Dossier de diligência devida do CISO: evidência ISO 27001 para 2026

São 08:17 de uma segunda-feira. Maria, CISO de um prestador fintech SaaS em rápido crescimento, abre uma mensagem de correio eletrónico do CEO: “Pedido do regulador. Precisamos de evidência até sexta-feira de que escalámos o risco do fornecedor antes da indisponibilidade, de que o órgão de administração compreendeu o risco residual e de que a nossa decisão de notificação de incidentes foi documentada.”

Seis semanas antes, um prestador crítico de serviços em nuvem sofreu uma degradação regional. Não se perderam fundos de clientes. Não foi confirmada exfiltração de dados pessoais. Mas os clientes perderam acesso aos painéis de gestão durante horas, os pedidos de suporte aumentaram abruptamente e um cliente empresarial quer agora evidência de que a empresa cumpriu a NIS2, a DORA e as obrigações de segurança previstas no Article 32 do RGPD da UE.

Maria sabe que a equipa agiu de forma responsável. Alertou a gestão para o risco de concentração. Abriu uma exceção quando os testes da região de contingência derraparam. Classificou o evento, consultou a assessoria jurídica, atualizou os clientes e abriu ações corretivas. Mas, em 2026, a questão já não é apenas saber se a segurança atuou de forma responsável.

A questão é saber se o CISO consegue demonstrar, com evidência datada, que os riscos foram identificados, comunicados, acompanhados, aceites pelo proprietário correto e tratados até à conclusão.

Essa prova é o dossier de diligência devida do CISO.

Para CISO, responsáveis de conformidade, auditores e responsáveis de negócio, o dossier de diligência devida não é um arquivo privado de documentação. É a camada operacional de evidência que liga ISO/IEC 27001:2022, responsabilização da gestão na NIS2, governação DORA e gestão do risco de TIC, e segurança do tratamento ao abrigo do Article 32 do RGPD da UE numa narrativa coerente. Quando bem executado, demonstra que o responsável de segurança prestou aconselhamento claro, que a gestão tomou decisões informadas e que os controlos da organização não foram apenas declarados, mas operados, revistos e melhorados.

Porque é que a diligência devida do CISO é importante em 2026

O panorama regulamentar passou de declarações de política para responsabilização demonstrável. Garantias vagas já não são suficientes. Reguladores, órgãos de administração, clientes e seguradoras solicitam cada vez mais evidência de governação.

A NIS2 atribui responsabilidade explícita aos órgãos de gestão. O Article 20 exige que os órgãos de gestão das entidades essenciais e importantes aprovem medidas de gestão de riscos de cibersegurança, supervisionem a sua implementação e concluam formação em cibersegurança. O Article 21 exige depois medidas técnicas, operacionais e organizacionais adequadas e proporcionadas, incluindo análise de riscos, tratamento de incidentes, continuidade de negócio, segurança da cadeia de fornecimento, desenvolvimento seguro, avaliação da eficácia, higiene de cibersegurança, formação, criptografia, controlo de acesso, gestão de ativos e autenticação.

Para entidades financeiras abrangidas, a DORA eleva ainda mais o nível de exigência. O Article 5 torna o órgão de gestão o responsável último pela gestão do risco de TIC. O Article 6 exige um quadro de gestão do risco de TIC sólido, abrangente e bem documentado. A DORA também exige classificação e reporte de incidentes, testes de resiliência operacional digital, auditoria interna para entidades que não sejam microempresas, acompanhamento da remediação e governação de terceiros de TIC. A DORA é aplicável desde 17 de janeiro de 2025 e, para entidades financeiras abrangidas, funciona como ato jurídico setorial da União para obrigações sobrepostas de gestão de riscos e reporte previstas na NIS2.

