08
Perguntas
Norma ISO 22301 · Sistema de gestão certificável
Continuar a operar quando algo corre mal.
A ISO 22301 é a norma dos sistemas de gestão da continuidade de negócio: saber que atividades não podem parar, durante quanto tempo podem estar interrompidas, e ter planos testados para as retomar. É o que a NIS2 e o DORA exigem, e o que os clientes querem ver antes de depender de si.
NormaCertificável
ISO 22301. Segurança e resiliência. Sistemas de gestão da continuidade de negócio. Requisitos.
Decreto-Lei n.º 125/2025 no Diário da República →Atualizado a
Instrumento
O custo da paragem que decidir aceitar
Um plano de continuidade assenta em duas decisões: quanto tempo a atividade pode estar parada e quanto trabalho se aceita perder. O custo por hora é próprio de cada organização e deve ser introduzido por si.
RTO, tempo máximo de paragem aceitável24 horas
RPO, perda máxima de dados aceitável4 horas
Custo de uma hora de paragem na sua empresa
Introduza o custo de uma hora de paragemPara mais de 90 % das médias e grandes empresas, uma hora de paragem custa mais de 300 mil dólares, e para 41 % está entre 1 e mais de 5 milhões. ITIC, 2024.
4 horasde dados perdidos: refaz-se o trabalho de meio dia
Uma vez por anoé o mínimo a que o DORA obriga a testar os planos. Art. 11.º, n.º 6
Continuidade das atividades, cópias de segurança, recuperação de desastres e gestão de crises são medidas mínimas obrigatórias da NIS2 e do Decreto-Lei n.º 125/2025. A ISO 22301 permite implementá-las e demonstrá-las.
Fonte: ITIC, Hourly Cost of Downtime 2024; Uptime Institute, Annual Outage Analysis 2026 Ver a fonte →
01
Uma hora de paragem custa mais de 300 mil dólares a mais de 90 % das médias e grandes empresas. A ISO 22301 prepara a organização para continuar.
A ISO 22301 exige que a organização analise o impacto de uma interrupção em cada atividade (a análise de impacto no negócio), defina quanto tempo cada uma pode estar parada e quanta informação pode perder, escolha estratégias de continuidade à medida desse impacto, escreva planos de resposta e de recuperação, os exercite e os corrija depois de cada teste ou incidente real.
Não é um plano de recuperação de desastres informáticos. É a continuidade do negócio inteiro: pessoas, instalações, fornecedores, sistemas e comunicação em crise. A tecnologia é uma parte; a decisão sobre o que se recupera primeiro é da gestão, e a norma obriga a tomá-la antes do incidente.
90 %
das médias e grandes empresas: uma hora de paragem custa-lhes mais de 300 mil dólares.
ITIC, 2024 · Fonte →57 %
dizem que a última paragem grave custou mais de 100 mil dólares; uma em cada cinco, mais de 1 milhão.
Uptime Institute, 2026 · Fonte →9 em 10
paragens têm contributo de erro humano.
Uptime Institute, 2026 · Fonte →02
Para quem
Quem procura a ISO 22301.Quatro situações em que a norma se torna necessária.
01
Entidades abrangidas pela NIS2
O artigo 21.º exige continuidade das atividades, cópias de segurança, recuperação de desastres e gestão de crises. A 22301 é a forma reconhecida de o cumprir e provar.
02
Banca, seguros e os seus fornecedores de TIC
O DORA exige resiliência operacional digital testada. A norma estrutura a continuidade que o regulador vai auditar.
03
Nuvem, centros de dados e serviços críticos
Quem serve clientes que não podem parar tem de demonstrar a sua própria continuidade. O certificado é a prova contratual.
04
Saúde, infraestruturas e logística
Operações onde uma paragem tem custo humano ou público. Os planos existem, mas raramente são testados. A norma obriga a testá-los.
03
O que a norma exige
O que o auditor vai procurar.Seis pontos, pela ordem da norma. Assinale o que a sua organização já tem e leve a lista do que falta para a reunião.
01
Análise de impacto no negócio
Que atividades sustentam o negócio, o que acontece se pararem, ao fim de quanto tempo o dano é inaceitável, e de que recursos dependem.
Evidência que o auditor pedeRegisto da análise de impacto com tempos por atividade, aprovado pela gestão.
02
Avaliação de risco de interrupção
Que cenários podem parar essas atividades: falha tecnológica, ciberataque, perda de instalações, fornecedor crítico, ausência de pessoas.
Evidência que o auditor pedeAvaliação de risco ligada às atividades críticas, com critérios definidos.
03
Estratégias e soluções de continuidade
Redundância, locais alternativos, fornecedores de reserva, cópias de segurança com os tempos de recuperação e de perda de dados definidos.
Evidência que o auditor pedeOpções avaliadas, decisão de gestão registada, recursos atribuídos.
04
Planos de resposta e recuperação
Quem decide, quem comunica, quem executa, por que ordem. Planos claros, que se conseguem seguir a qualquer hora e sob pressão.
Evidência que o auditor pedePlanos aprovados, listas de contactos atuais, responsabilidades nomeadas.
