As perguntas que realmente recebemos.

Sim. Existe um acesso de teste de 14 dias com acesso completo, solicitado pelo formulário de contato. Não é preciso informar dados de pagamento.

O que você criar durante o período de teste passa sem interrupção para o plano pago. Se você não escolher nenhum plano, o teste termina automaticamente.

A parte técnica fica pronta em uma tarde: criar o cliente, convidar usuários, ativar o framework, definir os responsáveis. O que leva tempo é o preenchimento – ou seja, descobrir quais evidências já existem na sua organização e quais ainda precisam ser criadas.

De forma realista, para uma primeira certificação ISO 27001: de três a seis meses até estar pronto para a auditoria, se alguém da casa se dedicar ao assunto de verdade. Quem fizer isso em paralelo com outras tarefas precisa de nove a doze.

Pelo escopo, não pelas medidas. Defina quais locais, sistemas e processos estão incluídos e quais ficam expressamente de fora. Cada hora investida aqui economiza o triplo mais tarde – um escopo amplo demais é o motivo mais comum para os projetos se arrastarem.

Depois: definir os responsáveis por cada área temática e, em seguida, fazer o levantamento da situação atual. Só então as medidas.

Menos pessoas do que você imagina. Basta uma pessoa responsável por área temática; todas as outras recebem tarefas atribuídas e não precisam de acesso permanente. A edição Basic inclui cinco usuários internos, a Professional dez e a Enterprise conforme acordado.

Não. No momento, não é possível fazer login via SAML ou OIDC; o acesso é feito com contas próprias no Sightadel.

Se o single sign-on for um requisito para você, avise-nos antes do acesso de teste – assim podemos avaliar se e quando isso será uma opção para você, em vez de surpreendê-lo mais tarde.

Sim, e esse é o caso mais comum. As planilhas do Excel e os documentos do Word existentes são importados diretamente; políticas, procedimentos e evidências são vinculados aos requisitos correspondentes.

O que quase sempre aparece: a planilha contém status que há meses deixaram de corresponder à realidade. Isso não é um argumento contra a migração, é justamente o motivo para fazê-la.

Por framework. Você contrata a ISO 27001, a NIS2 ou o DORA individualmente, cada um em uma de três edições. As edições diferem em capacidade e tempo de resposta – usuários internos, armazenamento de evidências, ativos monitorados, fornecedores, suporte – e não no conteúdo do framework.

Em termos concretos: os requisitos, a estrutura de evidências e a exportação para auditoria são os mesmos na Basic e na Enterprise.

Se a sua licença incluir a ISO 27001 ou a ISO 9001, cada um dos outros frameworks custa permanentemente 5% menos do que o preço de tabela. A ISO 27001 e a ISO 9001 em si ficam de fora. Além disso, há descontos para pagamento antecipado. As condições exatas e um simulador estão disponíveis na nossa página de preços.

Mas o verdadeiro ganho no segundo framework não está no desconto, e sim no fato de grande parte das evidências já existir. Mais informações na seção sobre reutilização.

Seis, e elas distinguem expressamente entre internas e externas:

Admin (Owner) – gerencia o cliente, os usuários e as assinaturas.

Consultant interno – trabalha os conteúdos de todos os frameworks.

Contributor interno – cuida dos pontos atribuídos a ele.

Viewer – acompanha em modo de leitura, sem alterar nada.

Consultant externo – para as consultoras e os consultores que você contratar.

Auditor – sempre externo; lê, comenta e, após aprovação, cria ou edita registros, mas nunca exclui nada.

A separação entre Consultant interno e externo não é um detalhe: na auditoria precisa ficar claro quem pertence à sua organização e quem não pertence.

Sim. A Basic inclui um framework próprio, a Professional três e a Enterprise um número ilimitado. É o caminho para normas do grupo, requisitos contratuais de clientes ou normas setoriais para as quais não existe um módulo pronto.

