Gestão de riscos ● ISO/IEC 27001, Gestão de riscos: coberto. Avaliar e tratar os riscos à segurança da informação é o núcleo do sistema de gestão. ◐ ISO 9001, Gestão de riscos: parcialmente coberto. Riscos e oportunidades para a qualidade e a satisfação do cliente, não para a segurança da informação. ● ISO/IEC 42001, Gestão de riscos: coberto. Avaliar e tratar os riscos de IA, complementado por uma avaliação de impacto sobre as pessoas afetadas. ● NIS2, Gestão de riscos: coberto. As medidas do § 30 da BSIG seguem uma abordagem baseada em riscos, com políticas de análise de riscos. ◐ GDPR, Gestão de riscos: parcialmente coberto. Avaliar os riscos para os titulares dos dados; em caso de alto risco, com relatório de impacto à proteção de dados. ● BSI C5:2026, Gestão de riscos: coberto. A gestão de riscos do serviço em nuvem faz parte dos critérios organizacionais. ● DORA, Gestão de riscos: coberto. Estrutura abrangente de gestão de riscos de TIC, com responsabilidade clara do órgão de administração. ● NIST CSF 2.0, Gestão de riscos: coberto. Estratégia de risco e avaliação de riscos nas funções Govern e Identify. ● SOC 2, Gestão de riscos: coberto. Grupo de critérios próprio para a avaliação de riscos, incluindo riscos de fraude. ◐ HACCP, Gestão de riscos: parcialmente coberto. Análise de perigos para os alimentos, não para a informação ou a TI. – § 390 SGB V, Gestão de riscos: sem tema próprio. Catálogo fixo de requisitos conforme o porte do consultório, em vez de análise de riscos própria. ● EU AI Act, Gestão de riscos: coberto. Sistema de gestão de riscos ao longo do ciclo de vida dos sistemas de IA de alto risco. Controle de acesso ● ISO/IEC 27001, Controle de acesso: coberto. Identidades, permissões e autenticação são reguladas em detalhe. – ISO 9001, Controle de acesso: sem tema próprio. Sem tema próprio neste framework. – ISO/IEC 42001, Controle de acesso: sem tema próprio. Para sistemas de IA, normalmente coberto pelo SGSI. ● NIS2, Controle de acesso: coberto. Políticas de controle de acesso e, quando adequado, autenticação multifator. ◐ GDPR, Controle de acesso: parcialmente coberto. Confidencialidade como parte das medidas técnicas e organizacionais. ● BSI C5:2026, Controle de acesso: coberto. Área própria para a gestão de identidades e permissões. ● DORA, Controle de acesso: coberto. Controle de acesso e permissões como parte da proteção dos sistemas de TIC. ● NIST CSF 2.0, Controle de acesso: coberto. Gestão de identidades, autenticação e controle de acesso na função Protect. ● SOC 2, Controle de acesso: coberto. O acesso lógico e físico forma um grupo de critérios próprio. – HACCP, Controle de acesso: sem tema próprio. Sem tema próprio neste framework. ● § 390 SGB V, Controle de acesso: coberto. Contas de usuário, senhas e bloqueio de tela no consultório. – EU AI Act, Controle de acesso: sem tema próprio. Sem tema próprio neste framework. Fornecedores e prestadores de serviços ● ISO/IEC 27001, Fornecedores e prestadores de serviços: coberto. Segurança nas relações com fornecedores e nos serviços em nuvem. ● ISO 9001, Fornecedores e prestadores de serviços: coberto. Selecionar, avaliar e monitorar fornecedores externos. ◐ ISO/IEC 42001, Fornecedores e prestadores de serviços: parcialmente coberto. Responsabilidade perante terceiros e fornecedores no ciclo de vida da IA. ● NIS2, Fornecedores e prestadores de serviços: coberto. A segurança da cadeia de suprimentos é uma das dez medidas. ● GDPR, Fornecedores e prestadores de serviços: coberto. Escolher operadores de dados com cuidado e vinculá-los por contrato. ● BSI C5:2026, Fornecedores e prestadores de serviços: coberto. Gestão dos prestadores de serviços e subcontratados do provedor de nuvem. ● DORA, Fornecedores e