# VdS 10000: segurança da informação para pequenas e médias empresas

> VdS 10000 explicada: o que a diretriz para PME exige, o que há de novo na versão 2025 e que requisitos afetam o seu site e o seu servidor web.

Fonte: https://phpsos.de/pt/blog/vds-10000-kmu/  
Atualizado em: 25/10/2026  
Prestador: PHP SOS, Assistência de emergência PHP e segurança de servidores. Ajuda imediata por WhatsApp: https://wa.me/491736494914?text=Ol%C3%A1%2C%20PHP%20SOS%2C%20precisamos%20de%20ajuda%20com%20o%20nosso%20servidor%20PHP.%20Empresa%3A%20%E2%80%A6%20Site%3A%20%E2%80%A6

**Em resumo:** a VdS 10000 é uma diretriz da VdS Schadenverhütung (organização alemã de prevenção de sinistros) para a segurança da informação em pequenas e médias empresas. Baseia-se, segundo a VdS, na ISO 27001 e no IT-Grundschutz do BSI (Gabinete Federal Alemão para a Segurança da Informação), mas é claramente mais enxuta e talhada para as PME. Para sites e servidores web, são importantes sobretudo o inventário, o tratamento de vulnerabilidades, os acessos remotos com autenticação multifator, as cópias de segurança e o tratamento de incidentes de segurança.

## Porque é que a VdS 10000 interessa às PME

Muitas empresas sabem que deviam abordar a segurança da informação de forma mais estruturada, mas recuam perante o esforço de uma ISO 27001. É precisamente para isso que se destina a VdS 10000. A VdS descreve-a como um catálogo de medidas neutro quanto ao setor, que não deve sobrecarregar nem em termos organizacionais nem financeiros as pequenas e médias empresas e os municípios.

Duas indicações da VdS ajudam no enquadramento. O esforço rondaria 20 por cento em comparação com a ISO 27001. E o BSI avaliaria os requisitos da VdS 10000 como um subconjunto da proteção de base do IT-Grundschutz. A diretriz não é, portanto, um substituto das grandes normas, mas uma porta de entrada realista que, segundo a VdS, é compatível ascendente.

Para as seguradoras, a VdS 10000 tem um peso especial, pois a VdS está estreitamente ligada ao setor segurador. A VdS salienta que uma certificação pode criar confiança junto das seguradoras e ajudar a transferir o risco residual. O que isso significa em concreto para a sua apólice, esclareça-o com a seguradora ou o mediador; indicações sobre o caso de sinistro encontram-se em [Ciberseguro: o que conta em caso de sinistro](https://phpsos.de/pt/compliance/cyberversicherung/).

## O que há de novo na VdS 10000, versão 2025

A VdS reviu a diretriz em 2025. Segundo a VdS, foram acrescentados ou alterados, entre outros, estes pontos:

1. **Linguagem mais clara**, para que também os principiantes compreendam os requisitos.
2. **Responsabilidades vinculativas:** os responsáveis pela segurança da informação e a respetiva equipa têm de ser oficialmente nomeados.
3. **Autenticação multifator para acessos remotos** passa a ser obrigatória.
4. **Cópias de segurança segundo o princípio de várias gerações**, em locais diferentes e em suportes diferentes.
5. **Gestão de risco revista**, com indicações sobre critérios de avaliação e limites a partir dos quais um risco é aceite.
6. **Um capítulo comum «Incidentes de segurança»**, que reúne os anteriores capítulos sobre perturbações, falhas e incidentes.
7. **Acessos físicos**, como chaves e transponders, passam a ser regulados também nos processos de pessoal.

A nova edição tem em conta, além disso, a diretriz VdS 10100, que descreve os requisitos da NIS2. A VdS vê a VdS 10000 como a base sobre a qual estes se podem completar mais tarde.

## VdS 10000 e o servidor web: o que fazer em concreto

A diretriz não fala de PHP nem de servidores web individuais. Os seus requisitos podem, no entanto, ser transpostos diretamente para a infraestrutura web. A tabela seguinte mostra como isso pode ser. É uma ajuda de tradução, e não uma interpretação oficial.

| Área de requisito | Significado para o site e o servidor web | Exemplo da situação do PHP2Shell |
|---|---|---|
| Visão geral dos sistemas de TI e dos riscos | Sites, lojas, portais e os seus servidores estão registados e avaliados | Saber de imediato que sistemas usam PHP e em que versão |
| Vulnerabilidades e atualizações | As atualizações de segurança são instaladas atempadamente e documentadas | Patch para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35, reinício de todos os workers |
| Acessos remotos com autenticação multifator | SSH, painel de alojamento e administração do CMS estão protegidos adicionalmente | Palavras-passe roubadas, por si só, não abrem um acesso de administrador |
| Cópias de segurança | Várias gerações, locais e suportes separados | Recurso a uma cópia anterior a 17/10/2026, se necessário |
| Incidentes de segurança | Via de comunicação, avaliação, documentação | A suspeita de webshell é comunicada e verificada, não apagada em silêncio |
| Prestadores de serviços | O fornecedor de alojamento e a agência estão envolvidos por contrato | Confirmação escrita do patch pelo fornecedor de alojamento |

Quanto às cópias de segurança, vale a pena ver [Cópias de segurança segundo a regra 3-2-1](https://phpsos.de/pt/ratgeber/backups-3-2-1/); quanto aos acessos remotos, [Autenticação de dois fatores para acessos de administração](https://phpsos.de/pt/ratgeber/zwei-faktor-admin/). Ambos coincidem bem com as novas obrigações da versão 2025.

