Formação em 2027: novas normas, regulação e competências a desenvolver
O que mudou na qualidade, na auditoria, na privacidade, na cibersegurança e na inteligência artificial e como transformar essas alterações em prioridades de formação em 2027.
⏱️ Leitura estimada: 9 minutos
Planear a formação em 2027 começa por uma pergunta: o que mudou nos referenciais, nos riscos e nas responsabilidades da organização?
As publicações da ISO, o panorama de ameaças da ENISA e a legislação europeia e nacional ajudam a identificar necessidades distintas. Importa separar referenciais publicados, que justificam analisar alterações; obrigações aplicáveis, que exigem preparar responsabilidades; e projetos normativos, que devem ser acompanhados sem antecipar requisitos definitivos.
O objetivo não é formar todos nos mesmos temas, mas perceber quem precisa de decidir, executar, supervisionar ou avaliar e com que competências.
A exposição digital também passa pelos fornecedores e pela IA
O ENISA Threat Landscape 2026, divulgado em 22 de setembro de 2026 e baseado em incidentes e acontecimentos entre 1 de janeiro e 31 de dezembro de 2025, destaca como as dependências digitais ampliam a superfície de ataque: cadeia de abastecimento, terceiros e integração de inteligência artificial.
A preparação deve, por isso, considerar os sistemas internos e os serviços externos de que a operação depende. Uma indisponibilidade num fornecedor pode exigir decisões técnicas, avaliação de impactos, recuperação e comunicação com clientes e outras partes interessadas. Desenvolvemos esta relação no artigo Cibersegurança e continuidade do negócio: e se o seu fornecedor crítico parar?
Novas normas: o que considerar na formação em 2027?
Esta seleção reúne publicações de 2025 e 2026. As implicações propostas apoiam o planeamento de competências; não representam obrigações de frequentar cursos específicos.
Em ecrãs pequenos, deslize horizontalmente para consultar a tabela.
| Norma e publicação | Relevância para as competências |
|---|---|
| ISO 9001:2026 – setembro de 2026 | Atualiza os requisitos da gestão da qualidade, com destaque para clareza, cultura da qualidade, liderança, riscos e oportunidades. Importa avaliar as alterações e preparar processos, sistema e auditorias. |
| ISO 19011:2026 – maio de 2026 | Atualiza orientações sobre princípios, programas, realização de auditorias e competência dos auditores, com reforço das auditorias remotas e híbridas. Importa rever planeamento, métodos, critérios de competência e avaliação de evidências, incluindo digitais. Não estabelece requisitos para certificação de sistemas de gestão. |
| ISO/IEC 27701:2025 – outubro de 2025 | Estabelece requisitos e orientações para um sistema de gestão de informação de privacidade autónomo, não apenas como extensão de um SGSI. Importa reavaliar estrutura, requisitos, controlos e articulação com a segurança da informação. |
| ISO/IEC 27031:2025 – maio de 2025 | Orienta a prontidão das tecnologias de informação e comunicação para a continuidade do negócio. Importa relacionar recuperação tecnológica, objetivos de continuidade, dependências externas e preparação das equipas. |
| ISO/IEC 27000:2026 – julho de 2026 | Atualiza conceitos, princípios e relações entre normas de gestão da segurança da informação, apoiando a compreensão do sistema e a seleção de referenciais. Não substitui os requisitos da ISO/IEC 27001. |
| ISO/IEC 27090:2026 – outubro de 2026 | Orienta a compreensão, deteção e mitigação de ameaças aos sistemas de IA ao longo do ciclo de vida. Importa aprofundar a proteção de dados, modelos e processos, complementando a segurança existente. |
Ao planear a formação em 2027, importa recordar que uma nova edição não significa, por si só, que toda a equipa deva repetir toda a formação. A natureza do referencial, requisitos ou orientações, as alterações e as funções afetadas devem orientar a escolha entre fundamentos, transição, implementação, auditoria e especialização.