O RGPD da UE acrescenta uma perspetiva de responsabilização distinta, mas relacionada. O Article 5(2) exige que os responsáveis pelo tratamento sejam responsáveis pelo cumprimento dos princípios de proteção de dados e capazes de o demonstrar. O Article 32 exige medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco. Para organizações SaaS, fintech e prestadores de serviços geridos que tratam dados pessoais da UE, isto significa que a evidência deve demonstrar como os riscos para confidencialidade, integridade e disponibilidade, bem como para a resiliência, foram avaliados e tratados.

A preocupação pessoal dos CISO é compreensível. Se a responsabilização da gestão, o escrutínio do regulador, a diligência devida de clientes e a exposição a litígio convergirem após uma indisponibilidade ou violação, um registo de riscos, por si só, não será suficiente. O CISO precisa de um dossier de evidência estruturado que demonstre juízo profissional, escalamentos tempestivos, recomendações claras, divergência quando necessário, riscos aceites e garantia de controlos.

O dossier de diligência devida não é um SGSI paralelo

Um erro comum em auditoria é tratar o dossier de diligência devida do CISO como um arquivo privado separado do SGSI. Isso cria dois riscos. Primeiro, a evidência torna-se inconsistente. Segundo, pode parecer que o CISO conhecia os riscos, mas não os integrou na governação.

A abordagem da Clarysec é diferente. O dossier de diligência devida do CISO é uma vista curada da evidência do SGSI relevante para a responsabilização da gestão. Não substitui o registo de riscos, a Declaração de Aplicabilidade, o registo de incidentes, o registo centralizado de fornecedores, os relatórios de auditoria ou as atas de revisão pela gestão. Indexa-os, liga-os e torna-os defensáveis.

O Zenith Blueprint: roteiro de 30 passos para auditores fornece a base prática. Na fase de fundação e liderança do SGSI, o Passo 4 sublinha que o gestor do SGSI ou responsável de segurança coordena a implementação, as auditorias e a sensibilização, e “deve ter acesso direto à alta direção para escalar questões.” Também refere que devem ser designados proprietários do risco para riscos relevantes e que a organização deve definir quem aprova formalmente as decisões de tratamento de riscos.

Este é o primeiro princípio da diligência devida do CISO: o responsável de segurança aconselha e escala, mas a propriedade do risco e a aceitação têm de ser explícitas.

Na fase de gestão de riscos, o Passo 13 do Zenith Blueprint operacionaliza este princípio:

As decisões de tratamento de riscos e a SoA devem ser revistas e aprovadas pela alta direção. Isto é frequentemente feito numa reunião ou, pelo menos, através de aprovação formal. Garanta que informa a gestão sobre:

✓ Os principais riscos e os tratamentos propostos, ✓ Quaisquer riscos que recomenda aceitar (devem aceitá-los formalmente), ✓ A lista de controlos que planeia implementar (destaques da SoA). A aprovação da gestão demonstra que a organização está consciente das ações necessárias e comprometida com elas (isto também constituirá evidência documentada para a auditoria).

Para um CISO, esta orientação não é apenas preparação para uma auditoria ISO. É arquitetura de diligência devida. Se um risco elevado for aceite, diferido ou subfinanciado, o dossier deve demonstrar o risco, a recomendação, a decisão de negócio, a função aprovadora, a referência ao apetite ao risco e a data de revisão.

A ISO 27001:2022 é o motor de evidência

A ISO 27001 é mais do que um objetivo de certificação. É um modelo operacional para governação, tratamento de riscos, garantia e melhoria contínua. A Cláusula 0.1 declara que um SGSI deve ser integrado nos processos da organização e na sua estrutura global de gestão. Essa integração é o que transforma o trabalho de segurança rotineiro num motor fiável de geração de evidência.

