A ISO/IEC 27001 é a norma internacional de referência para o Sistema de Gestão de Segurança da Informação (SGSI). Cada vez mais exigida pelos clientes, em concursos públicos, por seguradoras cibernéticas ou para o acesso a determinados mercados de exportação, a SYAGA acompanha-o desde o gap assessment até à preparação da auditoria de certificação.
A ISO 27001 não é uma obrigação legal geral, mas torna-se um pré-requisito comercial incontornável
A ISO/IEC 27001 continua a ser uma iniciativa voluntária. No entanto, é cada vez mais exigida em concursos públicos, por grandes clientes, por determinadas seguradoras cibernéticas, ou como pré-requisito para o acesso a determinados mercados de exportação.
A maioria das PME e empresas de média dimensão não iniciou qualquer iniciativa estruturada de Sistema de Gestão de Segurança da Informação. O tema é percecionado como complexo, técnico e demorado.
As missões de certificação clássicas mobilizam as suas equipas durante vários meses e representam um investimento considerável, muitas vezes fora do alcance de uma PME.
Mobilizar o CIO ou o responsável de segurança durante meses para construir um SGSI não é viável numa PME onde cada pessoa já acumula várias funções.
Uma abordagem estruturada em 3 fases, apoiada na mesma metodologia já comprovada pela SYAGA no PSSI-Express
Entrevista de enquadramento com a direção e o responsável de SI, seguida de avaliação sistemática de cada uma das 93 medidas de segurança do Anexo A (edição 2022), distribuídas pelos 4 temas organizacional, humano, físico e tecnológico. Apresentação de um relatório de desvios factual.
Redação ou atualização da política de segurança (SGSI), da Declaração de Aplicabilidade (DdA) que justifica a aplicação ou a exclusão de cada uma das 93 medidas, e de um plano de remediação priorizado para colmatar os desvios identificados na fase 1.
Acompanhamento da implementação do plano de remediação, revisão documental, e preparação da sua equipa para a auditoria realizada por um organismo certificador acreditado independente. A SYAGA prepara-o para a auditoria; a própria certificação é emitida por esse organismo terceiro.
Os documentos estruturantes do processo de certificação ISO 27001
Avaliação factual do seu nível de conformidade face à norma.
Documento normativo central do processo de certificação ISO 27001.
O documento de governação exigido pelas cláusulas 4 a 10 da norma.
O roteiro para colmatar os desvios identificados.
Documentos aplicáveis diretamente pelas suas equipas.
Todos os documentos em formatos que pode fazer evoluir.
O SGSI ISO 27001 cruza-se naturalmente com vários referenciais
Referencial central: cláusulas 4 a 10 (exigências de gestão) e Anexo A (93 medidas de segurança distribuídas em 4 temas).
As medidas de gestão dos riscos cibernéticos exigidas pela diretiva NIS2 cruzam-se largamente com as medidas do Anexo A da ISO 27001. Um SGSI ISO 27001 facilita a conformidade com a NIS2 para as entidades abrangidas.
As medidas do guia de higiene informática da ANSSI cruzam-se com uma parte significativa das medidas do Anexo A da ISO 27001. Correspondência documentada no plano de remediação.
As medidas técnicas e organizativas adequadas exigidas pelo artigo 32 do RGPD assentam nas mesmas boas práticas do Anexo A da ISO 27001 (controlo de acessos, encriptação, gestão de incidentes).
Cada missão ISO 27001 é dimensionada segundo o seu âmbito e a sua maturidade atual. Orçamento personalizado sistemático.
Fotografia inicial dos seus desvios
Do gap assessment à preparação da auditoria
Após a certificação ou em contínuo
O que a ISO/IEC 27001 diz realmente, explicado de forma simples. Cada ponto remete para a sua fonte oficial (ISO, AFNOR, COFRAC, ANSSI), atualizada a 17/07/2026.