Sim. Você reúne ali o que clientes e potenciais clientes pedem de qualquer forma – certificados, relatórios de asseguração, informações sobre a hospedagem, suboperadores – e indica o link, em vez de enviar sempre o mesmo anexo.

A utilidade aparece no terceiro questionário de cliente: o que está no Trust Center não precisa mais ser pesquisado para o questionário.

Não por completo, e isso é proposital. Para cada requisito existem modelos adaptados ao seu setor. A IA ajuda na redação e sugere textos; a decisão é sua.

O que caracteriza a sua empresa – objetivos, riscos, responsabilidades – é você quem descreve. Caso contrário, a norma não cumpre o seu propósito, e isso aparece na auditoria.

Você pergunta diretamente no ponto de controle. Em questões importantes e casos complicados, quem responde são consultoras e consultores de verdade, com experiência em auditoria, e não um sistema de tickets.

Se você contratar uma consultoria própria, ela recebe na conta uma função própria, externa.

O foco está na gestão das evidências em si, não em uma longa lista de integrações prontas. Se uma determinada integração for decisiva para você, fale conosco antes do acesso de teste.

E uma ressalva que costuma faltar nas comparações entre fornecedores: evidências coletadas automaticamente não substituem uma decisão. Uma ferramenta pode comprovar que a criptografia está ativa – se ela é adequada continua sendo uma decisão sua, e é exatamente isso que o auditor pergunta.

Sim, mediante acordo. Requisitos muito específicos que o padrão não cobre nós implementamos como adaptação sob medida. O escopo e os custos esclarecemos antes com você em uma proposta. Mais na página Adaptações sob medida.

Alemão e inglês. Os materiais de trabalho da área de recursos – checklists, pacotes de evidências, guias – também estão disponíveis em francês, espanhol e português, tanto europeu quanto brasileiro.

No painel: progresso de conformidade por framework, tarefas em aberto com prazo e evidências prestes a vencer. O mais útil não é tanto o número total, e sim a tendência: o que venceu desde o mês passado e quem está cuidando disso.

Duas coisas que costumam ser confundidas. Primeiro, as cláusulas 4 a 10: um sistema de gestão com contexto, liderança, planejamento, operação, avaliação e melhoria. Segundo, o Anexo A: 93 controles em quatro domínios – organizacionais, de pessoas, físicos e tecnológicos.

Raramente é no Anexo A que as organizações falham diante dos auditores. Elas falham nas cláusulas 9 e 10: auditorias internas, análise crítica pela direção, ações corretivas. É a parte que não se pode comprar.

A Declaração de Aplicabilidade – em inglês, Statement of Applicability (SoA) – é o único documento que a norma cita nominalmente como obrigatório e que o auditor quer ver antes de todos os outros. Para cada um dos 93 controles, ela indica: aplicável ou não, com justificativa, e, se aplicável, a referência à implementação.

Excluir um controle é permitido. Excluí-lo sem justificativa é uma não conformidade.

Sim, e ela precisa ser reprodutível. A norma não prescreve nenhum método, mas exige que os mesmos dados de entrada levem a resultados comparáveis. Uma avaliação por intuição, feita cada vez por pessoas diferentes, não atende a esse requisito.

A ordem, aliás, é o inverso daquela pela qual a maioria começa: primeiro os riscos, depois os controles, depois a Declaração de Aplicabilidade. Quem começa pelo Anexo A acaba justificando de trás para frente.

Não, e nem pode estar. As normas ISO são protegidas por direitos autorais e licenciadas individualmente – na Alemanha pela Beuth, hoje DIN Media, ou diretamente pela ISO. O Sightadel contém a estrutura, os pontos de controle, a gestão de evidências e as nossas próprias explicações, não o texto da norma.

Portanto, você precisa ter pelo menos um exemplar da norma na empresa. Isso vale para qualquer plataforma, inclusive para as que não dizem isso.