As cláusulas centrais da ISO 27001:2022 que alimentam o dossier de diligência devida do CISO são:

• Cláusulas 4.1 a 4.2, contexto e partes interessadas, que documentam obrigações legais, regulamentares, contratuais e das partes interessadas.
• Cláusula 4.3, âmbito do SGSI, que define os serviços, localizações, sistemas e limites abrangidos.
• Cláusula 5.1, liderança e compromisso, que exige que a alta direção apoie o SGSI e garanta que este alcança os resultados pretendidos.
• Cláusula 5.3, funções, responsabilidades e autoridades organizacionais, que suporta propriedade do risco clara e vias de escalamento.
• Cláusulas 6.1.2 e 6.1.3, avaliação de riscos de segurança da informação e tratamento de riscos, que exigem critérios de risco consistentes, aprovação pelo proprietário do risco, planos de tratamento, aceitação do risco residual e Declaração de Aplicabilidade.
• Cláusula 8.1, planeamento e controlo operacional, que exige que a organização planeie, implemente e controle os processos necessários para cumprir os requisitos do SGSI.
• Cláusulas 9.2 e 9.3, auditoria interna e revisão pela gestão, que geram evidência de garantia independente e supervisão pela liderança.
• Cláusula 10.1, melhoria contínua, e Cláusula 10.2, não conformidade e ação corretiva, que demonstram seguimento até à conclusão.

Esta abordagem sistemática garante que a evidência de que o CEO de Maria precisa não é criada em modo de emergência. Ela já existe, se o SGSI tiver sido concebido para produzir e preservar registos aptos a suportar decisões.

O que deve constar num dossier de diligência devida do CISO

Um bom dossier de diligência devida responde a sete perguntas que um auditor, regulador, membro do órgão de administração ou cliente pode fazer após uma interrupção:

1. O que sabia o CISO?
2. Quando o soube?
3. Que aconselhamento prestou?
4. Quem era o proprietário do risco?
5. O que aprovou, rejeitou, diferiu ou aceitou a gestão?
6. Como foram testados ou monitorizados os controlos?
7. O que mudou após incidentes, auditorias, alertas de fornecedores ou exceções?

A estrutura seguinte funciona para prestadores SaaS, empresas fintech, prestadores de serviços geridos, prestadores de serviços de segurança geridos, operadores de infraestrutura digital e fornecedores tecnológicos que apoiam clientes regulados.

Este dossier é especialmente importante para setores NIS2 como serviços de computação em nuvem, centros de dados, redes de distribuição de conteúdos, prestadores de serviços geridos, prestadores de serviços de segurança geridos, prestadores de comunicações públicas e determinadas entidades de infraestrutura financeira. O âmbito da NIS2 depende do setor, do tipo de entidade e da dimensão, sendo os Estados-Membros obrigados a estabelecer listas de entidades essenciais e importantes. Mesmo organizações fora do âmbito direto podem enfrentar obrigações em cadeia impostas por clientes que estão abrangidos.

Para a DORA, o dossier deve distinguir se a organização é a entidade financeira regulada, um prestador terceiro de serviços de TIC, ou ambos em relações diferentes. As entidades financeiras devem manter governação, gestão do risco de TIC, reporte de incidentes, testes de resiliência e controlos de risco de terceiros. Os prestadores de TIC serão cada vez mais chamados a apoiar evidência, direitos de auditoria, assistência em incidentes, testes e planeamento de saída.

A espinha dorsal de políticas da Clarysec para registos defensáveis

O dossier de diligência devida depende da qualidade dos registos. As políticas da Clarysec são redigidas para tornar esse trilho de registos uma prática normal de negócio, e não uma resposta de emergência a uma carta do regulador.

Para PME, a [P02S] Política de Funções e Responsabilidades de Governação - PME estabelece na cláusula 5.5:

Todas as decisões de segurança significativas, exceções e escalamentos devem ser registados e rastreáveis.

Para empresas, a [P02] Política de Funções e Responsabilidades de Governação estabelece na cláusula 6.5:

Todos os escalamentos devem ser registados e acompanhados, com evidência de resolução ou aceitação formal.

Em conjunto, estas cláusulas definem o padrão probatório. Uma vulnerabilidade material, dependência de fornecedor, atraso de controlo ou exceção recorrente não deve existir apenas em mensagens de chat ou na memória. Deve ser registada, atribuída, acompanhada e encerrada por resolução ou aceitação formal.

