08
Perguntas
Norma ISO/IEC 27001 · Sistema de gestão certificável
A certificação que os seus clientes vão pedir.
A ISO/IEC 27001 é a norma internacional da gestão da segurança da informação. Não é obrigação legal: é o que clientes, concursos e parceiros pedem para confiar os seus dados a uma organização. Na N4A, o projeto é conduzido por um Lead Auditor ISO/IEC 27001 certificado.
NormaCertificável
ISO/IEC 27001. Segurança da informação, cibersegurança e proteção da privacidade. Sistemas de gestão da segurança da informação. Requisitos.
Decreto-Lei n.º 125/2025 no Diário da República →Atualizado a
Instrumento
O que a lei exige e onde a norma responde
O artigo 27.º do Decreto-Lei n.º 125/2025 fixa as áreas das medidas de cibersegurança. A ISO/IEC 27001 trata cada uma delas nos controlos do Anexo A. Marque o que a sua organização já tem.
a)Tratamento de incidentes
b)Continuidade, cópias de segurança, recuperação de desastres e gestão de crises
c)Segurança da cadeia de abastecimento
d)Segurança na aquisição, desenvolvimento e manutenção, incluindo vulnerabilidades
e)Avaliação da eficácia das medidas
f)Ciber-higiene e formação, incluindo o órgão de gestão
g)Criptografia e cifragem
h)Recursos humanos, controlo de acesso e gestão de ativos
i)Autenticação multifator e comunicações seguras
9 áreasde medidas de cibersegurança no artigo 27.º, todas com resposta nos controlos do Anexo A da ISO/IEC 27001
Todas assentam na avaliação do risco da cláusula 6.1, que determina que controlos se aplicam e com que profundidade.
A certificação ISO/IEC 27001 não substitui a conformidade legal, porque a NIS2 não tem certificação. No entanto, o sistema de gestão que a norma exige torna a conformidade demonstrável perante a autoridade.
Fonte: Decreto-Lei n.º 125/2025, regime anexo, art. 27.º, n.º 1; ISO/IEC 27001:2022, Anexo A Ver a fonte →
01
A ISO/IEC 27001 não é uma obrigação legal. É o que o mercado pede para confiar os seus dados a uma organização.
A ISO/IEC 27001 define como uma organização gere a segurança da informação num sistema: o SGSI. Começa pelo contexto e pelo âmbito, avalia os riscos com critérios definidos pela gestão, escolhe os controlos que os tratam entre os 93 do Anexo A, e mede, audita e melhora. A edição em vigor é a de 2022.
O certificado é emitido por um organismo de certificação acreditado, depois de uma auditoria externa em duas fases, e renova-se num ciclo de três anos com auditorias de acompanhamento anuais. A N4A não certifica: prepara a organização, conduz a auditoria interna com um Lead Auditor ISO/IEC 27001 e acompanha a auditoria de certificação.
2 758
incidentes registados pelo CERT.PT em 2024, mais 36 % do que no ano anterior; cerca de 78 % em entidades privadas.
CNCS, Riscos e Conflitos 2025 · Fonte →48 %
das PME portuguesas foram vítimas de cibercrime, a percentagem mais alta da União Europeia, contra 28 % na média europeia.
Flash Eurobarometer 496, 2022 · Fonte →213
certificados ISO/IEC 27001 sob acreditação do IPAC (Instituto Português de Acreditação) em Portugal, e 96 709 no mundo.
IPAC, Relatório 2024; ISO Survey 202402
Para quem
Quem procura a ISO/IEC 27001.Quatro situações em que a norma se torna necessária.
01
Fornecedores de grandes clientes e concorrentes a concursos
Contratos e cadernos de encargos pedem a certificação como critério de entrada ou de pontuação, e os questionários de segurança dos clientes respondem-se com ela.
02
Tecnológicas e serviços digitais
Quem trata dados de clientes tem de demonstrar a sua segurança para merecer a confiança deles. O certificado é a demonstração que o mercado reconhece.
03
Exportadoras e grupos internacionais
A ISO/IEC 27001 é a referência comum em qualquer mercado. Um único certificado, com reconhecimento internacional.
04
Entidades abrangidas pela NIS2
Grande parte das medidas do artigo 21.º tem resposta nos controlos da norma. O mesmo projeto serve a conformidade legal e a certificação.
03
O que a norma exige
O que o auditor vai procurar.Seis pontos, pela ordem da norma, com a cláusula e a evidência que o auditor pede.
01Cláusula 4
Contexto e âmbito do SGSI
Partes interessadas e os seus requisitos, e um âmbito definido e justificado: que atividades, locais e sistemas o SGSI cobre.
Evidência que o auditor pedeDocumento de âmbito do SGSI e lista de partes interessadas com os seus requisitos.
02Cláusula 5
Liderança e política de segurança
A gestão de topo aprova a política, fixa objetivos, atribui responsabilidades e garante os recursos. Não se delega no departamento de informática.
Evidência que o auditor pedePolítica de segurança aprovada, objetivos e papéis atribuídos pela gestão de topo.
03Cláusulas 6.1.2, 6.1.3, 8.2 e 8.3
Avaliação e tratamento do risco
Uma metodologia com critérios de aceitação, riscos identificados e avaliados, e um plano de tratamento aprovado pelos donos do risco.
Evidência que o auditor pedeMetodologia de risco com critérios de aceitação, registo de riscos e plano de tratamento aprovado.
04Cláusula 6.1.3, alínea d)
Declaração de Aplicabilidade
Os 93 controlos do Anexo A, em quatro temas: organizacionais, pessoas, físicos e tecnológicos. Para cada um, se se aplica, porquê, e se está implementado.
