Quanto tempo demora a configuração?

A parte técnica resolve-se numa tarde: criar o inquilino, convidar os utilizadores, ativar o referencial, atribuir responsáveis. O que custa tempo é preenchê-lo — saber que evidências já existem e quais ainda têm de ser produzidas. Ordem de grandeza realista para uma primeira certificação ISO 27001: três a seis meses até estar pronto para a auditoria, se alguém assumir mesmo o assunto internamente. Feito em paralelo com o resto, demora nove a doze.

Por onde começo no primeiro dia?

Pelo âmbito, não pelos controlos. Defina que instalações, sistemas e processos ficam dentro e quais ficam expressamente de fora. Cada hora investida aqui poupa três mais tarde — um âmbito demasiado amplo é a razão mais frequente para um projeto se arrastar. Depois, atribua um responsável por tema e faça o levantamento. Os controlos vêm a seguir.

Menos gente do que pensa. Basta um responsável por tema; todos os outros recebem tarefas atribuídas e não precisam de acesso permanente. A edição Basic inclui cinco utilizadores internos, a Professional dez, a Enterprise por acordo.

Existe início de sessão único através do nosso fornecedor de identidade?

Não. A autenticação por SAML ou OIDC não está disponível hoje; o acesso faz-se por contas criadas no próprio Sightadel. Se o início de sessão único for um requisito para si, diga-nos antes do período experimental — assim podemos dizer se e quando é realista, em vez de o surpreender mais tarde.

Quanto custa o segundo referencial?

Menos 5 % em permanência, desde que o primeiro referencial subscrito seja a ISO 27001 ou a ISO 9001. A isso somam-se os descontos por prazo: 5 % por um ano e 8 % por dois anos pagos antecipadamente. O verdadeiro ganho do segundo referencial não é porém o desconto, mas o facto de grande parte das evidências já estar no lugar. Veja a secção sobre reutilização.

Que funções existem?

Seis, e distinguem deliberadamente o interno do externo: Admin (proprietário) — gere o inquilino, os utilizadores e as subscrições. Consultor, interno — trabalha em todos os referenciais. Contribuidor, interno — trata dos pontos que lhe são atribuídos. Leitor — apenas leitura. Consultor, externo — para os consultores que traz de fora. Auditor — sempre externo, apenas leitura. Separar o consultor interno do externo não é um pormenor: numa auditoria tem de ser visível quem pertence à sua organização e quem não pertence.

Podemos modelar um referencial próprio?

Sim. A Basic inclui um referencial próprio, a Professional três e a Enterprise quantos forem precisos. É o caminho para políticas de grupo, requisitos contratuais de clientes ou normas setoriais sem módulo já feito.

Existe um trust center para os nossos clientes?

Sim. Reúne aí o que clientes e interessados pedem de qualquer forma — certificados, relatórios de atestação, dados do alojamento, subcontratantes — e remete-os para lá, em vez de enviar sempre o mesmo anexo. O benefício nota-se no terceiro questionário de cliente: o que está no trust center deixa de ter de ser investigado para o formulário.

O que é a declaração de aplicabilidade e porque é tão importante?

A declaração de aplicabilidade é o único documento que a norma indica expressamente como obrigatório e o primeiro que um auditor quer ver. Para cada um dos 93 controlos regista: aplicável ou não, com justificação, e quando aplicável a referência à forma de implementação. Excluir um controlo é permitido. Excluí-lo sem justificação é uma não conformidade.

Precisamos de uma apreciação de riscos formal?

Sim, e tem de ser repetível. A norma não prescreve um método, mas exige que as mesmas entradas conduzam a resultados comparáveis. Uma avaliação por intuição, feita por pessoas que vão mudando, não cumpre isso. A ordem é aliás o inverso daquela por que a maioria começa: primeiro os riscos, depois os controlos, depois a declaração de aplicabilidade. Quem começa pelo anexo A acaba a justificar ao contrário.

O texto da norma está incluído no Sightadel?