A aceitação do risco exige a mesma disciplina. A [P06S] Política de Gestão de Riscos - PME exige na cláusula 5.1.2:

Cada entrada de risco deve incluir: descrição, probabilidade, impacto, pontuação, proprietário e plano de tratamento.

A mesma política para PME acrescenta na cláusula 7.2.1:

Qualquer decisão de aceitar ou diferir o tratamento de um risco alto ou médio deve ser documentada no registo de riscos. Esta documentação deve incluir:

Para organizações maiores, a [P06] Política de Gestão de Riscos estabelece na cláusula 6.3.4:

Os riscos aceites sem tratamento devem ser justificados por escrito, ligados ao apetite ao risco da organização e aprovados ao nível adequado.

Num contexto NIS2 ou DORA, isto é relevante porque se espera que os órgãos de gestão aprovem, supervisionem e compreendam as decisões de risco de cibersegurança e de TIC. Num contexto do Article 32 do RGPD da UE, ajuda a demonstrar que as medidas de segurança foram selecionadas, diferidas ou ajustadas através de um processo documentado e baseado no risco.

A evidência de incidentes deve ser igualmente estruturada. A [P30S] Política de Resposta a Incidentes - PME exige:

Todas as investigações de incidentes, constatações e ações corretivas devem ser registadas num registo de incidentes mantido pelo Diretor-Geral.

A [P30] Política de Resposta a Incidentes exige:

Todos os incidentes devem ser registados no Sistema de Gestão de Incidentes de Segurança (SIMS), incluindo:

Estas cláusulas suportam o reporte faseado da NIS2 e a governação de incidentes de TIC da DORA. A NIS2 exige alerta precoce no prazo de 24 horas para incidentes significativos, notificação no prazo de 72 horas e relatório final no prazo de um mês após a notificação do incidente. A DORA exige gestão formal de incidentes de TIC, classificação por severidade e criticidade do serviço afetado, escalamento para a alta direção, conhecimento pelo órgão de gestão, comunicação a clientes quando exigida e reporte faseado de incidentes graves relacionados com TIC.

A evidência de auditoria também precisa de integridade. A [P33S] Política de Auditoria e Monitorização da Conformidade - PME estabelece:

Os metadados (por exemplo, quem os recolheu, quando e a partir de que sistema) devem ser documentados.

A [P33] Política de Auditoria e Monitorização da Conformidade estabelece:

Todas as atividades de auditoria devem ser documentadas e retidas no repositório do SGSI.

Por fim, a [P01] Política de Segurança da Informação dá ao reporte à liderança uma base prática. A cláusula 4.2.4 estabelece:

Reporta o estado do SGSI, incidentes, resultados de auditoria e métricas à alta direção.

Essa cláusula suporta o princípio de diligência devida de que o estado dos incidentes, as métricas, os resultados de auditoria e os riscos não resolvidos devem chegar à alta direção num formato que suporte a supervisão.

Zenith Controls como bússola de conformidade cruzada

O Zenith Controls: o guia de conformidade cruzada da Clarysec ajuda os CISO a ligar controlos da ISO/IEC 27002:2022 a expectativas de conformidade mais amplas. Não é um quadro de controlos separado. É o guia de conformidade cruzada da Clarysec para compreender como os controlos do Anexo A da ISO/IEC 27001:2022 e da ISO/IEC 27002:2022 suportam outras obrigações, auditorias e pedidos de evidência.

Para o dossier de diligência devida do CISO, três áreas de controlo são centrais.

O controlo 5.4 da ISO/IEC 27002:2022, responsabilidades da gestão, é um controlo preventivo de governação que suporta confidencialidade, integridade e disponibilidade. O Zenith Controls coloca-o no conceito Identificar, com governação como capacidade operacional e governação mais ecossistema como domínios de segurança. A mensagem prática é clara: a responsabilização da gestão não é simbólica. Exige funções atribuídas, recursos, liderança de políticas, supervisão e seguimento.

