NIS2 e ISO 27001: percursos distintos

Os percursos NIS2 e ISO 27001 reutilizam ativos, riscos, documentos e evidências, mas respondem a perguntas diferentes. Partilhar prova não torna equivalentes as suas avaliações.

NIS2: registar a determinação oficial

No percurso NIS2, a organização regista o enquadramento comunicado pela autoridade e o documento que o suporta. O Evidara não prevê a categoria ou o nível da entidade nem autentica automaticamente a origem desse documento.

Sem uma decisão oficial efetiva, conserva-se a espera ou a necessidade de revisão. Pode continuar a organizar o inventário, os riscos, a evidência e o trabalho. A aplicabilidade de uma obrigação é uma análise própria; não é substituída pela categoria da entidade.

ISO: avaliar dentro do âmbito do SGSI

No percurso ISO, o âmbito do sistema de gestão identifica o que está a ser avaliado. A avaliação separa aplicabilidade, implementação, suficiência de evidência e eficácia. Uma implementação concluída pode ainda precisar de prova ou revisão de eficácia.

A Declaração de Aplicabilidade conserva decisões e fundamentos relativos aos controlos. Excluir um controlo não serve para excluir requisitos do sistema de gestão. Uma versão aprovada conserva o contexto e as referências usados nessa decisão.

Exemplo fictício

A Oficina Horizonte pode reutilizar o relatório de um exercício em ambos os percursos. Em cada um, a pessoa autorizada confirma se a prova é adequada ao item, ao âmbito e à revisão. O simples carregamento do relatório não conclui nenhuma das avaliações.

Os referenciais disponíveis dependem do acesso configurado para a organização e da versão escolhida. Indicadores e decisões registadas não constituem certificação nem uma conclusão jurídica automática.

Comece por registar o enquadramento oficial, avaliar um item ISO ou consultar as versões dos referenciais.