Em outubro de 2022, a ISO e IEC publicaram a versão atualizada da norma ISO/IEC 27001:2022, substituindo a versão de 2013. A atualização foi significativa: a estrutura do Anexo A foi completamente restructurada, 11 novos controlos foram adicionados, e a norma foi alinhada com as ameaças de cibersegurança e contextos tecnológicos atuais. Para organizações certificadas pela versão 2013, o prazo para transição para a versão 2022 terminou em outubro de 2025 — todos os certificados ISO 27001:2013 devem já ter transitado para ISO 27001:2022. Neste artigo, explicamos todas as mudanças e o que significam na prática.
Nota sobre prazos: O prazo de transição da versão 2013 para a 2022 terminou em outubro de 2025. Certificados ISO 27001:2013 que não tenham transitado deixaram de ser válidos após essa data. Organizações nessa situação precisam de iniciar um novo processo de certificação pela versão 2022.
Por que a norma foi atualizada?
A ISO 27001:2013 foi publicada há mais de uma década — um período em que o panorama da cibersegurança mudou radicalmente. O mundo de 2013 era profundamente diferente do de 2022:
- Cloud computing passou de adoção emergente a infraestrutura dominante para a maioria das organizações
- Trabalho remoto tornou-se normal, especialmente após a pandemia de 2020
- Ataques de ransomware tornaram-se a ameaça dominante ao nível de impacto operacional e financeiro
- Ataques de supply chain (SolarWinds, Kaseya) expuseram vulnerabilidades sistémicas nas cadeias de fornecimento digital
- Inteligência artificial passou de conceito experimental a ferramenta de trabalho quotidiana
A versão 2013 não cobria estes contextos de forma adequada. A atualização de 2022 teve dois objetivos principais: modernizar os controlos do Anexo A para refletir as ameaças e tecnologias atuais, e alinhar a norma com a Estrutura de Alto Nível (HLS) atualizada comum a outras normas ISO de sistemas de gestão. O resultado é uma norma mais prática e relevante para o ambiente tecnológico de 2025.
Principais mudanças na estrutura
As mudanças mais visíveis e impactantes são no Anexo A. A comparação direta é elucidativa:
- Versão 2013: 114 controlos organizados em 14 domínios (A.5 a A.18)
- Versão 2022: 93 controlos organizados em 4 categorias: A.5 Controlos organizacionais (37 controlos), A.6 Controlos de pessoas (8 controlos), A.7 Controlos físicos (14 controlos), A.8 Controlos tecnológicos (34 controlos)
O número de controlos reduziu de 114 para 93 — não porque os requisitos ficaram menos exigentes, mas porque alguns controlos foram fundidos. Por exemplo, vários controlos sobre gestão de ativos que estavam dispersos foram consolidados num conjunto mais coerente. Ao mesmo tempo, foram adicionados 11 controlos inteiramente novos.
Nas cláusulas normativas (4-10), as mudanças são mais subtis: clarificações na Cláusula 6.1.3 (a Declaração de Aplicabilidade deve agora indicar explicitamente se os controlos estão ou não implementados), nova referência ao planeamento de mudanças na Cláusula 6.3, e ajustes de linguagem para consistência com a HLS atualizada.
Uma novidade conceptual importante: a adição do conceito de "atributos" para cada controlo — tags que permitem filtrar e organizar controlos por dimensão: tipo de controlo (#Preventive, #Detective, #Corrective), propriedades de segurança (#Confidentiality, #Integrity, #Availability), conceitos de cibersegurança (NIST CSF), capacidades operacionais e domínios de segurança.
Os 11 novos controlos
A principal novidade da versão 2022 são os 11 novos controlos que não existiam em 2013. Cada um reflete uma área de risco emergente ou insuficientemente coberta pela versão anterior:
Recolha, análise e partilha de informação sobre ameaças de cibersegurança para antecipar e mitigar riscos de forma proativa.
Requisitos específicos para a utilização de serviços cloud, incluindo avaliação de riscos, cláusulas contratuais com fornecedores cloud e gestão de acordos de nível de serviço.
Garantir que os sistemas TIC estão preparados para suportar os objetivos de continuidade de negócio em caso de disrupção.
Monitorização contínua de áreas sensíveis para deteção de acessos físicos não autorizados — câmaras, sensores, registos de acesso.