05
Exercícios e testes
Simulações, testes de recuperação e exercícios de mesa com registo dos resultados e correção dos planos. Um plano só fica validado depois de testado.
Evidência que o auditor pedePrograma de exercícios, relatórios e ações corretivas fechadas.
06
Avaliação após incidentes e melhoria
Cada incidente real ou exercício alimenta a revisão dos planos. Auditoria interna e revisão pela gestão fecham o ciclo.
Evidência que o auditor pedeAtas de revisão pela gestão, relatório de auditoria interna, registo de lições.
Marque o que já tem.Cada ponto indica a evidência que o auditor externo vai pedir, que é o critério para aferir se está cumprido.
Levar esta lista à reunião →04
Como trabalhamos
Da análise de lacunas ao certificado.
01
Análise de lacunas
A situação atual face à norma, ponto por ponto. O resultado é um mapa do que falta, do que já está conforme e do esforço necessário.
02
Implementação do sistema
Processos, documentação e indicadores ajustados à sua realidade. O sistema tem de servir a operação, não o contrário.
03
Auditoria interna
Conduzida por auditores certificados na norma, com os critérios que o auditor externo vai aplicar. A organização chega preparada à auditoria de certificação.
04
Acompanhamento na certificação
Presença na auditoria do organismo de certificação e nas auditorias de acompanhamento anuais, para que a certificação se mantenha válida.
05
O ciclo de certificação
Um certificado de três anos, acompanhado todos os anos.
Fase 1
Revisão documental e prontidão para a auditoria.
Fase 2
Auditoria no terreno: o sistema em funcionamento. Emissão do certificado.
Ano 1
Auditoria de acompanhamento.
Ano 2
Auditoria de acompanhamento.
Ano 3
Auditoria de renovação. Novo ciclo de três anos.
A N4A acompanha cada uma destas auditorias do organismo de certificação.
06
ISO 22301 + NIS2 + DORA
A continuidade que a lei já exige.
A NIS2 lista a continuidade das atividades, a gestão de cópias de segurança, a recuperação de desastres e a gestão de crises entre as medidas mínimas do artigo 21.º. O DORA exige ao setor financeiro uma política de continuidade das TIC e testes de resiliência. A ISO 22301 dá a estas obrigações um sistema com método, evidência e certificado.
Ver as medidas do artigo 21.º da NIS2 →NIS2, art. 21.º, n.º 2, alínea c)Análise de impacto, estratégias de continuidade, planos de resposta e recuperação.
NIS2, art. 21.º, n.º 2, alíneas a) e f)Avaliação de risco de interrupção; exercícios, auditoria interna e revisão pela gestão.
DORA, art. 11.ºPolítica de continuidade das TIC, planos de resposta e recuperação, testes anuais.
07
A continuidade preparada por Lead Auditores ISO 22301, e testada antes de ser necessária.
20+anos em segurança da informação, desde 2006
30+consultores e auditores no grupo
15normas e regulamentos na carta de serviços
Análise de impacto, estratégias e exercícios: a auditoria interna confirma que o plano funciona, e não apenas que existe. As certificações da equipa →
O que ganho em certificar a minha empresa na ISO 22301?+
Saber como atuar perante uma paragem, com planos testados, e poder prová-lo a clientes, seguradoras e à autoridade. A continuidade é medida obrigatória na NIS2 e no DORA. O custo da falta de preparação: para mais de 90 % das médias e grandes empresas, uma hora parada custa mais de 300 mil dólares, e a Marks and Spencer declarou cerca de 300 milhões de libras de impacto num único incidente em 2025.
O que é a ISO 22301?+
É a norma internacional dos sistemas de gestão da continuidade de negócio. Exige a análise de impacto de interrupções, a avaliação dos riscos que as causam, estratégias e planos de continuidade e recuperação, exercícios regulares e melhoria contínua.
É o mesmo que um plano de recuperação de desastres?+
Não. A recuperação de desastres trata da tecnologia. A continuidade de negócio trata da organização inteira: pessoas, instalações, fornecedores, comunicação e a decisão de gestão sobre o que se recupera primeiro. O plano de recuperação de desastres é uma das soluções dentro do sistema.
A NIS2 obriga a ter a ISO 22301?+
Não obriga a certificação, mas exige medidas de continuidade das atividades, cópias de segurança, recuperação de desastres e gestão de crises, no artigo 21.º. A norma é a forma estruturada e reconhecida de cumprir estas medidas e de as demonstrar à autoridade.
O que são RTO e RPO?+
O RTO é o tempo máximo que uma atividade pode estar parada antes de o dano ser inaceitável. O RPO é a quantidade máxima de informação que se pode perder, medida em tempo desde a última cópia. A norma obriga a definir os dois para cada atividade crítica e a testar que se cumprem.
Quem emite o certificado?+
Um organismo de certificação acreditado, depois de uma auditoria externa. A N4A prepara a organização, conduz a auditoria interna e acompanha a auditoria de certificação; não emite certificados.
Ver também
Enquadramentos relacionados.
Saiba em que ponto está e quanto falta.
Uma reunião com quem conduz as auditorias, para determinar o que já está implementado, o que falta e por que ordem, com uma estimativa realista do caminho até à certificação.
Agendar reunião →