prestadores de serviços: coberto. Risco de terceiros em TIC, com registro de informações e requisitos contratuais. ● NIST CSF 2.0, Fornecedores e prestadores de serviços: coberto. Categoria própria para o risco da cadeia de suprimentos na função Govern. ● SOC 2, Fornecedores e prestadores de serviços: coberto. Avaliar e gerenciar os riscos de fornecedores e parceiros de negócio. ◐ HACCP, Fornecedores e prestadores de serviços: parcialmente coberto. Requisitos para matérias-primas e fornecedores como parte das boas práticas de higiene. ◐ § 390 SGB V, Fornecedores e prestadores de serviços: parcialmente coberto. Requisitos para os prestadores de serviços de TI do consultório. ◐ EU AI Act, Fornecedores e prestadores de serviços: parcialmente coberto. Obrigações ao longo da cadeia de valor entre fornecedores e operadores. Gestão de incidentes e notificações ● ISO/IEC 27001, Gestão de incidentes e notificações: coberto. Detectar, avaliar e gerenciar incidentes e aprender com eles. A norma não regula prazos legais de notificação. ◐ ISO 9001, Gestão de incidentes e notificações: parcialmente coberto. Não conformidades e ações corretivas, não incidentes de segurança. ◐ ISO/IEC 42001, Gestão de incidentes e notificações: parcialmente coberto. Gestão de incidentes e comunicação às partes afetadas. ● NIS2, Gestão de incidentes e notificações: coberto. Gestão de incidentes e notificação em etapas ao BSI segundo o § 32 da BSIG. ● GDPR, Gestão de incidentes e notificações: coberto. Notificar violações de dados à autoridade supervisora em até 72 horas e, em caso de alto risco, informar os titulares. ● BSI C5:2026, Gestão de incidentes e notificações: coberto. Área própria para incidentes de segurança, incluindo a comunicação aos clientes. ● DORA, Gestão de incidentes e notificações: coberto. Classificar incidentes e notificar incidentes graves relacionados a TIC à autoridade supervisora. ● NIST CSF 2.0, Gestão de incidentes e notificações: coberto. Função Respond para análise, contenção e comunicação. ● SOC 2, Gestão de incidentes e notificações: coberto. Avaliar eventos de segurança, responder a incidentes e recuperar. ◐ HACCP, Gestão de incidentes e notificações: parcialmente coberto. Ações corretivas em caso de desvios nos pontos críticos de controle. – § 390 SGB V, Gestão de incidentes e notificações: sem tema próprio. Sem tema próprio neste framework. ◐ EU AI Act, Gestão de incidentes e notificações: parcialmente coberto. Notificar incidentes graves com IA de alto risco. Emergência e continuidade de negócios ◐ ISO/IEC 27001, Emergência e continuidade de negócios: parcialmente coberto. Segurança da informação durante interrupções e prontidão de TIC, sem gestão completa da continuidade de negócios. – ISO 9001, Emergência e continuidade de negócios: sem tema próprio. Sem tema próprio neste framework. – ISO/IEC 42001, Emergência e continuidade de negócios: sem tema próprio. Sem tema próprio neste framework. ● NIS2, Emergência e continuidade de negócios: coberto. Continuidade das operações, gestão de backups, recuperação e gestão de crises. ◐ GDPR, Emergência e continuidade de negócios: parcialmente coberto. Disponibilidade e rápida recuperação dos dados pessoais. ● BSI C5:2026, Emergência e continuidade de negócios: coberto. Área própria para a gestão de emergências e da continuidade. ● DORA, Emergência e continuidade de negócios: coberto. Continuidade de negócios em TIC, com planos, backups e testes regulares. ◐ NIST CSF 2.0, Emergência e continuidade de negócios: parcialmente coberto. Função Recover para a recuperação após incidentes. ◐ SOC 2, Emergência e continuidade de negócios: parcialmente coberto. Recuperação e disponibilidade, aprofundadas no critério opcional Disponibilidade. – HACCP, Emergência