A ISO/IEC 27001 é um método reconhecido para identificar as ameaças que pesam sobre os seus dados, controlar os riscos e implementar as proteções adequadas, para que a sua informação permaneça confidencial, disponível e fiável. Não é um software, é uma organização a implementar na empresa.
Fonte: AFNOR Certification (organismo francês)Ao contrário de outras iniciativas (como a homologação de segurança imposta a determinados sistemas do Estado francês), a ISO 27001 é facultativa: é uma norma certificadora, não uma obrigação regulamentar geral. Escolhe-a para tranquilizar clientes, parceiros e seguradoras.
Fonte: ANSSI (autoridade francesa, ficha de método)Nunca a própria empresa, nem um consultor: apenas um organismo certificador independente e acreditado o pode emitir (o COFRAC é a única entidade francesa de acreditação, criada em 1994). O certificado obtido é válido por 3 anos.
Fonte: COFRAC (organismo francês)Avaliação prévia (opcional), preparação, revisão dos documentos, auditoria no local para verificar o que está realmente implementado, emissão do certificado (3 anos), seguida de uma visita de controlo todos os anos e de uma auditoria completa de renovação ao fim de 3 anos. Nada é definitivo de uma vez por todas.
Fonte: AFNOR Certification (organismo francês)Segundo um estudo da AFNOR realizado junto de empresas certificadas: 89% constataram menos incidentes de segurança, 83% têm processos de segurança internos mais sólidos, e 88% mantiveram clientes que poderiam ter saído sem a certificação.
Fonte: estudo AFNOR 2019 (organismo francês)É a norma de segurança da informação mais utilizada no mundo segundo a própria ISO. E a acreditação que controla os organismos certificadores (como o COFRAC em França) é reconhecida internacionalmente por acordos entre países, o que facilita o acesso a mercados na Europa e noutros locais.
Fonte: ISO (comité JTC1/SC27)Não é preciso ser uma multinacional nem uma empresa do setor digital. Eis, com fontes oficiais de apoio, quem pode (e por vezes deve) interessar-se pelo tema.
A certificação destina-se a « todas as organizações, empresas e entidades, de todas as dimensões e de todos os setores que detenham dados, físicos ou digitalizados ». A AFNOR precisa mesmo que não visa « apenas os alojadores de dados, start-ups, multinacionais ou empresas do setor informático »: gabinete de contabilidade, oficina, associação, câmara municipal, clínica... se tiver dados, está abrangido pelo âmbito.
Fonte: AFNOR Certification (organismo francês) (17/07/2026)A ficha de método oficial da ANSSI (maio de 2025) confirma-o claramente: para a ISO/IEC 27001, a caixa « Obrigação » está assinalada como « Facultativo ». Em contrapartida, a homologação de segurança (o regime realmente obrigatório) aplica-se apenas aos sistemas de informação do Estado francês e dos operadores regulamentados franceses (OIV/OSE). Dois mundos diferentes: não confunda os dois se um prestador lhe falar de obrigação legal ISO 27001, não é exato.
Fonte: ANSSI (autoridade francesa), ficha de método v1.0 (maio de 2025)O texto europeu NIS2 (esse sim, obrigatório) cita explicitamente a família de normas ISO/IEC 27000, da qual a ISO 27001 faz parte, como referência de boas práticas para as medidas de cibersegurança a implementar. A Comissão Europeia pede aos Estados-Membros que « promovam a utilização de normas europeias e internacionais pertinentes ». Em concreto: a ISO 27001 torna-se o meio mais reconhecido de provar a conformidade com a NIS2 perante um regulador.
Fonte: EUR-Lex, diretiva (UE) 2022/2555, considerandos 79-80Segundo a Comissão Europeia, a NIS2 abrange 18 setores críticos: energia, transportes, saúde, finanças, gestão da água, infraestruturas digitais (já na NIS1), mais agora comunicações eletrónicas de uso público, redes sociais, gestão de resíduos, fabrico de produtos críticos, correios e envio postal, administração pública, e o setor espacial. A regra de dimensão: « as entidades médias e grandes » destes setores terão de adotar medidas de gestão de riscos cibernéticos e notificar os incidentes significativos.