Não, e não pode estar. As normas ISO estão protegidas por direitos de autor e são licenciadas uma a uma — através do IPQ em Portugal, da DIN Media na Alemanha ou diretamente junto da ISO. O Sightadel contém a estrutura, os pontos de verificação, o percurso das evidências e as nossas próprias explicações, não o texto da norma. Precisa, portanto, de pelo menos um exemplar da norma em casa. Isso vale para qualquer plataforma, incluindo as que não o dizem.

De quantos documentos precisamos para a ISO 27001?

Menos do que sugerem os pacotes de modelos. A norma indica um conjunto controlável de informação documentada — âmbito, política, metodologia de risco, plano de tratamento do risco, declaração de aplicabilidade, registos de competência, programa e resultados de auditoria, revisão pela gestão, não conformidades e ações corretivas. Tudo o resto só é preciso onde, sem ele, não consegue mostrar que um controlo funciona. Uma política que ninguém lê não é uma evidência, é lastro.

É possível manter a ISO 9001 e a ISO 27001 em conjunto?

Sim, e essa é a verdadeira razão para ter ambas numa só ferramenta. As duas normas seguem a mesma estrutura de alto nível: contexto, liderança, planeamento, suporte, operação, avaliação, melhoria. Na prática: um procedimento de controlo documental, um programa de auditoria interna, uma revisão pela gestão, um processo de ações corretivas — e não dois de cada. Uma auditoria combinada é possível em muitos organismos de certificação e poupa dias de auditoria.

Temos de escrever todos os processos?

Não. A ISO 9001:2015 não exige um catálogo de processos nem um manual da qualidade — ambos vêm de edições anteriores e persistem teimosamente. O que se exige é que conheça os seus processos, os controle e meça a sua eficácia. Onde falta uma descrição e o resultado está mesmo assim certo, não há constatação. Onde falta e por isso os erros se repetem, há.

A NIS2 aplica-se ao nosso consultório médico?

Por regra, não. Os limiares são 50 trabalhadores ou 10 milhões de euros de volume de negócios; um consultório individual ou uma pequena clínica de grupo fica abaixo. O que aí obriga é a diretriz alemã de segurança informática ao abrigo do § 75b SGB V — aplica-se a qualquer consultório, seja qual for a dimensão, e exige expressamente uma firewall, entre outras coisas. A NIS2 pode ainda assim chegar-lhe de forma indireta: quem está ligado a um hospital, a um laboratório ou a um centro de saúde que esteja abrangido recebe requisitos através da cadeia de abastecimento desse.

Que prazos de comunicação existem?

Três, e todos contam a partir do momento em que se tem conhecimento. Alerta precoce em 24 horas, notificação em 72 horas, relatório final no prazo de um mês. Se o incidente ainda decorrer no fim do mês, entrega primeiro um relatório de progresso. O erro mais frequente não é o prazo perdido, mas o momento de início não registado. Anote a data e a hora em que teve conhecimento antes de fazer qualquer outra coisa.

O que significa a NIS2 para a gerência a título pessoal?

A gestão tem de aprovar as medidas de gestão do risco, supervisionar a sua implementação e receber formação. Esse dever não é delegável e traz responsabilidade pessoal. Na prática: é preciso uma decisão da gestão com data e assinatura, não um e-mail a dizer «está bem assim». A nossa lista de verificação da NIS2 tem uma folha para isso.

Existe um certificado NIS2?

Não. A NIS2 não é uma norma certificável, mas uma obrigação com supervisão. A implementação é demonstrada perante a autoridade competente, não perante um organismo de certificação. Por isso o percurso das evidências pesa aqui mais do que na ISO: não há um certificado para mostrar, só a sua documentação. Quem lhe vender um «certificado NIS2» está a vender-lhe um papel sem efeito jurídico.

Em que consiste o DORA?

