Modelos e registos · ISO 27001 · Cláusula A.5.31
Registo de requisitos legais e contratuais de segurança
A lista de leis, regulamentos e contratos que impõem obrigações de segurança à empresa, com o que exigem e como se cumpre cada uma.
Numa frase
O registo de requisitos legais e contratuais identifica as leis, os regulamentos e os contratos que impõem obrigações de segurança —proteção de dados, NIS2, ENS, cláusulas de clientes— e explica como se cumpre cada uma; é exigido pelo controlo 5.31 da ISO/IEC 27001:2022, que pede que sejam identificados, documentados e mantidos atualizados.
- Onde a norma o exige
- ISO 27001 · Cláusula A.5.31 As secções seguem a ISO/IEC 27001:2022; as que começam por «A.» são controlos do Anexo A, exigíveis na medida em que a declaração de aplicabilidade os inclua.
- Tipo de informação
- Documento obrigatório Controlo 5.31 do Anexo A, que pede que sejam documentados e mantidos atualizados
- Quem o preenche
- Responsável de segurança com o apoio jurídico Os contratos são fornecidos por quem os assina: área comercial, compras
- Quando
- Quando muda a lei ou se assina um contrato Com uma revisão completa pelo menos uma vez por ano
- Durante quanto tempo se conserva
- Sempre em vigor Mantém-se atualizado; as versões anteriores mostram desde quando se conhecia cada obrigação
O que a norma exige
O que o referencial ISO 27001 exige e o que fica ao seu critério
A secção 4.2 pede que se conheçam os requisitos das partes interessadas, e o controlo 5.31 concretiza os que decorrem de leis, regulamentos e contratos: identificá-los, documentá-los e mantê-los atualizados, juntamente com a abordagem para os cumprir.
Ao contrário do registo de obrigações de um sistema de compliance, este limita-se ao que afeta a segurança da informação. A sua utilidade é dupla: alimenta a análise de riscos e justifica a inclusão de controlos na declaração de aplicabilidade.
Controlos vizinhos completam o quadro: direitos de propriedade intelectual (5.32), proteção de registos (5.33) e privacidade e proteção de dados pessoais (5.34).
Estrutura
Campos que o modelo deve ter
- Norma ou contrato de origem, com a sua referência
- Requisito concreto de segurança que impõe
- Âmbito: que processos, sistemas ou dados afeta
- Como se cumpre: controlo, procedimento ou evidência
- Responsável
- Prazos de notificação ou de resposta que fixe
- Data de identificação e da última revisão
Exemplo
Exemplo: três requisitos de uma empresa de software
Empresa, pessoas e números fictícios: o exemplo serve apenas para mostrar como fica um registo bem preenchido.
| Campo | Conteúdo |
|---|---|
| RGPD, art. 33.º | Notificar violações de dados pessoais à autoridade de controlo em 72 horas · Procedimento de incidentes PS-08 · Encarregado da proteção de dados |
| RGPD, art. 28.º | Contrato de subcontratação com cada cliente que nos confia dados · Modelo de contrato aprovado · Área comercial e jurídica |
| Contrato com um cliente público (fictício) | Cumprir o ENS na categoria média · Certificação prevista · Responsável de segurança |
| Contrato com uma seguradora cliente (fictícia) | Avisar de incidentes graves em 24 horas · Acrescentado ao procedimento PS-08 |
| Última revisão | 15 de julho de 2026 |
Na auditoria
Erros que os auditores costumam apontar
- Lista de leis sem dizer o que exigem nem como se cumprem.
- Os compromissos de segurança dos contratos com clientes não aparecem.
- Prazos de notificação dos contratos que o procedimento de incidentes ignora.
- Não se revê após a entrada em vigor de normas novas, como a transposição da NIS2.
No Kimobox
Como se gere este registo no Kimobox
- 1As partes interessadas e os seus requisitos de segurança são registados numa tabela versionada.
- 2Cada requisito liga-se ao controlo ou ao procedimento que o cumpre, na declaração de aplicabilidade.
- 3A revisão periódica fica programada e avisa o seu responsável.
Perguntas frequentes
O que nos perguntam antes de começar
É o mesmo que o registo de obrigações da ISO 37301?
Não. O da ISO 37301 abrange todas as obrigações de compliance da organização; este limita-se às que afetam a segurança da informação. Havendo os dois sistemas, o de segurança pode ser uma vista filtrada do geral.
É preciso incluir os contratos com clientes?
Sim. O controlo 5.31 refere expressamente requisitos contratuais, e costumam ser os mais exigentes: prazos de aviso de incidentes, auditorias do cliente ou localização dos dados.
Faça a gestão dos registos do referencial ISO 27001 sem modelos avulsos
Mostramos-lhe o módulo a funcionar com dados semelhantes aos seus.
Continue a explorar
Páginas relacionadas
Modelo de registo de obrigações de compliance ISO 37301
Como documentar as obrigações de compliance exigidas pela ISO 37301: requisitos obrigatórios e compromissos…
Contexto da organização
O sistema de segurança da informação começa por saber que ativos é preciso proteger e quem tem expectativas…
Modelo de declaração de aplicabilidade ISO 27001
O que deve conter a declaração de aplicabilidade da ISO 27001 (6.1.3 d): controlos necessários…
Modelo de análise de riscos de segurança ISO 27001
Como documentar a análise de riscos de segurança exigida pela ISO 27001: critérios de aceitação…
Fontes
De onde vem cada dado
Referências ao texto oficial em vigor. Se uma norma for revista, esta página é atualizada e a data de revisão reflete-o.
- ISO/IEC 27001:2022 — Sistemas de gestão da segurança da informação. Requisitos ISO/IEC · 25 de outubro de 2022
- ISO/IEC 27002:2022 — Controlos de segurança da informação ISO/IEC · Fevereiro de 2022
- Regulamento (UE) 2016/679, Regulamento Geral sobre a Proteção de Dados EUR-Lex · 27 de abril de 2016
- Diretiva (UE) 2022/2555 (NIS2) EUR-Lex · 14 de dezembro de 2022