ISO/IEC 27001:
a comprovação padrão de segurança da informação

Em resumo

A ISO/IEC 27001 descreve um sistema de gestão da segurança da informação (SGSI). A norma não impõe nenhuma tecnologia específica. Ela exige que você conheça os riscos à confidencialidade, à integridade e à disponibilidade das informações, escolha controles adequados, coloque esses controles em operação e os revise com regularidade. O Anexo A da versão 2022 traz 93 controles em quatro grupos: organizacionais, de pessoas, físicos e tecnológicos. Na Declaração de Aplicabilidade (Statement of Applicability), você define quais deles se aplicam à sua empresa e por quê.

Hoje só vale a ISO/IEC 27001:2022. O período de transição para certificados da versão 2013 terminou em 31/10/2025. Um certificado antigo que você ainda anexa em concorrências atrapalha mais do que ajuda.

Em torno da norma existem complementos que clientes da UE pedem de forma específica. A ISO/IEC 27701 amplia o SGSI para a privacidade e combina bem com operadores de dados sujeitos ao RGPD (Regulamento Geral sobre a Proteção de Dados). A ISO/IEC 27017 e a ISO/IEC 27018 tratam de serviços em nuvem e de dados pessoais na nuvem. Quem vende serviços em nuvem para órgãos públicos ou grandes grupos na Alemanha também vai ouvir falar do catálogo de critérios C5 do BSI. Todas essas comprovações se apoiam na ISO/IEC 27001. Por isso, comece por ela e acrescente as demais quando um cliente concreto pedir.

Por que clientes da UE pedem a certificação

A maioria das regras de cibersegurança da UE não atinge você diretamente, e sim por meio do seu cliente. A NIS2 obriga entidades importantes e essenciais na UE a gerenciar a segurança da sua cadeia de suprimentos (art. 21). Ou seja, o cliente precisa verificar o quão seguro é o seu trabalho. O DORA exige que bancos, seguradoras e outras entidades financeiras avaliem os prestadores de serviços de TIC antes de fechar contrato e incluam determinadas cláusulas (arts. 28 a 30). O RGPD só permite que um controlador trabalhe com operadores que ofereçam garantias suficientes de medidas técnicas e organizacionais (arts. 28 e 32).

Um certificado ISO/IEC 27001 responde a boa parte dessas perguntas de uma só vez. Ele não substitui totalmente a avaliação feita pelo cliente: prazos de notificação de incidentes, localização dos dados e regras de saída continuam no contrato ou no questionário. Mas o questionário fica mais curto, e muitas vezes a auditoria presencial no fornecedor deixa de ser necessária. Quem fornece produtos com software para a UE encontra no Cyber Resilience Act obrigações adicionais que vão além do SGSI.

Quem precisa na América do Sul

Os clientes da UE pedem a certificação com mais frequência a estas empresas:

• Empresas de software e prestadoras de desenvolvimento, por exemplo em Montevidéu, Buenos Aires, Medellín ou Florianópolis, que programam para clientes europeus ou operam SaaS
• BPO e contact centers na Colômbia, no Peru ou no Brasil que têm acesso a dados de clientes de contratantes europeus
• Fintechs e prestadores de TI que atendem bancos ou seguradoras da UE e, por isso, entram nas exigências de DORA dos seus clientes
• Data centers, provedores de hospedagem e de serviços gerenciados
• Empresas industriais cujos clientes na UE compartilham dados de projeto ou acessos de manutenção remota

Para fornecedores do setor automotivo, o TISAX costuma ser a comprovação mais adequada. Quem atende principalmente clientes dos EUA conhece o SOC 2; para a UE, a ISO/IEC 27001 continua sendo a primeira opção.

Caminho até o certificado

1. Definir o escopo: quais unidades, serviços, sistemas e equipes. Ele precisa cobrir o serviço que o cliente da UE contrata.
2. Fazer a análise de riscos e escolher os controles, documentados na Declaração de Aplicabilidade.
3. Implementar políticas e controles, por exemplo direitos de acesso, backups, gestão de fornecedores, treinamentos e gestão de incidentes.
4. Operar o SGSI por alguns meses, fazer uma auditoria interna e realizar a análise crítica pela direção. Sem esses registros, nenhum organismo de certificação consegue avançar.
5. Auditoria de estágio 1: o organismo de certificação verifica a documentação e o grau de preparo.
6. Auditoria de estágio 2: o organismo verifica se o SGSI funciona no dia a dia. As não conformidades precisam ser corrigidas antes da emissão do certificado.
7. Certificado válido por três anos, com auditorias de manutenção anuais e uma recertificação no final.

Uma empresa de médio porte que começa do zero leva, em geral, de 6 a 12 meses até o certificado. Com escopo pequeno e uma base já existente, às vezes é mais rápido; com várias unidades ou recursos escassos, demora mais. Reserve algumas semanas entre o estágio 1 e o estágio 2 para tratar os apontamentos da análise documental. Não existe garantia de data, porque a auditoria de estágio 2 depende de evidências reais de operação. Os custos variam muito conforme o porte, o escopo e o organismo de certificação; peça várias propostas.

Acreditação: qual organismo vale

Para compradores da UE, um certificado vale tanto quanto o organismo que o emite. O organismo de certificação precisa ser acreditado para a ISO/IEC 27001 por um organismo de acreditação signatário do acordo internacional de reconhecimento. Até o fim de 2025, esse acordo era o IAF MLA; desde 01/01/2026, é o MRA da Global Accreditation Cooperation Incorporated (Global ACI). As acreditações do IAF MLA continuam reconhecidas durante a transição.

Nos nove países existe um organismo de acreditação que a Global ACI lista como signatário (situação em 11/10/2026):

Ser signatário ainda não significa que o organismo seja reconhecido também para segurança da informação. Confira o escopo da acreditação do seu organismo de certificação. Não é obrigatório usar um organismo do seu país; uma acreditação da DAkkS, da ENAC ou de outro signatário é reconhecida da mesma forma.

Erros comuns

• O escopo cobre só a matriz, mas o desenvolvimento para o cliente da UE fica em outro escritório ou com um subcontratado.
• O certificado vem de um organismo não acreditado. Muitos compradores da UE já verificam isso e recusam esse tipo de documento.
• A Declaração de Aplicabilidade foi copiada de um modelo e não bate com a análise de riscos da empresa. Na auditoria de estágio 2, isso aparece na hora.
• O SGSI só existe no papel: sem registros, sem auditoria interna, sem análise crítica pela direção.
• A cadeia de suprimentos ficou de fora. Provedores de nuvem e freelancers fazem parte da gestão de fornecedores, e é exatamente isso que seu cliente pergunta com base na NIS2 e no DORA.

Como o Sightadel ajuda

A Sightadel é uma plataforma de GRC da neonotu GmbH, de Munique. Ela reúne análise de riscos, Declaração de Aplicabilidade, políticas, evidências e auditoria interna em um só lugar e mantém tudo atualizado para a auditoria de manutenção. Se a sua equipe tem pouca disponibilidade, você pode contratar um pacote de consultoria, com consultores experientes que acompanham sua empresa até o certificado.

FAQ