Em sete áreas: gestão do risco de TIC, gestão e comunicação de incidentes relacionados com TIC, testes de resiliência operacional digital, gestão do risco de terceiros prestadores de TIC, registo de informação, partilha de informação e supervisão dos prestadores terceiros críticos. A nossa lista de verificação do DORA divide isso em 50 requisitos com referência ao artigo, evidência esperada e estado.

Que prazos de comunicação existem no DORA?

Para um incidente grave relacionado com TIC: notificação inicial no máximo quatro horas após a classificação como grave e nunca mais de 24 horas após o conhecimento. Relatório intercalar em 72 horas, relatório final no prazo de um mês. A diferença face à NIS2 está no ponto de partida: o DORA liga o primeiro prazo à classificação, a NIS2 ao conhecimento. Quem tem os dois deve separá-lo com clareza no processo de incidentes.

Temos de fazer testes de intrusão orientados por ameaças?

Só uma parte das entidades. Os testes de intrusão orientados por ameaças, ao abrigo do quadro TIBER-EU, estão previstos para determinadas entidades financeiras designadas pela supervisão, pelo menos de três em três anos, devendo um em cada três testes ser realizado por um prestador externo. Todas as restantes precisam de um programa de testes, mas não de um TLPT: avaliações de vulnerabilidades, avaliações de segurança de rede, revisões de código-fonte e testes de intrusão no sentido corrente.

O que é o registo de informação?

Um registo completo de todos os acordos contratuais relativos à utilização de serviços de TIC, ao nível da entidade e do grupo. É enviado periodicamente à supervisão, sendo a data de referência habitual 31 de dezembro do ano anterior. Na prática é o ponto onde os projetos encalham: os campos exigidos não estão em nenhuma pasta de contratos e têm de ser reunidos junto do jurídico, das compras e da operação.

A SOC 2 é o mesmo que a ISO 27001?

Não, e as diferenças vão mais longe do que sugerem as tabelas comparativas. A ISO 27001 é uma norma com certificado emitido por um organismo acreditado. A SOC 2 é um relatório de atestação de uma sociedade de revisores de contas segundo normas norte-americanas — não um certificado, mas um relatório que entrega aos clientes. O tipo I descreve a adequação dos controlos numa data; o tipo II, a sua eficácia ao longo de um período, normalmente de três a doze meses. Os clientes europeus pedem sobretudo a ISO 27001; os norte-americanos, sobretudo a SOC 2.

O que é o BSI C5 e precisamos dele?

O catálogo de critérios do organismo federal alemão para serviços de nuvem. Não é certificado, é atestado: um revisor examina-o segundo a ISAE 3000 e emite um relatório, numa data ou ao longo de um período. É exigido quase só a fornecedores de nuvem que servem o setor público alemão ou clientes regulados. Se ninguém lho pedir, não precisa dele.

A ISO 27001 cobre também o RGPD?

Em parte, e a lacuna é a metade interessante. A ISO 27001 protege a informação independentemente de quem sejam os dados. O RGPD pergunta pelo fundamento jurídico, pela limitação das finalidades, pela minimização dos dados, pelos direitos dos titulares, pelo registo das atividades de tratamento e pela avaliação de impacto. As medidas técnicas e organizativas do artigo 32 sobrepõem-se fortemente ao anexo A. Tudo o que tem que ver com licitude e com os direitos dos titulares não tem correspondência na ISO 27001.

Para que serve o NIST CSF 2.0 se estamos na Europa?

Como quadro de organização, não como objetivo de certificação. As seis funções — Govern, Identify, Protect, Detect, Respond, Recover — dão uma linguagem para apresentar a maturidade à administração sem recitar capítulos da ISO. É também útil perante clientes e seguradoras norte-americanas que o pedem. Não existe certificado.

E se usarmos IA — ISO 42001?

A ISO/IEC 42001 é a norma de sistemas de gestão para inteligência artificial, construída como a ISO 27001 e certificável. Quem já tem um SGSI pode reaproveitar em grande medida a liderança, o processo de risco, a auditoria interna e a revisão pela gestão. Não substitui as obrigações do Regulamento da IA da UE, mas ajuda a cumpri-las de forma organizada.