Menos do que os pacotes de modelos sugerem. A norma exige nominalmente uma quantidade pequena de informação documentada – escopo, política, metodologia de riscos, plano de tratamento de riscos, Declaração de Aplicabilidade, evidências de competência, programa e resultados de auditoria, análise crítica pela direção, não conformidades e ações corretivas.

Todo o resto só é necessário se, sem ele, você não conseguir demonstrar que um controle é eficaz. Uma política que ninguém lê não é uma evidência, é peso morto.

Quase sempre quem decide é o cliente, não a norma. A ISO 9001 independe do setor e é certificada tanto por prestadores de serviços quanto por fabricantes. O motivo mais comum é uma licitação ou um contrato-quadro em que o certificado aparece como condição de participação.

Sim, e esse é o verdadeiro motivo para gerenciar as duas na mesma ferramenta. As duas normas seguem a mesma estrutura básica: contexto, liderança, planejamento, apoio, operação, avaliação, melhoria.

Na prática, isso significa: um procedimento de controle de documentos, um programa de auditoria interna, uma análise crítica pela direção, um procedimento de ações corretivas – e não dois de cada. Muitos organismos de certificação permitem uma auditoria combinada, o que economiza dias de auditoria.

Não. A ISO 9001:2015 não exige um catálogo de processos nem um manual da qualidade – ambos vêm de versões anteriores e persistem teimosamente. O que se exige é que você conheça os seus processos, os controle e meça a sua eficácia.

Onde falta uma descrição e o resultado está certo, isso não é uma constatação. Onde ela falta e, por isso, os erros se repetem, é.

A verificação tem duas etapas. Primeiro, o setor: a sua atividade consta na lista de tipos de entidades? Segundo, o porte: a partir de 50 funcionários ou 10 milhões de euros de faturamento anual, a empresa é considerada entidade importante; a partir de 250 funcionários ou 50 milhões de euros, entidade essencial.

Independentemente do porte, a obrigação se aplica a determinadas entidades – por exemplo, operadores de instalações críticas e prestadores de determinados serviços digitais. O nosso checklist NIS2 contém uma planilha que calcula a classificação.

Em regra, não. Os limites são de 50 funcionários ou 10 milhões de euros de faturamento; um consultório individual ou um pequeno consultório compartilhado fica abaixo deles. O que vale nesse caso é a diretriz alemã de segurança da informação prevista no § 390 do Código Social alemão, livro V (SGB V) (antigo § 75b) – ela se aplica a todos os consultórios, independentemente do porte, e exige, entre outras coisas, expressamente um firewall.

Indiretamente, a NIS2 ainda pode chegar até você: quem está conectado a um hospital, a um laboratório ou a um centro de atendimento ambulatorial (MVZ) que esteja ele próprio sujeito à obrigação recebe requisitos pela respectiva cadeia de suprimentos.

Três, e todos contam a partir do momento em que se toma conhecimento. Alerta inicial em até 24 horas, notificação em até 72 horas, relatório final em até um mês. Se o incidente ainda estiver em andamento ao fim do prazo de um mês, você apresenta primeiro um relatório intermediário.

O erro mais comum não é o prazo perdido, e sim o momento inicial não registrado. Anote a data e a hora em que tomou conhecimento antes de fazer qualquer outra coisa.

A diretoria precisa implementar as medidas de gestão de riscos, supervisionar a sua implementação e receber treinamento. Ela pode delegar tarefas, mas a responsabilidade continua sendo dela e envolve responsabilidade pessoal.

Na prática, isso significa: é necessária uma deliberação da diretoria com data e assinatura, não um e-mail dizendo “está bom assim”. O nosso checklist NIS2 tem uma folha própria para imprimir com essa finalidade.

Não. A NIS2 não é uma norma certificável, e sim uma obrigação sujeita a fiscalização. A implementação é demonstrada à autoridade competente, não a um organismo de certificação.

Por isso, a gestão de evidências é ainda mais importante aqui do que na ISO: não há certificado que você possa apresentar – apenas a sua documentação. Quem vende a você um “certificado NIS2” está vendendo um papel sem nenhum efeito jurídico.