e continuidade de negócios: sem tema próprio. Sem tema próprio neste framework. ◐ § 390 SGB V, Emergência e continuidade de negócios: parcialmente coberto. Backups e documentação de emergência para o consultório. – EU AI Act, Emergência e continuidade de negócios: sem tema próprio. Sem tema próprio neste framework. Treinamento e conscientização ● ISO/IEC 27001, Treinamento e conscientização: coberto. Competência, conscientização e treinamento em segurança da informação. ● ISO 9001, Treinamento e conscientização: coberto. Competência e conscientização dos colaboradores para a qualidade. ● ISO/IEC 42001, Treinamento e conscientização: coberto. Competência e conscientização para um uso responsável da IA. ● NIS2, Treinamento e conscientização: coberto. Ciber-higiene e treinamentos, além da obrigação de treinamento para a diretoria. ◐ GDPR, Treinamento e conscientização: parcialmente coberto. A conscientização e o treinamento fazem parte das funções do encarregado de proteção de dados. ● BSI C5:2026, Treinamento e conscientização: coberto. Treinamento e conscientização da equipe em segurança. ● DORA, Treinamento e conscientização: coberto. Treinamentos em segurança de TIC, também para o órgão de administração. ● NIST CSF 2.0, Treinamento e conscientização: coberto. Conscientização e treinamento como categoria própria. ◐ SOC 2, Treinamento e conscientização: parcialmente coberto. Competência e comunicação das responsabilidades de segurança. ◐ HACCP, Treinamento e conscientização: parcialmente coberto. Treinamento em higiene e orientação dos colaboradores. ◐ § 390 SGB V, Treinamento e conscientização: parcialmente coberto. Orientação da equipe do consultório. ● EU AI Act, Treinamento e conscientização: coberto. Letramento em IA dos colaboradores que trabalham com sistemas de IA. Controle de documentos ● ISO/IEC 27001, Controle de documentos: coberto. Criar, aprovar, distribuir e reter informação documentada. ● ISO 9001, Controle de documentos: coberto. Criar, aprovar, distribuir e reter informação documentada. ● ISO/IEC 42001, Controle de documentos: coberto. Informação documentada segundo a estrutura comum das normas ISO. ◐ NIS2, Controle de documentos: parcialmente coberto. O cumprimento das medidas precisa ser documentado; a lei não regula os detalhes do controle de documentos. ◐ GDPR, Controle de documentos: parcialmente coberto. Responsabilização (prestação de contas) e registro das atividades de tratamento. ◐ BSI C5:2026, Controle de documentos: parcialmente coberto. Documentar, revisar e atualizar políticas e procedimentos. ◐ DORA, Controle de documentos: parcialmente coberto. Estrutura documentada com políticas e procedimentos. ◐ NIST CSF 2.0, Controle de documentos: parcialmente coberto. Definir e comunicar políticas, sem requisitos sobre o controle de documentos. ◐ SOC 2, Controle de documentos: parcialmente coberto. Políticas e procedimentos como base das atividades de controle. ● HACCP, Controle de documentos: coberto. A documentação e os registros são um dos sete princípios. ◐ § 390 SGB V, Controle de documentos: parcialmente coberto. Comprovações dos requisitos implementados. ● EU AI Act, Controle de documentos: coberto. Documentação técnica para sistemas de IA de alto risco. Auditoria interna ● ISO/IEC 27001, Auditoria interna: coberto. Auditorias internas planejadas do sistema de gestão. ● ISO 9001, Auditoria interna: coberto. Auditorias internas planejadas do sistema de gestão. ● ISO/IEC 42001, Auditoria interna: coberto. Auditorias internas planejadas do sistema de gestão. ◐ NIS2, Auditoria interna: parcialmente coberto. Avaliar a eficácia das medidas. Operadores de instalações críticas também precisam comprová-la regularmente. ◐ GDPR, Auditoria interna: parcialmente coberto. Verificar regularmente a eficácia das medidas, com controle pelo encarregado de proteção de dados. ● BSI C5:2026, Auditoria interna: coberto. Verificações internas do cumprimento de políticas e requisitos. ● DORA, Auditoria interna: coberto. A auditoria interna verifica regularmente a estrutura de gestão de riscos de TIC. ◐ NIST CSF 2.0, Auditoria interna: parcialmente coberto. Melhoria com base em avaliações e testes. ◐ SOC 2, Auditoria interna: parcialmente coberto. Monitoramento contínuo e separado dos controles. ◐ HACCP, Auditoria interna: parcialmente coberto. Verificação de que o plano funciona. – § 390 SGB V, Auditoria interna: sem tema próprio. Sem tema próprio neste framework. ◐ EU AI Act, Auditoria interna: parcialmente coberto. Gestão da qualidade e monitoramento pós-comercialização pelo fornecedor. Análise crítica pela direção ● ISO/IEC 27001, Análise crítica pela direção: coberto. A alta direção analisa criticamente o sistema de gestão em intervalos definidos. ● ISO 9001, Análise crítica pela direção: coberto. A alta direção analisa criticamente o sistema de gestão em intervalos definidos. ● ISO/IEC 42001, Análise crítica pela direção: coberto. A alta direção analisa criticamente o sistema de gestão em intervalos definidos. ◐ NIS2, Análise crítica pela direção: parcialmente coberto. A diretoria implementa as medidas e supervisiona sua implementação segundo o § 38 da BSIG. – GDPR, Análise crítica pela direção: sem tema próprio. Sem tema próprio neste framework. ◐ BSI C5:2026, Análise crítica pela direção: parcialmente coberto. Relatórios à direção sobre o status da segurança da informação. ◐ DORA, Análise crítica pela direção: parcialmente coberto. O órgão de administração assume a responsabilidade e revisa a estrutura regularmente. ◐ NIST CSF 2.0, Análise crítica pela direção: parcialmente coberto. Supervisão da estratégia de cibersegurança na função Govern. ◐ SOC 2, Análise crítica pela direção: parcialmente coberto. Supervisão pela direção e pelo órgão de fiscalização no ambiente de controle. – HACCP, Análise crítica pela direção: sem tema próprio. Sem tema próprio neste framework. – § 390 SGB V, Análise crítica pela direção: sem tema próprio. Sem tema próprio neste framework. – EU AI Act, Análise crítica pela direção: sem tema próprio. Sem tema próprio neste framework. Proteção de dados ◐ ISO/IEC 27001, Proteção de dados: parcialmente coberto. Proteção de dados pessoais como um controle, sem sistema de gestão da proteção de dados. – ISO 9001, Proteção de dados: sem tema próprio. Sem tema próprio neste framework. ◐ ISO/IEC 42001, Proteção de dados: parcialmente coberto. Origem, qualidade e tratamento dos dados para sistemas de IA. – NIS2, Proteção de dados: sem tema próprio. A proteção de dados é regulada pelo GDPR. Em caso de incidente, as duas obrigações de notificação podem se aplicar ao mesmo tempo. ● GDPR, Proteção de dados: coberto. Princípios, direitos dos titulares, bases legais e medidas técnicas. ◐ BSI C5:2026, Proteção de dados: parcialmente coberto. Localização dos dados, transparência e tratamento de solicitações de autoridades de investigação. – DORA, Proteção de dados: sem tema próprio. Sem tema próprio neste framework. – NIST CSF 2.0, Proteção de dados: sem tema próprio. O NIST trata a proteção de dados em uma estrutura própria. ◐ SOC 2, Proteção de dados: parcialmente coberto. Critério opcional Privacy para dados pessoais. – HACCP, Proteção de dados: sem tema próprio. Sem tema próprio neste framework. ◐ § 390 SGB V, Proteção de dados: parcialmente coberto. Proteção dos dados dos pacientes nos sistemas de TI do consultório. ◐ EU AI Act, Proteção de dados: parcialmente coberto. Governança dos dados de treinamento, validação e