Quão atuais têm de ser as evidências?

Tão atuais quanto o ciclo que o próprio definiu. Se a sua política prevê uma revisão anual dos direitos de acesso e a última é de há 18 meses, isso é uma não conformidade — não porque a norma exija 12 meses, mas porque o exigiu você. Daí o conselho incómodo: defina ciclos que consiga cumprir. Semestral soa mais rigoroso e no segundo ano torna-se uma fonte de constatações.

Algumas evidências são confidenciais. O auditor tem de ver tudo?

Tem de conseguir julgar a eficácia, não de ler cada pormenor. Para conteúdos pessoais ou particularmente sensíveis, são habituais e aceites os extratos ocultados, as amostras ou a consulta no ecrã sem cópia. Insista em que isso fique resolvido antes da auditoria, e não na sala de auditoria.

De quanto armazenamento precisamos para as evidências?

De menos do que se pensa, desde que mantenha referências em vez de cópias. A Basic inclui 1 GB, a Professional 10 GB e a Enterprise 100 GB. Guardar cada captura de ecrã em resolução máxima enche esse espaço mais depressa do que ligar ao sistema de tickets.

Como funciona na prática?

A evidência é arquivada uma vez e ligada a todos os requisitos que serve, para lá das fronteiras entre referenciais. Uma alteração produz efeito em todos os requisitos ligados; quando a evidência caduca, caduca em todo o lado. A diferença face a uma folha de cálculo não se vê na criação, mas um ano depois: lá a mesma evidência existe em três estados, aqui num só.

Qual é realmente a dimensão da sobreposição?

Depende do par e, com honestidade, só se responde com os seus dados. Valores aproximados da experiência: a ISO 27001 e a NIS2 sobrepõem-se muito no plano técnico e organizativo; a ISO 27001 e a SOC 2 também; a ISO 27001 e o RGPD só onde está em causa o artigo 32. Não indicamos qualquer percentagem, de propósito. Quem lhe disser que dois referenciais se sobrepõem em 80 % ou não viu o seu âmbito ou conta requisitos em vez de esforço.

O que é que justamente não se transfere?

Tudo o que está ligado a uma consequência jurídica concreta ou a um procedimento concreto. Os prazos de comunicação da NIS2 e do DORA não são iguais. A decisão de gestão exigida pela NIS2 não substitui uma revisão pela gestão da ISO 27001. O registo de informação do DORA não tem correspondência na ISO 27001. Esses restos são exatamente a razão pela qual uma simples tabela de correspondências não chega.

Por que ordem devemos abordar os referenciais?

Pelo mais abrangente primeiro, se tiver escolha. A ISO 27001 é a que mais leva para os outros referenciais, porque tanto o sistema de gestão como o conjunto de controlos são reaproveitados. Depois disso, o segundo referencial é sobretudo acrescento e não construção de raiz. Se houver um prazo a apertar, ganha o prazo. A NIS2 e o DORA não perguntam se fez a ISO primeiro.

O Sightadel certifica-nos?

Não. O Sightadel é software para a preparação e a manutenção — não certificamos nem realizamos auditorias de certificação. O certificado é emitido por um organismo de certificação acreditado na sequência de uma auditoria. Escolhe esse organismo livremente. Pode contratar o seu ou dirigir-se a um da nossa rede de parceiros; os organismos dessa rede trabalham de forma independente de nós, e não recebemos por uma indicação qualquer contrapartida capaz de influenciar o seu juízo. Esta separação não é modéstia, é um fundamento: segundo a ISO/IEC 17021, um organismo de certificação tem de ser imparcial e não pode consultar e certificar a mesma organização. Oferecer software, consultoria e certificado da mesma mão cria um conflito de interesses que acaba por tornar o seu certificado contestável.

O nosso auditor recebe um acesso próprio?

Sim. Existe uma função de auditor dedicada, apenas de leitura e sempre externa — um utilizador interno não a pode ter. Isso evita enviar pastas de evidências por e-mail e deixa registo do que o auditor viu. Os consultores que traz de fora têm uma função separada, para que numa auditoria nunca se confunda quem examinou e quem colaborou.

