contare penali di consegna e clienti che nel frattempo trovano un altro fornitore.
Confronta quella cifra con il costo di un armadio certificato e il ragionamento sulla spesa si chiude da solo.
Quale classe serve per ogni supporto: l’abbinamento termico
La regola è una sola e vale come criterio di acquisto: la classe si sceglie in funzione del supporto da proteggere, non del prezzo. Carta e supporti magnetici hanno soglie di sopravvivenza che differiscono di oltre cento gradi, quindi un contenitore adatto a uno è inadatto all’altro.
| Cosa proteggi | Soglia oltre cui si perde | Classe minima da chiedere |
|---|---|---|
| Registri contabili, contratti, libri sociali | 170 gradi, carbonizzazione | EN 15659 LFS 60 P, meglio EN 1047-1 S 60 P o S 120 P |
| Nastri LTO, SSD, dischi esterni | 52 gradi e umidità oltre l’85 per cento | EN 1047-1 S 60 DIS o S 120 DIS, oppure UL 72 Classe 125 |
| Asset a rischio misto, fuoco e furto mirato | Entrambe le soglie, più l’effrazione | Doppia certificazione EN 1047-1 ed EN 1143-1, con serratura EN 1300 per tracciare gli accessi |
Le classi P e LFS non proteggono i dati digitali: un armadio per carta lascia salire l’aria interna fino a 150 gradi, i registri sopravvivono e il nastro accanto no.
Sul perché la EN 1047-1 sia il riferimento più severo (prova di caduta da 9,15 metri, periodo di raffreddamento naturale, test di umidità) trovi il dettaglio nella guida alle certificazioni ignifughe e nella guida all’armadio ignifugo per dati. Qui basta il criterio: quel protocollo è l’unico che simula il collasso strutturale dell’edificio e le ore in cui nessuno può accedere al sito.
Armadio ignifugo per documenti cartacei e supporti magnetici Technomax Combi
Quando nello stesso piano convivono documenti obbligatori per legge e copie di sicurezza, serve un contenitore che regga entrambe le soglie senza compromessi su nessuna delle due.
1.687,26€1.181,08€IVA 22% incl.
Vedi la scheda tecnicaI cinque passaggi per chiudere il gap
Questa è la sequenza che ti porta da un piano incompleto a un piano difendibile in audit. Ogni passaggio richiama la clausola che lo rende un requisito, così il lavoro resta tracciabile.
Dal piano incompleto al piano difendibile
Estendi la BIA agli asset fisici
Clausola 8.2.2. Mappa i processi che dipendono da archivi non dematerializzati e dai supporti fisici su cui vivono le copie di sicurezza. Assegna a ciascuno un valore economico di indisponibilità: senza quel numero il passaggio successivo non ha una base.
Ricalcola RTO e RPO su scenari fisici
Verifica che l'RTO resti sotto l'MTPD anche quando il ripristino parte da un nastro recuperato in un sito danneggiato. Se non regge, il piano va corretto adesso, non durante l'emergenza.
Valuta ubicazione e perimetri
Clausola 6.1 e Amd 1:2024. Esamina dove stanno server e archivi rispetto a incendio, allagamento e crollo. Per i perimetri usa i controlli 7.1 e 7.4 della ISO 27002:2022, che hai già se lavori sulla 27001.
Acquista abbinando la classe al supporto
La copia fuori rete della regola 3-2-1 va in EN 1047-1 S 60 DIS o S 120 DIS. I documenti soggetti all'articolo 2220 vanno in un armadio certificato per carta. Un armadio installato male protegge meno di quanto dice la targa: l'ancoraggio a norma fa parte della fornitura, non è un accessorio.
Prova l’estrazione, non solo il ripristino Il passaggio che salta quasi sempre
Clausole 8.5 e 9. Inserisci nel programma di esercitazione annuale una prova reale: apri l'armadio, estrai il supporto, ripristina sui sistemi e cronometra. È l'unico modo per sapere se l'RTO dichiarato nella BIA è un dato o un'ipotesi.
Cosa devi poter mostrare in audit
Un presidio fisico che nessuno può documentare, per un auditor, non esiste. Conserva i certificati di omologazione originali degli armadi, emessi da enti indipendenti come ECB-S, VdS o RISE, e rendili consultabili insieme al piano.