O Zenith Controls liga diretamente o 5.4 ao 5.2 Funções e responsabilidades de segurança da informação, 5.1 Políticas de segurança da informação, 5.35 Revisão independente de segurança da informação, 5.36 Conformidade com políticas, regras e normas de segurança da informação, e 5.8 Segurança da informação na gestão de projetos. Um dossier de diligência devida que contenha escalamentos, mas não inclua evidência de atribuição de funções, aprovação de políticas, revisão independente ou integração em projetos, parecerá incompleto.

O controlo 5.35, Revisão independente de segurança da informação, também é central. O Zenith Controls descreve-o como preventivo e corretivo, ligado à garantia da segurança da informação. Está associado à 5.36 monitorização da conformidade, 5.4 responsabilidades da gestão, 5.27 aprendizagem com incidentes de segurança da informação, 5.33 proteção de registos, e evidência técnica como 8.15 registo e 8.16 atividades de monitorização. Em termos de diligência devida, a revisão independente demonstra que a gestão não se baseou apenas em autoatestação da equipa de segurança.

O controlo 5.36, Conformidade com políticas, regras e normas de segurança da informação, fornece a camada de aplicação. O Zenith Controls liga-o a políticas, processo disciplinar, revisão independente, funções, avaliação de eventos, registo, monitorização, proteção de registos e contacto com grupos de interesse especiais. Para um CISO, isto significa que o dossier não deve apenas demonstrar que existe uma política. Deve demonstrar monitorização do cumprimento, reporte de incumprimento e ação corretiva.

Mapeamento de conformidade cruzada: um dossier de evidência, várias perspetivas

O dossier de diligência devida mais eficiente mapeia a mesma evidência para múltiplas obrigações. Isto evita programas de conformidade duplicados e reduz o risco de narrativas contraditórias.

O NIST CSF 2.0 é útil porque fornece uma linguagem comum para governação, risco da cadeia de fornecimento, resiliência operacional, gestão de incidentes e recuperação. A sua função GOVERN abrange contexto organizacional, obrigações legais e regulamentares, apetite ao risco, funções, política e supervisão. O seu método CSF Profiles suporta avaliação do estado atual, definição do estado-alvo, análise de lacunas e planeamento de ações priorizadas. Isto alinha-se naturalmente com a abordagem de diligência devida da Clarysec: definir o âmbito do dossier, recolher evidência, mapear obrigações, identificar lacunas, implementar ações e atualizar continuamente.

Um pacote prático de escalamento de risco

Considere um prestador SaaS cujo serviço de autenticação depende de um único fornecedor de identidade em nuvem. O CISO identifica um risco de alto impacto para disponibilidade e controlo de acesso: se o fornecedor de identidade sofrer uma indisponibilidade grave, os clientes não conseguem autenticar-se, os fluxos de trabalho de acesso privilegiado podem atrasar-se e a resposta a incidentes pode ficar comprometida.

Um pacote de escalamento de risco defensável deve conter cinco partes.

Primeiro, crie a entrada de risco. Use o requisito da Política de Gestão de Riscos - PME segundo o qual cada entrada de risco deve incluir descrição, probabilidade, impacto, pontuação, proprietário e plano de tratamento. A entrada deve identificar os ativos e serviços afetados, incluindo o portal de clientes, a consola administrativa, as ferramentas de suporte e o processo de acesso de emergência. Deve registar o impacto CID, probabilidade, impacto, pontuação de risco, proprietário do risco, tratamento proposto, risco residual, data-alvo e orçamento.

Segundo, ligue o tratamento à Declaração de Aplicabilidade. Os controlos relevantes podem incluir segurança de fornecedores, gestão de serviços em nuvem, gestão de identidades e acessos, acesso privilegiado, monitorização, planeamento de incidentes, preparação de continuidade de negócio, cópia de segurança e registo. Isto segue o Passo 13 do Zenith Blueprint, em que as decisões de tratamento de riscos e a SoA são revistas e aprovadas pela alta direção.