Evidência que o auditor pedeDeclaração de Aplicabilidade com a justificação de cada controlo do Anexo A.
05Cláusulas 7 e 8
Suporte e operação
Competências e sensibilização, informação documentada e controlada, e a operação a correr como o plano de tratamento definiu.
Evidência que o auditor pedeRegistos de formação e sensibilização, informação documentada controlada e evidência dos controlos a funcionar.
06Cláusulas 9 e 10
Avaliação e melhoria
Indicadores acompanhados, auditoria interna, revisão pela gestão e não conformidades tratadas na causa.
Evidência que o auditor pedeIndicadores, relatório de auditoria interna, ata da revisão pela gestão e registo de não conformidades.
04
Como trabalhamos
Da análise de lacunas ao certificado.
01
Análise de lacunas
A situação atual face à norma, ponto por ponto. O resultado é um mapa do que falta, do que já está conforme e do esforço necessário.
02
Implementação do sistema
Processos, documentação e indicadores ajustados à sua realidade. O sistema tem de servir a operação, não o contrário.
03
Auditoria interna
Conduzida por auditores certificados na norma, com os critérios que o auditor externo vai aplicar. A organização chega preparada à auditoria de certificação.
04
Acompanhamento na certificação
Presença na auditoria do organismo de certificação e nas auditorias de acompanhamento anuais, para que a certificação se mantenha válida.
05
O ciclo de certificação
Um certificado de três anos, acompanhado todos os anos.
Fase 1
Revisão documental e prontidão para a auditoria.
Fase 2
Auditoria no terreno: o sistema em funcionamento. Emissão do certificado.
Ano 1
Auditoria de acompanhamento.
Ano 2
Auditoria de acompanhamento.
Ano 3
Auditoria de renovação. Novo ciclo de três anos.
A N4A acompanha cada uma destas auditorias do organismo de certificação.
06
ISO/IEC 27001 + NIS2
Um projeto, a certificação e a conformidade legal.
A ISO/IEC 27001 cobre grande parte das medidas mínimas do artigo 21.º da Diretiva NIS2 e do artigo 27.º do regime anexo ao Decreto-Lei n.º 125/2025: análise de risco, gestão de incidentes, continuidade, cadeia de fornecimento, controlo de acessos, criptografia e formação. A certificação não substitui a conformidade legal, porque a NIS2 não tem certificação, mas o sistema que a norma pede é o que torna a conformidade demonstrável perante a autoridade.
Ver a nossa abordagem à NIS2 →NIS2, art. 21.º, e DL 125/2025, art. 27.ºAs medidas mínimas de cibersegurança encontram resposta nos controlos do Anexo A.
Concursos e questionários de clientesCertificado e Declaração de Aplicabilidade em vez de respostas caso a caso.
ISO 22301, ISO/IEC 42001, ISO/IEC 20000-1Estrutura harmonizada: o SGSI é a base sobre a qual as outras assentam.
07
O SGSI preparado por Lead Auditores ISO/IEC 27001, que conhecem por dentro os critérios da auditoria de certificação.
20+anos em segurança da informação, desde 2006
30+consultores e auditores no grupo
15normas e regulamentos na carta de serviços
A equipa integra auditores coordenadores de organismos de certificação acreditados. A N4A prepara e audita internamente; o certificado é emitido por um organismo acreditado. As certificações da equipa →
O que ganho em certificar a minha empresa na ISO 27001?+
Acesso aos clientes e concursos que a exigem, e um sistema que torna a conformidade demonstrável. O Decreto-Lei n.º 125/2025 fixa nove áreas de medidas de cibersegurança, e cada uma tem resposta nos controlos do Anexo A da ISO/IEC 27001. A certificação não substitui a conformidade legal, porque a NIS2 não tem certificação, mas organiza a evidência que a autoridade e os clientes pedem. Em Portugal, os incidentes registados pelo CERT.PT subiram 36 % em 2024.
O que é a ISO 27001?+
É a norma internacional da gestão da segurança da informação, na edição ISO/IEC 27001:2022. Define como uma organização gere os riscos da informação num SGSI, o sistema de gestão da segurança da informação, com 93 controlos de referência no Anexo A. A certificação é atribuída por um organismo acreditado, depois de uma auditoria externa.
A certificação ISO 27001 é obrigatória?+
Não é uma obrigação legal. É uma exigência de mercado: concursos e grandes clientes pedem-na como critério de entrada, e os questionários de segurança de clientes respondem-se com ela. Para as entidades abrangidas pela NIS2, é também a forma mais completa de organizar as medidas que a lei exige.
O que é um Lead Auditor ISO 27001?+
É a qualificação de quem lidera auditorias à norma, não apenas de quem participa nelas. Na N4A, o projeto é conduzido por um Lead Auditor ISO/IEC 27001 certificado, que prepara a organização conhecendo o que o auditor externo vai avaliar.
A ISO 27001 ajuda no cumprimento da NIS2?+
Sim. A norma cobre grande parte das medidas mínimas do artigo 21.º da NIS2 e do artigo 27.º do regime anexo ao Decreto-Lei n.º 125/2025. A NIS2 não tem certificação, e o certificado ISO não a substitui, mas o sistema da norma é o que torna a conformidade demonstrável perante o CNCS.
Quanto tempo demora a certificação?+
Depende da dimensão da organização, do âmbito e do ponto de partida. O caminho passa pela análise de lacunas, pela implementação do SGSI, pela auditoria interna e pela auditoria de certificação em duas fases. A análise de lacunas, no início, diz-lhe em que ponto está e quanto falta.
Saiba em que ponto está e quanto falta.
Uma reunião com quem conduz as auditorias, para determinar o que já está implementado, o que falta e por que ordem, com uma estimativa realista do caminho até à certificação.
Agendar reunião →