ISO 27001 vs NIS2: o que a ISO cobre, ponto a ponto

O próprio mapeamento da ENISA associa cada medida técnica do Regulamento de Execução da NIS2 à ISO 27001. Então, porque não basta um certificado ISO? A resposta está no que o mapeamento não cobre.

Se tem um certificado ISO 27001 e a NIS2 se aplica à sua organização, a primeira pergunta é quanto do trabalho já está feito. A boa notícia é que a ENISA, a agência de cibersegurança da UE, já respondeu à maior parte dessa questão: a sua orientação de implementação associa cada ponto do Regulamento de Execução da NIS2 a cláusulas da ISO 27001 ou a controlos do Anexo A.

Eis como é esse mapeamento, requisito a requisito, e as partes da NIS2 que não aborda.

O número principal

Dos 49 pontos de requisito de NIS2, 49 (100%) mapeiam para algo em ISO 27001, 0 são apenas vagamente relacionados e 0 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Cada um dos pontos de requisito do Anexo do Regulamento de Execução (UE) 2024/2690 tem correspondência com algo na ISO 27001. Estas ligações vêm da própria tabela de mapeamento da ENISA, e não do nosso juízo, por isso estão identificadas como correspondências.

Cada ponto da NIS2 e a respetiva contrapartida na ISO

NIS2	Requisito	Correspondência	ISO 27001
1.1	Policy on the security of network and information systems	Correspondência	A.5.1 A.5.37 Clause 5.2 A.5.4
1.2	Roles, responsibilities and authorities	Correspondência	A.5.2 A.5.4 A.5.3 Clause 5.3
2.1	Risk management framework	Correspondência	Clause 6.1.1 Clause 6.1.2 Clause 6.1.3 A.5.7
2.2	Compliance monitoring	Correspondência	A.5.31 Clause 9.1 A.5.36 A.5.35
2.3	Independent review of information and network security	Correspondência	A.5.31 A.5.36 Clause 9.1 A.5.35
3.1	Incident handling policy	Correspondência	A.5.24 A.5.25 A.5.26
3.2	Monitoring and logging	Correspondência	A.5.25 A.8.15 A.8.16 A.8.17
3.3	Event reporting	Correspondência	A.5.5 A.6.8
3.4	Event assessment and classification	Correspondência	A.5.25 A.8.16
3.5	Incident response	Correspondência	A.5.24 A.5.25 A.5.26 A.5.28
3.6	Post-incident reviews	Correspondência	A.5.27 Clause 10.1
4.1	Business continuity and disaster recovery plan	Correspondência	A.5.29 A.5.30 A.8.14
4.2	Backup management	Correspondência	A.5.30 A.8.13 A.8.14
4.3	Crisis management	Correspondência	A.5.26 A.5.29 A.5.30 A.8.14
5.1	Supply chain security policy	Correspondência	A.5.19 A.5.20 A.5.21 A.5.22
5.2	Directory of suppliers and service providers	Correspondência	A.5.19 A.5.20 A.5.22
6.1	Security in acquisition of ICT services, ICT systems or ICT products	Correspondência	A.5.19 A.5.20 A.5.21 A.5.22
6.2	Secure development life cycle	Correspondência	A.8.25 A.8.26 A.8.28 A.8.29
6.3	Configuration management	Correspondência	A.8.9
6.4	Change management, repairs and maintenance	Correspondência	A.7.13 A.8.32 Clause 6.3 Clause 8.1
6.5	Security testing	Correspondência	A.8.8 A.8.29 A.8.33 A.8.34
6.6	Security patch management	Correspondência	A.8.8 A.8.31 A.8.32
6.7	Network security	Correspondência	A.8.20 A.8.21 A.8.22 A.8.16
6.8	Network segmentation	Correspondência	A.5.15 A.8.5 A.8.20 A.8.21
6.9	Protection against malicious and unauthorised software	Correspondência	A.5.14 A.8.19 A.8.1 A.8.7
6.10	Vulnerability handling and disclosure	Correspondência	A.8.8
7.1	Policies and procedures to assess the effectiveness of cybersecurity risk-management measures	Correspondência	Clause 6.1.1 Clause 6.1.3 Clause 6.2 Clause 9.1
8.1	Awareness raising and basic cyber hygiene practices	Correspondência	A.6.3 Clause 7.3 A.8.7
8.2	Security training	Correspondência	A.6.3 Clause 7.3 Clause 7.2
9.1	Cryptography	Correspondência	A.8.24 A.5.31
10.1	Human resources security	Correspondência	A.6.2 A.6.3 Clause 7.1 Clause 7.2
10.2	Verification of Background	Correspondência	A.6.1 A.6.4 A.8.16
10.3	Termination or change of employment procedures	Correspondência	A.6.5
10.4	Disciplinary process	Correspondência	A.6.1 A.6.4 A.8.16 A.5.28
11.1	Access control policy	Correspondência	A.5.15 A.5.16 A.5.18 A.8.3
11.2	Management of access rights	Correspondência	A.5.15 A.5.16 A.5.18 A.8.3
11.3	Privileged accounts and system administration accounts	Correspondência	A.8.2 A.8.18
11.4	Administration systems	Correspondência	A.8.2 A.8.18
11.5	Identification	Correspondência	A.5.15 A.5.16 A.5.18 A.8.3
11.6	Authentication	Correspondência	A.5.15 A.8.5 A.8.22 A.5.17
11.7	Multi-factor authentication	Correspondência	A.8.5
12.1	Asset classification	Correspondência	A.5.12 A.5.13 A.5.9
12.2	Handling of assets	Correspondência	A.5.14 A.8.10 A.8.11 A.5.9
12.3	Removable media policy	Correspondência	A.5.14 A.8.10 A.8.11 A.8.12
12.4	Asset inventory	Correspondência	A.5.9 A.5.11 A.7.14
12.5	Deposit, return or deletion of assets upon termination of employment	Correspondência	A.5.11 A.5.18 A.8.24
13.1	Supporting utilities	Correspondência	A.7.1 A.7.2 A.7.3 A.7.4
13.2	Protection against physical and environmental threats	Correspondência	A.7.1 A.7.2 A.7.3 A.7.4
13.3	Perimeter and physical access control	Correspondência	A.7.1 A.7.2 A.7.3 A.7.4