## Como procedem as PME de forma realista?

A VdS 10000 também pode ser usada como guia sem objetivo de certificação. Um caminho pragmático começa pelo inventário, porque sem visão geral nenhum outro requisito se cumpre devidamente. Seguem-se os pontos com maior efeito por esforço: autenticação multifator, cópias de segurança funcionais com teste de recuperação e uma via de comunicação clara em caso de suspeita.

Só depois de estas bases estarem assentes compensa o lado formal, com diretrizes, responsáveis nomeados e avaliação de risco. Quem mais tarde pretender uma certificação encontra o procedimento na documentação da VdS; a auditoria em si é assumida pela entidade de certificação, e não por um prestador de serviços como nós.

Um obstáculo frequente nas PME é a pergunta sobre quem assume o papel de responsável pela segurança da informação. A versão 2025 exige uma nomeação oficial. Nas pequenas empresas, a tarefa acaba muitas vezes na direção de TI ou na própria gerência. É possível, desde que o tempo e os poderes sejam realistas. É importante que esta pessoa também tenha em vista os sites que o marketing ou uma agência gere. Precisamente esses passam facilmente pela malha no primeiro levantamento, porque não correm no centro de dados da própria empresa. Ajuda uma regra simples: cada domínio que a empresa possui tem uma pessoa responsável e uma entrada no inventário.

Para o servidor web, isto significa: o hardening e a disciplina de patches não são um extra ao lado da diretriz, mas exatamente o que ela exige no dia a dia. O que lhes pertence, descreve-o o [Hardening de servidores web PHP](https://phpsos.de/pt/leistungen/server-haertung/). A comparação com as grandes normas faz-a o artigo [ISO 27001 e TISAX: o que afeta os servidores web](https://phpsos.de/pt/blog/iso-27001-tisax-webserver/).

## Como ajuda concretamente a PHP SOS?

- Elaboramos consigo o inventário dos seus sites, servidores e versões do PHP e assinalamos os sistemas críticos.
- Aplicamos os requisitos técnicos no servidor web: atualizações com comprovativo, autenticação multifator para acessos remotos, hardening e verificação das cópias de segurança.
- Documentamos isto de modo a que os seus responsáveis pela segurança da informação o possam incorporar na documentação VdS.
- Não prometemos nenhuma certificação. Se os requisitos estão cumpridos, avalia-o a entidade de auditoria.

## Conclusão

A VdS 10000 é um quadro a levar a sério, mas exequível, para as PME. A versão 2025 afina precisamente os pontos que contam também depois do PHP2Shell: responsáveis, autenticação multifator, boas cópias de segurança e um tratamento regulado dos incidentes. Quem começa pelo servidor web tem depressa progressos visíveis e uma base sólida para mais.


## Perguntas frequentes

**Para quem se destina a VdS 10000?**  
Segundo a VdS, para pequenas e médias empresas, bem como municípios e empresas municipais. É neutra quanto ao setor e não deve sobrecarregar nem em termos organizacionais nem financeiros. Segundo a VdS, também organizações maiores a podem aplicar.

**Qual é a diferença entre a VdS 10000 e a ISO 27001?**  
A VdS 10000 baseia-se, segundo a VdS, na ISO 27001 e no IT-Grundschutz do BSI, mas está talhada para PME e é claramente mais enxuta. A VdS quantifica o esforço em cerca de 20 por cento em comparação com a ISO 27001 e descreve a diretriz como compatível ascendente, isto é, como possível porta de entrada na série ISO 27000.

**A VdS 10000 ajuda com a NIS2?**  
A VdS descreve a nova edição de 2025 como base sobre a qual os requisitos da NIS2 se podem completar mais tarde. Para isso existe a diretriz própria VdS 10100. Se a sua empresa está abrangida pela NIS2 e o que então se aplica, esclareça-o em separado.

**Existe uma versão para instalações de produção?**  
Sim. Para sistemas industriais de automação, a VdS publica o guia VdS 10020, que interpreta a VdS 10000 para esta área.

## Fontes

- [VdS: VdS 10000 Informationssicherheit für KMU](https://vds.de/kompetenzen/cyber-security/zertifizierungen/informationssicherheits-und-datenschutzmanagement/vds-10000-informationssicherheit-fuer-kmu)
- [VdS: VdS 10000, a nova versão 2025](https://vds.de/kompetenzen/cyber-security/vds-10000-die-neue-version-2025)
- [BSI: IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)