As perguntas que realmente nos fazem.

Sim. Existe um acesso de teste de 14 dias com acesso total, pedido através do formulário de contacto. Não são necessários dados de pagamento.

O que criar durante o período de teste passa sem interrupções para o plano pago. Se não escolher nenhum plano, o teste termina automaticamente.

A parte técnica fica feita numa tarde: criar o cliente, convidar utilizadores, ativar o framework, indicar os responsáveis. O que leva tempo é o preenchimento – ou seja, perceber que evidências já existem na sua organização e quais ainda têm de ser criadas.

De forma realista, para uma primeira certificação ISO 27001: três a seis meses até estar pronto para a auditoria, se alguém na casa se dedicar a sério ao assunto. Quem o fizer em paralelo com outras tarefas precisa de nove a doze.

Pelo âmbito, não pelas medidas. Defina que locais, sistemas e processos estão incluídos e quais ficam expressamente de fora. Cada hora investida aqui poupa-lhe o triplo mais tarde – um âmbito demasiado amplo é a razão mais frequente para os projetos se arrastarem.

Depois: indicar os responsáveis por cada área temática e, a seguir, fazer o levantamento da situação atual. Só então as medidas.

Menos pessoas do que pensa. Basta uma pessoa responsável por cada área temática; todas as outras recebem tarefas atribuídas e não precisam de acesso permanente. A edição Basic inclui cinco utilizadores internos, a Professional dez e a Enterprise conforme acordado.

Não. De momento, não é possível iniciar sessão através de SAML ou OIDC; o acesso é feito com contas próprias no Sightadel.

Se o single sign-on for um requisito para si, informe-nos antes do acesso de teste – assim podemos avaliar se e quando isso será uma opção para si, em vez de o surpreender mais tarde.

Sim, e esse é o caso habitual. As folhas de cálculo Excel e os documentos Word existentes são importados diretamente; políticas, procedimentos e evidências são associados aos requisitos correspondentes.

O que quase sempre se nota: a folha de cálculo contém estados que há meses deixaram de corresponder à realidade. Isso não é um argumento contra a mudança, é precisamente a razão para a fazer.

Por referencial. Contrata a ISO 27001, a NIS2 ou o DORA individualmente, cada um numa de três edições. As edições diferem na capacidade e no tempo de resposta – utilizadores internos, armazenamento de evidências, ativos monitorizados, fornecedores, suporte – e não no conteúdo do referencial.

Em concreto: os requisitos, a estrutura de evidências e a exportação para auditoria são os mesmos na Basic e na Enterprise.

Se a sua licença incluir a ISO 27001 ou a ISO 9001, cada um dos outros referenciais custa permanentemente 5 % menos do que o preço de tabela. A ISO 27001 e a ISO 9001 propriamente ditas ficam excluídas. Além disso, há descontos para pagamento antecipado. As condições exatas e um simulador estão disponíveis na nossa página de preços.

Mas o verdadeiro ganho no segundo referencial não está no desconto, e sim no facto de grande parte das evidências já existir. Mais informações na secção sobre reutilização.

Seis, e distinguem expressamente entre internas e externas:

Admin (Owner) – gere o cliente, os utilizadores e as subscrições.

Consultant interno – trabalha os conteúdos de todos os referenciais.

Contributor interno – trata os pontos que lhe são atribuídos.

Viewer – acompanha em modo de leitura, sem alterar nada.

Consultant externo – para as consultoras e os consultores que chamar.

Auditor – sempre externo; lê, comenta e, após aprovação, cria e edita entradas, mas nunca apaga.

A separação entre Consultant interno e externo não é um pormenor: na auditoria tem de ser claro quem pertence à sua organização e quem não pertence.

Sim. A Basic inclui um referencial próprio, a Professional três e a Enterprise um número ilimitado. É o caminho para normas de grupo, requisitos contratuais de clientes ou normas setoriais para as quais não existe um módulo pronto.

