O que é a ISO/IEC 27001
A ISO/IEC 27001 é a norma internacional que define os requisitos de um sistema de gestão de segurança da informação (SGSI). A versão em vigor é a de 2022, que substituiu a edição de 2013. O período de transição para os certificados antigos terminou em outubro de 2025, pelo que hoje os certificados válidos são emitidos face à versão de 2022.
O ponto central é a gestão do risco. A norma não diz que tecnologia usar nem impõe uma lista fixa de medidas. Exige que a organização identifique os riscos para a confidencialidade, integridade e disponibilidade da informação, decida como tratá-los e demonstre que os controlos escolhidos funcionam e são melhorados ao longo do tempo. É por isso que a norma se aplica tanto a uma startup de software com vinte pessoas como a um grupo industrial.
Estrutura da norma: cláusulas e Anexo A
A ISO/IEC 27001:2022 tem duas partes distintas. As cláusulas 4 a 10 são obrigatórias e descrevem o sistema de gestão: contexto da organização, liderança, planeamento, suporte, operação, avaliação do desempenho e melhoria. Não é possível excluir nenhuma delas.
O Anexo A contém 93 controlos de referência, organizados em quatro temas:
- Controlos organizacionais (37), como políticas, gestão de fornecedores, gestão de incidentes e continuidade.
- Controlos de pessoas (8), como triagem, sensibilização, formação e teletrabalho.
- Controlos físicos (14), como perímetros de segurança, proteção de equipamentos e eliminação segura.
- Controlos tecnológicos (34), como gestão de acessos, cópias de segurança, registo de eventos, desenvolvimento seguro e cifra.
Quem procura a certificação em Portugal e porquê
A certificação não é obrigatória por lei, mas na prática tornou-se um requisito comercial em vários setores. É comum em empresas de tecnologia e serviços de cloud, centros de serviços partilhados, empresas de outsourcing que trabalham para clientes internacionais, fornecedores do setor financeiro e da saúde e organizações que concorrem a contratos públicos onde a segurança é critério de avaliação.
O enquadramento regulatório também empurra nesse sentido. A Diretiva NIS2 (Diretiva (UE) 2022/2555) alarga as obrigações de cibersegurança a muitas mais entidades, e o Regulamento DORA aplica-se às entidades financeiras desde 17 de janeiro de 2025. Nenhum destes diplomas obriga a certificar-se, mas um SGSI conforme à ISO 27001 cobre grande parte das medidas exigidas. O Centro Nacional de Cibersegurança (CNCS) publica também o Quadro Nacional de Referência para a Cibersegurança, que pode ser usado em conjunto com a norma. Confirme junto do CNCS as obrigações aplicáveis ao abrigo da legislação nacional que transpõe a NIS2.
Verifique a sua preparação gratuitamente
10–15 minutos, sem registo: pontuação de prontidão, relatório de lacunas e recomendações de IA.
Como funciona a certificação: quem certifica
Em Portugal, a certificação é emitida por organismos de certificação independentes. O que dá credibilidade ao certificado é a acreditação desse organismo. O organismo nacional de acreditação é o IPAC, Instituto Português de Acreditação. Um certificado emitido por um organismo acreditado pelo IPAC, ou por outro organismo de acreditação signatário dos acordos de reconhecimento mútuo europeus e internacionais, é reconhecido pelos clientes e pelo mercado.
Antes de escolher, confirme no site do organismo de acreditação que a entidade certificadora está acreditada especificamente para a ISO/IEC 27001. Desconfie de ofertas de certificação rápida sem auditoria no local ou em que a mesma entidade se oferece para implementar o sistema e depois certificá-lo, já que isso compromete a independência exigida.
As etapas do processo de certificação
O percurso típico, depois de o SGSI estar implementado e em funcionamento durante alguns meses, é o seguinte:
- Pedido e proposta: a empresa indica o âmbito, o número de colaboradores e as localizações, e o organismo calcula a duração da auditoria.
- Auditoria de fase 1: revisão da documentação e da preparação, incluindo âmbito, avaliação de riscos, Declaração de Aplicabilidade e auditoria interna.