Transição da ISO 9001 e revisões em desenvolvimento
Os requisitos de transição da Global Accreditation Cooperation Incorporated (Global ACI) estabelecem, para as certificações acreditadas abrangidas, a conclusão da transição da ISO 9001:2015 para a ISO 9001:2026 até 30 de setembro de 2029. Esta pode ocorrer numa auditoria de acompanhamento, recertificação ou específica. Para 2027, recomendamos analisar diferenças e impactos antes de alterar documentação, articulando a preparação com o organismo de certificação.
As revisões da ISO 31000 e da ISO 22301 encontram-se em projeto de comité (Committee Draft); uma nova ISO 22313 está em desenvolvimento. Acompanhá-las não equivale a iniciar uma transição. Os projetos podem evoluir até à publicação; as datas previstas devem ser acompanhadas nas páginas oficiais da ISO.
Regulação: quem precisa de formação em 2027?
Os âmbitos e calendários diferem. A análise deve identificar as obrigações efetivamente aplicáveis à organização e a cada função.
NIS 2 em Portugal
O Decreto-Lei n.º 125/2025, de 4 de dezembro, transpôs a Diretiva (UE) 2022/2555 e aprovou o novo Regime Jurídico da Cibersegurança. O artigo 25.º, n.º 1, alínea d), do regime aprovado em anexo atribui aos órgãos de gestão, direção e administração das entidades essenciais e importantes o dever de assegurar a realização regular de ações de formação em cibersegurança.
O Regulamento n.º 756/2026, de 22 de junho, concretiza o regime. No QNRCS – Quadro Nacional de Referência para a Cibersegurança, constante do anexo I, ponto 6.2, a medida PR.FC-1 aborda a sensibilização e formação de todo o pessoal; a PR.FC-2, a preparação de pessoas com funções especializadas em cibersegurança e dos órgãos de gestão, direção e administração. A descrição de PR.FC-1 inclui o planeamento das ações e a avaliação do seu sucesso.
O Regulamento de Execução (UE) 2024/2690 estabelece requisitos técnicos e metodológicos para determinadas categorias de prestadores, incluindo computação em nuvem, centros de dados e serviços geridos.
Governação, execução técnica e resposta a incidentes exigem preparação distinta. Os prazos devem ser analisados por obrigação e entidade: estas obrigações não começam todas em 2027. Consulte também NIS 2 em Portugal: nomear um responsável pela cibersegurança é suficiente?
DORA
O Regulamento (UE) 2022/2554 – DORA aplica-se desde 17 de janeiro de 2025 às entidades financeiras abrangidas. Inclui risco TIC, incidentes, testes de resiliência e prestadores terceiros.
A formação em 2027 deve apoiar a consolidação da execução, do acompanhamento e da melhoria, distinguindo quem supervisiona riscos, gere incidentes, avalia contratos ou planeia testes. Não se trata de preparar o início da aplicação.
Cyber Resilience Act
O Regulamento (UE) 2024/2847 – CRA tem aplicação geral prevista para 11 de dezembro de 2027. Desde 11 de setembro de 2026, aplicam-se aos fabricantes abrangidos obrigações de comunicação de vulnerabilidades ativamente exploradas e incidentes graves com impacto na segurança dos produtos.
A preparação deve relacionar segurança do produto, vulnerabilidades, documentação e coordenação entre desenvolvimento, segurança e conformidade, considerando também manutenção e acompanhamento. Não basta sensibilização genérica.
AI Act
Segundo a Comissão Europeia, o AI Omnibus, em vigor desde 27 de julho de 2026, fixou a aplicação das regras de risco elevado em 2 de dezembro de 2027, para o anexo III, e 2 de agosto de 2028, para os sistemas associados aos produtos regulamentados abrangidos pelo anexo I.
Não é um adiamento geral: modelos de IA de finalidade geral e transparência têm marcos próprios de aplicação. A Comissão Europeia também assinala a simplificação das disposições sobre literacia em IA, pelo que o planeamento deve considerar o enquadramento atualizado.
As competências a desenvolver na formação em 2027 dependem do papel da organização e dos sistemas desenvolvidos ou utilizados: interpretar obrigações, avaliar riscos, gerir, supervisionar ou verificar conformidade. A ISO/IEC 42001 trata o sistema de gestão da IA; a ISO/IEC 27090, ameaças de segurança específicas. São contributos distintos, que não substituem o regulamento.