Sim. Reúne aí o que clientes e potenciais clientes pedem de qualquer forma – certificados, relatórios de atestação, informações sobre o alojamento, subcontratantes – e remete para lá, em vez de enviar sempre o mesmo anexo.

A utilidade nota-se ao terceiro questionário de cliente: o que está no Trust Center já não tem de ser pesquisado para o questionário.

Não por completo, e isso é intencional. Para cada requisito existem modelos adaptados ao seu setor. A IA ajuda na redação e propõe textos; a decisão é sua.

O que caracteriza a sua empresa – objetivos, riscos, responsabilidades – é descrito por si. Caso contrário, a norma não cumpre o seu objetivo, e isso nota-se na auditoria.

Pergunta diretamente no ponto de controlo. Em questões importantes e casos complicados, respondem consultoras e consultores reais com experiência de auditoria, não um sistema de tickets.

Se recorrer a uma consultoria própria, esta recebe na conta uma função própria, externa.

O foco está na gestão das evidências em si, não numa longa lista de integrações pré-configuradas. Se uma determinada integração for decisiva para si, fale connosco antes do acesso de teste.

E uma ressalva que costuma faltar nas comparações entre fornecedores: evidências recolhidas automaticamente não substituem uma decisão. Uma ferramenta pode comprovar que a cifragem está ativa – se é adequada continua a ser uma decisão sua, e é exatamente isso que o auditor pergunta.

Sim, mediante acordo. Requisitos muito específicos que o padrão não cobre são implementados por nós como adaptação à medida. O âmbito e os custos são esclarecidos consigo previamente numa proposta. Mais na página Adaptações à medida.

Alemão e inglês. Os materiais de trabalho da área de recursos – listas de verificação, pacotes de evidências, guias – estão também disponíveis em francês, espanhol e português, tanto europeu como do Brasil.

No painel: progresso de conformidade por framework, tarefas em aberto com prazo e evidências a expirar. O mais útil não é tanto o número total, mas a tendência: o que expirou desde o mês passado e quem está a tratar disso.

Duas coisas que costumam ser confundidas. Primeiro, as cláusulas 4 a 10: um sistema de gestão com contexto, liderança, planeamento, operação, avaliação e melhoria. Segundo, o Anexo A: 93 controlos em quatro domínios – organizacionais, relativos a pessoas, físicos e tecnológicos.

Raramente é no Anexo A que as organizações falham perante os auditores. Falham nas cláusulas 9 e 10: auditorias internas, revisão pela gestão, ações corretivas. É a parte que não se pode comprar.

A Declaração de Aplicabilidade – em inglês Statement of Applicability (SoA) – é o único documento que a norma indica nominalmente como obrigatório e que o auditor quer ver antes de todos os outros. Para cada um dos 93 controlos indica: aplicável ou não, com justificação, e, se aplicável, a referência à implementação.

Excluir um controlo é permitido. Excluí-lo sem justificação é uma não conformidade.

Sim, e tem de ser reprodutível. A norma não prescreve nenhum método, mas exige que os mesmos dados de entrada conduzam a resultados comparáveis. Uma avaliação por instinto, feita por pessoas diferentes de cada vez, não cumpre esse requisito.

A ordem, aliás, é a inversa daquela por que a maioria começa: primeiro os riscos, depois os controlos, depois a Declaração de Aplicabilidade. Quem começa pelo Anexo A acaba a justificar de trás para a frente.

Não, nem pode estar. As normas ISO estão protegidas por direitos de autor e são licenciadas individualmente – na Alemanha através da Beuth, atualmente DIN Media, ou diretamente através da ISO. O Sightadel contém a estrutura, os pontos de controlo, a gestão de evidências e as nossas próprias explicações, não o texto da norma.

Precisa, portanto, de ter pelo menos um exemplar da norma na empresa. Isto aplica-se a qualquer plataforma, incluindo as que não o dizem.