- Auditoria de fase 2: verificação no terreno de que o sistema funciona, com entrevistas, amostragem de registos e observação de controlos.
- Tratamento de não conformidades: as não conformidades maiores têm de ser corrigidas antes da emissão do certificado.
- Decisão e emissão do certificado, válido por três anos.
- Auditorias de acompanhamento anuais e auditoria de renovação no terceiro ano.
O que o auditor vai pedir
A auditoria baseia-se em evidências. Ter políticas bem escritas não chega se não houver registos de que são aplicadas. Entre os documentos e registos mais pedidos estão o âmbito do SGSI, a política de segurança da informação, a metodologia e os resultados da avaliação de riscos, o plano de tratamento de riscos, a Declaração de Aplicabilidade com a justificação de cada controlo incluído ou excluído e os objetivos de segurança com indicadores.
Na fase 2, o auditor costuma pedir amostras concretas: revisões periódicas de acessos, registos de formação e sensibilização, avaliações de fornecedores, registos de incidentes, provas de testes de restauro de cópias de segurança, o relatório da auditoria interna e a ata da revisão pela gestão. É aqui que muitas empresas tropeçam, porque implementaram controlos mas não guardaram provas.
Erros comuns em empresas que se preparam pela primeira vez
O primeiro erro é tratar a norma como um projeto exclusivo do departamento de informática. A ISO 27001 exige envolvimento da gestão de topo, recursos humanos, área jurídica e compras. O segundo é copiar modelos documentais genéricos sem os adaptar, o que gera políticas que ninguém cumpre e contradições que o auditor deteta facilmente.
Outros erros frequentes são definir um âmbito pouco claro, fazer uma avaliação de riscos superficial que não explica a escolha dos controlos, esquecer os fornecedores críticos e marcar a auditoria de certificação antes de existir pelo menos uma auditoria interna completa e uma revisão pela gestão. Por fim, muitas organizações subestimam o esforço de manutenção: o certificado exige que o sistema continue vivo entre auditorias.
Por onde começar
Comece por uma análise de lacunas honesta face às cláusulas 4 a 10 e aos 93 controlos do Anexo A. Defina um âmbito realista, nomeie um responsável com tempo para o projeto e garanta o apoio formal da administração. Depois, priorize a avaliação de riscos, porque é ela que orienta todo o resto. Uma autoavaliação gratuita no baltum.ai mostra em poucos minutos o seu grau de preparação para a ISO 27001 e as principais lacunas a resolver.
Perguntas frequentes
A certificação ISO 27001 é obrigatória em Portugal?
Não existe uma obrigação legal geral de certificação. No entanto, muitos clientes, concursos e parceiros exigem-na, e regimes como a NIS2 e o DORA impõem medidas de segurança que a norma ajuda a cumprir.
Quanto tempo demora a obter a certificação?
Depende da dimensão da empresa, do âmbito e da maturidade inicial. Para além da implementação, o sistema precisa de funcionar durante algum tempo para gerar registos, auditoria interna e revisão pela gestão antes da auditoria externa.
Qual a validade do certificado ISO 27001?
O certificado é válido por três anos. Durante esse período há auditorias de acompanhamento anuais e, no fim do ciclo, uma auditoria de renovação.
Posso excluir controlos do Anexo A?
Sim, desde que a exclusão seja justificada na Declaração de Aplicabilidade com base na avaliação de riscos e nos requisitos aplicáveis. As cláusulas 4 a 10, pelo contrário, não podem ser excluídas.
Qual é a diferença entre ISO 27001 e ISO 27002?
A ISO 27001 define os requisitos certificáveis do sistema de gestão. A ISO/IEC 27002 é um guia que explica como implementar os controlos do Anexo A, mas não é certificável por si só.
Verifique a sua preparação gratuitamente
10–15 minutos, sem registo: pontuação de prontidão, relatório de lacunas e recomendações de IA.
Fontes
Este artigo é informativo e não constitui aconselhamento jurídico. O baltum.ai é um software independente, não um organismo de certificação.