Gestão de riscos ● ISO/IEC 27001, Gestão de riscos: coberto. Avaliar e tratar os riscos para a segurança da informação é o núcleo do sistema de gestão. ◐ ISO 9001, Gestão de riscos: parcialmente coberto. Riscos e oportunidades para a qualidade e a satisfação do cliente, não para a segurança da informação. ● ISO/IEC 42001, Gestão de riscos: coberto. Avaliar e tratar os riscos de IA, complementado por uma avaliação de impacto sobre as pessoas afetadas. ● NIS2, Gestão de riscos: coberto. As medidas do § 30 da BSIG seguem uma abordagem baseada no risco, com políticas de análise de riscos. ◐ RGPD, Gestão de riscos: parcialmente coberto. Avaliar os riscos para os titulares dos dados; em caso de risco elevado, com avaliação de impacto sobre a proteção de dados. ● BSI C5:2026, Gestão de riscos: coberto. A gestão de riscos do serviço de cloud faz parte dos critérios organizacionais. ● DORA, Gestão de riscos: coberto. Quadro abrangente de gestão do risco de TIC, com responsabilidade clara do órgão de administração. ● NIST CSF 2.0, Gestão de riscos: coberto. Estratégia de risco e avaliação de riscos nas funções Govern e Identify. ● SOC 2, Gestão de riscos: coberto. Grupo de critérios próprio para a avaliação de riscos, incluindo riscos de fraude. ◐ HACCP, Gestão de riscos: parcialmente coberto. Análise de perigos para os géneros alimentícios, não para a informação ou as TI. – § 390 SGB V, Gestão de riscos: sem tema próprio. Catálogo fixo de requisitos consoante a dimensão do consultório, em vez de análise de riscos própria. ● EU AI Act, Gestão de riscos: coberto. Sistema de gestão de riscos ao longo do ciclo de vida dos sistemas de IA de risco elevado. Controlo de acessos ● ISO/IEC 27001, Controlo de acessos: coberto. Identidades, autorizações e autenticação estão regulados em pormenor. – ISO 9001, Controlo de acessos: sem tema próprio. Sem tema próprio neste framework. – ISO/IEC 42001, Controlo de acessos: sem tema próprio. Para sistemas de IA, normalmente coberto pelo SGSI. ● NIS2, Controlo de acessos: coberto. Políticas de controlo de acessos e, quando adequado, autenticação multifator. ◐ RGPD, Controlo de acessos: parcialmente coberto. Confidencialidade como parte das medidas técnicas e organizativas. ● BSI C5:2026, Controlo de acessos: coberto. Área própria para a gestão de identidades e autorizações. ● DORA, Controlo de acessos: coberto. Controlo de acessos e autorizações como parte da proteção dos sistemas de TIC. ● NIST CSF 2.0, Controlo de acessos: coberto. Gestão de identidades, autenticação e controlo de acessos na função Protect. ● SOC 2, Controlo de acessos: coberto. O acesso lógico e físico forma um grupo de critérios próprio. – HACCP, Controlo de acessos: sem tema próprio. Sem tema próprio neste framework. ● § 390 SGB V, Controlo de acessos: coberto. Contas de utilizador, palavras-passe e bloqueio de ecrã no consultório. – EU AI Act, Controlo de acessos: sem tema próprio. Sem tema próprio neste framework. Fornecedores e prestadores de serviços ● ISO/IEC 27001, Fornecedores e prestadores de serviços: coberto. Segurança nas relações com fornecedores e nos serviços de cloud. ● ISO 9001, Fornecedores e prestadores de serviços: coberto. Selecionar, avaliar e monitorizar fornecedores externos. ◐ ISO/IEC 42001, Fornecedores e prestadores de serviços: parcialmente coberto. Responsabilidade perante terceiros e fornecedores no ciclo de vida da IA. ● NIS2, Fornecedores e prestadores de serviços: coberto. A segurança da cadeia de abastecimento é uma das dez medidas. ● RGPD, Fornecedores e prestadores de serviços: coberto. Escolher subcontratantes com cuidado e vinculá-los por contrato. ● BSI C5:2026, Fornecedores e prestadores de serviços: coberto. Gestão dos prestadores