Menos do que os pacotes de modelos sugerem. A norma exige nominalmente um número reduzido de informação documentada – âmbito, política, metodologia de risco, plano de tratamento do risco, Declaração de Aplicabilidade, evidências de competência, programa e resultados de auditoria, revisão pela gestão, não conformidades e ações corretivas.

Tudo o resto só é necessário se, sem isso, não conseguir demonstrar que um controlo é eficaz. Uma política que ninguém lê não é uma evidência, é um peso morto.

Quase sempre é o cliente que decide, não a norma. A ISO 9001 é independente do setor e é certificada tanto por prestadores de serviços como por fabricantes. O motivo habitual é um concurso ou um contrato-quadro em que o certificado consta como condição de acesso.

Sim, e essa é a verdadeira razão para gerir ambas na mesma ferramenta. As duas normas seguem a mesma estrutura de base: contexto, liderança, planeamento, suporte, operação, avaliação, melhoria.

Na prática, isto significa: um procedimento de controlo de documentos, um programa de auditoria interna, uma revisão pela gestão, um procedimento de ações corretivas – e não dois de cada. Muitos organismos de certificação permitem uma auditoria combinada, o que poupa dias de auditoria.

Não. A ISO 9001:2015 não exige um catálogo de processos nem um manual da qualidade – ambos vêm de versões anteriores e persistem teimosamente. O que se exige é que conheça os seus processos, os controle e meça a sua eficácia.

Onde falta uma descrição e o resultado está certo, isso não é uma constatação. Onde falta e, por isso, os erros se repetem, é.

A verificação tem duas etapas. Primeiro, o setor: a sua atividade consta da lista de tipos de entidades? Segundo, a dimensão: a partir de 50 trabalhadores ou 10 milhões de euros de volume de negócios anual é considerada entidade importante; a partir de 250 trabalhadores ou 50 milhões de euros, entidade essencial.

Independentemente da dimensão, a obrigação aplica-se a determinadas entidades – por exemplo, operadores de instalações críticas e prestadores de determinados serviços digitais. A nossa lista de verificação NIS2 contém uma folha que calcula a classificação.

Regra geral, não. Os limiares são de 50 trabalhadores ou 10 milhões de euros de volume de negócios; um consultório individual ou um pequeno consultório partilhado fica abaixo deles. Vinculativa é, nesse caso, a diretiva alemã de segurança informática prevista no § 390 do Código Social alemão, livro V (SGB V) (anteriormente § 75b) – aplica-se a todos os consultórios, independentemente da dimensão, e exige, entre outras coisas, expressamente uma firewall.

Indiretamente, a NIS2 pode ainda assim chegar até si: quem estiver ligado a um hospital, a um laboratório ou a um centro de cuidados de saúde ambulatórios (MVZ) que esteja ele próprio abrangido pela obrigação recebe requisitos através da respetiva cadeia de fornecimento.

Três, e todos contam a partir do momento em que se toma conhecimento. Alerta precoce no prazo de 24 horas, notificação no prazo de 72 horas, relatório final no prazo de um mês. Se o incidente ainda estiver em curso no fim do prazo de um mês, apresenta primeiro um relatório intercalar.

O erro mais frequente não é o prazo falhado, mas o momento inicial não registado. Anote a data e a hora em que tomou conhecimento antes de fazer qualquer outra coisa.

A administração tem de aplicar as medidas de gestão de riscos, supervisionar a sua aplicação e receber formação. Pode distribuir tarefas, mas a responsabilidade continua a ser sua e está associada a responsabilidade pessoal.

Na prática, isto significa: é necessária uma deliberação da administração com data e assinatura, não um e-mail a dizer «está bem assim». A nossa lista de verificação NIS2 tem uma folha própria para imprimir com esse fim.

Não. A NIS2 não é uma norma certificável, mas uma obrigação sujeita a supervisão. A implementação é demonstrada perante a autoridade competente, não perante um organismo de certificação.

Por isso, a gestão de evidências é aqui mais importante do que na ISO: não há certificado que possa apresentar – apenas a sua documentação. Quem lhe vende um «certificado NIS2» está a vender-lhe um papel sem qualquer efeito jurídico.

