Se a sua organização possui a certificação ISO 27001, já realizou um trabalho sério em matéria de segurança da informação. Dispõe de um sistema de gestão documentado, um registo de riscos, controlos definidos e auditorias regulares. Por isso, quando a NIS2 entrou em vigor nos Estados-Membros da UE, surgiu uma questão natural: precisamos realmente de fazer mais?
A resposta honesta é: sim — mas menos do que possa parecer. O ISO 27001 e a NIS2 partilham muitos pontos em comum, mas a NIS2 introduz obrigações regulatórias que vão além de qualquer quadro voluntário. Compreender com exatidão onde existem lacunas permitirá concentrar os esforços e recursos de forma eficiente.
O Que Cobre o ISO 27001
O ISO 27001 é a norma internacional para Sistemas de Gestão de Segurança da Informação (SGSI). No essencial, exige que as organizações:
- Definam o âmbito do SGSI e o seu contexto
- Realizem avaliações sistemáticas de risco e implementem planos de tratamento de risco
- Apliquem um conjunto de 93 controlos do Anexo A (abrangendo políticas de segurança, controlo de acessos, criptografia, segurança física, gestão de incidentes, relações com fornecedores, entre outros)
- Mantenham evidências documentadas e realizem auditorias internas
- Conduzam revisões pela gestão e demonstrem melhoria contínua
Quando implementado corretamente, o ISO 27001 cria um programa de segurança maduro e orientado para o risco. É precisamente este tipo de base que a NIS2 espera encontrar. De facto, a Agência da União Europeia para a Cibersegurança (ENISA) reconheceu o ISO 27001 como uma referência útil para a conformidade com a NIS2.
O Que a NIS2 Acrescenta
A NIS2 (Diretiva UE 2022/2555) não é uma norma voluntária — é legislação vinculativa da UE. Introduz obrigações que nenhum quadro de certificação, por mais rigoroso que seja, pode substituir. As principais adições incluem:
Responsabilidade da Gestão
A NIS2 responsabiliza pessoalmente a gestão de topo pela postura de cibersegurança da organização. Os órgãos de gestão podem enfrentar responsabilidade pessoal por negligência grave, incluindo proibições temporárias de exercício de funções de gestão. O ISO 27001 incentiva o "compromisso da gestão de topo", mas não impõe consequências jurídicas pessoais.
Prazos Obrigatórios de Reporte de Incidentes
A NIS2 exige que as entidades abrangidas reportem incidentes significativos à autoridade competente nacional (ACN) no prazo de 24 horas (alerta inicial) e 72 horas (notificação completa do incidente). Um relatório final deve ser apresentado no prazo de um mês. Os controlos de gestão de incidentes do ISO 27001 são orientados para processos — não impõem prazos específicos de reporte a reguladores.
Requisitos Setoriais Específicos
A NIS2 organiza as obrigações por setor (energia, transportes, saúde, infraestruturas digitais, etc.) e distingue entre Entidades Essenciais e Entidades Importantes, com diferentes níveis de coimas e intensidade de supervisão. O ISO 27001 é agnóstico relativamente ao setor.
Segurança da Cadeia de Abastecimento
Embora o Anexo A do ISO 27001 inclua controlos de segurança de fornecedores, o Artigo 21.º da NIS2 exige uma abordagem mais abrangente ao risco da cadeia de abastecimento — incluindo a avaliação das práticas de segurança dos fornecedores diretos e dos seus subfornecedores, com evidências documentadas.
dos controlos técnicos e organizacionais da NIS2 já estão cobertos por um SGSI ISO 27001 bem implementado
A Sobreposição: Onde o ISO 27001 Já Ajuda
A boa notícia para as organizações certificadas pelo ISO 27001 é substancial. A investigação e a experiência prática sugerem que 75–80% dos controlos exigidos pelo Artigo 21.º da NIS2 já são abordados por um SGSI bem implementado. Isto inclui:
- Processos de gestão e avaliação de riscos
- Controlo de acessos e gestão de identidades
- Políticas de criptografia e encriptação
- Procedimentos de resposta e tratamento de incidentes
- Gestão e classificação de ativos
- Gestão de vulnerabilidades e de correções (patches)
- Segurança física e ambiental
- Segurança de recursos humanos e formação de sensibilização
- Planeamento de continuidade de negócio e recuperação de desastres
- Gestão de risco de fornecedores e terceiros (básica)
O Que Ainda Precisa de Fazer — Mesmo com ISO 27001
A certificação ISO 27001 não isenta da conformidade com a NIS2. Para além de colmatar eventuais lacunas em controlos técnicos, as organizações abrangidas devem tratar:
Registo Formal na NIS2
Dependendo do(s) Estado(s)-Membro(s) da UE onde opera, poderá ser obrigada a registar-se formalmente junto da Autoridade Competente Nacional (ACN). Este registo é uma obrigação legal distinta de qualquer certificação.
Procedimentos de Reporte de Incidentes a Reguladores
Os procedimentos de resposta a incidentes existentes ao abrigo do ISO 27001 precisam de ser atualizados para incluir a cadeia de reporte específica da NIS2: quem notifica a ACN, que informação é incluída e em que prazos. Esta é uma lacuna procedimental que poucas implementações ISO 27001 abordam.
Sensibilização e Formação da Gestão
A NIS2 exige explicitamente que os órgãos de gestão aprovem e assumam a responsabilidade pelas medidas de cibersegurança da organização. Isto significa que a liderança sénior necessita de formação estruturada sobre as obrigações da NIS2 — não apenas sensibilização, mas compreensão documentada e validação formal.
Documentação de Evidências de Conformidade
Ao contrário do ISO 27001, que é auditado por um organismo de certificação, a conformidade com a NIS2 é supervisionada por reguladores nacionais que podem solicitar evidências a qualquer momento. A documentação e a postura de conformidade precisam de estar prontas para regulação, não apenas para auditoria.
Conclusão: Uma Base Sólida — Com Lacunas Específicas
O ISO 27001 é genuinamente valioso para a conformidade com a NIS2 — não é um "bom complemento", é um acelerador significativo. As organizações com um SGSI maduro encontrarão a conformidade com a NIS2 alcançável com um esforço focalizado e direcionado, em vez de uma reformulação completa.
No entanto, a palavra-chave é "direcionado". As lacunas existentes — responsabilidade da gestão, reporte de incidentes em 24/72h, registo na ACN e requisitos setoriais específicos — não são triviais. Exigem alterações processuais específicas e envolvimento da gestão.
O caminho mais eficiente passa por uma avaliação estruturada das lacunas NIS2, que mapeia os controlos ISO 27001 existentes face aos requisitos do Artigo 21.º da NIS2 e identifica exatamente o que precisa de ser adicionado, atualizado ou formalizado.
Conheça a Sua Lacuna Exata
A BALTUM Bureau oferece avaliações estruturadas de lacunas NIS2 para organizações certificadas pelo ISO 27001. Mapeamos os seus controlos existentes face aos requisitos da NIS2 e fornecemos um plano de ação claro e priorizado — sem redundâncias, apenas resultados.
Contactar a BALTUM Bureau para uma Avaliação de Lacunas