120 CPE in tre anni: come funziona il rinnovo del CISSP

Servono 120 CPE per ciclo triennale — e basta: il minimo annuale di 40 non esiste più dal 2022 per i membri certificati. La domanda torna però di continuo, in forme appena diverse: 40 all’anno o 120 in tre anni? Quando parte il contatore? Un podcast conta? Le risposte della community sono in larga parte convergenti, ma convivono con il ricordo di regole vecchie che non sono più in vigore. Questo articolo restituisce quello che ne hanno capito i certificati; il CPE Handbook pubblicato da ISC2 su isc2.org resta il documento di riferimento in caso di contestazione o di audit.

Quanti CPE servono, e su quale periodo?

La risposta costante delle testimonianze: 120 CPE per ciclo triennale. Il ciclo si comporta come un blocco unico, e non come tre fasce annuali da validare separatamente.

L’unità di misura è semplice e viene ricordata ogni volta che un membro sbaglia: un’ora di attività vale un credito. Un thread del 2025 è esplicito su questo punto, dopo che un membro aveva annunciato 30-40 CPE per una formazione di undici ore:

«1 hour = 1 CPE so not entirely sure where the 30-40 comes from»

Traduzione: «1 ora = 1 CPE, quindi non capisco bene da dove escano i 30-40.»

L’autore del messaggio originale ha riconosciuto che la sua stima veniva da un assistente conversazionale e ha corretto la propria dichiarazione. È un promemoria utile: gli ordini di grandezza che circolano vanno ricondotti al tempo realmente impiegato.

Il volume può sembrare scoraggiante, ma le testimonianze non lo descrivono come un ostacolo: diversi membri mostrano contatori a 250, 400, 467 o persino 490 crediti senza sforzi particolari, e uno di loro riassume il meccanismo vincente in una frase:

«I tend to watch a one-hour webinar on my spare monitor most Fridays, as I finish up my workweek on the primary monitor.»

Traduzione: «Il venerdì, quasi sempre, guardo un webinar di un’ora sul secondo monitor mentre chiudo la settimana di lavoro sul monitor principale.»

Una precisazione che ha la sua importanza per un lettore italiano: tutte le fonti di CPE censite nelle testimonianze sono in inglese. Webinar, podcast, conferenze, piattaforme di formazione: in tre anni di archivi non viene citata nessuna fonte in italiano. Il mantenimento della certificazione presuppone quindi, in pratica, di essere a proprio agio nella lettura e nell’ascolto in inglese.

Il minimo di 40 CPE all’anno esiste ancora?

No, per i membri certificati — ed è probabilmente la confusione più diffusa nelle testimonianze. Un commento chiude il dibattito citando l’handbook:

«ISC2 has a suggested annual minimum to help balance maintaining your certification, however, there is no annual requirement unless you hold the associate status.»

Traduzione: «ISC2 propone un minimo annuale suggerito per aiutare a distribuire l’impegno di mantenimento della certificazione, ma non esiste alcun obbligo annuale, a meno che non si abbia lo status Associate.»

La storia di questa regola è raccontata da un membro che si presenta come autore di domande d’esame per ISC2 e CISSP da tredici anni:

Periodo	Regola così come riferita
Prima del 2020	40 CPE all’anno obbligatori, 120 per ciclo triennale
2020	Minimo annuale abbassato a 20 CPE
Dal 2022	Minimo annuale abolito: restano solo i 120 per ciclo

«Prior to 2020, you had to do 40 per year, with 120 per 3yr cycle. In 2020 they dropped it to 20/yr and then in 2022, they did away with it all together.»

Traduzione: «Prima del 2020 bisognava farne 40 all’anno, con 120 per ciclo triennale. Nel 2020 sono scesi a 20 all’anno, poi nel 2022 l’hanno eliminato del tutto.»

La stessa persona ci vede un rischio più che un regalo, e prevede che la scomparsa del paracadute annuale renderà i certificati negligenti fino a quando «una prima infornata» non perderà la certificazione. La confusione, dal canto suo, resiste sul campo: ancora a maggio 2026 un nuovo certificato scriveva di cercare come mantenere la propria certificazione «con 40 CPE all’anno OPPURE 120 su tre anni».

Qual è la differenza tra il gruppo A e il gruppo B?

La ripartizione è semplice: il gruppo A copre le attività direttamente legate ai domini della sicurezza delle informazioni, il gruppo B lo sviluppo professionale più generale. La strategia tipo condivisa in un thread dedicato alla rapidità di accumulo:

«Category A: a combination of podcasts, CBTs, and reading white papers / articles. […] Category B: mostly work related stuff like leadership meetings»

Traduzione: «Categoria A: un misto di podcast, corsi online e letture di white paper o articoli. […] Categoria B: soprattutto cose legate al lavoro, come le riunioni di direzione.»