Às entidades financeiras da UE em sentido amplo – bancos, seguradoras, empresas de investimento, prestadores de serviços de pagamento, prestadores de serviços de criptoativos, entre outros – e aos prestadores terceiros críticos de serviços de TIC que os fornecem. O regulamento é diretamente aplicável desde 17 de janeiro de 2025, sem ato nacional de transposição.

Se fornece software ou serviços de operação a entidades financeiras, os requisitos chegam até si através do contrato, mesmo que não seja uma entidade financeira.

Em sete domínios: gestão do risco de TIC, gestão e notificação de incidentes relacionados com as TIC, testes de resiliência operacional digital, gestão do risco de terceiros no domínio das TIC, registo de informações, partilha de informações e supervisão dos prestadores terceiros críticos.

A nossa lista de verificação DORA divide isto em 50 requisitos com referência ao artigo, evidência esperada e estado.

Em caso de incidente grave relacionado com as TIC: notificação inicial, o mais tardar, quatro horas após a classificação como grave e, em caso algum, mais de 24 horas após a tomada de conhecimento. Relatório intercalar no prazo de 72 horas, relatório final no prazo de um mês.

A diferença em relação à NIS2 está no momento inicial: o DORA faz depender o primeiro prazo da classificação, a NIS2 da tomada de conhecimento. Quem aplica ambos deve separar isto com rigor no processo de gestão de incidentes.

Apenas uma parte das empresas. Os testes de penetração orientados por ameaças segundo o quadro TIBER-EU destinam-se a determinadas entidades financeiras designadas pela autoridade de supervisão, pelo menos de três em três anos, sendo que um em cada três testes tem de ser realizado por um prestador externo.

Todas as restantes precisam de um programa de testes, mas não de TLPT: avaliações de vulnerabilidades, avaliações da segurança da rede, revisões de código-fonte, testes de penetração no sentido habitual.

Um registo completo de todos os acordos contratuais relativos à utilização de serviços de TIC, ao nível da entidade individual e do grupo. É enviado regularmente à autoridade de supervisão; a data de referência habitual é 31 de dezembro do ano anterior.

Segundo a experiência, é neste ponto que os projetos encalham: os campos exigidos não estão em nenhuma pasta de contratos, têm de ser reunidos a partir dos contratos, das compras e da operação.

ISO 27001, ISO 9001, ISO 42001, NIS2, DORA, RGPD, EU AI Act, BSI C5, SOC 2, NIST CSF 2.0, § 390 SGB V para consultórios médicos e dentários e HACCP, além de referenciais próprios.

Não, e as diferenças são maiores do que as tabelas comparativas sugerem. A ISO 27001 é uma norma com certificado emitido por um organismo acreditado. O SOC 2 é um relatório de auditoria de uma sociedade de revisores oficiais de contas segundo normas norte-americanas – não um certificado, mas um relatório que entrega aos clientes.

O Tipo I descreve a adequação dos controlos numa data de referência, o Tipo II a sua eficácia ao longo de um período, normalmente de três a doze meses. Para clientes europeus conta geralmente a ISO 27001; para clientes dos EUA, geralmente o SOC 2.

É o catálogo de critérios do Serviço Federal Alemão de Segurança da Informação (BSI) para serviços de cloud. Não é certificado, mas objeto de atestação: um auditor independente (revisor oficial de contas) audita segundo a ISAE 3000 e emite um relatório de atestação, à escolha numa data de referência ou ao longo de um período.

É necessário quase exclusivamente para fornecedores de cloud que fornecem o setor público ou clientes regulados na Alemanha. Se ninguém lho pede, não precisa dele.

Em parte, e a lacuna é a metade interessante. A ISO 27001 protege a informação independentemente de quem são os dados. O RGPD pergunta pelo fundamento jurídico, pela limitação das finalidades, pela minimização dos dados, pelos direitos dos titulares, pelo registo das atividades de tratamento e pela avaliação de impacto sobre a proteção de dados.