de serviços e subcontratantes do fornecedor de cloud. ● DORA, Fornecedores e prestadores de serviços: coberto. Risco de terceiros no domínio das TIC, com registo de informações e requisitos contratuais. ● NIST CSF 2.0, Fornecedores e prestadores de serviços: coberto. Categoria própria para o risco da cadeia de abastecimento na função Govern. ● SOC 2, Fornecedores e prestadores de serviços: coberto. Avaliar e gerir os riscos de fornecedores e parceiros de negócio. ◐ HACCP, Fornecedores e prestadores de serviços: parcialmente coberto. Requisitos para matérias-primas e fornecedores como parte das boas práticas de higiene. ◐ § 390 SGB V, Fornecedores e prestadores de serviços: parcialmente coberto. Requisitos para os prestadores de serviços de TI do consultório. ◐ EU AI Act, Fornecedores e prestadores de serviços: parcialmente coberto. Obrigações ao longo da cadeia de valor entre fornecedores e responsáveis pela implantação. Gestão de incidentes e notificações ● ISO/IEC 27001, Gestão de incidentes e notificações: coberto. Detetar, avaliar e gerir incidentes e aprender com eles. A norma não regula prazos legais de notificação. ◐ ISO 9001, Gestão de incidentes e notificações: parcialmente coberto. Não conformidades e ações corretivas, não incidentes de segurança. ◐ ISO/IEC 42001, Gestão de incidentes e notificações: parcialmente coberto. Gestão de incidentes e informação das partes afetadas. ● NIS2, Gestão de incidentes e notificações: coberto. Gestão de incidentes e notificação faseada ao BSI segundo o § 32 da BSIG. ● RGPD, Gestão de incidentes e notificações: coberto. Notificar violações de dados à autoridade de controlo no prazo de 72 horas e, em caso de risco elevado, informar os titulares. ● BSI C5:2026, Gestão de incidentes e notificações: coberto. Área própria para incidentes de segurança, incluindo a informação dos clientes. ● DORA, Gestão de incidentes e notificações: coberto. Classificar incidentes e notificar incidentes graves relacionados com as TIC à autoridade de supervisão. ● NIST CSF 2.0, Gestão de incidentes e notificações: coberto. Função Respond para análise, contenção e comunicação. ● SOC 2, Gestão de incidentes e notificações: coberto. Avaliar eventos de segurança, responder a incidentes e recuperar. ◐ HACCP, Gestão de incidentes e notificações: parcialmente coberto. Ações corretivas em caso de desvios nos pontos críticos de controlo. – § 390 SGB V, Gestão de incidentes e notificações: sem tema próprio. Sem tema próprio neste framework. ◐ EU AI Act, Gestão de incidentes e notificações: parcialmente coberto. Notificar incidentes graves com IA de risco elevado. Emergência e continuidade do negócio ◐ ISO/IEC 27001, Emergência e continuidade do negócio: parcialmente coberto. Segurança da informação durante perturbações e prontidão das TIC, sem gestão completa da continuidade do negócio. – ISO 9001, Emergência e continuidade do negócio: sem tema próprio. Sem tema próprio neste framework. – ISO/IEC 42001, Emergência e continuidade do negócio: sem tema próprio. Sem tema próprio neste framework. ● NIS2, Emergência e continuidade do negócio: coberto. Continuidade das operações, gestão de cópias de segurança, recuperação e gestão de crises. ◐ RGPD, Emergência e continuidade do negócio: parcialmente coberto. Disponibilidade e rápida recuperação dos dados pessoais. ● BSI C5:2026, Emergência e continuidade do negócio: coberto. Área própria para a gestão de emergências e da continuidade. ● DORA, Emergência e continuidade do negócio: coberto. Continuidade do negócio no domínio das TIC, com planos, cópias de segurança e testes regulares. ◐ NIST CSF 2.0, Emergência e continuidade do negócio: parcialmente coberto. Função Recover para a recuperação após incidentes. ◐ SOC 2, Emergência e continuidade do negócio: parcialmente coberto. Recuperação e disponibilidade, aprofundadas no critério opcional Disponibilidade. – HACCP, Emergência e continuidade do negócio: sem tema próprio. Sem tema próprio neste framework. ◐ § 390 SGB V, Emergência e continuidade do negócio: parcialmente coberto. Cópias de segurança e documentação de emergência para o consultório. – EU AI Act, Emergência e continuidade do negócio: sem tema próprio. Sem tema próprio neste framework. Formação e sensibilização ● ISO/IEC 27001, Formação e sensibilização: coberto. Competência, consciencialização e formação em segurança da informação. ● ISO 9001, Formação e sensibilização: coberto. Competência e consciencialização dos colaboradores para a qualidade. ● ISO/IEC 42001, Formação e sensibilização: coberto. Competência e consciencialização para uma utilização responsável da IA. ● NIS2, Formação e sensibilização: coberto. Ciber-higiene e formações, e ainda obrigação de formação para a administração. ◐ RGPD, Formação e sensibilização: parcialmente coberto. A sensibilização e a formação fazem parte das funções do encarregado da proteção de dados. ● BSI C5:2026, Formação e sensibilização: coberto. Formação e sensibilização do pessoal em segurança. ● DORA, Formação e sensibilização: coberto. Formações em segurança das TIC, também para o órgão de administração. ● NIST CSF 2.0, Formação e sensibilização: coberto. Sensibilização e formação como categoria própria. ◐ SOC 2, Formação e sensibilização: parcialmente coberto. Competência e comunicação das responsabilidades de segurança. ◐ HACCP, Formação e sensibilização: parcialmente coberto. Formação em higiene e instrução dos colaboradores. ◐ § 390 SGB V, Formação e sensibilização: parcialmente coberto. Instrução da equipa do consultório. ● EU AI Act, Formação e sensibilização: coberto. Literacia em IA dos colaboradores que trabalham com sistemas de IA. Controlo de documentos ● ISO/IEC 27001, Controlo de documentos: coberto. Criar, aprovar, distribuir e conservar informação documentada. ● ISO 9001, Controlo de documentos: coberto. Criar, aprovar, distribuir e conservar informação documentada. ● ISO/IEC 42001, Controlo de documentos: coberto. Informação documentada segundo a estrutura comum das normas ISO. ◐ NIS2, Controlo de documentos: parcialmente coberto. O cumprimento das medidas tem de ser documentado; a lei não regula os pormenores do controlo de documentos. ◐ RGPD, Controlo de documentos: parcialmente coberto. Responsabilidade (prestação de contas) e registo das atividades de tratamento. ◐ BSI C5:2026, Controlo de documentos: parcialmente coberto. Documentar, rever e atualizar políticas e procedimentos. ◐ DORA, Controlo de documentos: parcialmente coberto. Quadro documentado com políticas e procedimentos. ◐ NIST CSF 2.0, Controlo de documentos: parcialmente coberto. Definir e comunicar políticas, sem requisitos sobre o controlo de documentos. ◐ SOC 2, Controlo de documentos: parcialmente coberto. Políticas e procedimentos como base das atividades de controlo. ● HACCP, Controlo de documentos: coberto. A documentação e os registos são um dos sete princípios. ◐ § 390 SGB V, Controlo de documentos: parcialmente coberto. Comprovações dos requisitos implementados. ● EU AI Act, Controlo de documentos: coberto. Documentação técnica para sistemas de IA de risco elevado. Auditoria interna ● ISO/IEC 27001, Auditoria interna: coberto. Auditorias internas planeadas ao sistema de gestão. ● ISO 9001, Auditoria interna: coberto. Auditorias internas planeadas ao sistema de gestão. ● ISO/IEC 42001, Auditoria interna: coberto. Auditorias internas planeadas ao sistema de gestão. ◐ NIS2, Auditoria interna: parcialmente coberto. Avaliar a eficácia