O papel da consultoria certificada (ISO 27001 e RGPD)

A maioria das empresas contrata consultoria ISO 27001 e RGPD para passar numa auditoria. Essa é a armadilha. A certificação é o subproduto — o objetivo real é ter um sistema de gestão que sobreviva ao dia seguinte à auditoria. E o dia seguinte é cada vez mais perigoso: o CERT.PT registou 2.758 incidentes de cibersegurança em Portugal em 2024, um aumento de 36% face a 2023, com cerca de 78% a ocorrer em entidades privadas (CNCS, 2024). Passar na auditoria não é o mesmo que estar protegido. Este guia dá-lhe um método concreto para avaliar, contratar e acompanhar consultoria certificada, com um checklist de 16 pontos que pode levar para a reunião de amanhã.

O que precisa antes de começar

Antes de falar com qualquer consultor, consolide estes oito pontos internamente. Sem eles, o diagnóstico vai custar mais e demorar mais — e o consultor vai cobrar-lhe o tempo que devia ser seu.

• Inventário atualizado de sistemas: ERP, MES, servidores, cloud, terminais industriais.
• Mapa de dados pessoais tratados — colaboradores, clientes, fornecedores.
• Organograma com responsáveis por TI, operações e compliance.
• Contratos de prestação de serviços com cláusulas de acesso a dados (subcontratantes RGPD).
• Registo de incidentes de segurança dos últimos 24 meses, mesmo que informal.
• Política de backups documentada — ou a ausência dela, assumida por escrito.
• Identificação do âmbito: certificação total ou parcial (ex.: só o datacenter, só o ERP).
• Orçamento indicativo aprovado pela gestão de topo — sem este, o roadmap não avança.

Passo 1 — Defina o âmbito antes de pedir propostas

O erro mais caro que vemos em projetos de consultoria ISO 27001 é pedir propostas sem âmbito definido. O consultor cotiza o mínimo; a empresa assume o máximo. O resultado é um aditamento a meio do projeto — e uma discussão desagradável sobre quem devia ter dito o quê.

Pense em três dimensões. Primeiro, os sistemas em âmbito: quais os ativos de informação críticos para o negócio? O ERP MULTI que gere produção e faturação entra sempre. O servidor de ficheiros de RH, quase sempre. O tablet do comercial, depende. Segundo, os processos em âmbito: produção, vendas, RH, financeira — ou só os que tratam dados pessoais sensíveis? Terceiro, as localizações: sede, filiais, armazéns remotos, teletrabalho.

Documente o âmbito numa página A4. Esse documento é o primeiro entregável do projeto — não o último. Apresentá-lo ao organismo de certificação antes da auditoria de fase 1 evita surpresas que custam tempo e dinheiro.

• ☐ Âmbito aprovado pela gestão de topo por escrito.
• ☐ Ativos fora de âmbito explicitamente excluídos e justificados.
• ☐ Âmbito comunicado ao organismo de certificação antes da auditoria de fase 1.

Passo 2 — Avalie o consultor pelos critérios certos

Há um detalhe operacional que os manuais não referem: em Portugal, a maioria dos consultores ISO 27001 tem experiência em banca e seguros. A indústria transformadora — têxtil, calçado, metal — tem especificidades que um consultor de serviços financeiros não domina. Terminais industriais ligados à rede de produção, WIP em tempo real, sistemas SCADA, integrações entre ERP e chão-de-fábrica: tudo isso alarga a superfície de ataque de formas que um checklist genérico não captura. Uma fábrica de confeção com 120 colaboradores em Famalicão tem terminais de produção a comunicar com o ERP em tempo real. Esse fluxo de dados raramente aparece num modelo de ameaças desenhado para um escritório de contabilidade.

Exija estas evidências antes de assinar:

• Certificação de lead auditor ISO 27001 (IRCA ou equivalente) — do consultor, não da empresa.
• Pelo menos dois projetos concluídos em empresas industriais com âmbito de produção.
• Metodologia de análise de risco documentada — peça o template, não a descrição.
• Referência de um DPO (Data Protection Officer) com quem já trabalhou em contexto RGPD industrial.
• Clareza sobre quem faz o quê: o consultor redige políticas, a empresa aprova e implementa.

• ☐ CV do lead auditor verificado.
• ☐ Referências industriais contactadas (não apenas listadas).
• ☐ Template de análise de risco recebido e avaliado internamente.

Passo 3 — Estruture o projeto em fases com entregáveis verificáveis

Um projeto ISO 27001 + RGPD bem conduzido tem quatro fases. Cada uma termina com um entregável que a sua equipa consegue ler e validar — não apenas o consultor. Se só o consultor consegue interpretar o que foi produzido, o conhecimento não ficou na empresa.

1. Assessment (semanas 1-4): inventário de ativos, análise de lacunas face ao Anexo A da ISO 27001 e ao RGPD. Entregável: relatório de gap analysis com prioridades.
2. Desenho (semanas 5-10): política de segurança, análise de risco, plano de tratamento, registos de atividades de tratamento (RGPD Art.º 30). Entregável: SGSI documentado versão 1.0.
3. Implementação (semanas 11-20): controlos técnicos e organizacionais, formação, testes. Entregável: evidências de implementação por controlo.
4. Auditoria interna + revisão pela gestão (semanas 21-24): simulação da auditoria de certificação. Entregável: relatório de auditoria interna e ata de revisão.