Fonte: Comissão Europeia, digital-strategy.ec.europa.euA definição oficial europeia (Recomendação 2003/361/CE) fixa limiares precisos. Uma empresa ultrapassa o limiar de « média » (e entra no âmbito provável da NIS2) assim que ultrapassar um destes valores de referência:
| Categoria | Efetivos | Volume de negócios |
|---|---|---|
| Micro empresa | menos de 10 | 2 M€ ou menos |
| Pequena empresa | menos de 50 | 10 M€ ou menos |
| Média empresa | menos de 250 | 50 M€ ou menos |
A Comissão Europeia propôs, a 20 de janeiro de 2026, uma alteração pontual para aligeirar a conformidade de 28.700 empresas, das quais 6.200 micro e pequenas empresas. Prova de que o tema já não diz respeito apenas aos grandes grupos: estruturas modestas veem-se, através dos seus clientes ou do seu setor, obrigadas a responder às mesmas exigências.
Fonte: Comissão Europeia, digital-strategy.ec.europa.eu (20/01/2026)Sem pânico desnecessário, apenas os números oficiais. O que a lei diz realmente sobre as coimas, quem as aplica, e porque é que a ISO 27001 continua a ser a sua melhor proteção contra elas.
Este é o ponto mais tranquilizador: não estar certificado ISO 27001 não implica, por si só, nenhuma coima. A norma é facultativa (« caixa Obrigação assinalada Facultativo », confirma a ficha de método oficial da ANSSI). Uma norma facultativa não tem logicamente nenhum mecanismo de sanção legal associado à sua ausência.
Fonte: ANSSI (autoridade francesa), ficha de método v1.0 (maio de 2025)Se a sua atividade cair no âmbito da diretiva europeia NIS2 (essa sim, obrigatória), as coimas estão claramente quantificadas pela Comissão Europeia: até 10.000.000 EUR ou 2% do volume de negócios mundial do exercício anterior para uma entidade « essencial » (prevalecendo o montante mais elevado), e até 7.000.000 EUR ou 1,4% do volume de negócios mundial para uma entidade « importante ». É exatamente para evitar este risco que a ISO 27001 é recomendada como prova de conformidade.
Fonte: Comissão Europeia, FAQ oficial NIS2Não são coimas automáticas nem fixas. A autoridade competente deve ter em conta « a natureza, a gravidade e a duração da infração, o dano causado ou as perdas sofridas, [e] o caráter intencional ou negligente da infração ». Uma empresa de boa-fé que corrige rapidamente um incidente não é tratada como uma empresa negligente e reincidente.
Fonte: Comissão Europeia, FAQ oficial NIS2Cada Estado-Membro designa a sua própria autoridade competente para aplicar a NIS2. Em França, é a ANSSI (Agência nacional francesa de segurança dos sistemas de informação) que está encarregada da implementação e da fiscalização. Disponibilizou, em março de 2026, um referencial nacional francês (ReCyF, não obrigatório) para ajudar as empresas a orientarem-se e a comparar as suas iniciativas existentes, incluindo a ISO 27001.
Fonte: cyber.gouv.fr (ANSSI, autoridade francesa)As autoridades competentes dispõem também de instrumentos não financeiros: instruções vinculativas, ordem para implementar as recomendações de uma auditoria de segurança, ou ordem de conformidade das medidas de segurança. A diretiva prevê igualmente disposições sobre a responsabilidade das pessoas que ocupam funções de direção geral. A coima geralmente não é a primeira resposta a um incumprimento.