das medidas. Os operadores de instalações críticas comprovam-na, além disso, regularmente. ◐ RGPD, Auditoria interna: parcialmente coberto. Verificar regularmente a eficácia das medidas, com controlo pelo encarregado da proteção de dados. ● BSI C5:2026, Auditoria interna: coberto. Verificações internas do cumprimento de políticas e requisitos. ● DORA, Auditoria interna: coberto. A auditoria interna verifica regularmente o quadro de gestão do risco de TIC. ◐ NIST CSF 2.0, Auditoria interna: parcialmente coberto. Melhoria com base em avaliações e testes. ◐ SOC 2, Auditoria interna: parcialmente coberto. Monitorização contínua e separada dos controlos. ◐ HACCP, Auditoria interna: parcialmente coberto. Verificação de que o plano funciona. – § 390 SGB V, Auditoria interna: sem tema próprio. Sem tema próprio neste framework. ◐ EU AI Act, Auditoria interna: parcialmente coberto. Gestão da qualidade e acompanhamento pós-comercialização pelo fornecedor. Revisão pela gestão ● ISO/IEC 27001, Revisão pela gestão: coberto. A gestão de topo revê o sistema de gestão a intervalos definidos. ● ISO 9001, Revisão pela gestão: coberto. A gestão de topo revê o sistema de gestão a intervalos definidos. ● ISO/IEC 42001, Revisão pela gestão: coberto. A gestão de topo revê o sistema de gestão a intervalos definidos. ◐ NIS2, Revisão pela gestão: parcialmente coberto. A administração aplica as medidas e supervisiona a sua aplicação segundo o § 38 da BSIG. – RGPD, Revisão pela gestão: sem tema próprio. Sem tema próprio neste framework. ◐ BSI C5:2026, Revisão pela gestão: parcialmente coberto. Relatórios à gestão sobre o estado da segurança da informação. ◐ DORA, Revisão pela gestão: parcialmente coberto. O órgão de administração assume a responsabilidade e revê o quadro regularmente. ◐ NIST CSF 2.0, Revisão pela gestão: parcialmente coberto. Supervisão da estratégia de cibersegurança na função Govern. ◐ SOC 2, Revisão pela gestão: parcialmente coberto. Supervisão pela gestão e pelo órgão de fiscalização no ambiente de controlo. – HACCP, Revisão pela gestão: sem tema próprio. Sem tema próprio neste framework. – § 390 SGB V, Revisão pela gestão: sem tema próprio. Sem tema próprio neste framework. – EU AI Act, Revisão pela gestão: sem tema próprio. Sem tema próprio neste framework. Proteção de dados ◐ ISO/IEC 27001, Proteção de dados: parcialmente coberto. Proteção de dados pessoais como um controlo, sem sistema de gestão da proteção de dados. – ISO 9001, Proteção de dados: sem tema próprio. Sem tema próprio neste framework. ◐ ISO/IEC 42001, Proteção de dados: parcialmente coberto. Origem, qualidade e tratamento dos dados para sistemas de IA. – NIS2, Proteção de dados: sem tema próprio. A proteção de dados é regulada pelo RGPD. Em caso de incidente, ambas as obrigações de notificação podem aplicar-se em simultâneo. ● RGPD, Proteção de dados: coberto. Princípios, direitos dos titulares, fundamentos de licitude e medidas técnicas. ◐ BSI C5:2026, Proteção de dados: parcialmente coberto. Localização dos dados, transparência e tratamento de pedidos de autoridades de investigação. – DORA, Proteção de dados: sem tema próprio. Sem tema próprio neste framework. – NIST CSF 2.0, Proteção de dados: sem tema próprio. O NIST trata a proteção de dados num quadro próprio. ◐ SOC 2, Proteção de dados: parcialmente coberto. Critério opcional Privacy para dados pessoais. – HACCP, Proteção de dados: sem tema próprio. Sem tema próprio neste framework. ◐ § 390 SGB V, Proteção de dados: parcialmente coberto. Proteção dos dados dos doentes nos sistemas de TI do consultório. ◐ EU AI Act, Proteção de dados: parcialmente coberto. Governação dos dados de treino, validação e teste. Criptografia ● ISO/IEC 27001, Criptografia: coberto. Regras para a utilização de criptografia e a gestão de chaves. – ISO 9001, Criptografia: sem tema próprio. Sem tema próprio neste framework. – ISO/IEC 42001, Criptografia: sem tema próprio. Sem tema próprio neste framework. ● NIS2, Criptografia: coberto. Políticas de criptografia e, quando adequado, cifragem. ◐ RGPD, Criptografia: parcialmente coberto. A cifragem como exemplo expressamente mencionado de medida adequada. ● BSI C5:2026, Criptografia: coberto. Área própria para criptografia e gestão de chaves. ● DORA, Criptografia: coberto. Cifragem e gestão de chaves como parte das medidas de proteção. ◐ NIST CSF 2.0, Criptografia: parcialmente coberto. Segurança dos dados em repouso e em trânsito, sem categoria própria. ◐ SOC 2, Criptografia: parcialmente coberto. Cifragem como parte dos controlos de acesso e de transmissão. – HACCP, Criptografia: sem tema próprio. Sem tema próprio neste framework. ◐ § 390 SGB V, Criptografia: parcialmente coberto. Transmissão e armazenamento cifrados em pontos específicos. – EU AI Act, Criptografia: sem tema próprio. Sem tema próprio neste framework. Registo de eventos e monitorização ● ISO/IEC 27001, Registo de eventos e monitorização: coberto. Registo de eventos e monitorização de sistemas. – ISO 9001, Registo de eventos e monitorização: sem tema próprio. Sem tema próprio neste framework. ◐ ISO/IEC 42001, Registo de eventos e monitorização: parcialmente coberto. Registos de eventos na operação de sistemas de IA. ◐ NIS2, Registo de eventos e monitorização: parcialmente coberto. Deteção de incidentes; para operadores de instalações críticas, com sistemas de deteção de ataques. – RGPD, Registo de eventos e monitorização: sem tema próprio. Sem tema próprio neste framework. ● BSI C5:2026, Registo de eventos e monitorização: coberto. Registo de eventos e monitorização na operação corrente. ● DORA, Registo de eventos e monitorização: coberto. Mecanismos de deteção de atividades anómalas. ● NIST CSF 2.0, Registo de eventos e monitorização: coberto. Função Detect com monitorização contínua. ● SOC 2, Registo de eventos e monitorização: coberto. Monitorização de sistemas para deteção de anomalias. – HACCP, Registo de eventos e monitorização: sem tema próprio. Registos de medições nos pontos de controlo, sem registo de eventos informáticos. – § 390 SGB V, Registo de eventos e monitorização: sem tema próprio. Sem tema próprio neste framework. ● EU AI Act, Registo de eventos e monitorização: coberto. Registo automático de eventos em sistemas de IA de risco elevado. Vulnerabilidades e patches ● ISO/IEC 27001, Vulnerabilidades e patches: coberto. Identificar, avaliar e corrigir vulnerabilidades técnicas. – ISO 9001, Vulnerabilidades e patches: sem tema próprio. Sem tema próprio neste framework. – ISO/IEC 42001, Vulnerabilidades e patches: sem tema próprio. Sem tema próprio neste framework. ● NIS2, Vulnerabilidades e patches: coberto. Segurança na aquisição, desenvolvimento e manutenção, incluindo o tratamento de vulnerabilidades. – RGPD, Vulnerabilidades e patches: sem tema próprio. Sem tema próprio neste framework. ● BSI C5:2026, Vulnerabilidades e patches: coberto. Gestão de vulnerabilidades e de patches na operação corrente. ● DORA, Vulnerabilidades e patches: coberto. Vulnerabilidades e patches, bem como testes regulares de resiliência. ● NIST CSF 2.0, Vulnerabilidades e patches: coberto. Identificar e documentar as vulnerabilidades dos ativos. ● SOC 2, Vulnerabilidades e patches: coberto. Monitorizar continuamente configurações e vulnerabilidades. – HACCP, Vulnerabilidades e patches: sem tema próprio. Sem tema próprio neste framework. ● § 390 SGB V, Vulnerabilidades e patches: coberto. Atualizações em dia para sistemas operativos