Avete già visto questo tipo di template.
Quello che inizia con "Lo scopo di questa policy è stabilire i requisiti per la continuità operativa in conformità agli obblighi legali, regolatori e contrattuali applicabili..."
Quattordici pagine. Nessuno lo legge. Vive in una cartella chiamata "Documenti Compliance" che viene aperta due volte l'anno: una per l'audit, una quando qualcuno ci clicca sopra per sbaglio.
Poi arriva l'incidente.
Ransomware. Interruzione del cloud. Failure nella supply chain. Allarme antincendio alle 2 di notte.
E il piano di continuità operativa? Quello che avrebbe dovuto salvarvi?
Nessuno riesce a trovarlo. E anche se ci riuscissero, è stato scritto per un auditor, non per un essere umano sotto pressione.
Questo è il problema che affrontiamo oggi.
Perché la maggior parte delle policy BC/DR fallisce
Non perché il contenuto sia sbagliato. La maggior parte dei template copre le clausole giuste, la struttura giusta, il vocabolario giusto.
Falliscono perché:
- Sono scritte per gli auditor, non per le persone. Se la prima frase include "in conformità ai requisiti legali applicabili", il lettore è già perso.
- Non fanno nomi. "Il top management dovrà garantire..." non significa nulla se nessuno specifico è responsabile.
- Non sono mai state testate. Un piano mai esercitato è un'ipotesi. E le organizzazioni non sopravvivono sulle ipotesi.
- Vivono in isolamento. La BC sta in una cartella, la DR in un'altra, le comunicazioni di crisi nella testa di qualcuno.
- Invecchiano. Scritte una volta, approvate una volta, dimenticate fino al ciclo di certificazione successivo.
Vi suona familiare?
Cosa ho costruito e perché
Ho preso il template che utilizzo nei progetti di consulenza reali e nelle implementazioni ISO 22301 e l'ho trasformato in una BC/DR Policy gratuita e scaricabile.
Ma non mi sono limitato a pubblicare un documento. Ho riscritto le regole su come deve sentirsi un template di policy.
Ecco cosa rende questo diverso dagli altri:
1. È scritto per gli esseri umani
Frasi brevi. Verbi attivi. "Noi" e "voi", non "l'organizzazione" e "l'utente".
Ogni sezione è scritta in modo che un responsabile di dipartimento al primo giorno possa capire il proprio ruolo durante un'interruzione.
Dal template:
"I piani sono inutili se nessuno riesce a trovarli durante una crisi. I nostri sono: pratici, accessibili, specifici e testati."
Non è il linguaggio ISO. È la realtà operativa.
2. Ha una voce propria
Nel template troverete riquadri di commento: indicazioni dirette e pratiche di Cyber Academy a margine.
Ad esempio:
"La maggior parte delle BIA fallisce perché vengono condotte dall'IT in isolamento. Una BIA è un esercizio di business. Se il CFO, il responsabile delle Operations e il responsabile delle Vendite non erano in sala, la vostra BIA è incompleta."
"Se i vostri esercizi vanno sempre alla perfezione, non sono abbastanza sfidanti. Un buon esercizio deve mettere le persone a disagio. È questo il punto."
"Registrare una non conformità senza analisi delle cause radice è burocrazia. Fare l'analisi delle cause radice senza follow-up è teatro. Fatele entrambe."
Questi riquadri rappresentano la differenza tra un template generico e un framework costruito da chi ha davvero fatto questo lavoro.
3. È allineato a ciò che conta nel 2026
Non solo ISO 22301. Questo template fa riferimento a:
Standard / RegolamentoPerchéISO 22301La colonna portante. Requisiti del BCMS.ISO 27001BC e sicurezza delle informazioni sono due facce della stessa medaglia. I controlli dell'Allegato A A.5.29 e A.5.30 si trovano qui.NIS2L'articolo 21 richiede BC, gestione dei backup e DR per i soggetti essenziali e importanti. L'articolo 20 rende il management personalmente responsabile.DORAGli articoli 11–12 richiedono test di BC e DR ICT per i soggetti finanziari.
