Certificação ISO/IEC 27001:2022

O que é a ISO/IEC 27001

A ISO/IEC 27001 é a norma internacional que especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão de Segurança da Informação (SGSI). Um SGSI é uma abordagem sistemática, baseada na gestão de riscos, que abrange pessoas, processos e tecnologia para preservar a confidencialidade, a integridade e a disponibilidade da informação.

A edição atual, ISO/IEC 27001:2022, organiza os controlos de referência do Anexo A em quatro temas (organizacional, pessoas, físico e tecnológico), apoiados pelo catálogo de controlos da ISO/IEC 27002. A certificação atesta que a sua organização identificou os seus riscos, aplicou os controlos adequados — documentados na Declaração de Aplicabilidade (SoA) — e opera o sistema de forma eficaz.

Benefícios da certificação

• Confiança comercial: o certificado é a resposta mais direta a questionários de segurança corporativos e a concursos que exigem ISO/IEC 27001.
• Gestão sistemática de riscos: identifique e trate ameaças antes que se tornem incidentes.
• Conformidade regulamentar: o SGSI facilita a demonstração de diligência devida face ao RGPD, NIS2, DORA e cláusulas contratuais de segurança.
• Vantagem competitiva: diferencie a sua oferta em processos de venda B2B e encurte ciclos comerciais.
• Melhoria contínua: o ciclo de auditoria (certificação, vigilância, recertificação) mantém o sistema vivo e atualizado.

Quem precisa?

A norma aplica-se a qualquer organização, mas é especialmente relevante para:

• Empresas de software e SaaS que tratam dados de clientes.
• Prestadores de serviços de TI, fornecedores cloud, consultoras tecnológicas e MSPs.
• Fintech, insurtech e serviços financeiros sujeitos a requisitos de terceiros e reguladores.
• Organizações de saúde, sociedades profissionais e qualquer negócio que processe informação sensível.
• Empresas cujos clientes ou concursos exigem o certificado como condição de contratação.

Como funciona o processo de certificação

A BorealCert realiza todo o ciclo de certificação à distância, em conformidade com as técnicas de auditoria da ISO 19011 e as orientações do IAF sobre auditorias remotas:

Etapa	Conteúdo	Duração típica
Pedido e cotação	Definição do âmbito do SGSI, dimensão da organização e preço fixo.	1 dia útil
Fase 1 — documentação	Revisão remota do âmbito, políticas, avaliação de riscos, SoA e prontidão.	1–2 dias de auditoria
Fase 2 — implementação	Auditoria por videochamada: entrevistas, evidências de controlos e operação do SGSI.	2–5 dias conforme a dimensão
Decisão e emissão	Revisão independente pelo comité de certificação e emissão do certificado.	Até 10 dias úteis
Vigilância	Auditorias anuais de acompanhamento para manter a certificação.	Anual
Recertificação	Auditoria completa antes do fim da validade para renovar o ciclo.	A cada 3 anos

Perguntas frequentes sobre a ISO/IEC 27001

Quanto tempo demora uma PME a certificar-se?

Se o SGSI já estiver implementado, o processo de certificação normalmente conclui-se em 4–8 semanas. Partindo do zero, o prazo depende da implementação; a auditoria de Fase 1 pode realizar-se assim que a documentação essencial estiver pronta.

Uma auditoria remota é tão válida como uma auditoria presencial?

Sim. As técnicas de auditoria remota são reconhecidas pelas diretrizes internacionais de auditoria (IAF MD 4 e ISO 19011) e o certificado resultante é idêntico. Avaliamos a elegibilidade de cada organização para garantir que a modalidade remota permite alcançar todos os objetivos da auditoria.

Qual é a diferença entre ISO/IEC 27001:2013 e a edição de 2022?

A edição de 2022 atualiza o Anexo A (93 controlos agrupados em 4 temas, face a 114 controlos em 14 domínios em 2013) e introduz novos controlos como inteligência de ameaças, segurança cloud e prevenção de fuga de dados. Os certificados de 2013 tiveram de transitar para 2022 até outubro de 2025; a BorealCert emite exclusivamente certificados ISO/IEC 27001:2022.

De que documentação mínima preciso?

Política e objetivos de segurança, âmbito do SGSI, metodologia e resultados da avaliação e tratamento de riscos, Declaração de Aplicabilidade e evidências da operação dos controlos (registos, revisões, auditorias internas e revisão pela direção).

Quanto custa a certificação?

O preço depende do número de pessoas dentro do âmbito, da complexidade tecnológica e do número de locais lógicos. As PME recebem normalmente cotações fixas; peça a sua sem compromisso através do formulário de contacto.

Como podem os meus clientes verificar o certificado?

Todos os certificados emitidos pela BorealCert constam do nosso registo público em verify.borealcert.com, consultável por número de certificado a qualquer momento.