ISO 22301.
Organize a continuidade do negócio como sistema de gestão: dos serviços prioritários às soluções exercitadas e à demonstração adequada.
- ISO 22301:2019 + Amd 1:2024
- Por Jonathan Bezdek
- Atualizado em: 22/10/2026
- Tempo de leitura: 8 min.
Resposta breve.
A ISO 22301 é a norma internacional de requisitos para sistemas de gestão da continuidade do negócio, ou SGCN. Ajuda organizações de qualquer dimensão a preparar-se para interrupções, manter serviços importantes e recuperar a operação. A ISO 22301:2019 associa estas capacidades à avaliação e melhoria contínuas; a certificação independente é uma possível demonstração do sistema no âmbito definido.
ISO 22301 e gestão da continuidade do negócio.
A ISO 22301 considera a continuidade de uma organização uma tarefa permanente de gestão. A gestão da continuidade do negócio, ou BCM, relaciona prioridades funcionais com soluções para interrupções e a capacidade de as aplicar. Um SGCN organiza a responsabilidade e a manutenção deste trabalho. A descrição pública da ISO apresenta a preparação, a operação, a avaliação e a melhoria do sistema como tarefas relacionadas.
A base publicada é a ISO 22301:2019 com a Amd 1:2024. A alteração acrescenta modificações relativas ao clima; não constitui uma nova edição de base ISO 22301:2024. A página do produto da ISO indica uma revisão e um Committee Draft. Um projeto em desenvolvimento não substitui a norma publicada nem cria aqui um novo prazo de transição.
Uma cópia de segurança ou um plano de emergência é uma parte do trabalho de continuidade. Um SGCN pergunta ainda que serviço é necessário, que pessoas e recursos o sustentam, quem decide durante uma interrupção e como as experiências informam o planeamento seguinte. Por isso, um ficheiro existente comprova inicialmente o planeamento; o funcionamento de uma solução tem de ser considerado separadamente.
A quem se adequa a norma de continuidade do negócio.
Segundo a descrição do editor ISO, a ISO 22301 adequa-se a organizações de diferentes dimensões e setores. O âmbito pode referir-se a partes claramente definidas de uma organização. São determinantes os serviços afetados e as suas dependências, além do número de trabalhadores ou dos sistemas informáticos existentes.
Os clientes, os parceiros contratuais ou as regras setoriais podem exigir demonstrações específicas de continuidade. Esclareça primeiro que unidade organizativa e que serviço devem ser avaliados. Mesmo nas atividades subcontratadas, as interfaces continuam importantes: um fornecedor pode planear a sua própria recuperação, enquanto o serviço completo para os seus clientes continua a exigir decisões adicionais.
As principais áreas de um SGCN.
Um SGCN relaciona prioridades de negócio, soluções executáveis e operação verificável. As áreas seguintes dão uma orientação geral sobre a ISO 22301; não representam uma lista completa de cláusulas nem uma estrutura de projeto obrigatória.
Direção e âmbito.
Uma direção responsável dá orientação e recursos ao trabalho de continuidade. A brochura ISO PUB100442 recomenda expressamente este apoio para começar. Na operação, os serviços considerados, as áreas envolvidas e os poderes de decisão devem estar articulados. Caso contrário, um âmbito pouco claro deixa em aberto se um plano abrange apenas um componente técnico ou o serviço completo necessário.
Impactos e prioridades.
A análise de impacto no negócio considera as consequências de uma interrupção ao longo do tempo e as atividades que, por isso, exigem prioridade. A descrição pública da ISO/TS 22317:2021 enquadra a BIA como processo de análise próprio. Os seus resultados devem ser compreensíveis para as áreas funcionais responsáveis; um objetivo de recuperação apenas tecnicamente possível ainda não é um requisito de negócio confirmado.
Riscos e soluções de continuidade.
Uma solução de continuidade deve adequar-se às interrupções esperadas e aos serviços necessários. A notícia do editor ISO sobre a edição de 2019 menciona várias causas, incluindo problemas da cadeia de fornecimento e ciberataques. Considere, por isso, além da tecnologia, as pessoas, os estabelecimentos e os serviços externos. A decisão sobre uma solução deve tornar claros os seus pressupostos e limites.
Papéis e planos de resposta.
Planos compreensíveis traduzem uma decisão de solução em trabalho executável. A notícia da ISO de 2019 destaca papéis claros e planos de resposta aplicáveis. Na operação concreta, incluem o acionamento da resposta, decisões autorizadas, contactos acessíveis e a passagem entre a área funcional e a tecnologia. Um substituto deve conseguir perceber o resultado que se espera dele.
Exercícios e avaliação do desempenho.
Um exercício verifica uma afirmação específica sobre a capacidade de continuidade. A brochura ISO recomenda um exercício de recuperação logo para avaliar a situação inicial. Uma simulação pode verificar decisões; um teste técnico, a recuperação de sistemas selecionados. Documente o âmbito efetivamente testado, para que um resultado limitado não se transforme numa afirmação não comprovada sobre toda a operação.
Melhoria e alterações.
Um SGCN só permanece útil se evoluir com a organização. A descrição pública da ISO 22301 relaciona expressamente a avaliação contínua com a melhoria. Alterações nos serviços, fornecedores, pessoal ou percursos de recuperação podem invalidar pressupostos anteriores. Por isso, as lições aprendidas precisam de tratamento responsável e de uma verificação rastreável do resultado.