4. Nomina ruoli, non astrazioni
Invece di "Al personale appropriato dovranno essere assegnate responsabilità," la sezione Ruoli include una tabella con una colonna intitolata: "Cosa fanno concretamente."
Perché "Top Management" non significa nulla finché non si scrive: "Partecipate attivamente ai management review, non limitatevi a firmarli. Se la leadership ignora la BC, lo farà anche tutto il resto dell'organizzazione."
5. Le sezioni si chiamano con il loro vero nome
- La Sezione 5 non si chiama "Valutazione delle prestazioni". Si chiama "Verificate che funzioni".
- La Sezione 6 non si chiama "Miglioramento". Si chiama "Correggete ciò che non va".
Ancora pienamente verificabile rispetto alle clausole 4–10 di ISO 22301. Ma scritta in modo che un essere umano voglia davvero continuare a leggere oltre pagina due.
Cosa contiene
#SezioneCosa copre1ScopoPerché esiste, in tre frasi, non tre paragrafi2AmbitoA chi si applica. Spoiler: a tutti.3Ruoli e ResponsabilitàNominativi, specifici, con una colonna "Cosa fanno concretamente"4PolicyBIA, valutazione del rischio, strategie, piani, risposta agli incidenti (tabella a 3 livelli), comunicazioni, esercitazioni (tabella progressiva), DR, formazione5Verificate che funzioniMonitoraggio, audit interno, riesame della direzione6Correggete ciò che non vaNon conformità, analisi delle cause radice, azioni correttive7ConformitàApplicazione e responsabilità del management ai sensi di NIS2/DORA8RiferimentiTabella che spiega perché ogni standard è rilevante
Ogni segnaposto è evidenziato in corsivo viola, così sapete esattamente cosa personalizzare.
A chi è destinato
- Responsabili BC che costruiscono o ricostruiscono un BCMS da zero
- CISO e GRC lead che hanno bisogno di un'unica policy BC/DR integrata, senza silos separati
- Consulenti che implementano ISO 22301 per i clienti e sono stanchi di ricominciare da zero ogni volta
- Organizzazioni che si preparano a NIS2 o DORA e devono dimostrare le misure di continuità operativa
- Chiunque abbia superato un audit pensando: "Deve esserci un template migliore di questo."
👉 Scarica il Template BC/DR Policy - GratuitoUsatelo. Adattatelo. Fatelo vostro.
Eliminate i riquadri di commento prima della pubblicazione, oppure teneteli come guida interna per il vostro team. Decidete voi.
Volete il prossimo prima di tutti gli altri?
Questo template è il primo elemento della directory ufficiale di documentazione di Cyber Academy che stiamo costruendo.
In arrivo: template BIA, programma di esercitazioni, registro delle informazioni documentate e altro ancora, tutti con la stessa voce, la stessa qualità, la stessa filosofia "costruito per gli esseri umani".
📩 Iscrivetevi alla lista di Cyber AcademyVi invieremo un'email quando sarà disponibile la prossima risorsa.Niente spam. Nessuna sequenza automatica. Solo strumenti.Potete annullare l'iscrizione alle nostre comunicazioni in qualsiasi momento.Visitate la nostra Privacy Policy per saperne di più sulle condizioni di disiscrizione, sulle nostre politiche sulla privacy e sul nostro impegno a proteggere e rispettare la privacy.
Volete andare oltre?
Un template è una linea di partenza. Non un traguardo.
Se volete la metodologia, i casi di studio e la pratica per costruire un BCMS che superi gli audit e gli incidenti reali:
- ISO 22301 Lead Implementer, il programma di certificazione completo
- ISO 27001 Lead Implementer, perché BC e sicurezza delle informazioni sono inseparabili
- DORA Lead Manager, per la resilienza digitale del settore finanziario
- NIS2 Lead Implementer, per i soggetti essenziali e importanti
Tutte le formazioni: Certificate o Rimborsate.