As medidas técnicas e organizativas do artigo 32.º sobrepõem-se fortemente ao Anexo A. Tudo o que tem a ver com licitude e com os direitos dos titulares não tem correspondência na ISO 27001.

Como quadro de referência, não como objetivo de certificação. As seis funções – Govern, Identify, Protect, Detect, Respond, Recover – dão uma linguagem para apresentar o nível de maturidade à administração e ao conselho de supervisão sem ter de ler cláusulas da ISO.

É também útil perante clientes e seguradoras dos EUA que o pedem. Não existe certificado.

A ISO 42001 é a norma de sistema de gestão para a inteligência artificial, estruturada como a ISO 27001 e certificável. Quem já tem um SGSI pode reutilizar em grande parte a liderança, o processo de risco, as auditorias internas e a revisão pela gestão.

Não substitui as obrigações do Regulamento da UE sobre a IA, mas ajuda a cumpri-las de forma estruturada.

Tudo aquilo que permita a um terceiro reconhecer que algo foi efetivamente feito – com data e autor. Uma ata, uma captura de ecrã de uma configuração, uma aprovação no sistema de tickets, uma folha assinada, um excerto de um registo (log).

O que não é evidência: uma política que prescreve algo. Essa comprova a intenção, não a implementação. A constatação mais frequente na primeira auditoria é exatamente esta confusão.

Tão atuais quanto o ciclo que a própria organização definiu. Se a sua política prevê uma revisão anual dos direitos de acesso e a última foi há 18 meses, isso é uma não conformidade – não porque a norma exija 12 meses, mas porque foi a sua organização que o estabeleceu.

Daí a recomendação incómoda: defina ciclos que consiga cumprir. Semestral soa mais rigoroso e, no segundo ano, torna-se uma fonte de erros.

Tem de conseguir avaliar a eficácia, não ler todos os pormenores. No caso de conteúdos com dados pessoais ou especialmente sensíveis, excertos rasurados, amostragens ou consulta no ecrã sem cópia são habituais e aceites.

Insista em que a forma de lidar com isso fique esclarecida antes da auditoria, não na sala de auditoria.

Menos do que se pensa, desde que mantenha referências em vez de cópias. A Basic inclui 1 GB, a Professional 10 GB e a Enterprise 100 GB. Quem guarda cada captura de ecrã em resolução máxima chega mais depressa ao limite do que quem coloca uma ligação para o sistema de tickets.

Que o mesmo facto é exigido em vários referenciais e o comprova exatamente uma vez. A gestão de acessos consta do Anexo A da ISO 27001, da medida 9 da NIS2, da gestão do risco de TIC do DORA e dos critérios comuns do SOC 2. São quatro vezes a mesma pergunta.

Quem mantém uma pasta própria por referencial mantém a mesma evidência várias vezes – e, ao fim de um ano, tem-na em três versões diferentes.

Uma evidência é guardada uma vez e associada a todos os requisitos a que dá resposta – para além das fronteiras entre referenciais. Uma alteração reflete-se em todos os requisitos associados; se a evidência expirar, expira em todo o lado.

A diferença em relação à solução em folha de cálculo não se vê na criação, mas um ano depois: lá, a mesma evidência existe em três versões; aqui, numa só.

Depende do par, e só é possível dizê-lo com seriedade com os seus dados. Valores de experiência aproximados: a ISO 27001 e a NIS2 sobrepõem-se fortemente no lado técnico e organizativo; a ISO 27001 e o SOC 2 também; a ISO 27001 e o RGPD apenas no que respeita ao artigo 32.º.

Não indicamos deliberadamente nenhuma percentagem. Quem lhe diz que dois referenciais se sobrepõem em 80 % ou não viu o seu âmbito ou está a contar requisitos em vez de esforço.