e programas. ◐ EU AI Act, Vulnerabilidades e patches: parcialmente coberto. Robustez e cibersegurança dos sistemas de IA de risco elevado. Gestão de ativos ● ISO/IEC 27001, Gestão de ativos: coberto. Inventário da informação e dos ativos, com responsáveis. ◐ ISO 9001, Gestão de ativos: parcialmente coberto. Infraestrutura e equipamentos de medição, sem inventário de informação. ◐ ISO/IEC 42001, Gestão de ativos: parcialmente coberto. Documentar os recursos dos sistemas de IA. ● NIS2, Gestão de ativos: coberto. Gestão de ativos como parte das dez medidas. ◐ RGPD, Gestão de ativos: parcialmente coberto. Registo das atividades de tratamento em vez de inventário de ativos. ● BSI C5:2026, Gestão de ativos: coberto. Inventário, classificação e devolução de ativos. ● DORA, Gestão de ativos: coberto. Identificar e documentar os ativos de TIC e as dependências. ● NIST CSF 2.0, Gestão de ativos: coberto. Gestão de ativos como categoria própria na função Identify. ◐ SOC 2, Gestão de ativos: parcialmente coberto. Inventário como base dos controlos de acesso. – HACCP, Gestão de ativos: sem tema próprio. Sem tema próprio neste framework. ◐ § 390 SGB V, Gestão de ativos: parcialmente coberto. Visão geral dos dispositivos, grandes equipamentos e componentes da infraestrutura telemática (TI) do consultório. ◐ EU AI Act, Gestão de ativos: parcialmente coberto. Inventário dos sistemas de IA como condição para a classificação. Governação da IA – ISO/IEC 27001, Governação da IA: sem tema próprio. Sem tema próprio neste framework. – ISO 9001, Governação da IA: sem tema próprio. Sem tema próprio neste framework. ● ISO/IEC 42001, Governação da IA: coberto. Sistema de gestão para o desenvolvimento e a utilização responsáveis da IA. – NIS2, Governação da IA: sem tema próprio. Sem tema próprio neste framework. ◐ RGPD, Governação da IA: parcialmente coberto. Regras sobre decisões individuais automatizadas. – BSI C5:2026, Governação da IA: sem tema próprio. Sem tema próprio neste framework. – DORA, Governação da IA: sem tema próprio. Sem tema próprio neste framework. – NIST CSF 2.0, Governação da IA: sem tema próprio. Sem tema próprio neste framework. – SOC 2, Governação da IA: sem tema próprio. Sem tema próprio neste framework. – HACCP, Governação da IA: sem tema próprio. Sem tema próprio neste framework. – § 390 SGB V, Governação da IA: sem tema próprio. Sem tema próprio neste framework. ● EU AI Act, Governação da IA: coberto. Obrigações por classe de risco para fornecedores e responsáveis pela implantação de sistemas de IA. Segurança alimentar – ISO/IEC 27001, Segurança alimentar: sem tema próprio. Sem tema próprio neste framework. ◐ ISO 9001, Segurança alimentar: parcialmente coberto. Gestão da qualidade como enquadramento, sem requisitos de segurança alimentar. – ISO/IEC 42001, Segurança alimentar: sem tema próprio. Sem tema próprio neste framework. – NIS2, Segurança alimentar: sem tema próprio. As empresas do setor alimentar podem ser abrangidas, mas as obrigações dizem respeito às TI. – RGPD, Segurança alimentar: sem tema próprio. Sem tema próprio neste framework. – BSI C5:2026, Segurança alimentar: sem tema próprio. Sem tema próprio neste framework. – DORA, Segurança alimentar: sem tema próprio. Sem tema próprio neste framework. – NIST CSF 2.0, Segurança alimentar: sem tema próprio. Sem tema próprio neste framework. – SOC 2, Segurança alimentar: sem tema próprio. Sem tema próprio neste framework. ● HACCP, Segurança alimentar: coberto. Análise de perigos, pontos críticos de controlo, monitorização e verificação. – § 390 SGB V, Segurança alimentar: sem tema próprio. Sem tema próprio neste framework. – EU AI Act, Segurança alimentar: sem tema próprio. Sem tema próprio neste framework. 
