Declaração de Aplicabilidade ISO 27001 (SoA): o que é e como elaborar
A Declaração de Aplicabilidade (em inglês Statement of Applicability, SoA) é o documento obrigatório da ISO/IEC 27001:2022 que lista os 93 controles do Anexo A e indica, para cada um, se é necessário, por que foi incluído ou excluído e se está implementado. A cláusula 6.1.3 d) a exige, e ela liga o resultado da avaliação de riscos aos controles que a organização realmente aplica.
O que a norma exige na Declaração de Aplicabilidade?
Pela cláusula 6.1.3 d), a organização deve elaborar uma Declaração de Aplicabilidade que contenha:
- Os controles necessários, determinados no tratamento de riscos.
- A justificativa para incluí-los.
- Se esses controles estão implementados ou não.
- A justificativa para excluir qualquer controle do Anexo A.
Os controles necessários podem vir do Anexo A ou de outras fontes, como requisitos de clientes ou regulatórios. O Anexo A serve para verificar que nenhum controle necessário foi esquecido.
Colunas recomendadas da DA
| Coluna | Conteúdo |
|---|---|
| Controle | Número e nome do controle do Anexo A (5.1 a 8.34) |
| Tema | Organizacional, pessoas, físico ou tecnológico |
| Aplicável? | Sim / Não |
| Justificativa | Risco tratado, requisito legal, contratual ou de negócio; ou motivo da exclusão |
| Situação da implementação | Implementado, parcial, planejado ou não implementado |
| Referência | Política, procedimento ou evidência que sustenta o controle |
| Responsável | Quem mantém o controle |
| Riscos relacionados | Códigos da matriz de riscos que o controle trata |
Os 93 controles do Anexo A em 4 temas
| Tema | Faixa | Controles |
|---|---|---|
| Organizacionais | 5.1 – 5.37 | 37 |
| Pessoas | 6.1 – 6.8 | 8 |
| Físicos | 7.1 – 7.14 | 14 |
| Tecnológicos | 8.1 – 8.34 | 34 |
Como justificar uma exclusão?
Uma exclusão é válida quando o controle não é necessário para tratar nenhum risco identificado nem para cumprir requisitos legais ou contratuais. Por exemplo, uma empresa sem desenvolvimento de software próprio pode excluir os controles de desenvolvimento seguro explicando que não desenvolve software e que seus fornecedores estão cobertos pelos controles de relacionamento com fornecedores. A justificativa deve ser concreta: escrever apenas "não aplicável" é uma não conformidade frequente.
Passos para montar a DA
- Concluir a avaliação de riscos e decidir o tratamento de cada risco.
- Determinar os controles necessários para esse tratamento.
- Comparar com os 93 controles do Anexo A e marcar os aplicáveis.
- Escrever a justificativa de inclusão ou exclusão de cada controle.
- Registrar a situação da implementação e a evidência de cada controle.
- Obter a aprovação do plano de tratamento e a aceitação dos riscos residuais pelos proprietários dos riscos.
- Revisar a DA sempre que mudarem os riscos, o escopo ou os controles.
Erros comuns
- Marcar todos os controles como aplicáveis sem relação com os riscos.
- Excluir controles sem justificativa concreta.
- Declarar controles como implementados sem evidências.
- Usar a lista de 114 controles da versão 2013 em uma DA da versão 2022.
- Não atualizar a DA após mudanças no escopo ou na avaliação de riscos.
Modelo de Declaração de Aplicabilidade
O kit NexoDocs em português inclui uma DA em Excel com os 93 controles da ISO/IEC 27001:2022, listas suspensas para aplicabilidade e situação, colunas de justificativa, evidência e responsável e um resumo automático por tema, além de um exemplo preenchido para uma empresa fictícia. Você pode baixar grátis a matriz de riscos reduzida (em inglês) para testar o formato.
Perguntas frequentes
A Declaração de Aplicabilidade é obrigatória?
Sim. A ISO/IEC 27001:2022 a exige na cláusula 6.1.3 d), e ela é um dos primeiros documentos que o auditor analisa na certificação.
Quantos controles a DA deve ter?
Ela deve tratar todos os 93 controles do Anexo A da versão 2022, indicando para cada um se é aplicável e por quê. Também pode incluir controles adicionais de outras fontes.
É possível excluir controles do Anexo A?
Sim, quando não são necessários para tratar riscos nem para cumprir requisitos legais ou contratuais. Cada exclusão precisa de uma justificativa concreta.
Quem aprova a Declaração de Aplicabilidade?
Normalmente a alta direção ou o responsável pelo SGSI. A norma também exige que os proprietários dos riscos aprovem o plano de tratamento e aceitem os riscos residuais.
Guias relacionados
- Documentos obrigatórios da ISO 27001:2022: lista por cláusula
- Matriz de riscos ISO 27001: o que deve incluir e como usar
- O que é um SGSI e como implementá-lo com a ISO 27001?
Atualizado: 2026-10-20