Às entidades financeiras da UE em sentido amplo – bancos, seguradoras, empresas de investimento, prestadores de serviços de pagamento, prestadores de serviços de criptoativos, entre outros – e aos prestadores terceirizados críticos de serviços de TIC que os atendem. O regulamento é diretamente aplicável desde 17 de janeiro de 2025, sem lei nacional de transposição.

Se você fornece software ou serviços de operação a entidades financeiras, os requisitos chegam até você pelo contrato, mesmo que você não seja uma entidade financeira.

Em sete domínios: gestão de riscos de TIC, gestão e notificação de incidentes de TIC, testes de resiliência operacional digital, gestão de riscos de terceiros de TIC, registro de informações, compartilhamento de informações e supervisão dos prestadores terceirizados críticos.

O nosso checklist DORA divide isso em 50 requisitos com referência ao artigo, evidência esperada e status.

Em caso de incidente grave de TIC: notificação inicial, no máximo, quatro horas após a classificação como grave e, em nenhum caso, mais de 24 horas após a tomada de conhecimento. Relatório intermediário em até 72 horas, relatório final em até um mês.

A diferença em relação à NIS2 está no momento inicial: o DORA vincula o primeiro prazo à classificação, a NIS2 à tomada de conhecimento. Quem aplica os dois deve separar isso com rigor no processo de gestão de incidentes.

Apenas uma parte das empresas. Os testes de penetração orientados por ameaças segundo o framework TIBER-EU se destinam a determinadas entidades financeiras designadas pela autoridade supervisora, pelo menos a cada três anos, sendo que um em cada três testes precisa ser realizado por um prestador externo.

Todas as demais precisam de um programa de testes, mas não de TLPT: avaliações de vulnerabilidades, avaliações de segurança de rede, revisões de código-fonte, testes de penetração no sentido usual.

Um registro completo de todos os acordos contratuais relativos ao uso de serviços de TIC, no nível da entidade individual e do grupo. Ele é enviado regularmente à autoridade supervisora; a data-base usual é 31 de dezembro do ano anterior.

Pela experiência, é neste ponto que os projetos empacam: os campos exigidos não estão em nenhuma pasta de contratos, eles precisam ser reunidos a partir dos contratos, das compras e da operação.

ISO 27001, ISO 9001, ISO 42001, NIS2, DORA, GDPR, EU AI Act, BSI C5, SOC 2, NIST CSF 2.0, § 390 SGB V para consultórios médicos e odontológicos e HACCP, além de frameworks próprios.

Não, e as diferenças são maiores do que as tabelas comparativas sugerem. A ISO 27001 é uma norma com certificado emitido por um organismo acreditado. O SOC 2 é um relatório de auditoria de uma empresa de auditoria segundo normas norte-americanas – não um certificado, e sim um relatório que você entrega aos clientes.

O Tipo I descreve a adequação dos controles em uma data-base, o Tipo II a sua eficácia ao longo de um período, normalmente de três a doze meses. Para clientes europeus, geralmente conta a ISO 27001; para clientes dos EUA, geralmente o SOC 2.

É o catálogo de critérios do Serviço Federal Alemão de Segurança da Informação (BSI) para serviços em nuvem. Ele não é certificado, e sim objeto de asseguração: um auditor independente (empresa de auditoria) audita segundo a ISAE 3000 e emite um relatório de asseguração, à escolha em uma data-base ou ao longo de um período.

Ele é necessário quase exclusivamente para provedores de nuvem que atendem o setor público ou clientes regulados na Alemanha. Se ninguém pede isso a você, você não precisa dele.

Em parte, e a lacuna é a metade interessante. A ISO 27001 protege a informação independentemente de quem sejam os dados. O Regulamento Geral sobre a Proteção de Dados da UE (GDPR) pergunta pela base legal, pela limitação da finalidade, pela minimização dos dados, pelos direitos dos titulares, pelo registro das atividades de tratamento e pela avaliação de impacto sobre a proteção de dados.