Tudo o que está ligado a uma determinada consequência jurídica ou a um determinado procedimento. Os prazos de notificação da NIS2 e do DORA não são idênticos. A deliberação da administração exigida pela NIS2 não substitui a revisão pela gestão da ISO 27001. O registo de informações do DORA não tem correspondência na ISO 27001.

São precisamente estes restos a razão pela qual uma simples tabela de correspondências não basta.

Primeiro o mais abrangente, se puder escolher. A ISO 27001 é a que mais contribui para outros referenciais, porque tanto o sistema de gestão como o catálogo de controlos são necessários. Depois disso, o segundo referencial é sobretudo um complemento e não uma construção de raiz.

Se houver um prazo a apertar, ganha o prazo. A NIS2 e o DORA não perguntam se fez a ISO antes.

Não. As normas ISO são normas internacionais, e um certificado ISO 27001 ou ISO 9001 é reconhecido em todo o mundo, desde que o organismo de certificação emissor seja acreditado e o organismo de acreditação faça parte do acordo multilateral do International Accreditation Forum. Na Alemanha, esse organismo é a DAkkS.

Puramente europeus são apenas os atos jurídicos: a NIS2, o DORA, o RGPD e o Regulamento da IA. Também estes abrangem fornecedores de fora da UE, a partir do momento em que fornecem para a UE ou tratam dados de pessoas na UE. Inversamente, o SOC 2 e o NIST têm cunho norte-americano e são procurados em todo o mundo.

Em resumo: a norma é global, a obrigação é regional.

Não. O Sightadel é software para a preparação e a manutenção – não certificamos nem realizamos auditorias de certificação. O certificado é emitido por um organismo de certificação acreditado após uma auditoria.

A escolha do organismo de certificação é livre. Pode contratar um por sua conta ou contactar um da nossa rede de parceiros independente. Não há comissões pelas auditorias – nem para nós, nem para os parceiros.

Esta separação não é reserva, é um princípio: segundo a ISO 17021, um organismo de certificação tem de ser imparcial e não pode prestar consultoria e certificar a mesma organização. Quem oferece software, consultoria e certificado da mesma origem cria um conflito de interesses que, no fim, torna o seu certificado contestável.

Sim. Existe uma função de Auditor própria, sempre externa – um utilizador interno não a pode receber. O auditor vê o âmbito da auditoria, comenta e, após a sua aprovação, cria ou edita entradas. Nunca pode apagar nada. Isto evita o envio de pastas de evidências por e-mail e permite rastrear o que o auditor viu.

Para as consultoras e os consultores que chamar existe uma função separada, para que na auditoria não se confunda quem auditou e quem colaborou.

Em duas fases. A fase 1 é, no essencial, uma análise documental: âmbito, política, metodologia de risco, Declaração de Aplicabilidade, programa de auditoria. A fase 2 verifica a eficácia no local ou remotamente, com amostragens e entrevistas.

Seguem-se duas auditorias de acompanhamento nos anos seguintes e, no terceiro ano, a recertificação. O ciclo dura três anos.

Depende do número de trabalhadores e da complexidade, e é determinado pelo organismo de certificação segundo a ISO 27006. Ordem de grandeza para a primeira certificação ISO 27001: cerca de cinco dias até dez trabalhadores, cerca de oito a dez com 50, doze a catorze com algumas centenas.

As auditorias de acompanhamento rondam um terço e a recertificação cerca de dois terços do tempo da auditoria inicial. Desde a versão de 2024, o cálculo é mais baseado no risco – os números são uma orientação, não um direito.

Sim, desde que a pessoa que audita não audite a sua própria área de trabalho. Independência significa aqui objetividade, não ser externo. Em organizações pequenas, as áreas auditam-se mutuamente; se isso não for possível, um auditor interno externo é o caminho habitual.

O trabalho que faz a diferença. Um certificado é um retrato do momento, válido por três anos, com duas auditorias de acompanhamento pelo meio. Entre as auditorias, os ciclos continuam: revisões de acessos, avaliações de fornecedores, formações, testes de recuperação, revisão pela gestão.