Formação em 2027: três decisões para definir competências
Identificar a mudança. Relacione normas, requisitos, tecnologias, dependências ou novas responsabilidades com uma necessidade concreta. «Preparar responsáveis de processo e auditores para avaliar o impacto da ISO 9001:2026» é mais preciso do que «atualizar conhecimentos em qualidade».
Identificar quem precisa de agir. A direção decide prioridades; a implementação estrutura processos; a operação executa; a auditoria avalia evidências. Considere conhecimentos e experiência existentes: alguns profissionais precisam de atualização dirigida; outros, de fundamentos e especialização.
Definir a aplicação e a avaliação. Associe a aprendizagem a uma análise de alterações, plano de transição, programa de auditoria, avaliação de dependências ou exercício. A frequência não garante aplicação: são necessárias condições de trabalho e avaliação da evolução demonstrada.
Exemplo: um incidente num fornecedor interrompe uma aplicação essencial
Neste cenário hipotético, a mesma dependência pode revelar necessidades diferentes:
Em ecrãs pequenos, deslize horizontalmente para consultar a tabela.
| Função | Capacidade e aplicação a avaliar |
|---|---|
| Direção | Interpretar impactos e fundamentar decisões sobre alternativas, recursos e prioridades de recuperação. |
| Responsáveis técnicos e de continuidade | Relacionar necessidades do negócio, recuperação e dependências; realizar um exercício com objetivos, resultados e melhorias identificadas. |
| Auditoria interna | Confrontar preparação e critérios aplicáveis, fundamentando conclusões em planos, exercícios e seguimento das melhorias. |
Se a recuperação não responder às necessidades do negócio, pode ser necessário rever pressupostos, soluções, contratos ou decisões. Importa distinguir lacunas de competências de problemas que exigem outras medidas. A formação não resolve tudo, por si só.
Formação em 2027: escolher o modelo e o percurso de certificação
Uma necessidade específica pode justificar formação individual; responsabilidades relacionadas, participação conjunta; uma necessidade partilhada pela equipa, formação in-company. Considere conteúdos, conhecimentos prévios, participantes, disponibilidade e aplicação não apenas o custo por pessoa. Veja Pack Equipa ou formação in-company: como escolher o modelo com mais valor?
Na certificação profissional, analise competências avaliadas, exame, requisitos de acesso e manutenção. Certificação pessoal e certificação do sistema de gestão são distintas, tal como os respetivos processos de transição. Consulte as condições de cada curso e, quando aplicável, o pedido de transição da certificação Behaviour.
A pergunta central é: este percurso prepara-me para as responsabilidades atuais ou para aquelas que pretendo assumir?
Como a Behaviour acompanha esta evolução
Na Behaviour Group®, os programas e conteúdos dos cursos são revistos anualmente e atualizados sempre que existem alterações relevantes na base de conhecimento.
Os percursos respondem a necessidades diferentes: ISO 9001 Transition e ISO 27701 Transition para analisar diferenças entre edições e implicações em processos, responsabilidades e evidências; ISO 19011 Internal Lead Auditor para metodologia de auditoria; e ICT Readiness Lead Manager para preparação tecnológica da continuidade.
Em Conformidade Digital e Resiliência Operacional e Inteligência Artificial, a oferta distingue fundamentos, governação, conformidade, implementação e auditoria, conforme o referencial e a função.
Planear a formação em 2027 não é acrescentar cursos a uma lista. É distinguir o que exige preparação imediata, consolidação ou acompanhamento e preparar as pessoas certas para responder.
Para desenvolver o seu plano ou percurso profissional, explore a Formação por Necessidades ou a área de Empresas e RHs, relacionando funções, participantes e resultados pretendidos.
Behaviour Group® – Dedicados às Melhores Práticas.
Nota de atualização: informação de referência a 22 de outubro de 2026. Normas e legislação podem evoluir; a aplicação exige analisar o âmbito, as obrigações e os prazos concretos da organização.
Está a preparar o plano de formação para 2027?
Identifique as competências prioritárias e os percursos adequados à sua organização.
Data: 23 de outubro de 2026
Autor: Behaviour Group
Não é autorizada a cópia ou reprodução deste artigo.