As medidas técnicas e organizacionais do art. 32 se sobrepõem fortemente ao Anexo A. Tudo o que tem a ver com licitude e com os direitos dos titulares não tem correspondência na ISO 27001.

Como referência, não como meta de certificação. As seis funções – Govern, Identify, Protect, Detect, Respond, Recover – oferecem uma linguagem para apresentar o nível de maturidade à diretoria e ao conselho fiscal sem precisar ler cláusulas da ISO.

Também é útil diante de clientes e seguradoras dos EUA que pedem isso. Não existe certificado.

A ISO 42001 é a norma de sistema de gestão para inteligência artificial, estruturada como a ISO 27001 e certificável. Quem já tem um SGSI pode reaproveitar em grande parte a liderança, o processo de riscos, as auditorias internas e a análise crítica pela direção.

Ela não substitui as obrigações do Regulamento de IA da UE, mas ajuda a cumpri-las de forma estruturada.

Tudo o que permita a um terceiro reconhecer que algo foi efetivamente feito – com data e autor. Uma ata, um print de uma configuração, uma aprovação no sistema de tickets, uma folha assinada, um trecho de log.

O que não é evidência: uma política que prescreve algo. Ela comprova a intenção, não a implementação. A constatação mais comum na primeira auditoria é exatamente essa confusão.

Tão atuais quanto o ciclo que a própria organização definiu. Se a sua política prevê uma revisão anual dos direitos de acesso e a última foi há 18 meses, isso é uma não conformidade – não porque a norma exige 12 meses, mas porque foi a sua organização que estabeleceu isso.

Daí a recomendação incômoda: defina ciclos que você consiga cumprir. Semestral soa mais rigoroso e, no segundo ano, vira uma fonte de erros.

Ele precisa conseguir avaliar a eficácia, não ler todos os detalhes. No caso de conteúdos com dados pessoais ou especialmente sensíveis, trechos tarjados, amostragens ou consulta na tela sem cópia são usuais e aceitos.

Insista para que a forma de lidar com isso seja esclarecida antes da auditoria, e não na sala de auditoria.

Menos do que se imagina, desde que você mantenha referências em vez de cópias. A Basic inclui 1 GB, a Professional 10 GB e a Enterprise 100 GB. Quem guarda cada print em resolução máxima chega mais rápido ao limite do que quem coloca um link para o sistema de tickets.

Que o mesmo fato é exigido em vários frameworks e você o comprova exatamente uma vez. A gestão de acessos consta do Anexo A da ISO 27001, da medida 9 da NIS2, da gestão de riscos de TIC do DORA e dos critérios comuns do SOC 2. São quatro vezes a mesma pergunta.

Quem mantém uma pasta própria por framework mantém a mesma evidência várias vezes – e, depois de um ano, tem essa evidência em três versões diferentes.

Uma evidência é armazenada uma vez e vinculada a todos os requisitos que ela atende – além das fronteiras entre frameworks. Uma alteração se reflete em todos os requisitos vinculados; se a evidência vencer, ela vence em todos os lugares.

A diferença em relação à solução em planilha não aparece na criação, e sim um ano depois: lá, a mesma evidência existe em três versões; aqui, em uma só.

Depende do par, e só é possível dizer isso com seriedade com os seus dados. Valores aproximados da experiência: a ISO 27001 e a NIS2 se sobrepõem fortemente no lado técnico e organizacional; a ISO 27001 e o SOC 2 também; a ISO 27001 e o GDPR apenas no que diz respeito ao art. 32.

Não indicamos nenhuma porcentagem de propósito. Quem diz a você que dois frameworks se sobrepõem em 80% ou não viu o seu escopo ou está contando requisitos em vez de esforço.

