08
Perguntas
Norma ISO/IEC 20000-1 · Sistema de gestão certificável
Serviços de TI que se prometem e se cumprem.
A ISO/IEC 20000-1 é a norma dos sistemas de gestão de serviços de TI: catálogo, níveis de serviço, incidentes, alterações, continuidade e fornecedores. É o certificado que prova a um cliente que o serviço é gerido, e não apenas prestado.
NormaCertificável
ISO/IEC 20000-1. Tecnologias da informação. Gestão de serviços. Parte 1: Requisitos do sistema de gestão de serviços.
Decreto-Lei n.º 125/2025 no Diário da República →Atualizado a
Instrumento
Clientes sujeitos à NIS2 ou ao DORA
Os clientes que contratam serviços de TI à sua empresa têm obrigações que se estendem aos fornecedores. Selecione o tipo de cliente para ver o que a lei o obriga a avaliar.
O cliente para quem trabalha
A questão deixou de ser se a sua empresa tem processos definidos: passou a ser se os consegue demonstrar.
Entidade essencial ou importante da NIS2
Segurança da cadeia de fornecimentoTem de considerar as vulnerabilidades específicas de cada fornecedor direto e a qualidade das práticas de segurança dele. Art. 21.º, n.º 2, alínea d) da Diretiva (UE) 2022/2555.
Gestão de incidentesTem de notificar a autoridade em prazos contados em horas. Se o incidente tiver origem no seu serviço, a informação terá de ser prestada por si.
Continuidade e cópias de segurançaTem de demonstrar a capacidade de recuperação do serviço. Se o serviço for prestado por si, a prova também lhe caberá.
Responsabilidade do órgão de gestãoA administração do cliente responde pessoalmente pelas medidas. Por essa razão, a avaliação de fornecedores deixou de ser uma formalidade.
Fonte: Diretiva (UE) 2022/2555, art. 21.º; Regulamento (UE) 2022/2554, art. 6.º e 11.º Ver a fonte →
01
Quem contrata serviços de TI sob a NIS2 ou o DORA tem de avaliar o fornecedor. A ISO/IEC 20000-1 é a evidência que o fornecedor apresenta.
A ISO/IEC 20000-1 exige que quem presta serviços de TI, a clientes externos ou à própria organização, os tenha definidos num catálogo, com níveis de serviço acordados e medidos, e com processos para incidentes, pedidos, problemas, alterações, configuração, capacidade, disponibilidade e continuidade. Os fornecedores que participam no serviço são geridos como parte dele.
Para um prestador de serviços geridos ou uma empresa de software com suporte, o certificado responde à pergunta que todo o cliente faz antes de assinar: o que acontece em caso de falha, e em que prazo se resolve. Para os clientes abrangidos pela NIS2 ou pelo DORA, que têm de gerir a segurança da sua cadeia de fornecimento, é a evidência que pedem aos fornecedores de TI.
27 332
certificados ISO/IEC 20000-1 no mundo no fim de 2024.
ISO Survey 20248.ª
norma de sistema de gestão mais certificada no mundo.
ISO Survey 202415
certificados em Portugal sob acreditação do IPAC (Instituto Português de Acreditação): quem a detém diferencia-se.
IPAC, Relatório 2024 · Fonte →02
Para quem
Quem procura a ISO/IEC 20000-1.Quatro situações em que a norma se torna necessária.
01
Prestadores de serviços geridos e MSP
Organizações cuja atividade assenta em contratos com níveis de serviço. O certificado prova que o serviço é gerido por processos, não por pessoas.
02
Fornecedores de software, serviços na nuvem e suporte
Clientes empresariais pedem garantias de incidentes, alterações e continuidade. A norma dá-as de forma auditável.
03
Departamentos de TI internos
Quando a TI é fornecedor das outras áreas, o sistema define o que se entrega e mede o que se cumpre.
04
Fornecedores de entidades NIS2 e DORA
Os clientes regulados têm de avaliar os fornecedores de TI. A 20000-1, em conjunto com a 27001, é a resposta mais completa.
03
O que a norma exige
O que o auditor vai procurar.Seis pontos, pela ordem da norma. Assinale o que a sua organização já tem e leve a lista do que falta para a reunião.
01
Catálogo e níveis de serviço
Que serviços se prestam, a quem, com que níveis acordados, e como se medem e reportam.
Evidência que o auditor pedeCatálogo de serviços e acordos de nível de serviço assinados, com relatórios de desempenho.
02
Incidentes e pedidos de serviço
Registo, classificação, prioridades, escalada e resolução em prazos acordados, com comunicação ao cliente.
Evidência que o auditor pedeRegistos de incidentes e pedidos com prioridades, prazos e comunicação ao cliente.
03
Problemas e causas
Incidentes repetidos analisados até à causa, com erros conhecidos documentados e soluções definitivas.
Evidência que o auditor pedeRegistos de problemas, erros conhecidos e análise de causa.
04
Alterações, entregas e configuração
Alterações avaliadas e aprovadas antes de entrar em produção, com registo do que existe e de como se liga.
Evidência que o auditor pedePedidos de alteração aprovados, calendário de entregas, base de configuração.
