Segurança da Informação
ISO/IEC 27001:2022 com os prazos da NIS2 e de dez jurisdições vigiados sozinhos
Uma violação não espera por segunda-feira. O prazo mais curto do catálogo são três horas —o alerta antecipado à ANCI chilena— e depois vêm as 24 e 72 horas da NIS2 e do RGPD, contadas a partir de momentos diferentes: o RGPD conta desde o conhecimento e a lei chilena desde a qualificação. Aqui abre-se o incidente, o sistema deduz do país dos ativos afetados e do tipo de dado que autoridades há que avisar, calcula cada relógio em separado e avisa o responsável nomeado —por email, porque o cenário é um domingo às três da manhã. E os 93 controlos não se digitam: doze são já comprovados por outro programa da plataforma, com evidência real e datada.
Telas do DSA Compliance v6.2 em ambiente de demonstração. Os dados exibidos são fictícios.
O que a norma exige e em que artigo
Referências informativas, não assessoria jurídica. Confira sempre com o texto consolidado vigente.
NIS2: até 10.000.000 € ou 2 % do volume de negócios mundial para entidades essenciais, com responsabilidade pessoal do órgão de direção. RGPD art. 32.º: até 10.000.000 € ou 2 %. Lei 21.663 chilena: até 20.000 UTM. E em várias jurisdições a sanção alcança o dirigente, não apenas a sociedade.
Os selos identificam a obrigação que o programa digitaliza. Não são certificações nem acreditações de conformidade.
O que se entrega quando alguém pede
- Declaração de aplicabilidade dos 93 controlos com decisão, justificação e responsável
- Processo em formato editável para o auditor: declaração, cobertura por quadro legal, testes e incidentes
- Registo de incidentes com a linha temporal selada por impressão SHA-256, apenas de inserção
- Comprovativo de cada notificação à autoridade, com a data de envio face à do prazo
- Testes de controlo datados: restauros com o seu RTO real, simulacros e revisões de acesso
- Rasto de tudo o que o auditor externo consultou, com data e hora
- Registo do canal de avisos: o que o pessoal comunicou, quando e como terminou cada aviso
- Quadro de jurisdições declaradas face aos países onde há ativos ou incidentes
Este programa implanta normas ISO certificáveis. Se a sua organização já é certificada, aqui vê que parte já está resolvida e que leis isso cobre em cada país onde opera.
O que nos perguntam sobre Segurança
Não, e nenhum software pode fazê-lo. Quem certifica é um organismo acreditado independente. O que o programa faz é preparar o sistema e reunir a evidência para que essa auditoria possa ser passada, e entregá-la no formato em que é pedida.
Do país dos ativos afetados e do tipo de dado comprometido. Cada obrigação do catálogo traz a sua base legal, a sua autoridade, o seu prazo e o momento a partir do qual se conta —que não é o mesmo em todas as normas. Se faltar o dado de partida usa-se o conhecimento, que dá sempre o prazo mais curto.
Nem todos. Cerca de um quarto são já comprovados por outro programa contratado —formação, qualificação de fornecedores, registo de tratamentos, inventário de ativos, locais de trabalho— com evidência real e datada, e recalculam-se sozinhos.
Cobre boa parte do terreno, mas não todo. O que a NIS2 acrescenta e tem de ser resolvido à parte são os prazos fixos de notificação, o registo junto da autoridade nacional e a responsabilidade expressa do órgão de direção. O programa mostra essa lacuna em vez de a esconder.
Um acesso de apenas leitura delimitado aos módulos que entram no âmbito dessa auditoria, com data de validade obrigatória e um registo apenas de inserção de tudo o que o auditor consultou. Serve igualmente para a ISO 27001, para a proteção de dados e para a segurança e saúde, porque uma empresa é auditada de várias coisas ao mesmo tempo.
Por três canais separados, e quase ninguém tem o terceiro. Dois são de entrada: o aviso de segurança — um portátil esquecido, um acesso que continua ativo depois de uma saída — e a suspeita de phishing, onde o que importa é a taxa de reporte. O terceiro é de saída: por ele não entra nada; sai o que a organização apresenta ao CSIRT, à autoridade de dados ou ao supervisor, e cada apresentação fica com a sua referência de registo. O controlo A.6.8 pede exatamente esse canal de comunicação de eventos.
O programa cruza o que a organização tem declarado com os países onde de facto tem ativos e incidentes, e assinala três lacunas distintas: o que está declarado mas o catálogo ainda não consegue medir, os países onde se opera sem ter declarado nada e — a que ninguém mostra — os países a que o nosso catálogo ainda não chega. Esta última diz-se com estas palavras, porque é uma lacuna nossa e escondê-la seria pior. Declarar ou não declarar não desliga nenhuma obrigação: a lei obriga na mesma, e o relógio dos prazos não olha para essa caixa.
Demonstração guiada de 30 minutos sobre a plataforma real, ou sessão de diagnóstico de uma hora com um consultor.