Tudo o que está ligado a uma determinada consequência jurídica ou a um determinado procedimento. Os prazos de notificação da NIS2 e do DORA não são idênticos. A deliberação da diretoria exigida pela NIS2 não substitui a análise crítica pela direção da ISO 27001. O registro de informações do DORA não tem correspondência na ISO 27001.

São justamente esses restos o motivo pelo qual uma simples tabela de correspondências não basta.

Primeiro o mais abrangente, se você puder escolher. A ISO 27001 é a que mais contribui para outros frameworks, porque tanto o sistema de gestão quanto o catálogo de controles são necessários. Depois disso, o segundo framework é sobretudo um complemento, e não uma construção do zero.

Se houver um prazo apertando, o prazo vence. A NIS2 e o DORA não perguntam se você fez a ISO antes.

Não. As normas ISO são normas internacionais, e um certificado ISO 27001 ou ISO 9001 é reconhecido no mundo todo, desde que o organismo de certificação emissor seja acreditado e o organismo de acreditação faça parte do acordo multilateral do International Accreditation Forum. Na Alemanha, esse organismo é a DAkkS.

Puramente europeus são apenas os atos jurídicos: a NIS2, o DORA, o GDPR e o Regulamento de IA. Também eles alcançam fornecedores de fora da UE, a partir do momento em que fornecem para a UE ou tratam dados de pessoas na UE. Inversamente, o SOC 2 e o NIST têm origem norte-americana e são procurados no mundo todo.

Em resumo: a norma é global, a obrigação é regional.

Não. O Sightadel é um software para a preparação e a manutenção – não certificamos nem realizamos auditorias de certificação. O certificado é emitido por um organismo de certificação acreditado após uma auditoria.

A escolha do organismo de certificação é livre. Você pode contratar um por conta própria ou entrar em contato com um da nossa rede de parceiros independente. Não há comissões pelas auditorias – nem para nós, nem para os parceiros.

Essa separação não é cautela, é um princípio: segundo a ISO 17021, um organismo de certificação precisa ser imparcial e não pode prestar consultoria e certificar a mesma organização. Quem oferece software, consultoria e certificado da mesma fonte cria um conflito de interesses que, no fim, torna o seu certificado contestável.

Sim. Existe uma função de Auditor própria, sempre externa – um usuário interno não pode recebê-la. O auditor vê o escopo da auditoria, comenta e, após a sua aprovação, cria ou edita registros. Ele nunca pode excluir nada. Isso evita o envio de pastas de evidências por e-mail e permite rastrear o que o auditor viu.

Para as consultoras e os consultores que você contratar existe uma função separada, para que na auditoria não se confunda quem auditou e quem colaborou.

Em duas fases. A fase 1 é, essencialmente, uma análise documental: escopo, política, metodologia de riscos, Declaração de Aplicabilidade, programa de auditoria. A fase 2 verifica a eficácia presencialmente ou remotamente, com amostragens e entrevistas.

Em seguida vêm duas auditorias de manutenção nos anos seguintes e, no terceiro ano, a recertificação. O ciclo dura três anos.

Depende do número de funcionários e da complexidade, e é definido pelo organismo de certificação segundo a ISO 27006. Ordem de grandeza para a primeira certificação ISO 27001: cerca de cinco dias até dez funcionários, cerca de oito a dez com 50, doze a catorze com algumas centenas.

As auditorias de manutenção ficam em torno de um terço e a recertificação em cerca de dois terços do tempo da auditoria inicial. Desde a versão de 2024, o cálculo é mais baseado em riscos – os números são uma orientação, não um direito.

Sim, desde que a pessoa que audita não audite a sua própria área de trabalho. Independência aqui significa objetividade, não ser externo. Em organizações pequenas, as áreas auditam umas às outras; se isso não for possível, um auditor interno externo é o caminho usual.

O trabalho que faz a diferença. Um certificado é um retrato do momento, válido por três anos, com duas auditorias de manutenção no meio. Entre as auditorias, os ciclos continuam: revisões de acessos, avaliações de fornecedores, treinamentos, testes de recuperação, análise crítica pela direção.