Vinte e quatro semanas é o mínimo realista para uma PME industrial a partir do zero. Desconfie de propostas que prometem certificação em 12 semanas sem um sistema de gestão pré-existente. O que se consegue em 12 semanas é documentação — não um sistema que funcione.

• ☐ Cronograma com datas e responsáveis definidos por fase.
• ☐ Entregáveis contratualizados — não apenas descritos na proposta.
• ☐ Ponto de controlo interno após cada fase antes de avançar.

Checklist de 16 pontos — leve para a reunião

Passo 4 — Integre RGPD e ISO 27001 em vez de os tratar separadamente

Tratar ISO 27001 e RGPD como dois projetos paralelos duplica o esforço e cria contradições entre documentos. A análise de risco da norma e a avaliação de impacto sobre a proteção de dados (AIPD) do regulamento partilham 80% dos inputs — use os mesmos ativos, as mesmas ameaças, as mesmas medidas.

Na prática, o registo de atividades de tratamento (RGPD Art.º 30) alimenta o inventário de ativos do SGSI. A análise de risco ISO 27001 suporta a AIPD quando o tratamento é de alto risco. Os controlos do Anexo A da norma implementam as medidas técnicas e organizacionais exigidas pelo Art.º 32 do RGPD. Um consultor que não lhe mostre este mapa de sobreposição está a cobrar-lhe trabalho duplo — e a criar dois conjuntos de documentos que vão divergir na primeira atualização.

Há um erro específico que vemos repetidamente em empresas industriais: o responsável de TI gere o SGSI e o responsável de RH gere o RGPD, sem coordenação formal. O resultado é que o registo de atividades de tratamento lista o sistema de ponto eletrónico como ativo, mas a análise de risco do SGSI não o inclui no âmbito. O auditor encontra a contradição. A empresa paga a não-conformidade.

• ☐ Mapa de sobreposição ISO 27001 ↔ RGPD entregue pelo consultor.
• ☐ Documentação partilhada entre os dois sistemas (não duplicada).
• ☐ Responsável único para coordenar os dois processos internamente.

Passo 5 — Monitorize após a certificação

A certificação ISO 27001 não imuniza ninguém. O que imuniza é o ciclo de melhoria contínua que a norma exige — e que a maioria das empresas abandona nos seis meses seguintes à auditoria de certificação, quando o consultor já saiu e a adrenalina baixou.

O Verizon Data Breach Investigations Report de 2025 é inequívoco: nas pequenas e médias empresas, o ransomware esteve presente em 88% das violações de dados analisadas, contra 39% nas grandes organizações. As PME são o alvo desproporcionado — precisamente porque a certificação tende a ser tratada como evento único em vez de processo contínuo. Ter o certificado na parede não substitui o ciclo de monitorização.

Defina três métricas de monitorização mínimas e atribua um responsável a cada uma. Número de não-conformidades abertas: meta zero por fechar há mais de 30 dias. Tempo médio de resposta a incidentes: abaixo do limiar definido no procedimento interno, revisto anualmente. Cobertura de formação anual: 100% dos colaboradores com acesso a sistemas em âmbito — não apenas os de TI, mas também os operadores de terminais industriais e os comerciais com acesso ao KORA Sales Suite nos seus dispositivos móveis.

Reveja estas métricas na reunião de revisão pela gestão. A norma exige pelo menos uma vez por ano; empresas com histórico de incidentes devem fazê-lo trimestralmente. A cibersegurança gerida pode apoiar este ciclo quando a equipa interna não tem capacidade para o manter sozinha — o défice global de profissionais de cibersegurança chegou a cerca de 4,76 milhões de pessoas em 2024, um aumento de 19% face a 2023 (ISC2, 2024), e Portugal não é exceção.

• ☐ Dashboard de métricas de segurança definido e atribuído a um responsável.
• ☐ Calendário de auditorias internas para os próximos 12 meses.
• ☐ Processo de gestão de mudança ativo — qualquer novo sistema entra no âmbito antes de entrar em produção.

Erros comuns e como evitar

Delegar tudo ao consultor sem transferir conhecimento. O consultor sai; os documentos ficam; ninguém sabe explicá-los ao auditor. Exija sessões de transferência de conhecimento em cada fase. O responsável interno deve conseguir apresentar a análise de risco sem apoio externo — se não conseguir, o projeto falhou independentemente do certificado emitido.

Tratar a formação como formalidade. A formação de sensibilização registada numa lista de presenças não é o mesmo que formação que muda comportamentos. Uma empresa de distribuição com 40 colaboradores de armazém precisa de um exercício de phishing simulado, não de uma apresentação de 20 diapositivos sobre política de passwords. O auditor vai perguntar ao operador de armazém o que faz quando recebe um email suspeito. Prepare-o para responder.

