Soluções à medida para médias empresas
Numa média empresa, muitas vezes uma só pessoa trata da segurança da informação, da proteção de dados e da qualidade, quase sempre além do trabalho habitual. A isso juntam-se a NIS2, auditorias de clientes e questionários. O Sightadel guia pelos frameworks, liga cada evidência a todos os requisitos que cumpre e mostra à gestão de topo o ponto de situação.
Ponto de partida
As médias empresas raramente têm um departamento próprio de segurança da informação. A tarefa fica com a direção de TI, com a gestão da qualidade ou com uma pessoa da administração. Prestadores externos tratam da rede, dos servidores ou do software. O conhecimento de como a empresa trabalha realmente está repartido por poucas pessoas.
Os requisitos chegam de vários lados ao mesmo tempo. Desde dezembro de 2025 vigora a nova lei alemã do BSI (BSIG), e muitas empresas a partir de 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios e de balanço total ficam abrangidas como entidade importante. Os grandes clientes exigem um certificado ISO 27001 ou enviam os seus próprios catálogos. A proteção de dados aplica-se de qualquer forma.
Quem trata cada requisito separadamente faz muita coisa duas vezes. Direitos de acesso, cópias de segurança, formações e a gestão de fornecedores aparecem na ISO 27001, na NIS2 e no RGPD. Com uma base comum, cada evidência é criada uma vez e conta para todos os frameworks que a exigem.
Porquê agora
A BSIG abrange muitos setores que antes não tinham obrigações, como a construção mecânica, a eletrónica, a química, a alimentação, a logística e a gestão de resíduos. A partir da média dimensão aplicam-se o registo, a gestão de riscos e as obrigações de notificação.
O contrato ou o concurso põe um certificado como condição. Muitas vezes há uma data até à qual a evidência tem de existir.
Os clientes abrangidos pela NIS2 ou pelo DORA têm de avaliar os seus fornecedores. Os questionários chegam a si, e cada um é um pouco diferente.
Segundo o § 38 da BSIG, a gestão de topo aprova as medidas, supervisiona a sua aplicação e participa regularmente em ações de formação. Para isso precisa de uma visão de conjunto fiável.
Se o conhecimento está num Excel e na cabeça de uma pessoa, a cada mudança a procura recomeça do zero. Um sistema bem mantido fica, mesmo quando as pessoas mudam.
Seguradoras de riscos cibernéticos e bancos perguntam, antes de contratar ou renovar, por medidas como cópias de segurança, autenticação multifator e plano de emergência. Respostas com evidência facilitam a conversa.
Frameworks relevantes
Resumido por palavras nossas, não constitui aconselhamento jurídico. Prevalece o texto original na versão em vigor.
Estar abrangido depende do setor e da dimensão. As entidades importantes começam a partir de 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios e de balanço total; as essenciais, a partir de 250 trabalhadores ou mais de 50 milhões de euros de volume de negócios e 43 milhões de balanço total. Inclui o registo junto do BSI, a gestão de riscos nos termos do § 30 da BSIG e notificações no prazo de 24 horas.
Ver framework →A evidência habitual perante os clientes e a melhor base para a NIS2. O certificado de um organismo acreditado é válido por três anos, com auditorias de acompanhamento anuais. Muitas medidas do § 30 da BSIG encontram-se no anexo A.
Ver framework →Aplica-se a todas as empresas que tratam dados pessoais. Inclui o registo das atividades de tratamento, acordos com subcontratantes, medidas técnicas e organizativas e um processo para violações de dados.
Ver framework →Muitas médias empresas já estão certificadas pela ISO 9001. O controlo de documentos, a auditoria interna e a revisão pela gestão servem também para a ISO 27001, em vez de criar um segundo sistema.
Ver framework →Ordem recomendada
A sua empresa está abrangida pela NIS2 e o que exigem os seus clientes mais importantes? O NIS2-Check gratuito dá uma primeira orientação. A avaliação jurídica de cada caso cabe à sua assessoria.
Uma pessoa assume o tema e tem tempo para isso. A gestão de topo aprova os objetivos. TI, recursos humanos e compras contribuem, e os prestadores externos colaboram nas suas tarefas.
Análise de riscos, políticas, acessos, cópias de segurança, plano de emergência e fornecedores. Com a ISO 27001 como estrutura, cobre ao mesmo tempo a maior parte da NIS2 e as medidas técnicas do RGPD.
O que falta torna-se uma tarefa com prazo e pessoa responsável. Muito já existe e só precisa de uma evidência. O que é novo costuma ser o que ninguém tinha posto por escrito.
Para a ISO 27001 segue-se a auditoria de um organismo de certificação acreditado. Para a NIS2 tem a documentação pronta para o BSI. Os clientes recebem o certificado e as respostas através do Trust Center.
Foco
Numa média empresa, o que decide é o tempo disponível. Quatro coisas ajudam a que o tema não fique dependente de uma pessoa.
Uma evidência sobre as cópias de segurança serve para a ISO 27001, a NIS2 e o RGPD. Guarda-a uma vez e liga-a a todos os requisitos que cumpre.