teste. Criptografia ● ISO/IEC 27001, Criptografia: coberto. Regras para o uso de criptografia e a gestão de chaves. – ISO 9001, Criptografia: sem tema próprio. Sem tema próprio neste framework. – ISO/IEC 42001, Criptografia: sem tema próprio. Sem tema próprio neste framework. ● NIS2, Criptografia: coberto. Políticas de criptografia e, quando adequado, cifragem. ◐ GDPR, Criptografia: parcialmente coberto. A criptografia como exemplo expressamente citado de medida adequada. ● BSI C5:2026, Criptografia: coberto. Área própria para criptografia e gestão de chaves. ● DORA, Criptografia: coberto. Criptografia e gestão de chaves como parte das medidas de proteção. ◐ NIST CSF 2.0, Criptografia: parcialmente coberto. Segurança dos dados em repouso e em trânsito, sem categoria própria. ◐ SOC 2, Criptografia: parcialmente coberto. Criptografia como parte dos controles de acesso e de transmissão. – HACCP, Criptografia: sem tema próprio. Sem tema próprio neste framework. ◐ § 390 SGB V, Criptografia: parcialmente coberto. Transmissão e armazenamento criptografados em pontos específicos. – EU AI Act, Criptografia: sem tema próprio. Sem tema próprio neste framework. Registro de logs e monitoramento ● ISO/IEC 27001, Registro de logs e monitoramento: coberto. Registro de logs e monitoramento de sistemas. – ISO 9001, Registro de logs e monitoramento: sem tema próprio. Sem tema próprio neste framework. ◐ ISO/IEC 42001, Registro de logs e monitoramento: parcialmente coberto. Registros de eventos na operação de sistemas de IA. ◐ NIS2, Registro de logs e monitoramento: parcialmente coberto. Detecção de incidentes; para operadores de instalações críticas, com sistemas de detecção de ataques. – GDPR, Registro de logs e monitoramento: sem tema próprio. Sem tema próprio neste framework. ● BSI C5:2026, Registro de logs e monitoramento: coberto. Registro de logs e monitoramento na operação corrente. ● DORA, Registro de logs e monitoramento: coberto. Mecanismos de detecção de atividades anômalas. ● NIST CSF 2.0, Registro de logs e monitoramento: coberto. Função Detect com monitoramento contínuo. ● SOC 2, Registro de logs e monitoramento: coberto. Monitoramento de sistemas para detecção de anomalias. – HACCP, Registro de logs e monitoramento: sem tema próprio. Registros de medições nos pontos de controle, sem registro de logs de TI. – § 390 SGB V, Registro de logs e monitoramento: sem tema próprio. Sem tema próprio neste framework. ● EU AI Act, Registro de logs e monitoramento: coberto. Registro automático de eventos em sistemas de IA de alto risco. Vulnerabilidades e patches ● ISO/IEC 27001, Vulnerabilidades e patches: coberto. Identificar, avaliar e corrigir vulnerabilidades técnicas. – ISO 9001, Vulnerabilidades e patches: sem tema próprio. Sem tema próprio neste framework. – ISO/IEC 42001, Vulnerabilidades e patches: sem tema próprio. Sem tema próprio neste framework. ● NIS2, Vulnerabilidades e patches: coberto. Segurança na aquisição, no desenvolvimento e na manutenção, incluindo o tratamento de vulnerabilidades. – GDPR, Vulnerabilidades e patches: sem tema próprio. Sem tema próprio neste framework. ● BSI C5:2026, Vulnerabilidades e patches: coberto. Gestão de vulnerabilidades e de patches na operação corrente. ● DORA, Vulnerabilidades e patches: coberto. Vulnerabilidades e patches, além de testes regulares de resiliência. ● NIST CSF 2.0, Vulnerabilidades e patches: coberto. Identificar e documentar as vulnerabilidades dos ativos. ● SOC 2, Vulnerabilidades e patches: coberto. Monitorar continuamente configurações e vulnerabilidades. – HACCP, Vulnerabilidades e patches: sem tema próprio. Sem tema próprio neste framework. ● § 390 SGB V, Vulnerabilidades e patches: coberto. Atualizações em dia para sistemas