Fonte: Comissão Europeia, FAQ oficial NIS2Os Estados-Membros tinham até 17 de outubro de 2024 para transpor a NIS2 para o direito nacional. À data de redação, nenhuma fonte oficial publica um caso real com um montante de sanção efetivamente aplicado em França ou na UE: os valores acima são limites legais máximos, não montantes médios constatados. Iremos atualizar esta página assim que for publicado um caso oficial.
Fonte: Comissão Europeia, digital-strategy.ec.europa.euQue datas contam realmente? O que já é obrigatório, o que já está em funcionamento, e o que está para vir. Fontes oficiais de apoio, compreendido em 2 minutos, atualizado a 18/07/2026.
Existia uma versão de 2013, hoje ultrapassada. A ficha de método oficial da ANSSI (maio de 2025) confirma-o claramente no seu quadro comparativo: « Última versão: ISO27001 versão 2022 ». Esta versão cobre os domínios organizacional, físico e tecnológico do âmbito a certificar. Em concreto: qualquer nova certificação, ou qualquer renovação, faz-se agora sobre esta versão.
Fonte: ANSSI (autoridade francesa), ficha de método v1.0 (maio de 2025)A diretiva europeia NIS2 entrou em vigor em janeiro de 2023, mas a data que conta para as empresas é 17 de outubro de 2024: o limite até ao qual cada Estado-Membro devia ter transposto o texto para o seu direito nacional. Desde essa data, a NIS2 aplica-se em concreto, e cita precisamente a família de normas ISO/IEC 27000 (da qual a ISO 27001 faz parte) como referência de boas práticas para lhe dar cumprimento.
Fonte: Comissão Europeia, digital-strategy.ec.europa.euNo dia seguinte à data-limite de transposição da NIS2, a antiga diretiva NIS1 (a de 2016) foi oficialmente revogada. Um único texto de referência doravante na Europa para a cibersegurança regulamentar dos setores críticos: já não há dúvidas sobre qual o quadro aplicável.
Fonte: Comissão Europeia, digital-strategy.ec.europa.euO certificado ISO 27001, uma vez emitido por um organismo acreditado, é válido por 3 anos. Mas isso não significa que fique parado: a AFNOR Certification prevê uma visita de controlo todos os anos, seguida de uma auditoria completa de renovação no final dos 3 anos. A ANSSI confirma exatamente o mesmo mecanismo na sua ficha de maio de 2025: duração de 3 anos, revisão anual de direção e auditoria de acompanhamento. Duas fontes oficiais diferentes, o mesmo calendário.
Fonte: AFNOR Certification, ANSSI (organismos franceses, maio de 2025)A Comissão Europeia propôs, a 20 de janeiro de 2026, uma alteração pontual para simplificar a conformidade de 28.700 empresas, das quais 6.200 micro e pequenas empresas. Nesta data, trata-se de uma proposta, ainda não de um texto adotado: o calendário regulamentar em torno da ISO 27001 pode, portanto, ainda mudar nos próximos meses, sem pôr em causa o interesse da norma em si.
Fonte: Comissão Europeia, digital-strategy.ec.europa.eu (20/01/2026)Para os sistemas de informação do Estado francês e dos operadores regulamentados, a ANSSI tem o seu próprio procedimento, a homologação de segurança, atualmente na versão 2.1 (2025), com ela também uma duração máxima de 3 anos e uma revisão anual dos sistemas recomendada. Não é a mesma iniciativa que a ISO 27001 (facultativa), mas as duas avançam ao mesmo ritmo de 3 anos, o que facilita a vida de quem tem de gerir as duas em simultâneo.
Fonte: ANSSI (autoridade francesa), ficha de método v1.0 (maio de 2025)Contacte-nos para um orçamento personalizado segundo o seu âmbito e a sua maturidade atual.
Gratuito: o seu score + os seus desvios. O relatório detalhado e a certificação: 499 € + IVA, apenas se assim o decidir.
contact@syaga.eu