Como decorre uma auditoria de certificação?

Em duas fases. A fase 1 é no essencial uma revisão documental: âmbito, política, metodologia de risco, declaração de aplicabilidade, programa de auditoria. A fase 2 verifica a eficácia no local ou à distância, por amostragem e entrevistas. Seguem-se duas auditorias de acompanhamento nos anos seguintes e, no terceiro ano, a recertificação. O ciclo dura três anos.

Quantos dias de auditoria devemos prever?

Resulta do número de trabalhadores e da complexidade, e é deduzido pelo organismo de certificação segundo a ISO/IEC 27006. Ordem de grandeza para uma primeira certificação ISO 27001: cerca de cinco dias até dez trabalhadores, à volta de oito a dez com 50, doze a catorze com algumas centenas. As auditorias de acompanhamento ficam por cerca de um terço e a recertificação por cerca de dois terços do tempo da auditoria inicial. Desde a edição de 2024 a dedução é mais baseada no risco — tome estes números como orientação, não como um direito.

Podemos fazer nós próprios a auditoria interna?

Sim, desde que quem audita não audite a sua própria área. Independência significa aqui objetividade, não externalidade. Em organizações pequenas as áreas auditam-se umas às outras; onde isso não é possível, um auditor interno externo é o caminho habitual.

Como ficamos a saber das alterações a normas e leis?

Por três vias: como aviso no painel, na newsletter e na secção de notícias em sightadel.com. O aviso do painel é o mais dirigido — só aparece para os referenciais que tem subscritos, e não para todos os outros. Cada aviso indica o que mudou, o que isso significa para os seus pontos de verificação e até quando é preciso agir.

Perguntas frequentes

As perguntas que realmente nos fazem.

Ordenadas por tema e respondidas sem rodeios. Onde não sabemos, ou onde depende do seu caso, dizemo-lo — uma página de perguntas frequentes que só confirma o discurso comercial não ajuda ninguém.

Primeiros passos

Sim. Existe um período experimental de 14 dias, pedido através do formulário de contacto em sightadel.com. Não são precisos dados de pagamento.

Plataforma, edições e funções

Por referencial. Subscreve a ISO 27001, a NIS2 ou o DORA em separado, cada um numa de três edições. As edições diferem em capacidade e tempo de resposta — utilizadores internos, armazenamento de evidências, ativos monitorizados, fornecedores, apoio — e não no conteúdo do referencial.

Na prática: os requisitos, a estrutura de evidências e a exportação para auditoria são iguais na Basic e na Enterprise.

Implementação da ISO/IEC 27001

Duas coisas que se confundem com facilidade. Primeiro, os capítulos 4 a 10: um sistema de gestão com contexto, liderança, planeamento, operação, avaliação e melhoria. Segundo, o anexo A: 93 controlos em quatro temas — organizacional, pessoas, físico e tecnológico.

As organizações raramente chumbam uma auditoria por causa do anexo A. Chumbam pelos capítulos 9 e 10: auditoria interna, revisão pela gestão, ações corretivas. Essa é a parte que não se compra.

Implementação da ISO 9001

Quem decide isso é o cliente, não a norma. A ISO 9001 é neutra quanto ao setor e certifica-se tanto num prestador de serviços como num fabricante. O motivo habitual é um concurso ou um acordo-quadro em que o certificado consta como condição de acesso.

Implementação da NIS2

A verificação tem dois passos. Primeiro o setor: a sua atividade cai nos tipos de entidade listados? Segundo a dimensão: a partir de 50 trabalhadores ou 10 milhões de euros de volume de negócios anual é uma entidade importante; a partir de 250 trabalhadores ou 50 milhões, uma entidade essencial.

Independentemente da dimensão, a obrigação abrange certas entidades — entre elas os operadores de instalações críticas e os fornecedores de determinados serviços digitais. A nossa lista de verificação da NIS2 inclui uma folha que calcula a classificação.

