Modelos e registos · ISO 27001 · Cláusula 6.1.3
Modelo de declaração de aplicabilidade ISO 27001
O documento que liga a análise de riscos aos 93 controlos do Anexo A: quais se aplicam, porquê, quais não e em que ponto está cada um.
Numa frase
A declaração de aplicabilidade (SoA) é o documento que, segundo a secção 6.1.3 d) da ISO/IEC 27001, enumera os controlos necessários para tratar os riscos, justifica a sua inclusão, indica se estão implementados e justifica cada exclusão de um controlo do Anexo A; é o primeiro documento que o auditor pede, porque define o âmbito real da certificação.
- Onde a norma o exige
- ISO 27001 · Cláusula 6.1.3 As secções seguem a ISO/IEC 27001:2022; as que começam por «A.» são controlos do Anexo A, exigíveis na medida em que a declaração de aplicabilidade os inclua.
- Tipo de informação
- Documento obrigatório Documento exigido pela secção 6.1.3 d), mantido atualizado
- Quem o preenche
- Responsável de segurança É aprovada pela gestão de topo, juntamente com os proprietários dos riscos
- Quando
- Após cada análise de riscos E sempre que mude o estado de um controlo ou o âmbito do sistema
- Durante quanto tempo se conserva
- Versão em vigor e anteriores Convém conservar as versões substituídas durante o ciclo de certificação: o auditor compara o que mudou e porquê (7.5.3).
O que a norma exige
O que o referencial ISO 27001 exige e o que fica ao seu critério
Depois de analisar os riscos, a norma pede que se escolham os controlos necessários para os tratar e que se comparem com o Anexo A, para confirmar que nenhum controlo necessário foi omitido. O resultado formaliza-se na declaração de aplicabilidade, que deve conter os controlos necessários, a justificação da sua inclusão, se estão ou não implementados e a justificação das exclusões.
A norma não obriga a aplicar os 93 controlos: obriga a tomar uma decisão sobre todos eles. Admite também controlos próprios ou de outros referenciais, que se acrescentam à declaração ao lado dos do Anexo A.
É um documento vivo: muda quando mudam os riscos, o âmbito ou o estado de implementação, e a versão em vigor é a que fica citada no certificado.
Estrutura
Campos que o modelo deve ter
- Identificador e nome do controlo (Anexo A ou outro referencial)
- Aplica-se? Sim ou não
- Justificação da inclusão: risco, requisito legal ou contratual
- Justificação da exclusão, se não se aplicar
- Estado de implementação: implementado, em curso, planeado
- Referência à evidência ou ao procedimento que o concretiza
- Proprietário do controlo
- Versão, data e aprovação
Exemplo
Exemplo: três linhas da SoA de uma empresa de software
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| Organização | Nubeta Serviços Digitais (fictícia) · plataforma SaaS · 80 pessoas |
| 5.23 Segurança da informação na utilização de serviços na nuvem | Aplica-se · Risco R-07 (fornecedor de alojamento) e contratos com clientes · Implementado · Procedimento PS-12 |
| 7.4 Monitorização da segurança física | Aplica-se · Risco R-15 (acesso ao escritório) · Em curso: câmaras previstas para março de 2027 |
| 8.30 Desenvolvimento subcontratado | Não se aplica · Todo o desenvolvimento é interno; revisão se for contratado fora |
| Controlo próprio | NB-01 Revisão de permissões no repositório de código · Aplica-se · Risco R-03 · Implementado |
| Versão | v6 · aprovada pelo comité de direção a 9 de setembro de 2026 |
Na auditoria
Erros que os auditores costumam apontar
- Exclusões justificadas com «não se aplica», sem dizer porquê.
- Controlos marcados como implementados sem evidência que o sustente.
- A SoA não indica que risco justifica cada controlo: não se vê a ligação à análise.
- Versão diferente da que consta do certificado ou do relatório de auditoria.
- Continua a usar-se a estrutura de 114 controlos da edição de 2013.
No Kimobox
Como se gere este registo no Kimobox
- 1A declaração de aplicabilidade reúne os controlos do Anexo A com o respetivo estado de implementação.
- 2Cada controlo fica ligado à evidência que o demonstra e aos riscos que trata.
- 3A declaração é um documento controlado e versionado: fica registado quem aprovou cada versão e quando.
Perguntas frequentes
O que nos perguntam antes de começar
É possível excluir um controlo do Anexo A?
Sim, desde que a exclusão esteja justificada: porque o risco não existe no âmbito, porque é tratado com outro controlo ou porque a atividade não ocorre. O que a norma não admite é ignorar um controlo sem tomar posição.
A SoA do ENS serve para a ISO 27001?
Não diretamente. O ENS tem a sua própria declaração de aplicabilidade, sobre as medidas do Anexo II do Real Decreto 311/2022. Muitas medidas correspondem a controlos do Anexo A e convém manter a equivalência, mas são dois documentos distintos.
Faça a gestão dos registos do referencial ISO 27001 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Planeamento
Planear na ISO 27001 significa analisar o risco de cada ativo e decidir, com critério, que controlos do…
Modelo de análise de riscos de segurança ISO 27001
Como documentar a análise de riscos de segurança exigida pela ISO 27001: critérios de aceitação…
Modelo de plano de tratamento de riscos ISO 27001
O que deve incluir o plano de tratamento de riscos da ISO 27001 (6.1.3 e): opção escolhida, controlos…
Modelo de inventário de ativos de informação ISO 27001
Como montar o inventário de ativos de informação exigido pelo controlo 5.9 da ISO 27001: tipo, proprietário…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação. Requisitos ISO/IEC · 25 de outubro de 2022
- ISO/IEC 27002:2022 — Controlos de segurança da informação ISO/IEC · Fevereiro de 2022