ISO/IEC 27001 · Segurança da informaçãoCertificação ISO

ISO/IEC 27001: a segurança da informação, demonstrada.

A ISO/IEC 27001 pede que se avaliem os riscos sobre a informação, se escolham os controlos para os tratar e se demonstre que funcionam. Pedem-na os clientes e a Administração Pública italiana para a cloud, e ajuda quem tem de responder pela NIS2.

Inscreva-se para ISO/IEC 27001 Todas as normas

O que é

Riscos avaliados, controlos escolhidos, provas recolhidas.

A norma pede um sistema de gestão que proteja a confidencialidade, a integridade e a disponibilidade da informação através de um processo de gestão do risco. Vale para todos os setores; a informática é o que tem mais certificados. Os certificados pela edição de 2013 já não são válidos desde 31/10/2025.

A quem serve

Quem desenvolve software ou gere dados por conta dos clientes
Quem oferece serviços cloud à Administração Pública italiana
Quem está abrangido pela NIS2 e quer um método reconhecido para as medidas de segurança
Quem recebe questionários de segurança dos clientes e quer responder com um certificado

O que lhe traz

Para qualificar um serviço cloud para a Administração Pública no nível QC1, a ACN, a Agência Nacional de Cibersegurança italiana, pede a ISO/IEC 27001 com as extensões 27017 e 27018, ou CSA STAR nível 2.
ACN, medidas para os serviços cloud, nível QC1
Quem está certificado tem uma ponte para as medidas de base NIS: a UNI/PdR 174:2025, desenvolvida com o apoio da ACN.
ACN, UNI/PdR 174:2025
Nos concursos italianos que o preveem, a garantia reduz-se até 20%: a ISO/IEC 27001 está entre as certificações do anexo II.13.
D.Lgs. 36/2023, art. 106 c. 8 e allegato II.13

O percurso

Da análise ao certificado, em quatro passos.

1
Âmbito e riscos
Decide-se o que proteger — instalações, sistemas, processos — e avaliam-se os riscos sobre a informação.
2
Controlos e aplicabilidade
Escolhem-se os controlos, escreve-se porque é que cada um é aplicado ou excluído, e põem-se a funcionar.
3
Auditoria interna e revisão
Antes de chamar o organismo, uma auditoria interna e a revisão pela gestão dizem se o sistema se aguenta.
4
Auditoria de certificação
O organismo acreditado fá-la em duas fases, a segunda nas instalações da empresa. O certificado dura três anos, com um acompanhamento todos os anos.

10ISO

Como o 10ISO o vai ajudar

O trabalho que se repete vão fazê-lo os agentes; as decisões continuam a ser suas e de quem o acompanha. O 10ISO está a chegar: isto é o que estamos a construir.

A análise de riscos e os controlos escolhidos, mantidos alinhados quando alguma coisa mudaEm breve
As evidências dos controlos recolhidas onde nascem: acessos, cópias de segurança, formação, fornecedoresEm breve
As medidas NIS que a 27001 já cobre, e as que faltamEm breve
Uma norma a mais, 22301 ou 9001, sobre os mesmos capítulosEm breve

Para ler em conjunto

Perguntas

As primeiras perguntas que chegam sobre ISO/IEC 27001.

A ISO/IEC 27001 chega para cumprir a NIS2?

Não. A ACN mede a conformidade pela aplicação de todos os requisitos das suas medidas de base, não por um certificado. Quem está certificado parte com vantagem, e a UNI/PdR 174:2025 ajuda a ver o que falta.

Com a 27001 fico em conformidade com o GDPR?

Não. A Accredia escreve-o claramente: um certificado de sistema não garante a conformidade legal. Para o GDPR, as únicas certificações são as previstas no art. 42.

Ainda tenho um certificado ISO/IEC 27001:2013: é válido?

Não. Os certificados pela edição de 2013 caducaram ou foram retirados a 31/10/2025: é precisa uma certificação pela edição de 2022.

Fontes

Cada referência desta ficha vem de uma destas fontes, verificadas a 28/09/2026. Se uma lei ou uma norma mudar, a ficha é atualizada.

Lista de espera

Escrevemos-lhe quando o 10ISO abrir.

Um minuto: quem é, o seu email e a norma que lhe interessa. Não é uma subscrição e não lhe pedimos cartão.