05
Capacidade, disponibilidade e continuidade
O serviço dimensionado para a procura, com objetivos de disponibilidade e planos para continuar quando algo falha.
Evidência que o auditor pedePlano de capacidade, objetivos de disponibilidade e plano de continuidade do serviço.
06
Fornecedores e relação com o cliente
Quem contribui para o serviço gerido por contrato e desempenho. Reclamações e satisfação do cliente medidas e tratadas.
Evidência que o auditor pedeContratos com fornecedores geridos, reclamações tratadas, medição de satisfação.
Marque o que já tem.Cada ponto indica a evidência que o auditor externo vai pedir, que é o critério para aferir se está cumprido.
Levar esta lista à reunião →04
Como trabalhamos
Da análise de lacunas ao certificado.
01
Análise de lacunas
A situação atual face à norma, ponto por ponto. O resultado é um mapa do que falta, do que já está conforme e do esforço necessário.
02
Implementação do sistema
Processos, documentação e indicadores ajustados à sua realidade. O sistema tem de servir a operação, não o contrário.
03
Auditoria interna
Conduzida por auditores certificados na norma, com os critérios que o auditor externo vai aplicar. A organização chega preparada à auditoria de certificação.
04
Acompanhamento na certificação
Presença na auditoria do organismo de certificação e nas auditorias de acompanhamento anuais, para que a certificação se mantenha válida.
05
O ciclo de certificação
Um certificado de três anos, acompanhado todos os anos.
Fase 1
Revisão documental e prontidão para a auditoria.
Fase 2
Auditoria no terreno: o sistema em funcionamento. Emissão do certificado.
Ano 1
Auditoria de acompanhamento.
Ano 2
Auditoria de acompanhamento.
Ano 3
Auditoria de renovação. Novo ciclo de três anos.
A N4A acompanha cada uma destas auditorias do organismo de certificação.
06
ISO/IEC 20000-1 + ISO/IEC 27001
Serviço gerido e informação protegida, no mesmo sistema.
As duas normas foram feitas para se integrarem: a mesma estrutura, processos partilhados de incidentes, alterações e fornecedores, e uma única auditoria interna. Para um fornecedor de TI, ter as duas é responder de uma vez às perguntas de serviço e de segurança que os clientes regulados fazem.
Ver a certificação ISO 27001 →NIS2, art. 21.º, cadeia de abastecimentoEvidência de serviço gerido para os clientes regulados que avaliam fornecedores de TI.
DORA, prestadores terceiros de TICNíveis de serviço, incidentes e continuidade exigidos por contrato às entidades financeiras.
ISO/IEC 27001Processos partilhados: incidentes, alterações, fornecedores.
07
Serviços de TI preparados por Lead Auditores ISO/IEC 20000-1, que conhecem as perguntas de quem avalia fornecedores.
20+anos em segurança da informação, desde 2006
30+consultores e auditores no grupo
15normas e regulamentos na carta de serviços
A equipa integra auditores de terceira parte da norma. A N4A prepara; o certificado é emitido por um organismo acreditado. As certificações da equipa →
O que ganho em certificar a minha empresa na ISO/IEC 20000-1?+
Ser o fornecedor que os clientes regulados conseguem aprovar. As entidades NIS2 e as financeiras sob o DORA têm de avaliar os fornecedores de TI: o artigo 28.º do Decreto-Lei n.º 125/2025 diz o que considerar em cada fornecedor direto. A ISO/IEC 20000-1, sobretudo com a 27001, é a evidência de serviço gerido que essa avaliação pede. Em Portugal há 15 certificados sob acreditação IPAC.
O que é a ISO/IEC 20000-1?+
É a norma internacional dos sistemas de gestão de serviços de TI. Exige um catálogo de serviços, níveis de serviço acordados e medidos, e processos para incidentes, problemas, alterações, configuração, capacidade, disponibilidade, continuidade e fornecedores.
Qual é a relação com o ITIL?+
O ITIL é um conjunto de boas práticas de gestão de serviços; a ISO/IEC 20000-1 é a norma de requisitos, auditável e certificável. Quem trabalha segundo o ITIL tem as práticas; a norma pede a evidência de que funcionam e dá o certificado.
Os nossos clientes estão na NIS2. Isto interessa-lhes?+
Sim. As entidades abrangidas pela NIS2 têm de gerir a segurança da cadeia de fornecimento, e os fornecedores de serviços de TI são o primeiro elo que avaliam. A ISO/IEC 20000-1, sobretudo com a ISO 27001, é a evidência mais direta de que o serviço é gerido e seguro.
Serve para um departamento de TI interno?+
Sim. A norma aplica-se a quem presta serviços de TI, a clientes externos ou à própria organização. Um departamento interno certifica o serviço que presta às outras áreas, com os mesmos níveis de serviço e processos.
Quem emite o certificado?+
Um organismo de certificação acreditado, depois de uma auditoria externa. A N4A prepara a organização, conduz a auditoria interna e acompanha a auditoria de certificação; não emite certificados.
Ver também
Enquadramentos relacionados.
Saiba em que ponto está e quanto falta.
Uma reunião com quem conduz as auditorias, para determinar o que já está implementado, o que falta e por que ordem, com uma estimativa realista do caminho até à certificação.
Agendar reunião →