O erro clássico é a pausa depois da auditoria inicial. Isso aparece na primeira auditoria de manutenção, porque faltam evidências de onze meses.

Por três canais: como aviso no painel, na newsletter e na seção de notícias em sightadel.com. O aviso no painel é o mais direcionado – ele só aparece para os frameworks que você assinou, e não para todos os outros.

Em cada caso é indicado o que mudou, o que isso significa para os seus pontos de controle e até quando é preciso agir.

Não. As novas versões dos frameworks disponíveis ficam incluídas na assinatura em vigor, sem custos adicionais. Em uma transição como a da ISO 27001:2013 para a 2022, você recebe a nova estrutura e a correspondência das evidências existentes.

A transição em si continua dando trabalho – mas você não precisa pagar por ela de novo.

Isso é definido pelo International Accreditation Forum para cada norma; o usual são três anos a partir da publicação. Depois desse prazo, os certificados da versão antiga perdem a validade, independentemente de quando termina o seu próprio ciclo.

Na prática, isso significa: a transição deve ser feita em uma auditoria de manutenção ou de recertificação regular, e não em uma auditoria extraordinária pouco antes do fim do prazo.

Na Alemanha. O desenvolvimento, a operação e o suporte também ficam aqui. Sem desvios por data centers no exterior, sem acesso com base em legislação estrangeira.

Para uma parte dos nossos clientes, esse é o motivo para falar conosco – e, para todos os outros, pelo menos uma pergunta a menos no questionário de fornecedores.

Sim. O Sightadel trata dados pessoais em seu nome – contas de usuário, responsabilidades, às vezes conteúdos de evidências. O contrato de operador de dados nos termos do art. 28 do GDPR faz parte do conjunto contratual, incluindo a lista de suboperadores.

Sim. Evidências, pontos de controle e status podem ser exportados – essa é uma condição para que um auditor possa trabalhar com eles e a sua proteção contra a dependência do fornecedor.

Aliás, pergunte isso a qualquer fornecedor, inclusive a nós, e peça para ver em vez de aceitar uma promessa.

Tenha uma exportação atualizada à mão antes de cada auditoria. Não é desconfiança em relação a nós, é a mesma precaução que você exige de si mesmo no seu plano de recuperação.

A neonotu GmbH, que desenvolve e opera o Sightadel, é certificada segundo a ISO 9001 e a ISO 27001. Tratamos os dados em conformidade com o GDPR e cumprimos os requisitos do DORA aplicáveis aos prestadores terceirizados de serviços de TIC.

O nosso próprio sistema de gestão é gerenciado no Sightadel – é o teste mais honesto que uma ferramenta desse tipo pode passar.

O licenciamento é feito por framework e edição (Basic, Professional, Enterprise), com um preço mensal fixo. Todos os preços e um simulador estão disponíveis na nossa página de preços.

Há descontos para vários frameworks e para pagamento antecipado. As condições e a comparação das edições também estão na nossa página de preços.

Os contratos têm prazo mínimo de um ano. Você pode pagar mensal ou anualmente: há descontos para pagamento antecipado; as condições estão na nossa página de preços.

Não. O organismo de certificação fatura separadamente e diretamente para a sua empresa, e precisa fazer isso, porque precisa ser independente. Não recebemos nenhuma comissão por isso. Ordem de grandeza na Alemanha: primeira certificação ISO 27001 entre cerca de 9.000 e 13.000 euros até 50 funcionários, de 15.000 a 22.000 euros até 250 (custos do organismo de certificação, não do Sightadel). As auditorias de manutenção ficam bem abaixo disso.

Essas faixas resultam da observação do mercado, não são uma proposta – peça de duas a três propostas, as diferenças são consideráveis.

Você exporta as suas evidências e o seu estado de trabalho. O que você leva é o seu trabalho.

Preferimos que você saia com os seus dados a que fique por medo de perdê-los.