Continuar a operar
quando algo corre mal.
A ISO 22301 é a norma dos sistemas de gestão da continuidade de negócio: saber que atividades não podem parar, quanto tempo aguentam paradas, e ter planos testados para as retomar. É o que a NIS2 e o DORA exigem, e o que os clientes querem ver antes de depender de si.
Auditoria interna e consultoria
até à certificação
por um organismo acreditado.
O QUE É A ISO 22301
Segurança e resiliência. Sistemas de gestão da continuidade de negócio. Requisitos.
A ISO 22301 exige que a organização analise o impacto de uma interrupção em cada atividade (a análise de impacto no negócio), defina quanto tempo cada uma pode estar parada e quanta informação pode perder, escolha estratégias de continuidade à medida desse impacto, escreva planos de resposta e de recuperação, os exercite e os corrija depois de cada teste ou incidente real.
Não é um plano de recuperação de desastres informáticos. É a continuidade do negócio inteiro: pessoas, instalações, fornecedores, sistemas e comunicação em crise. A tecnologia é uma parte; a decisão sobre o que se recupera primeiro é da gestão, e a norma obriga a tomá-la antes do incidente.
- Natureza
- Norma de requisitos. Certificável.
- Estrutura
- Estrutura harmonizada das normas ISO de gestão, comum à 9001 e à 27001.
- Certificação
- Por organismo de certificação acreditado, em Portugal pelo IPAC. Ciclo de três anos com auditorias anuais.
- O que a N4A faz
- Auditoria interna e consultoria para certificação ISO 22301.
PARA QUEM FAZ SENTIDO
Quem procura a ISO 22301.
Entidades abrangidas pela NIS2
O artigo 21.º exige continuidade das atividades, cópias de segurança, recuperação de desastres e gestão de crises. A 22301 é a forma reconhecida de o cumprir e provar.
Banca, seguros e os seus fornecedores de TIC
O DORA exige resiliência operacional digital testada. A norma estrutura a continuidade que o regulador vai auditar.
Cloud, centros de dados e serviços críticos
Quem tem clientes que não podem parar tem de provar que também não para. O certificado é a prova contratual.
Saúde, infraestruturas e logística
Operações onde uma paragem tem custo humano ou público. Os planos existem, mas raramente foram testados. A norma obriga a testá-los.
O QUE A NORMA EXIGE
O que o auditor vai procurar.
Análise de impacto no negócio
Que atividades sustentam o negócio, o que acontece se pararem, ao fim de quanto tempo o dano é inaceitável, e de que recursos dependem.
Avaliação de risco de interrupção
Que cenários podem parar essas atividades: falha tecnológica, ciberataque, perda de instalações, fornecedor crítico, ausência de pessoas.
Estratégias e soluções de continuidade
Redundância, locais alternativos, fornecedores de reserva, cópias de segurança com os tempos de recuperação e de perda de dados definidos.
Planos de resposta e recuperação
Quem decide, quem comunica, quem executa, por que ordem. Planos que uma pessoa consegue seguir às três da manhã.
Exercícios e testes
Simulações, testes de recuperação e exercícios de mesa com registo dos resultados e correção dos planos. Um plano não testado é uma hipótese.
Avaliação após incidentes e melhoria
Cada incidente real ou exercício alimenta a revisão dos planos. Auditoria interna e revisão pela gestão fecham o ciclo.
O CAMINHO
Como o levamos à certificação.
Análise de lacunas
Onde está hoje face à norma, ponto por ponto. Sai com um mapa do que falta, do que já serve e do esforço real.
Implementação do sistema
Processos, documentação e indicadores ajustados à sua realidade. O sistema tem de servir a operação, não o contrário.
Auditoria interna
Conduzida por auditores certificados na norma, com os critérios que o auditor externo vai aplicar. Sem surpresas na auditoria de certificação.
Acompanhamento na certificação
Ao seu lado na auditoria do organismo de certificação e nas auditorias de acompanhamento anuais. A certificação mantém-se viva.
A auditoria interna aplica os critérios da auditoria externa: é conduzida por auditores certificados nas normas em causa. A N4A não emite certificados; prepara a organização para o organismo de certificação.
ISO 22301 + NIS2 + DORA
A continuidade que a lei já exige.
A NIS2 lista a continuidade das atividades, a gestão de cópias de segurança, a recuperação de desastres e a gestão de crises entre as medidas mínimas do artigo 21.º. O DORA exige ao setor financeiro uma política de continuidade das TIC e testes de resiliência. A ISO 22301 dá a estas obrigações um sistema com método, evidência e certificado.
Ver as medidas do artigo 21.º da NIS2
PERGUNTAS FREQUENTES
As perguntas que mais nos fazem.
É a norma internacional dos sistemas de gestão da continuidade de negócio. Exige a análise de impacto de interrupções, a avaliação dos riscos que as causam, estratégias e planos de continuidade e recuperação, exercícios regulares e melhoria contínua.
Não. A recuperação de desastres trata da tecnologia. A continuidade de negócio trata da organização inteira: pessoas, instalações, fornecedores, comunicação e a decisão de gestão sobre o que se recupera primeiro. O plano de recuperação de desastres é uma das soluções dentro do sistema.
Não obriga a certificação, mas exige medidas de continuidade das atividades, cópias de segurança, recuperação de desastres e gestão de crises, no artigo 21.º. A norma é a forma estruturada e reconhecida de cumprir essa medida e de a demonstrar à autoridade.
O RTO é o tempo máximo que uma atividade pode estar parada antes de o dano ser inaceitável. O RPO é a quantidade máxima de informação que se pode perder, medida em tempo desde a última cópia. A norma obriga a definir os dois para cada atividade crítica e a testar que se cumprem.
Um organismo de certificação acreditado, depois de uma auditoria externa. A N4A prepara a organização, conduz a auditoria interna e acompanha a auditoria de certificação; não emite certificados.
A certificação ISO 22301 não precisa de ser complicada.
Fale connosco e saiba em que ponto está e quanto falta para a certificação.
Uma hora, três respostas.
Se está abrangido
E se é entidade essencial ou importante.
O que lhe falta
Face às dez medidas do artigo 21.º.
Quanto tempo tem
Os prazos que se aplicam ao seu caso.
Jorge Miranda
Lead Auditor certificado ISO 27001 e ISO 31000 · Lidera a equipa técnica da N4A
Equipa técnica
Consultores e auditores especializados. Construíram a Plataforma NIS2 Compliance.
Tiago Cerqueira
Account Manager · Responsável comercial do seu projeto
Equipa comercial
Account managers e gestão de clientes.