Quei documenti fanno tre lavori diversi. Davanti al Garante sono evidenza di misure adeguate ai sensi dell’articolo 32 del GDPR. Davanti a un’ispezione NIS2 dimostrano che la gestione delle copie ha un presidio verificabile e non solo una procedura scritta. Davanti alla compagnia assicurativa cambiano la conversazione sul premio, perché spostano il rischio da dichiarato a documentato: è l’argomento che, in pratica, trasforma la spesa in una leva negoziale.
La differenza fra un piano che passa la verifica e uno che raccoglie osservazioni sta quasi sempre qui. Non nella qualità della documentazione informatica, che di solito è buona, ma nella capacità di rispondere con un certificato in mano alla domanda su dove sta la copia fuori rete e cosa la protegge.
Armadi ignifughi
Ogni modello riporta la classe certificata e l’ente che l’ha rilasciata, così puoi partire dal supporto da proteggere invece che dalla scheda commerciale.
Vedi tutta la gamma
Se vuoi allineare le classi degli armadi ai supporti che devi davvero proteggere, e allegare al piano la documentazione di omologazione, il modo più rapido è parlarne con chi quelle certificazioni le legge tutti i giorni.
Faq – Domande frequenti
La ISO 22301 è obbligatoria per una PMI italiana?
No, per la maggior parte delle PMI la certificazione resta volontaria. Diventa però un requisito di fatto in tre casi: se fornisci un soggetto obbligato dalla direttiva NIS2, perché il vincolo scende lungo la filiera; se partecipi a gare pubbliche, dove il D.Lgs. 36/2023 premia le certificazioni con punteggi e riduzione delle garanzie; se operi nel settore finanziario coperto da DORA, in vigore da gennaio 2025.
A che temperatura si rovina un nastro LTO in un incendio?
Un nastro LTO subisce danni irreversibili quando la temperatura supera i 50-52 gradi, oppure quando l'umidità relativa passa l'85 per cento. È una soglia molto più bassa di quella della carta, che carbonizza intorno ai 170 gradi. Per questo un armadio certificato per documenti non protegge i supporti magnetici: lascia salire l'aria interna a valori che la carta regge e il supporto magnetico no.
Qual è l’RTO di un documento cartaceo originale?
Se il documento è stato distrutto ed esiste in copia unica, l'RTO è infinito: il bene non è interrotto, è perduto, e nessuna procedura di ripristino lo recupera. Vale per contratti firmati, libri sociali, fideiussioni e titoli di credito. È la ragione per cui la Business Impact Analysis va estesa agli asset fisici e non fermata al perimetro informatico.
Una cassaforte antiscasso protegge anche dal fuoco?
No, se non è certificata anche per la resistenza al fuoco. Una cassaforte progettata contro lo scasso usa leghe di acciaio spesse, che conducono calore: in un incendio la temperatura interna sale rapidamente e supera le soglie di sopravvivenza sia dei supporti magnetici sia della carta. Per la protezione combinata servono due certificazioni distinte, EN 1047-1 per il fuoco ed EN 1143-1 per l'effrazione.
Quanti anni vanno conservate le scritture contabili?
Dieci anni dalla data dell'ultima registrazione, secondo l'articolo 2220 del Codice Civile. L'obbligo riguarda scritture contabili, inventari, fatture originali e corrispondenza. La mancata esibizione in sede di accertamento espone all'accertamento induttivo, e la causa di forza maggiore non protegge l'azienda che non dimostri di aver adottato cautele di custodia adeguate.
Cosa cambia con l’emendamento Amd 1:2024 della ISO 22301?
L'emendamento, pubblicato a febbraio 2024, impone di valutare la rilevanza dei cambiamenti climatici nell'analisi del contesto dell'organizzazione. In pratica porta alluvioni, incendi e ondate di calore dentro il perimetro formale della norma: sono minacce dirette alla continuità che l'auditor si aspetta di trovare valutate nella clausola 4, non trattate come scenario residuale.
Come si dimostra in audit la conformità della protezione fisica?
Con i certificati di omologazione originali degli armadi, emessi da enti indipendenti come ECB-S, VdS o RISE, archiviati e consultabili insieme al piano. Servono anche i verbali delle prove annuali di estrazione e ripristino, con l'RTO misurato. Una dichiarazione di conformità senza documenti a sostegno, per un auditor, non costituisce evidenza.
