Il 3 novembre l'esame CISM cambia.
Hai tempo fino al 2 novembre per sostenere quello su cui hai studiato. Dopo, ogni esame segue l'Exam Content Outline aggiornato.
La maggior parte di ciò che leggerai su questo argomento è una tabella di percentuali. Le percentuali sono la parte meno interessante.
Cosa è cambiato davvero
I quattro domini rimangono intatti. Governance, Risk Management, Program, Incident Management. Stessi nomi, stesso ordine.
I pesi si sono spostati di un solo punto in due punti. Information Security Governance passa dal 17 al 18 percento. Incident Management scende dal 30 al 29. Risk Management rimane al 20. Program rimane al 33, ancora il dominio più pesante dell'esame.
Questa è l'intera storia sui numeri. Anche il formato non cambia: 150 domande, quattro ore, un punteggio minimo di 450 sulla scala da 200 a 800.
Poi c'è la parte che merita la tua attenzione.
ISACA ha aggiunto due nuove aree di contenuto: enterprise architecture e information security architecture. E ha spostato ulteriormente l'enfasi dell'esame verso la strategia di information security e lo sviluppo del programma.
Perché l'architettura, e perché ora
La spiegazione di ISACA è sintetica: l'aggiornamento riflette la necessità di comprendere le tecnologie nell'ambito di competenza di un security manager.
Rileggila, perché è una correzione di rotta.
Il CISM ha trascorso anni ad essere venduto come la certificazione da ottenere quando non si vuole quella tecnica. Il percorso manageriale. Strategia, governance, titolarità del programma, conversazioni con il board. Molti lo hanno scelto proprio per allontanarsi dai diagrammi.
L'outline del 2026 chiude quella via d'uscita.
Non puoi governare ciò che non sai descrivere. Un security manager che non sa leggere un diagramma architetturale non è in grado di stabilire se un controllo si trovi dove il rischio è effettivamente presente. Approva design che non comprende, accetta un rischio residuo che non sa localizzare e convalida un programma che appare completo sulla carta ma con un vuoto al centro.
E si noti che ISACA ha aggiunto l'architettura enterprise, non solo quella di sicurezza. Questa è la richiesta più ambiziosa. Significa capire come la tecnologia del business si integra realmente, non solo il layer di sicurezza sovrapposto. Le tue regole di firewall non sono un'architettura. Lo è il sistema che proteggono.
Questo emerge dalla Job Practice Analysis di ISACA, che coinvolge CISM in attività lavorativa. Non è un'invenzione di un comitato. Un numero sufficiente di professionisti ha dichiarato che questo è il lavoro oggi.
Sostenerlo prima o sostenerlo dopo
Metà del settore della formazione ha trascorso settembre a dirti di fare in fretta. Nota chi ne trae vantaggio.
La versione onesta ha tre risposte.
Se studi da mesi e sei vicino al traguardo. Sostienilo prima del 3 novembre. Hai il materiale attuale, hai costruito il modello mentale attuale e non c'è nulla da guadagnare cambiando schema con tre settimane rimaste.
Se stai iniziando ora. Non farlo. Tre settimane non sono una finestra di preparazione al CISM da zero, e fallire un esame per battere una scadenza di calendario è un modo costoso per non risparmiare nulla. Preparati adeguatamente, sostieni il nuovo outline e tratta i contenuti sull'architettura come qualcosa di cui avevi comunque bisogno.
Se sei a metà strada. Sii onesto riguardo alla tua preparazione, non riguardo alla data. La scadenza non è la variabile che determina se superi l'esame.
Consiglio: Il nuovo outline non è più difficile. È un'evoluzione dello stesso modello manageriale con contenuti aggiunti che riflettono ciò che il ruolo già comporta. Uno spostamento di un punto nel peso e due aree di contenuto non sono una ragione per prenotare in preda al panico un esame per cui non sei pronto.
Se hai già il CISM
Nulla cambia per la tua certificazione. L'outline regola l'esame, non la credenziale, e il tuo ciclo CPE prosegue esattamente come prima.
La direzione di marcia ti riguarda comunque.
Trattala come una gap analysis gratuita. Se enterprise architecture e information security architecture sono le due aree che ISACA ha appena deciso che un security manager deve comprendere, e faticheresti a schizzarne anche una sola alla lavagna per la tua organizzazione questo pomeriggio, hai trovato il tuo prossimo CPE.
Riflessione finale
Gli aggiornamenti delle certificazioni dicono generalmente più sulla professione che sull'esame.
Questo dice che la distanza tra governare la sicurezza e comprenderla ha smesso di essere accettabile. Il manager che sapeva dissertare sull'appetito al rischio ma non sapeva nominare i sistemi che custodiscono i dati è sempre stato un problema.
Dal 3 novembre, è un problema verificabile all'esame.
Dove viene insegnato
Il nostro corso CISM è costruito sul nuovo outline e si tiene in modalità con istruttore o in autonomia. La prossima sessione live è dal 7 al 10 dicembre, e la licenza self-paced inizia quando sei pronto.
Per celebrare il lancio, ogni corso ISACA self-paced nel catalogo è disponibile al prezzo partner. Questo viene gestito caso per caso e non direttamente al checkout, quindi richiedi un preventivo e indicaci se si tratta di un posto singolo o di un gruppo.