Leia a tabela como «onde procurar no seu SGSI», e não como «já feito». Um mapeamento indica que o controlo ISO aborda o mesmo tema. Saber se a sua implementação cumpre o ponto da NIS2 depende de como implementou o controlo e do detalhe do texto da NIS2, que costuma ser mais específico do que o Anexo A.

O que a ISO 27001 não lhe dá

O Regulamento de Execução cobre as medidas de gestão de riscos do Artigo 21. A própria NIS2 exige mais, e nada disso consta da ISO 27001:

Prazos de notificação de incidentes (Artigo 23): um alerta precoce ao CSIRT ou à autoridade competente no prazo de 24 horas após tomar conhecimento de um incidente significativo, uma notificação no prazo de 72 horas e um relatório final no prazo de um mês. A ISO 27001 exige gestão de incidentes, mas não notificação regulamentar com prazos.
Responsabilização da gestão (Artigo 20): o órgão de administração tem de aprovar as medidas, supervisioná-las e participar em formação, podendo ser responsabilizado. A cláusula 5 da ISO pede compromisso da liderança, o que é um requisito mais fraco.
Registo junto da autoridade nacional, e supervisão por parte desta.
Âmbito: um certificado ISO pode abranger apenas parte de uma organização. A NIS2 aplica-se à entidade.