operacionais e programas. ◐ EU AI Act, Vulnerabilidades e patches: parcialmente coberto. Robustez e cibersegurança dos sistemas de IA de alto risco. Gestão de ativos ● ISO/IEC 27001, Gestão de ativos: coberto. Inventário da informação e dos ativos, com responsáveis. ◐ ISO 9001, Gestão de ativos: parcialmente coberto. Infraestrutura e equipamentos de medição, sem inventário de informação. ◐ ISO/IEC 42001, Gestão de ativos: parcialmente coberto. Documentar os recursos dos sistemas de IA. ● NIS2, Gestão de ativos: coberto. Gestão de ativos como parte das dez medidas. ◐ GDPR, Gestão de ativos: parcialmente coberto. Registro das atividades de tratamento em vez de inventário de ativos. ● BSI C5:2026, Gestão de ativos: coberto. Inventário, classificação e devolução de ativos. ● DORA, Gestão de ativos: coberto. Identificar e documentar os ativos de TIC e as dependências. ● NIST CSF 2.0, Gestão de ativos: coberto. Gestão de ativos como categoria própria na função Identify. ◐ SOC 2, Gestão de ativos: parcialmente coberto. Inventário como base dos controles de acesso. – HACCP, Gestão de ativos: sem tema próprio. Sem tema próprio neste framework. ◐ § 390 SGB V, Gestão de ativos: parcialmente coberto. Visão geral dos dispositivos, grandes equipamentos e componentes da infraestrutura telemática (TI) do consultório. ◐ EU AI Act, Gestão de ativos: parcialmente coberto. Inventário dos sistemas de IA como condição para a classificação. Governança de IA – ISO/IEC 27001, Governança de IA: sem tema próprio. Sem tema próprio neste framework. – ISO 9001, Governança de IA: sem tema próprio. Sem tema próprio neste framework. ● ISO/IEC 42001, Governança de IA: coberto. Sistema de gestão para o desenvolvimento e o uso responsáveis da IA. – NIS2, Governança de IA: sem tema próprio. Sem tema próprio neste framework. ◐ GDPR, Governança de IA: parcialmente coberto. Regras sobre decisões individuais automatizadas. – BSI C5:2026, Governança de IA: sem tema próprio. Sem tema próprio neste framework. – DORA, Governança de IA: sem tema próprio. Sem tema próprio neste framework. – NIST CSF 2.0, Governança de IA: sem tema próprio. Sem tema próprio neste framework. – SOC 2, Governança de IA: sem tema próprio. Sem tema próprio neste framework. – HACCP, Governança de IA: sem tema próprio. Sem tema próprio neste framework. – § 390 SGB V, Governança de IA: sem tema próprio. Sem tema próprio neste framework. ● EU AI Act, Governança de IA: coberto. Obrigações por classe de risco para fornecedores e operadores de sistemas de IA. Segurança de alimentos – ISO/IEC 27001, Segurança de alimentos: sem tema próprio. Sem tema próprio neste framework. ◐ ISO 9001, Segurança de alimentos: parcialmente coberto. Gestão da qualidade como estrutura, sem requisitos de segurança de alimentos. – ISO/IEC 42001, Segurança de alimentos: sem tema próprio. Sem tema próprio neste framework. – NIS2, Segurança de alimentos: sem tema próprio. Empresas do setor alimentício podem estar sujeitas, mas as obrigações dizem respeito à TI. – GDPR, Segurança de alimentos: sem tema próprio. Sem tema próprio neste framework. – BSI C5:2026, Segurança de alimentos: sem tema próprio. Sem tema próprio neste framework. – DORA, Segurança de alimentos: sem tema próprio. Sem tema próprio neste framework. – NIST CSF 2.0, Segurança de alimentos: sem tema próprio. Sem tema próprio neste framework. – SOC 2, Segurança de alimentos: sem tema próprio. Sem tema próprio neste framework. ● HACCP, Segurança de alimentos: coberto. Análise de perigos, pontos críticos de controle, monitoramento e verificação. – § 390 SGB V, Segurança de alimentos: sem tema próprio. Sem tema próprio neste framework. – EU AI Act, Segurança de alimentos: sem tema próprio. Sem tema próprio neste framework. 