Controlo e documentação de configurações de hardware, software e serviços para prevenir vulnerabilidades introduzidas por configurações incorretas ou não autorizadas.
Apagamento seguro e verificável de dados quando já não são necessários, para prevenir o acesso não autorizado a informação que deveria ter sido eliminada.
Ocultação de dados pessoais ou sensíveis (tokenização, pseudonimização, anonymization) para proteger a privacidade e limitar a exposição em ambientes de desenvolvimento e teste.
Controlos técnicos para detetar e prevenir a divulgação não autorizada de informação sensível — ferramentas DLP, monitorização de endpoints e email.
Monitorização contínua de sistemas, redes e aplicações para deteção de comportamentos anómalos, atividades suspeitas e incidentes de segurança em tempo real.
Controlos para gerir e restringir o acesso a conteúdos web potencialmente maliciosos, reduzindo o risco de malware e phishing via browser.
Requisitos para práticas de desenvolvimento seguro de software — secure coding guidelines, code review, SAST/DAST — para prevenir vulnerabilidades de código que podem ser exploradas por atacantes.
Precisa de certificar ou transitar para ISO 27001:2022?
A BALTUM acompanha o processo completo — da gap analysis aos 11 novos controlos. Proposta em 24 horas.
Solicitar proposta →Impacto nas organizações certificadas
Para organizações que tinham certificação ISO 27001:2013, a transição para 2022 implicou um conjunto de ações concretas:
- Atualizar a Declaração de Aplicabilidade (SoA) para refletir os 93 controlos da versão 2022, incluindo os 11 novos, com justificações de inclusão/exclusão e estado de implementação explicitamente documentado.
- Avaliar a aplicabilidade dos 11 novos controlos ao âmbito da organização — dependendo do setor e dimensão, alguns poderão não ser aplicáveis, mas a decisão tem de ser justificada na SoA.
- Atualizar políticas e procedimentos existentes que façam referência à estrutura 2013 (114 controlos em 14 domínios), substituindo por referências à estrutura 2022.
- Atualizar o mapeamento de riscos para os novos controlos, garantindo que o risk treatment plan cobre os novos controlos relevantes.
- Realizar auditoria interna atualizada com base na versão 2022 antes da auditoria de transição pelo organismo de certificação.
Para novas certificações — organizações que nunca tiveram ISO 27001 — o impacto é direto: a implementação é feita diretamente na versão 2022, sem necessidade de processo de transição. É o ponto de partida obrigatório.
Processo de transição
Para organizações que ainda não transitaram (ou que estão a iniciar uma nova certificação):
- Gap analysis versão 2022: identificar lacunas específicas face à versão 2022, com foco particular nos 11 novos controlos e na atualização da SoA.
- Implementar controlos em falta: avaliar aplicabilidade de cada novo controlo e implementar os relevantes para o âmbito da organização.
- Atualizar a SoA: nova Declaração de Aplicabilidade com os 93 controlos da versão 2022, estado de implementação explícito, e justificações documentadas.
- Atualizar documentação: políticas, procedimentos e registo de riscos alinhados com a versão 2022.
- Auditoria interna: verificação interna da conformidade com a versão 2022 antes da auditoria de certificação.
- Auditoria de certificação (nova ou de transição): pelo organismo de certificação acreditado, verificando conformidade com ISO 27001:2022.
Prazo terminado: Os certificados ISO 27001:2013 deixaram de ser válidos após outubro de 2025. Organizações que ainda não transitaram precisam de iniciar um novo processo de certificação completo pela versão 2022.
Conclusão
A ISO 27001:2022 é uma atualização significativa que moderniza a norma para o ambiente de cibersegurança atual. Os 11 novos controlos — especialmente cloud security (A.5.23), threat intelligence (A.5.7), DLP (A.8.12) e codificação segura (A.8.28) — são altamente relevantes para a maioria das organizações em Portugal e refletem as ameaças dominantes de 2025. Para organizações que ainda não certificaram, a versão 2022 é o único ponto de partida disponível.
A BALTUM certifica ISO 27001:2022 acreditada em Portugal — da gap analysis à emissão do certificado.
Certifique ISO 27001:2022 com a BALTUM
Certifique ISO 27001:2022 com a BALTUM. Solicite uma proposta personalizada.
Solicitar proposta →