Os recursos humanos carregam os comprovativos de formação; o prestador de TI, os registos das cópias de segurança. Cada um vê só as suas tarefas e não tem de aprender uma ferramenta nova.
O painel mostra, por framework, o progresso, as tarefas em aberto e os prazos ultrapassados. A gestão de topo acompanha como Viewer e não tem de pedir relatórios.
Para questões difíceis, como o âmbito ou a avaliação de riscos, contrata consultoria como pacote. Se tiver requisitos que o padrão não cobre, adaptamos o Sightadel mediante acordo.
Como o Sightadel ajuda
A ISO 27001, a NIS2 e o RGPD são trabalhados pergunta a pergunta, com explicação e opções de resposta. Onde os requisitos coincidem, vê-o de imediato e responde uma só vez.
Saber mais →As políticas começam com um modelo para o seu setor. A IA sugere formulações a partir dos dados que já indicou. As decisões que a norma exige de si ficam assinaladas.
Saber mais →Cada lacuna torna-se uma tarefa com prazo e pessoa responsável. O Sightadel lembra antes do fim do prazo, e a gestão de topo vê o que está atrasado.
Saber mais →As evidências têm data, versão e data de validade e estão ligadas a todos os controlos que comprovam. Na auditoria encontra cada evidência no mesmo sítio.
Saber mais →Prestadores de TI, serviços de nuvem e parceiros de manutenção constam de uma lista com risco, contrato e evidências. A avaliação serve ao mesmo tempo para a NIS2, a ISO 27001 e o RGPD.
Saber mais →O Sightadel verifica como os seus domínios se apresentam vistos de fora e mostra cada problema com instruções para o resolver. Pode passar o relatório ao seu prestador de TI.
Saber mais →Mediante acordo
Muitas médias empresas trabalham com diretrizes de uma empresa-mãe, de um grande cliente ou com processos próprios. Grande parte configura no Sightadel por si. O que vai além disso, implementamos para si mediante acordo. O âmbito e os custos constam antes da proposta.
Empresas com diretrizes de grupo, grandes catálogos de clientes ou processos próprios
Cada adaptação começa com uma conversa. Só se implementa quando o âmbito e os custos estão definidos.
Ver adaptações à medidaEsforço e duração
Os intervalos são valores de experiência, não um compromisso. O que mais influencia é o número de instalações, a dimensão do âmbito e quanto tempo a pessoa responsável dedica além do trabalho diário.
O que licencia · tipicamente Professional
Uma média empresa típica abrangida pela NIS2 gere a NIS2 e o RGPD em conjunto com a ISO 27001 na edição Professional. Esta inclui dez utilizadores, dez ativos e 25 fornecedores, o suficiente para gestão de topo, TI, recursos humanos e compras. Licença para a ISO 27001: a partir de 750 € por mês. Como a ISO 27001 está incluída, a NIS2 e o RGPD custam menos de forma permanente. Com várias sociedades ou muitos fornecedores, a Enterprise é a mais adequada.
Licença por framework, duração mínima de um ano, pagamento mensal ou anual. Todos os preços, descontos e uma calculadora estão na página de preços. Os custos de um organismo de certificação ou de auditoria acrescem à parte.
Perguntas e respostas
Mais nas nossas perguntas frequentes ou diretamente através do nosso formulário de contacto.
Depende de duas perguntas. A sua atividade pertence a um dos setores dos anexos 1 ou 2 da BSIG? E tem pelo menos 50 trabalhadores ou mais de 10 milhões de euros de volume de negócios e de balanço total? Se ambas se verificarem, em regra é uma entidade importante. O NIS2-Check dá uma primeira orientação; a avaliação jurídica esclarece com a sua assessoria.
É uma base muito boa, mas não substitui as obrigações legais. Juntam-se o registo junto do BSI, as obrigações de notificação e a obrigação de formação da gestão de topo. No Sightadel vê que requisitos da NIS2 o seu SGSI já cobre.
Sim. O seu prestador de TI colabora como Contributor nas suas tarefas e carrega aí as evidências. A responsabilidade fica na empresa; o trabalho reparte-se por quem o pode fazer.
Para a implementação, muitas empresas contam com algumas horas por semana da pessoa responsável durante vários meses. Depois trata-se da manutenção: renovar evidências, concluir tarefas, rever anualmente. Um número exato depende do âmbito.
Sim. O contexto, a liderança, o controlo de documentos, a auditoria interna e a revisão pela gestão são geridos em conjunto para as duas normas. O que é novo é sobretudo a análise de riscos e as medidas do anexo A.
Cria-o como framework próprio, também por importação a partir de Excel ou Word, e liga as evidências existentes. Se o catálogo for muito extenso, preparamo-lo para si mediante acordo.
Muito configura por si, como responsabilidades, prazos, lembretes e frameworks próprios. O que vai além disso, como outra ligação ou um relatório específico, discutimos consigo e implementamos mediante proposta.
14 dias, acesso completo, sem dados de pagamento. Tudo o que configurar mantém-se no plano pago.
