Analisando as opções apresentadas em relação ao item 6.1.3 da norma técnica ABNT NBR ISO/IEC 27001:2013, podemos destacar que a norma realmente exige que a organização elabore uma declaração de aplicabilidade. Essa declaração deve conter os controles necessários e a justificativa para as inclusões e exclusões dos controles do Anexo A. Vamos analisar as alternativas: 1. A empresa não precisa elaborar uma declaração de aplicabilidade, pois isso não é exigido pela norma. - Incorreta, pois a norma exige a elaboração da declaração. 2. A empresa deve elaborar uma declaração de aplicabilidade, mas não é necessário justificar a inclusão ou exclusão de controles. - Incorreta, pois a norma requer justificativas. 3. A empresa deve elaborar uma declaração de aplicabilidade, que contenha os controles necessários e a justificativa para inclusões, mas não é necessário justificar a exclusão dos controles do Anexo A. - Incorreta, pois a norma exige justificativas tanto para inclusões quanto para exclusões. 4. A empresa deve elaborar uma declaração de aplicabilidade, que contenha os controles necessários e a justificativa para inclusões, sejam eles implementados ou não, bem como a justificativa para a exclusão dos controles do Anexo A. - Correta, pois está de acordo com o que a norma exige. 5. A empresa deve elaborar uma declaração de aplicabilidade, que contenha os controles necessários e a justificativa para exclusões, sejam eles implementados ou não, bem como a justificativa para a inclusão dos controles do Anexo A. - Incorreta, pois inverte a ordem das justificativas. Portanto, a alternativa correta é: A empresa deve elaborar uma declaração de aplicabilidade, que contenha os controles necessários e a justificativa para inclusões, sejam eles implementados ou não, bem como a justificativa para a exclusão dos controles do Anexo A.