Terceiro, prepare o memorando consultivo do CISO. O memorando deve responder ao que pode correr mal, que serviços regulados ou compromissos com clientes podem ser afetados, quais são as implicações NIS2, DORA e RGPD da UE, que tratamento é recomendado, quais são o custo e o prazo, e que risco residual permanece se a gestão diferir a decisão.

Quarto, registe a decisão da gestão. Se a gestão aprovar o tratamento, retenha a decisão assinada, a aprovação orçamental e o plano de implementação. Se a gestão diferir, a Política de Gestão de Riscos empresarial exige justificação escrita ligada ao apetite ao risco e aprovação ao nível adequado. O dossier deve mostrar a recomendação do CISO e a decisão da gestão como artefactos separados.

Quinto, acrescente evidência de garantia. Inclua resultados de testes de contas de acesso de emergência, plano de comunicação de incidentes do fornecedor, revisão contratual, evidência de SLA, testes de alertas de monitorização, notas de exercícios de simulação, ações corretivas e constatações de auditoria interna. No Passo 23 do Zenith Blueprint, a Clarysec recomenda validar as capacidades de gestão de incidentes selecionando um evento recente ou conduzindo um exercício de simulação, capturando e registando decisões, funções e comunicações, atualizando o plano com lições aprendidas e confirmando procedimentos de preservação de evidência forense. Essa é exatamente a evidência que o dossier deve preservar.

Decisões de incidente: demonstrar o porquê das escolhas de reporte

Após um evento cibernético, a questão mais contestada muitas vezes não é a cronologia técnica. É a decisão de reporte.

Foi significativo ao abrigo da NIS2? Foi grave ao abrigo da DORA? Foi uma violação de dados pessoais ao abrigo do RGPD da UE? Os clientes ou destinatários foram notificados? Quem decidiu? Com base em que factos?

O dossier de diligência devida do CISO deve incluir um registo de decisão de incidente para cada evento material, mesmo que a decisão final seja “não reportável.” Esse registo deve incluir:

• Data e hora de tomada de conhecimento.
• Resumo do evento e sistemas afetados.
• Severidade inicial e impacto no negócio.
• Causa maliciosa conhecida ou suspeita.
• Indicadores de impacto transfronteiriço.
• Avaliação de dados pessoais.
• Impacto em clientes ou destinatários do serviço.
• Análise dos critérios de incidente grave DORA, se aplicável.
• Análise dos critérios de incidente significativo NIS2, se aplicável.
• Participantes das funções jurídica, encarregado da proteção de dados (DPO), conformidade e gestão.
• Decisão, fundamentação e aprovação.
• Acionadores de seguimento se os factos mudarem.

A NIS2 define incidentes significativos por interrupção operacional grave, perda financeira ou dano material ou imaterial considerável a outras pessoas. A DORA exige que as entidades financeiras registem incidentes relacionados com TIC e ciberameaças significativas, classifiquem incidentes usando critérios como clientes afetados, tempo de indisponibilidade, dispersão geográfica, perda de dados, criticidade e impacto económico, e escalem incidentes graves para a alta direção, informando simultaneamente o órgão de gestão.

O dossier de diligência devida deve preservar tanto os factos conhecidos no momento da decisão como a fundamentação da ação ou da não notificação. Se os factos mudarem posteriormente, o dossier deve demonstrar a reavaliação.

Os alertas de fornecedores são onde a diligência é testada

A evidência da cadeia de fornecimento está a tornar-se uma das secções mais importantes do dossier do CISO. O Article 21 da NIS2 exige segurança da cadeia de fornecimento e espera que as organizações considerem vulnerabilidades específicas de fornecedores, qualidade dos produtos, práticas de cibersegurança e procedimentos de desenvolvimento seguro. A orientação dos considerandos incentiva medidas de gestão de riscos de cibersegurança em contratos com fornecedores diretos e prestadores de serviços.