Implementação do DORA

Às entidades financeiras da UE em sentido amplo — bancos, seguradoras, empresas de investimento, instituições de pagamento, prestadores de serviços de criptoativos e outras — e aos prestadores terceiros críticos de serviços de TIC que as servem. O regulamento aplica-se diretamente, desde 17 de janeiro de 2025, sem transposição nacional.

Se fornece software ou operação a entidades financeiras, os requisitos chegam-lhe pelo contrato, ainda que não seja você próprio uma entidade financeira.

Outros referenciais

ISO/IEC 27001, ISO 9001, NIS2, DORA, SOC 2, NIST CSF 2.0, BSI C5, RGPD e HACCP, além de referenciais próprios. Para consultórios médicos existe um pacote de evidências dedicado ao § 75b SGB V.

Evidências e documentos

Tudo aquilo a partir do qual um terceiro consegue perceber que algo foi mesmo feito — com data e autor. Uma ata, uma captura de ecrã de uma definição, uma aprovação no sistema de tickets, uma folha assinada, um extrato de um registo.

O que não é evidência: uma política que prescreve alguma coisa. Essa prova a intenção, não a implementação. Essa confusão é a constatação mais frequente numa primeira auditoria.

Uma evidência, vários referenciais

Que o mesmo facto é pedido por vários referenciais e você prova-o exatamente uma vez. A gestão de acessos está no anexo A da ISO 27001, na medida 9 da NIS2, na gestão do risco de TIC do DORA e nos critérios comuns da SOC 2. É quatro vezes a mesma pergunta.

Quem mantém uma pasta própria por referencial mantém a mesma evidência várias vezes — e um ano depois tem-na em três estados diferentes.

Auditoria e certificação

Não. As normas ISO são internacionais, e um certificado da ISO/IEC 27001 ou da ISO 9001 é reconhecido em todo o mundo, desde que o organismo de certificação emissor esteja acreditado e o organismo de acreditação pertença ao acordo de reconhecimento multilateral do International Accreditation Forum.

Apenas os atos jurídicos são europeus: NIS2, DORA, RGPD e Regulamento da IA. Esses atingem também fornecedores fora da UE, assim que fornecem para a UE ou tratam dados de pessoas na UE. Ao contrário, a SOC 2 e o NIST são de matriz norte-americana e pedidos em todo o mundo.

Em resumo: a norma é global, a obrigação é regional.

Operação corrente e alterações aos referenciais

O trabalho que decide o resultado. Um certificado é um retrato válido por três anos, com duas auditorias de acompanhamento pelo meio. Entre auditorias os ciclos continuam: revisões de acessos, avaliações de fornecedores, formação, testes de reposição, revisão pela gestão.

O erro clássico é a pausa depois da primeira auditoria. Nota-se na primeira auditoria de acompanhamento, porque faltam onze meses de evidências.

Segurança, alojamento e proteção de dados

Na Alemanha, no nosso fornecedor de alojamento creoline. O desenvolvimento, a operação e o apoio estão igualmente aqui. Sem desvio por centros de dados no exterior, sem acesso ao abrigo de direito estrangeiro.

Para uma parte dos nossos clientes essa é a razão para sequer falarem connosco — e para todos os outros, pelo menos uma pergunta a menos no questionário de fornecedores.

Preços, contrato e faturação

Por referencial e edição. A ISO 27001 começa em 9.000 € por ano na edição Basic, a NIS2 e o DORA em 4.500 €, a ISO 9001 em 3.800 €, o BSI C5 e o RGPD em 2.400 €, o HACCP em 1.800 €. A Professional fica 30 % acima da Basic e a Enterprise 60 %. Todos os preços sem IVA.

A lista completa, com a comparação de edições, está disponível em PDF na secção de recursos.

A sua pergunta não está aqui? Escreva-nos — as perguntas que chegam duas vezes acabam aqui, com resposta.

Marcar uma demonstração