Alguns pontos do Anexo também vão além do controlo ISO correspondente. A segurança da cadeia de abastecimento, o tratamento e a divulgação de vulnerabilidades e a criptografia são exemplos comuns: o controlo ISO existe, mas a NIS2 detalha mais.

O sentido inverso: o que a NIS2 deixa de fora da ISO

Dos 123 Controlos do Anexo A e cláusulas do SGSI de ISO 27001, 104 (85%) mapeiam para algo em NIS2, 13 são apenas vagamente relacionados e 6 não têm mapeamento em nossos dados. Abrir o relatório de lacunas →

Os requisitos da ISO sem mapeamento na NIS2 são mecanismos de sistema de gestão:

ISO 27001	Requisito	Correspondência	NIS2
Clause 4.3	Determining the scope of the ISMS	Sem mapeamento em nossos dados	—
Clause 5.1	Leadership and commitment	Sem mapeamento em nossos dados	—
Clause 7.5.1	General	Sem mapeamento em nossos dados	—
Clause 7.5.2	Creating and updating	Sem mapeamento em nossos dados	—
Clause 7.5.3	Control of documented information	Sem mapeamento em nossos dados	—
Clause 10.2	Nonconformity and corrective action	Sem mapeamento em nossos dados	—

A NIS2 não exige que mantenha um sistema de gestão certificável, por isso a definição do âmbito do SGSI, o controlo documental e a ação corretiva formal não têm contrapartida direta. Isto funciona nos dois sentidos. Uma organização que construa a conformidade com a NIS2 de raiz não precisa deles, mas um SGSI oferece a prova mais sólida de que as suas medidas são eficazes, o que o Artigo 21(2)(f) efetivamente exige.

Fotografia de uma prancheta com uma lista de verificação parcialmente assinalada, pousada sobre uma pilha de documentos encadernados numa mesa de reuniões — Um mapeamento é uma lista de verificação de onde procurar, e não uma prova de conformidade.

O que fazer se tem a ISO 27001

Confirme que está abrangido pela legislação nacional de cada país em que opera, e registe-se onde for exigido.
Verifique se o âmbito do certificado abrange a entidade inteira, e não apenas um serviço ou local.
Faça a comparação entre a sua Declaração de Aplicabilidade e os pontos do Anexo acima; o nosso relatório de lacunas ISO 27001 → NIS2 exporta-a como folha de acompanhamento.
Acrescente ao SGSI o que a ISO não cobre: o procedimento de notificação com os seus prazos de 24 e 72 horas, a formação da gestão e o registo. Ao incluí-los no SGSI, a auditoria interna e as auditorias de acompanhamento também os verificam.
Aprofunde os controlos onde a NIS2 é mais específica, começando pela segurança da cadeia de abastecimento e pelo tratamento de vulnerabilidades.

Para uma visão mais ampla, consulte o nosso guia da NIS2 e a comparação completa ISO 27001 vs NIS2.

Perguntas

A certificação ISO 27001 torna a sua organização conforme com a NIS2?

Não. Cobre a maior parte das medidas técnicas e organizacionais, mas a NIS2 acrescenta prazos de notificação de incidentes, formação e responsabilização da gestão, registo junto da autoridade nacional e alguns requisitos mais específicos do que o Anexo A. A conformidade é decidida pelas autoridades nacionais, e não pelos organismos de certificação.

O que é o Regulamento de Execução da NIS2?

O Regulamento de Execução (UE) 2024/2690 da Comissão detalha as medidas do Artigo 21 da NIS2 para prestadores de serviços DNS, registos de TLD, prestadores de serviços de nuvem e de centros de dados, prestadores de serviços geridos (de segurança), mercados em linha, motores de pesquisa, redes sociais e prestadores de serviços de confiança.

Dados atualizados em 2026-10-27: os números deste artigo são calculados a partir da correspondência atual e são atualizados quando ela muda. Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Não é aconselhamento de conformidade.

O que a ISO 27001 cobre na NIS2, ponto a ponto