A DORA é mais prescritiva para entidades financeiras. O risco de terceiros de TIC deve fazer parte do quadro de risco de TIC. As organizações devem manter um registo de acordos contratuais, realizar diligência devida pré-contratual, avaliar o risco de concentração, considerar cadeias de subcontratação e dependências de países terceiros, incluir direitos de auditoria e de acesso, definir assistência em incidentes, testar estratégias de saída e manter direitos de cessação.

Para o CISO, os alertas de fornecedores devem ser documentados antes de o fornecedor falhar. O dossier deve incluir:

• Inventário de fornecedores críticos e mapeamento de serviços.
• Classificação de risco do fornecedor e fundamentação.
• Questionários de segurança e revisões de evidência.
• Análise de lacunas contratuais abrangendo direitos de auditoria, notificação de incidentes, localização dos dados, subcontratação e saída.
• Avaliação do risco de concentração.
• Vulnerabilidades conhecidas ou avisos públicos que afetem o fornecedor.
• Recomendações do CISO às funções jurídica, de compras e de gestão.
• Lacunas aceites e controlos compensatórios.
• Evidência de teste da estratégia de saída para fornecedores críticos.

Isto alinha-se estreitamente com o NIST CSF 2.0 GV.SC, que cobre estratégia de gestão de riscos da cadeia de fornecimento, funções de fornecedores, priorização por criticidade, requisitos contratuais, diligência devida, monitorização contínua, planeamento de incidentes e atividades de fim de relação.

Como auditores e reguladores irão ler o dossier

Revisores diferentes abordam a mesma evidência a partir de ângulos diferentes. Um dossier de diligência devida sólido antecipa esses ângulos.

Um auditor ISO 27001 prestará particular atenção à informação documentada que suporta o processo de avaliação e tratamento de riscos. As Cláusulas 6.1.2 e 6.1.3 exigem critérios de aceitação do risco, avaliações consistentes, proprietários do risco, níveis de risco, priorização, planos de tratamento, comparação com a SoA e aceitação do risco residual. As Cláusulas 8.1 a 8.3 exigem controlo operacional, reavaliação de riscos planeada ou reavaliação após alterações significativas, e retenção dos resultados.

Uma autoridade NIS2 ou avaliador de cliente analisará a responsabilização da gestão e a proporcionalidade. Perguntará se as medidas eram adequadas considerando a exposição ao risco, dimensão, probabilidade, severidade, impacto societal ou económico, estado da arte e normas aplicáveis.

Um revisor focado em DORA procurará rastreabilidade de governação. O órgão de gestão definiu a tolerância ao risco de TIC? Aprovou planos de continuidade e resposta? Os incidentes graves foram escalados? Os testes de resiliência foram baseados no risco e remediados? Os contratos com terceiros de TIC e os riscos de concentração foram geridos?

Uma autoridade RGPD da UE focar-se-á na responsabilização e na segurança do tratamento. Perguntará se os dados pessoais foram classificados, se as funções de tratamento foram compreendidas, se foram implementadas medidas técnicas e organizativas adequadas e se as decisões sobre violações foram baseadas em evidência.

Métricas que protegem a organização e o CISO

As métricas não são decorativas. Num dossier de diligência devida, demonstram se o CISO deu à gestão visibilidade suficiente para agir.

Métricas úteis incluem:

• Riscos altos e médios aceites, vencidos ou sem proprietário.
• Vulnerabilidades críticas fora do SLA.
• Exceções por antiguidade, unidade de negócio e função aprovadora.
• Riscos de fornecedores por criticidade e lacunas contratuais não resolvidas.
• Tempo médio de deteção, resposta e recuperação de incidentes.
• Avaliações de reportabilidade concluídas dentro das janelas de decisão exigidas.
• Taxas de sucesso de testes de cópia de segurança e recuperação.
• Conclusão de revisão de acessos e exceções de acesso privilegiado.
• Constatações de auditoria interna por severidade e ações corretivas vencidas.
• Conclusão de sensibilização para a segurança por gestão e pessoal.