Aplicar a ISO 22301 passo a passo.
Delimitar o serviço.
Como ponto de partida prático, escolha um serviço importante e registe as partes da organização, os clientes e as interfaces que pertencem ao âmbito considerado.
Confirmar as prioridades.
Peça aos responsáveis funcionais que avaliem os impactos de uma interrupção e o nível operacional necessário, em vez de deduzir objetivos apenas das possibilidades técnicas existentes.
Avaliar as dependências.
Registe as pessoas, a informação, os sistemas, os estabelecimentos e os fornecedores necessários e verifique que condições podem falhar simultaneamente numa interrupção.
Implementar soluções e papéis.
Acorde alternativas e percursos de recuperação viáveis com responsabilidades, poderes de decisão e os recursos efetivamente disponíveis.
Exercitar com limites e rastreabilidade.
Planeie um exercício seguro com cenário e critérios de sucesso definidos e registe os resultados, incluindo as partes omitidas e os apoios necessários.
Acompanhar as lições aprendidas.
Atribua as melhorias necessárias a uma pessoa responsável e volte a verificar a capacidade afetada antes de considerar a constatação resolvida.
O que demonstra a certificação ISO 22301.
A certificação ISO 22301 é uma demonstração independente do sistema de gestão no âmbito indicado. A brochura ISO PUB100442 descreve a certificação como uma decisão voluntária. Segundo a página ISO sobre certificação, as entidades externas avaliam e certificam; a ISO não emite certificados. Um requisito contratual concreto de demonstração deve ser esclarecido adicionalmente.
A demonstração concreta deve adequar-se à organização e ao serviço considerados. Verifique a entidade emitente, o âmbito indicado, a versão de referência e o estado atual, incluindo a data de validade. A certificação não promete uma operação sem interrupções nem o cumprimento de todos os objetivos de recuperação em qualquer situação. A gestão própria continua a exigir planos atuais, resultados de exercícios e lições aprendidas tratadas.
ISO 22301 e outros referenciais.
A ISO 27001 organiza a segurança da informação, enquanto a ISO 22301 considera a continuidade dos serviços prioritários; ambas podem envolver as mesmas dependências operacionais. O IT-Grundschutz oferece, com a norma BSI 200-4, outra abordagem metodológica à continuidade, sem que todas as demonstrações sejam equivalentes. A NIS2 contém requisitos legais próprios que não ficam genericamente cumpridos com um certificado de SGCN. A ISO 9001 relaciona os objetivos de qualidade com a responsabilidade pelos processos e a avaliação; processos de gestão comuns podem facilitar a colaboração, mas os objetivos específicos devem continuar a ser verificados separadamente.
- ISO 27001Enquadre a segurança da informação e o âmbito de um SGSI.
- IT-GrundschutzCompreenda a metodologia do BSI e as suas normas de organização da segurança.
- NIS2Considere separadamente as obrigações legais das entidades abrangidas.
- ISO 9001Enquadre a gestão da qualidade e a responsabilidade partilhada pelos processos.
No Secani.
O Secani contém um catálogo editorial de trabalho ISO 22301 baseado na edição de 2019 com Amd 1:2024. Os dados de perfil distinguem, entre outros, vários estabelecimentos, fornecedores críticos e recuperação de TIC. O catálogo é um apoio estruturado cuja verificação normativa detalhada está pendente. A organização responsável deve continuar a implementar e a testar as suas próprias soluções de continuidade.
Próximo passo.
Comece por um serviço importante e pela pessoa responsável pela sua área funcional. Acorde o que deve continuar a funcionar durante uma interrupção e que dependências têm de estar disponíveis para isso. Escolha depois um exercício limitado que verifique um desses pressupostos. O resultado observado fornece uma base sólida para a decisão seguinte.
Fontes.
- ISO 22301:2019 — descrição pública do editor e estado
- ISO 22301:2019/Amd 1:2024
- Brochura ISO PUB100442: Business continuity, 2019
- ISO 22313:2020 — orientações de implementação do SGCN
- ISO/TS 22317:2021 — análise de impacto no negócio
- ISO: Certification — organismos de certificação externos
- ISO: Building resilience, notícia do editor de 31 de outubro de 2019
Perguntas frequentes.
Não. Uma cópia de segurança é apenas parte da capacidade de recuperação; devem também ser consideradas as pessoas, os acessos, as aplicações e os processos funcionais necessários. Um SGCN organiza estas capacidades e a sua manutenção contínua.
Não. A análise de impacto no negócio avalia as consequências de uma interrupção; o RTO descreve um objetivo de tempo de recuperação, e o RPO a perda aceitável de dados recentes. Estes valores estão relacionados, mas respondem a perguntas diferentes.
Não. Segundo a brochura ISO, a certificação é uma decisão voluntária de demonstração; os requisitos de clientes ou parceiros contratuais devem ser verificados adicionalmente. Um SGCN também pode ser operado sem certificado.
Não é possível generalizar. O planeamento de exercícios deve adequar-se ao âmbito considerado, aos riscos, às alterações e aos requisitos aplicáveis. Um teste limitado comprova apenas a capacidade efetivamente verificada.
A continuidade exige pressupostos verificados.
Fale connosco sobre como estruturar o seu trabalho de continuidade no Secani.
Esta página enquadra normas publicadas em termos gerais. Prevalecem a versão pertinente da norma e os requisitos aplicáveis à sua organização.