Conformidade e Governação

O que é a Norma de Garantia da Informação dos EAU (anteriormente NESA)?

A norma IA v2.1 do Conselho de Cibersegurança dos EAU define 134 controlos em 15 famílias para entidades federais e infraestruturas críticas. Âmbito e estrutura.

A Norma de Garantia da Informação dos EAU (UAE IA Standard) é o conjunto de controlos de segurança de gestão e técnicos do Conselho de Cibersegurança dos EAU para infraestruturas críticas de informação. A versão 2.1 foi publicada em novembro de 2025. Aplica-se a ministérios e autoridades federais, a entidades não governamentais de infraestruturas críticas de informação (CII) e a entidades governamentais dos emirados quando o emirado não tem um programa CIIP próprio. Tem 15 famílias de controlos e 134 controlos, dos quais 70 são sempre aplicáveis. Referências mais antigas, como a Estratégia de Cibersegurança do Dubai, chamam-lhe Norma de Garantia da Informação da National Electronic Security Authority (NESA).

Quem emite a norma UAE IA?

O Conselho de Cibersegurança dos EAU (CSC) desenvolveu a norma atual e publicou a versão 2.1 em novembro de 2025. O Anexo G estabelece a correspondência com a versão 1.1 anterior: o Regulamento de Garantia da Informação dos EAU publicado em março de 2020 pela Autoridade Reguladora das Telecomunicações e do Governo Digital (TDRA), que se aplicava às entidades críticas designadas por esta ao abrigo da Política CIIP dos EAU.

Quem tem de aplicar a norma UAE IA?

A aplicabilidade depende do tipo de entidade e de o emirado ter ou não um programa próprio de proteção de infraestruturas críticas de informação (CIIP).

1.Ministérios e autoridades federais.

2.Entidades não governamentais de infraestruturas críticas de informação (CII).

3.Entidades governamentais dos emirados, quando o emirado não tem um programa CIIP próprio.

4.Quando existe um programa CIIP do emirado, a entidade responsável do emirado realiza a avaliação de aplicabilidade, a fiscalização e a monitorização das entidades governamentais do emirado e das entidades CII não governamentais.

Como está estruturada a norma UAE IA?

A versão 2.1 tem 15 famílias, 47 subfamílias, 134 controlos e 449 subcontrolos, divididos em famílias de gestão e famílias técnicas.

1.Famílias de gestão: M1 Estratégia e Planeamento, M2 Gestão de Riscos de Segurança da Informação, M3 Sensibilização e Formação, M4 Segurança dos Recursos Humanos, M5 Conformidade e M6 Avaliação e Melhoria do Desempenho.

2.Famílias técnicas: T1 Gestão de Ativos de Informação, T2 Segurança Física e Ambiental, T3 Gestão de Operações, T4 Segurança de Rede, T5 Gestão de Identidades e Acessos, T6 Segurança de Terceiros, T7 Aquisição, Desenvolvimento e Manutenção de Sistemas de Informação, T8 Gestão de Incidentes de Segurança da Informação e T9 Gestão da Continuidade dos Sistemas de Informação.

Que controlos se aplicam sempre?

Setenta controlos são sempre aplicáveis, e a omissão de qualquer um deles constitui uma não conformidade. Os outros 64 aplicam-se com base na avaliação de risco da entidade, e a exclusão de qualquer um exige uma justificação e evidências de que o risco foi aceite pelas pessoas responsáveis ou pelas entidades autorizadoras. Sem avaliação de risco, todos os controlos são tratados como aplicáveis. Os controlos têm também prioridades de P1 a P4 para sequenciar a implementação: todos os controlos aplicáveis são obrigatórios, as entidades começam pelos P1 e apenas as prioridades P1 não podem ser alteradas pela avaliação de risco.

Como se alinha com a ISO 27001 e outras normas?

A norma está alinhada com a ISO/IEC 27001:2022, a ISO/IEC 27002:2022 e a ISO/IEC 27005:2022, o NIST SP 800-53 Revisão 5, os CIS Critical Security Controls versão 8 e a versão 3 do Regulamento de Segurança da Informação do Centro de Segurança Eletrónica do Dubai. Um anexo estabelece a correspondência de cada controlo com a ISO 27001 e a 27002, o NIST SP 800-53 e o ISR.