Ignorar a NIS2 por não se reconhecer no setor crítico. A Diretiva NIS2 (Diretiva UE 2022/2555, transposta em Portugal pelo Decreto-Lei n.º 65/2025) alarga as obrigações de cibersegurança a médias e grandes empresas de 18 setores críticos, incluindo a indústria transformadora. Muitas PME industriais portuguesas ainda não avaliaram se estão abrangidas. Uma empresa de injeção plástica que fornece componentes para a cadeia automóvel pode estar em âmbito sem o saber. Verifique antes de a CNCS o notificar.

Não gerir a mudança de âmbito. A empresa implementa um novo módulo de WMS, integra uma plataforma de e-commerce ou abre um armazém remoto — e ninguém atualiza o âmbito do SGSI. Na auditoria de renovação, o auditor encontra sistemas em produção fora do âmbito documentado. A não-conformidade é major. O processo de gestão de mudança tem de incluir uma verificação de âmbito SGSI antes de qualquer novo sistema entrar em produção.

A certificação que dura é a que a empresa consegue manter sem o consultor. Esse é o critério que distingue um projeto bem feito de um projeto que passou na auditoria.

Perguntas frequentes

Qual é a diferença entre passar numa auditoria ISO 27001 e ter um sistema de gestão realmente funcional?

Passar na auditoria é um momento pontual; um sistema funcional é contínuo. A certificação valida o cumprimento num dia específico. O verdadeiro objetivo é ter controlos que funcionem após a auditoria, quando surgem incidentes reais. Em Portugal, o CERT.PT registou 2.758 incidentes em 2024 — a proteção real mede-se pela capacidade de resposta, não pelo certificado na parede.

Preciso de consultoria externa ou posso fazer ISO 27001 com a minha equipa interna?

Depende da maturidade interna. Se tem um responsável de TI com experiência em segurança e tempo disponível, pode reduzir custos com consultoria parcial. Mas a análise de risco, a política de segurança e a auditoria interna exigem distância — um olhar externo apanha lacunas que a equipa interna normaliza. O ideal é consultoria para desenho e auditoria interna; implementação pode ser maioritariamente interna.

Quanto tempo leva realmente a implementar ISO 27001 numa PME?

O mínimo realista é 24 semanas a partir do zero: 4 semanas de assessment, 6 de desenho, 10 de implementação, 4 de auditoria interna. Desconfie de propostas que prometem certificação em 12 semanas sem sistema pré-existente. O que se consegue em 12 semanas é documentação — não um sistema operacional que sobreviva ao dia seguinte.

Qual é a diferença entre um consultor ISO 27001 de banca e um de indústria transformadora?

Enorme. A maioria dos consultores portugueses tem experiência em serviços financeiros. Indústria transformadora tem especificidades: terminais de produção ligados à rede, WIP em tempo real, sistemas SCADA, integrações ERP-chão-de-fábrica. Um modelo de ameaças desenhado para um escritório de contabilidade não captura estes riscos. Exija referências industriais comprovadas antes de contratar.

O que é um "gap analysis" e por que é importante antes de começar?

É a comparação entre o seu estado atual e os requisitos da ISO 27001 (Anexo A) e RGPD. Identifica o que existe, o que falta e qual a prioridade. Sem gap analysis, o consultor trabalha às cegas e o projeto fica mais caro. É o primeiro entregável real — deve ser lido e validado internamente, não apenas pelo consultor.

Preciso de um DPO (Data Protection Officer) para implementar ISO 27001?

Não é obrigatório pela ISO 27001, mas é pela RGPD se trata dados pessoais em larga escala. Se contrata consultoria, o DPO pode ser externo. O importante é ter alguém que entenda RGPD a acompanhar o projeto — a segurança da informação e a privacidade caminham juntas, não em paralelo. Peça ao consultor uma referência de DPO com quem já trabalhou.

Como defino o âmbito da certificação sem deixar sistemas críticos de fora?

Pense em três dimensões: sistemas (ERP, servidores, cloud), processos (produção, vendas, RH) e localizações (sede, filiais, teletrabalho). Documente numa página A4 o que entra e o que sai — com justificação. Apresente ao organismo de certificação antes da auditoria de fase 1. Âmbito claro evita surpresas caras a meio do projeto e discussões desagradáveis sobre responsabilidades.

Fontes

• CNCS (Centro Nacional de Cibersegurança) — Relatório de Incidentes de Cibersegurança em Portugal 2024, disponível em https://www.cncs.gov.pt/
• ISO/IEC 27001:2022 — Norma internacional para sistemas de gestão da segurança da informação
• Regulamento (UE) 2016/679 (RGPD) — Artigo 30 (Registos de atividades de tratamento) e disposições gerais sobre proteção de dados pessoais
• IRCA (International Register of Certificated Auditors) — Esquema de certificação de lead auditors ISO 27001, disponível em https://www.irca.org/
• CNPD (Comissão Nacional de Proteção de Dados) — Orientações sobre Data Protection Officers e conformidade RGPD em contexto industrial, disponível em https://www.cnpd.pt/