O erro clássico é a pausa depois da auditoria inicial. Na primeira auditoria de acompanhamento nota-se, porque faltam evidências de onze meses.

Por três vias: como aviso no painel, na newsletter e na secção de notícias em sightadel.com. O aviso no painel é o mais direcionado – só aparece para os referenciais que subscreveu e não para todos os outros.

Em cada caso é indicado o que mudou, o que isso significa para os seus pontos de controlo e até quando é preciso agir.

Não. As novas versões dos referenciais disponíveis ficam incluídas na subscrição em curso sem custos adicionais. Numa transição como a da ISO 27001:2013 para a 2022, recebe a nova estrutura e a correspondência das evidências existentes.

A transição em si continua a dar trabalho – mas não lhe cabe pagar por ela outra vez.

Isso é definido pelo International Accreditation Forum para cada norma; o habitual são três anos a partir da publicação. Findo esse prazo, os certificados da versão antiga perdem a validade, independentemente de quando termina o seu próprio ciclo.

Na prática, isto significa: a transição deve ser feita numa auditoria de acompanhamento ou de recertificação regular, não numa auditoria extraordinária pouco antes do fim do prazo.

Em centros de dados na Alemanha. O desenvolvimento, a operação e o suporte também estão aqui. Sem desvios por centros de dados no estrangeiro, sem acesso ao abrigo de direito estrangeiro.

Para uma parte dos nossos clientes, é essa a razão para falarem connosco – e, para todos os outros, pelo menos uma pergunta a menos no questionário de fornecedores.

Sim. O Sightadel trata dados pessoais por sua conta – contas de utilizador, responsabilidades, por vezes conteúdos de evidências. O acordo de subcontratação nos termos do artigo 28.º do RGPD faz parte do conjunto contratual, incluindo a lista de subcontratantes ulteriores.

Sim. Evidências, pontos de controlo e estados podem ser exportados – é uma condição para que um auditor possa trabalhar com eles e a sua proteção contra a dependência do fornecedor.

Já agora, pergunte isto a qualquer fornecedor, incluindo a nós, e peça que lho mostrem em vez de lho prometerem.

Tenha uma exportação atualizada disponível antes de cada auditoria. Não é desconfiança em relação a nós, é a mesma precaução que exige a si próprio no seu plano de recuperação.

A neonotu GmbH, que desenvolve e opera o Sightadel, é certificada segundo a ISO 9001 e a ISO 27001. Tratamos os dados em conformidade com o RGPD e cumprimos os requisitos do DORA aplicáveis aos prestadores terceiros de serviços de TIC.

O nosso próprio sistema de gestão é gerido no Sightadel – é o teste mais honesto que uma ferramenta deste tipo pode passar.

O licenciamento é feito por referencial e edição (Basic, Professional, Enterprise), com um preço mensal fixo. Todos os preços e um simulador estão disponíveis na nossa página de preços.

Há descontos para vários frameworks e para pagamento antecipado. As condições e a comparação das edições também estão na nossa página de preços.

Os contratos têm a duração mínima de um ano. Pode pagar mensal ou anualmente: há descontos para pagamento antecipado; as condições estão na nossa página de preços.

Não. O organismo de certificação fatura em separado e diretamente à sua empresa, e tem de o fazer, porque tem de ser independente. Não recebemos qualquer comissão por isso. Ordem de grandeza na Alemanha: primeira certificação ISO 27001 entre cerca de 9000 e 13 000 € até 50 trabalhadores, 15 000 a 22 000 € até 250 (custos do organismo de certificação, não do Sightadel). As auditorias de acompanhamento ficam bastante abaixo.

Estes intervalos resultam da observação do mercado, não são uma proposta – peça duas a três propostas, as diferenças são consideráveis.

Exporta as suas evidências e o seu estado de trabalho. O que leva consigo é o seu trabalho.

Preferimos que saia com os seus dados a que fique por receio de os perder.