Estas métricas suportam o reporte de liderança ISO 27001, formação e supervisão NIS2, reporte de risco de TIC DORA e responsabilização RGPD da UE. Também protegem o CISO ao demonstrar se restrições de recursos, exceções não resolvidas ou falhas de controlo recorrentes estavam visíveis para a gestão.

O dossier de diligência devida deve preservar instantâneos mensais ou trimestrais. Não sobrescreva painéis de gestão antigos sem reter evidência. Se a gestão viu uma métrica vermelha e diferiu o tratamento, essa decisão pertence ao dossier.

De toolkit preparado para auditoria a evidência preparada para o CISO

Na fase de Auditoria, Revisão e Melhoria, o Passo 30 do Zenith Blueprint recomenda compilar um toolkit preparado para auditoria:

Reúna todos os documentos e registos principais do SGSI num único repositório ou pasta. Isto facilita, durante a auditoria de certificação, a recuperação rápida de qualquer elemento solicitado pelo auditor.

A lista de verificação inclui a declaração do âmbito do SGSI, políticas, relatório de avaliação de riscos, registo de riscos, plano de tratamento de riscos, Declaração de Aplicabilidade, inventário de ativos, registos de formação, registos operacionais como logs de incidentes e pedidos de acesso, relatórios de auditoria interna, atas de revisão pela gestão, ações corretivas e registos de obrigações de conformidade.

O dossier de diligência devida do CISO é uma camada especializada dentro desse toolkit. Não deve duplicar tudo. Deve indexar a evidência mais relevante para o juízo profissional e a responsabilização da gestão.

Uma estrutura prática de pastas é:

• 00 Leia-me e índice de evidência.
• 01 Função, autoridade e linha de reporte.
• 02 Obrigações de conformidade e âmbito.
• 03 Relatórios e aconselhamento à gestão.
• 04 Aceitações de riscos e exceções.
• 05 Decisões de incidentes e comunicações.
• 06 Alertas de fornecedores e riscos contratuais.
• 07 Garantia de controlos e revisões independentes.
• 08 Métricas e questões não resolvidas.
• 09 Revisão pela gestão e seguimento CAPA.
• 10 Preservação legal, integridade da evidência e metadados.

Cada entrada deve ter proprietário, data, sistema de origem, ID de risco relacionado, controlo relacionado, estado da decisão e requisito de retenção. Isto implementa o princípio de evidência da Clarysec presente na Política de Auditoria e Monitorização da Conformidade - PME: os metadados são importantes.

Comece antes do próximo incidente

Um dossier de diligência devida do CISO é mais valioso quando existe antes da indisponibilidade, violação, auditoria ou carta do regulador. Comece com três ações esta semana.

Primeiro, crie um índice de evidência de diligência devida do CISO e mapeie-o para o seu registo de riscos ISO 27001, SoA, registo de incidentes, registo centralizado de fornecedores e pacote de revisão pela gestão.

Segundo, reveja os seus últimos três riscos altos ou médios. Confirme que cada um tem proprietário, plano de tratamento, decisão sobre risco residual, referência ao apetite ao risco e evidência de aprovação. Caso contrário, reabra o registo de governação.

Terceiro, execute um exercício de simulação de 90 minutos sobre uma indisponibilidade de fornecedor ou uma suspeita de violação de dados. Use o Passo 23 do Zenith Blueprint para capturar decisões, funções, comunicações e lições aprendidas, e arquive depois a evidência na sua secção de decisões de incidentes.

A Clarysec pode ajudá-lo a operacionalizar isto rapidamente. O nosso método de implementação em 30 passos, o conjunto de políticas e o mapeamento de conformidade cruzada do Zenith Controls dão-lhe uma estrutura defensável e preparada para auditoria para evidência ISO 27001, responsabilização da gestão NIS2, governação DORA e responsabilização pela segurança ao abrigo do Article 32 do RGPD da UE.

Para construir o seu dossier de diligência devida do CISO com confiança, comece pelo Zenith Blueprint, alinhe os seus registos de governação e risco com as políticas da Clarysec e use o Zenith Controls como a sua bússola de conformidade cruzada.