Certificação ISO 27001, ENS e ISO 42001 com o Nexo SGSI: a plataforma com que superámos a nossa própria auditoria

Passámos na auditoria de certificação da OCA Global (entidade acreditada pela ENAC) nas três normas, de 17 a 27 de agosto de 2026, sem nenhuma não conformidade. Os certificados emitem-se nas semanas seguintes ao relatório; assim que os tivermos, publicamos aqui os seus números e o âmbito. Todo o sistema de gestão, da política de segurança ao último registo, vive no Nexo SGSI.

11.900 € por uma norma (ISO 27001 ou ENS categoria MÉDIA), 16.900 € por duas e 21.900 € pelas três, com doze meses de plataforma incluídos. A auditoria de certificação contrata-se à parte com a entidade acreditada que escolher: para uma PME costuma custar entre 2.000 e 5.500 € conforme as jornadas. Compare com uma consultoria de implementação tradicional, que em Espanha custa entre 8.000 e 30.000 € no primeiro ano e não deixa nenhuma ferramenta atrás.

Nós fomos do primeiro commit do módulo à auditoria em doze semanas, construindo a ferramenta ao mesmo tempo. Com a plataforma feita, o plano de trabalho vai de doze a dezasseis semanas conforme o seu ponto de partida, e a maior parte não é papelada: é operar o sistema para que exista evidência com datas. Depois há que somar a disponibilidade da entidade certificadora, que costuma ser de semanas.

O Esquema Nacional de Segurança espanhol (Real Decreto 311/2022) fixa as medidas de segurança dos sistemas que suportam serviços da Administração, e obriga também as empresas que lhe prestam serviços: os cadernos de encargos exigem-no. Os sistemas de categoria BÁSICA podem autodeclarar a conformidade; os de categoria MÉDIA e ALTA precisam da certificação de uma entidade acreditada pela ENAC. O Nexo SGSI leva as 73 medidas do Anexo II com a sua maturidade, as 110 perguntas de categoria ALTA e gera o relatório INES.

A ISO/IEC 42001 é a norma de sistemas de gestão de inteligência artificial: governa que IA usa ou desenvolve, com que dados, que impactos tem e quem responde. Partilha estrutura com a 27001 (por isso no Nexo SGSI as três normas cruzam-se) e é o que um cliente ou um regulador vai pedir a quem opera IA. Uma nuance importante: a certificação 42001 não confere presunção de conformidade com o Regulamento Europeu de IA; isso será dado pelas normas harmonizadas que a UE publicar. Para o regulamento temos um serviço próprio de conformidade com o Regulamento Europeu de IA.

Deixar de sustentar o sistema à mão. Migramos os seus documentos, a sua declaração de aplicabilidade e as suas evidências; a partir daí o calendário do ano reparte as obrigações, os lembretes chegam sozinhos, os indicadores registam-se e, quando chega o seguimento, o auditor entra com a sua conta e encontra tudo. Custa 590 €/mês com compromisso anual e utilizadores ilimitados dentro do âmbito.

Se a auditoria de certificação deixar não conformidades maiores, continuamos a acompanhá-lo sem custo adicional (plataforma e equipa) até as fechar e se certificar. Dizemo-lo em voz alta porque podemos: a nossa própria auditoria das três normas em simultâneo terminou sem nenhuma não conformidade. A única condição é a óbvia: que a sua equipa opere o sistema e execute o plano acordado, porque a evidência não se inventa na semana anterior.

A ENS BÁSICA express (3.900 €) é para quem precisa de entrar já no mercado público espanhol: a categoria BÁSICA admite autoavaliação e Declaración de Conformidad sem auditoria externa, e muitos cadernos de encargos pequenos contentam-se com ela. Quando um caderno de encargos exigir MÉDIA, o caminho já está andado. O self-service (295 €/mês, compromisso anual) é a plataforma sozinha, sem acompanhamento: para responsáveis de segurança que já sabem o que fazem ou para quem vem pela mão de uma consultora parceira.

Tudo o do Mantenha mais o que os sistemas exigentes pedem: categoria ALTA e várias normas dentro do mesmo âmbito, o relatório INES gerido por nós e suporte prioritário. Custa 1.190 €/mês com compromisso anual. O tier natural para médias empresas e para quem sustenta ALTA com uma equipa pequena.

Sim. A modalidade on-premise é a mesma aplicação empacotada em Docker e instalada na sua infraestrutura ou na sua nuvem privada. Não precisa de nenhum serviço externo, nenhuma chave de IA nem ligação com a Kiwop: só um servidor de correio para os avisos. Custa 9.900 € a instalação e 2.900 €/ano as atualizações e o suporte. É a opção natural para administrações e para sistemas cujos dados não podem sair de casa.

O módulo SGSI não usa IA para nada do que acredita: assinaturas, registo, catálogos e indicadores são código convencional e determinístico, porque um auditor não aceita uma evidência que um modelo possa ter inventado. A IA do Nexo vive noutros módulos (assistente e agentes), e no SGSI é o objeto governado pela ISO 42001, não a ferramenta.

Leva-os inteiros. Os documentos são markdown, os registos estão em PostgreSQL e os relatórios em PDF: exportam-se. Em on-premise a licença é contratual, sem cadeados técnicos. Não vendemos dependência; vendemos um sistema que funciona e uma equipa que o conhece.

Em agosto de 2026, nenhuma das plataformas internacionais de compliance (Vanta, Drata, Secureframe, Sprinto) inclui o ENS espanhol no seu catálogo público de frameworks, e as suites espanholas que o cobrem não publicam preços nem cobrem a ISO 42001. O Nexo SGSI reúne as três normas cruzadas numa só consola, com preços publicados, opção on-premise sem serviços externos e uma prova que mais ninguém pode mostrar: a nossa própria auditoria de certificação superada sem não conformidades neste mesmo sistema.