Um certificado ISO 27001 ajuda demonstravelmente na obrigação de diligência da NIS2, mas não a cobre completamente. A norma descreve como uma organização aborda a segurança da informação de forma estruturada através de um sistema de gestão; a Diretiva NIS2 (em particular o artigo 21) descreve quais medidas concretas uma entidade essencial ou importante deve tomar, e o artigo 23 obriga à comunicação de incidentes a uma autoridade de supervisão. Este último não é regulado por nenhuma norma ISO, por mais bem feito que seja o certificado.
A diferença não está na qualidade, mas na finalidade. ISO 27001 é uma norma voluntária que uma organização pode fazer certificar para demonstrar que tem a segurança da informação em ordem. NIS2 é legislação com uma obrigação legal de diligência, uma obrigação de registo e uma obrigação de comunicação, que foi transposta por país — em Portugal através da legislação aplicável sobre cibersegurança. Uma empresa pode estar certificada para ISO 27001 e ainda assim ter de dar passos para cumprir as obrigações legais, e inversamente uma empresa pode trabalhar para cumprir a obrigação legal de diligência sem nunca querer obter um certificado.
Onde a sobreposição existe
ISO 27001 funciona com uma avaliação de risco e uma lista de controlos (o chamado Anexo A) que se assemelham muito às dez medidas que a obrigação de diligência da NIS2 menciona: controlo de acesso, encriptação, cópias de segurança, avaliação de fornecedores, tratamento de incidentes e mais aparecem em ambas. Uma organização que mantenha o seu sistema ISO de forma séria já tem um comprovativos e um responsável para muitas dessas medidas. Isto poupa considerável trabalho na construção de um dossier para a obrigação de diligência, e é precisamente por isso que os clientes que enviam um questionário de segurança frequentemente veem um certificado ISO 27001 como um sinal forte.
O âmbito é ligeiramente diferente. ISO 27001 permite que uma organização determine ela própria o escopo do sistema de gestão — por exemplo apenas o departamento de TI ou apenas uma filial. A obrigação de diligência da NIS2 aplica-se a toda a entidade abrangida pela lei, conforme delimitada pelo legislador e pelo setor. Um certificado com um escopo limitado portanto não diz automaticamente nada sobre o resto da organização. Quem queira verificar como essa delimitação se aplica no seu próprio setor, encontra isso de forma mais clara através de pesquisar os tópicos por situação do que na própria norma.
Onde ISO 27001 não regula
Duas obrigações da lei não têm equivalente na norma. A primeira é a obrigação de registo: entidades essenciais e importantes devem registar-se junto à autoridade de supervisão nacional, com dados sobre a organização e seus contactos. ISO 27001 não pede nada sobre isto — é uma norma de certificação, não uma janela legal.
A segunda é a obrigação de comunicação de incidentes. O artigo 23 da Diretiva descreve um processo faseado de comunicação à autoridade de supervisão competente, com um primeiro sinal pouco depois da descoberta e passos subsequentes. ISO 27001 pede um processo para tratamento de incidentes, mas esse processo é orientado internamente: descreve como uma organização lida com um incidente por si própria, não a quem e quando deve comunicá-lo externamente. Quem queira tornar essa diferença clara, pode ler a estrutura desses prazos no artigo anterior sobre a obrigação de comunicação neste site.
A forma como os fornecedores são avaliados também difere em peso. ISO 27001 dedica atenção às relações com fornecedores como parte da avaliação de risco mais ampla. A obrigação de diligência da NIS2 faz da avaliação da cadeia uma parte explícita do artigo 21, o que explica por que as organizações sujeitas a obrigações aplicam este tópico tão claramente aos seus fornecedores PME através de questionários e cláusulas contratuais.
O que isto significa na prática
Para uma organização já certificada pela ISO 27001, geralmente significa que grande parte da prova já existe, mas precisa ser reorganizada de forma diferente: por medida de obrigação de diligência, um estado, uma prova e um responsável, além dos textos para registo e notificação que a norma não prescreve. Para uma organização sem certificado, significa que não precisa necessariamente de iniciar um processo ISO para cumprir a obrigação de diligência — a lei exige as medidas, não o certificado em si.
Se e como isto se aplica exatamente a uma organização específica depende do sector, da dimensão e do papel na cadeia de abastecimento, e isto é avaliado em última instância pela autoridade competente de supervisão ou por um jurista, não por este artigo. Obtém uma primeira indicação ao responder a algumas perguntas para ver onde se encontra, e quem quiser saber como a informação neste site é estruturada e de onde vêm as fontes, lê isso na página sobre como secria.eu compila a informação.
Se após a leitura tiver ainda uma questão concreta sobre a sua própria situação, por exemplo sobre o que um certificado prova ou não prova perante um cliente? Consulte as respostas às perguntas frequentes, ou inicie a verificação gratuita para ver qual é o próximo passo adequado à sua organização.