Como é monitorizada a conformidade?

O Conselho analisa os relatórios de autoavaliação da conformidade das entidades e pode realizar ou encomendar auditorias e testes de conformidade, quando adequado. Os controlos sempre aplicáveis e os controlos baseados no risco que uma entidade seleciona constituem, em conjunto, a base do regime de monitorização da conformidade.

Em que pontos a Vigilbase ajuda com as evidências para a norma IA?

O registo de eventos (T3.2.2) é sempre aplicável: as entidades têm de produzir, armazenar, proteger e analisar registos de atividades, exceções, falhas e outros eventos relevantes, e a política de monitorização define a retenção. A gestão de incidentes (T8) exige um plano, classificação, documentação e recolha de evidências. O Vigilbase OS liga as ferramentas de segurança que já paga e mantém os respetivos registos e eventos auditáveis e pesquisáveis num único lugar, e cada investigação regista as evidências, a ação e a verificação, o que ajuda a produzir evidências para essas famílias. O serviço Cloudflare gerido opera os controlos de WAF e DDoS incluídos no âmbito. A retenção predefinida é fixada por conjunto de dados, normalmente de 30 a 90 dias, pelo que deve ajustá-la à retenção definida pela sua política de monitorização.

Sobre este guia

Este guia resume a versão 2.1 da norma UAE IA publicada pelo Conselho de Cibersegurança dos EAU e a versão 1.1 da TDRA, conforme disponíveis em outubro de 2026. Não constitui aconselhamento jurídico. Confirme com o Conselho, com a entidade responsável do seu emirado e com os responsáveis de conformidade da sua organização se e como a norma se aplica à sua entidade.

Principais conclusões

✓O Conselho de Cibersegurança dos EAU publica a norma UAE IA; a versão 2.1 data de novembro de 2025.

✓Aplica-se a entidades federais, a infraestruturas críticas de informação não governamentais e a algumas entidades governamentais dos emirados.

✓Dos seus 134 controlos, 70 aplicam-se sempre e os restantes dependem da avaliação de risco da entidade.

✓Está alinhada com a ISO/IEC 27001:2022, o NIST SP 800-53, os CIS Controls e o ISR do Dubai.

Fontes

Soluções relacionadas

Serviços Vigilbase relacionados com este guia

Perguntas frequentes

A NESA é o mesmo que a norma UAE IA?

Norma de Garantia da Informação dos EAU é a designação atual. Referências mais antigas, como a Estratégia de Cibersegurança do Dubai, chamam-lhe Norma de Garantia da Informação da National Electronic Security Authority (NESA). Atualmente é publicada pelo Conselho de Cibersegurança dos EAU, na versão 2.1.

Quem tem de cumprir a norma UAE IA?

Os ministérios e as autoridades federais, as entidades não governamentais de infraestruturas críticas de informação e as entidades governamentais dos emirados quando o emirado não tem um programa CIIP. Quando existe um programa do emirado, a respetiva entidade responsável trata da aplicabilidade e da fiscalização.

Qual é a diferença entre controlos sempre aplicáveis e controlos baseados no risco?

Os controlos sempre aplicáveis têm de ser implementados por qualquer entidade que declare conformidade; a omissão de um deles constitui uma não conformidade. Os controlos baseados no risco aplicam-se de acordo com a avaliação de risco da entidade, e qualquer exclusão tem de ser justificada com evidências de que o risco foi aceite.

A norma UAE IA tem correspondência com a ISO 27001?

Sim. Está alinhada com a ISO/IEC 27001:2022 e a 27002:2022, e um anexo estabelece a correspondência dos seus controlos com essas normas, o NIST SP 800-53 Revisão 5 e o ISR do Dubai.

Tópicos Relacionados

Noções básicas de segurança

Pronto para melhorar a sua segurança?

A nossa equipa pode ajudá-lo a implementar as medidas de segurança discutidas neste guia. Obtenha orientação especializada adaptada à sua organização.

Começar agora Continuar a aprender