La classificazione non è però definitiva. Un caso di gennaio 2026 riferisce una riqualificazione di 20 ore dal gruppo A al gruppo B decisa da ISC2 senza preavviso, tra cui due ore di webinar che ISC2 stessa aveva inviato al membro per e-mail. Un altro membro racconta di aver ottenuto l’annullamento di un rifiuto riscrivendo la descrizione della propria attività per ricollegarla esplicitamente alla sicurezza. Il consiglio che emerge da questi thread: contestare, ma con le prove alla mano.

«If you can show why they should count they will likely accept them.»

Traduzione: «Se riuscite a dimostrare perché dovrebbero contare, probabilmente li accetteranno.»

Conseguenza pratica: scrivete le descrizioni delle vostre attività pensando a qualcuno che dovrà giudicare, più tardi e senza contesto, se l’ora dichiarata rientri davvero nella sicurezza.

Da quando si possono iniziare a cumulare crediti?

Solo a partire dalla data di certificazione, cioè una volta approvato l’endorsement e pagata la quota annuale.

«You can’t collect CPE until after your certification date which is when it is fully endorsed»

Traduzione: «Non potete accumulare CPE prima della vostra data di certificazione, che corrisponde al momento in cui l’endorsement è completamente validato.»

La trappola è reale. Un candidato racconta di aver «perso» una conferenza RSA e tre certificazioni ottenute durante l’attesa del proprio endorsement: nulla di tutto ciò ha potuto essere dichiarato. Dato che i tempi di endorsement riferiti si collocano tra tre e sei settimane e mezza dopo l’invio del dossier — e di più in caso di revisione approfondita dell’esperienza —, si tratta di una finestra durante la quale lo sforzo di formazione non conta. Poiché il versamento della quota fa parte dell’innesco, il funzionamento dell’AMF condiziona direttamente l’avvio del contatore.

Per chi detiene più certificazioni ISC2, le testimonianze descrivono contatori separati, ma uno stesso CPE può essere dichiarato su entrambe quando l’argomento copre i domini delle due certificazioni; gli eventi organizzati da ISC2 si applicherebbero automaticamente a entrambe.

Si possono riportare i CPE in eccedenza sul ciclo successivo?

In parte. Il riporto descritto dalla community riguarda solo i crediti ottenuti negli ultimi sei mesi del ciclo, con un tetto di 40 di cui si parla — una cifra da confermare nel CPE Handbook prima di costruirci sopra un piano.

L’implicazione pratica, invece, è condivisa: non smettete di dichiarare le vostre attività una volta raggiunti i 120, se la fine del ciclo si avvicina. Quello che si ottiene in questa finestra finale non è perso.

Come si svolge un audit e quali prove sono accettate?

Gli audit CPE sono descritti come casuali e poco esigenti sulla forma. Un membro racconta di essere stato sottoposto ad audit per la prima volta dopo anni a causa di mezzo credito su un corso online, e ne conclude che la selezione non ha nulla di mirato.

Prova riferita nelle testimonianze	Esito descritto
Screenshot di un’applicazione di ascolto di podcast	Accettata
Screenshot di post pubblicati durante una conferenza	Accettati, 35 crediti validati
Attestati di completamento, ricevute	Accettati
Semplice dichiarazione di quanto fatto	A volte sufficiente

«'proof' doesn’t have to be formal… sometimes (gasp) they’ll take whatever you tell them you did»

Traduzione: «la "prova" non deve per forza essere formale… a volte, per quanto possa sorprendere, accettano semplicemente quello che dichiarate di aver fatto.»

La buona pratica descritta è costante: tenere un foglio di calcolo con data, titolo, numero di ore e link; scaricare gli attestati quando la piattaforma li propone; scrivere due o tre righe di riassunto per i podcast e le letture. «Inutile essere più dettagliati di così, a meno che la vostra dichiarazione non venga sottoposta ad audit.» Questo audit non va confuso con l’audit di endorsement, che riguarda l’esperienza professionale al momento della candidatura.

Che cosa si rischia lasciando scadere un ciclo?

La sospensione, poi la perdita della certificazione. E le testimonianze non lasciano ambiguità sul seguito: tra i membri che hanno perso il proprio CISSP e ne hanno avuto di nuovo bisogno, tutti hanno dovuto ripetere l’esame completo. Quattro testimonianze lo attestano, tra cui un certificato dal 2002 che l’ha lasciata scadere nel 2020 e un certificato del 2014 che non ha retto il ritmo dopo il periodo Covid. Ripetere l’esame significa ripagare un tentativo: gli importi dichiarati figurano nella pagina dedicata al prezzo dell’esame CISSP, e le ragioni per cui professionisti esperti non lo superano in perché non si supera il CISSP.

Le due situazioni di recupero più frequenti nelle testimonianze — «sono al terzo anno con 0 CPE e dieci mesi davanti» e «ho 1 credito su 120» — finiscono bene: le risposte dettagliano soluzioni di recupero rapido, essenzialmente webinar in serie e conferenze. Le fonti gratuite censite dalla community bastano del resto, da sole, a coprire un ciclo intero. Il consiglio più ripetuto resta però il più semplice: iniziare presto, anche a costo di chiudere i 120 crediti in otto mesi e vivere tranquillamente il resto del ciclo.