Para obter a certificação ISO 27001 no Brasil, a empresa implanta um sistema de gestão de segurança da informação (SGSI) conforme a ABNT NBR ISO/IEC 27001:2022, opera esse sistema por um período com auditoria interna e análise crítica pela direção, e contrata um organismo de certificação acreditado, que faz a auditoria em duas fases. O certificado cobre um ciclo de três anos, com auditorias de manutenção no meio. A versão de 2013 já não serve: pelo documento obrigatório do fórum internacional de acreditação, todas as certificações pela edição de 2013 expiraram ou foram retiradas em 31 de outubro de 2025.
A certificação é voluntária, e nenhuma das normas brasileiras de segurança cibernética que tratamos neste blog a exige. Ela entra pela porta dos fornecedores: Banco Central e Susep aceitam certificações independentes como parte da verificação de prestadores de nuvem e de processamento de dados. Para quem vende para bancos e seguradoras, isso pesa. Este guia cobre o caminho inteiro, do escopo ao certificado, e o que acontece depois.
- A norma que vale no Brasil e o que mudou
- Passo a passo até o certificado
- O que precisa estar documentado
- Como escolher o organismo e conferir um certificado
- A auditoria de certificação e o ciclo de três anos
- Não conformidades que a própria norma antecipa
- O que muda conforme o tipo de empresa
- O que a certificação resolve diante dos reguladores
A norma que vale no Brasil e o que mudou
A ABNT publica a norma como ABNT NBR ISO/IEC 27001:2022, com o título «Segurança da informação, segurança cibernética e proteção à privacidade». É a tradução da edição internacional que a ISO publicou em 25 de outubro de 2022, em substituição à de 2013. Se a dúvida ainda é sobre o que a norma pede em termos gerais, vale ler antes o que é a ISO 27001 e para que serve. Aqui o foco é o caminho até o certificado.
O resumo mais confiável das mudanças está no próprio documento de transição, a IAF MD 26:2023. Ele lista o que a auditoria passou a olhar:
- Anexo A novo. Os controles passaram de 114 em 14 seções para 93 em 4 temas (organizacionais, de pessoas, físicos e tecnológicos). Desses 93, 11 são novos, 24 resultam da fusão de controles antigos e 58 foram atualizados.
- Cláusula 4.2 c). A organização precisa determinar quais requisitos das partes interessadas serão tratados pelo SGSI. Não basta listar as partes; é preciso dizer o que entra.
- Cláusula 6.3, planejamento de mudanças. Mudanças no SGSI passam a ser feitas de forma planejada.
- Cláusula 8.1. O texto troca «processos terceirizados» por «processos, produtos ou serviços fornecidos externamente», o que puxa nuvem e fornecedores para dentro do controle operacional.
Em 23 de fevereiro de 2024 saiu a Emenda 1 (Climate action changes). Ela acrescenta às cláusulas 4.1 e 4.2 que a organização deve determinar se a mudança climática é uma questão relevante. Segundo o comunicado conjunto IAF e ISO, não houve programa de transição nem troca de certificado, mas os organismos passaram a auditar o tema desde a publicação, e a falta dessa análise deve virar constatação. Se a empresa concluir que o clima não é relevante para o seu SGSI, o auditor vai querer ver como chegou a essa conclusão.
Passo a passo até o certificado
1. Defina o escopo (cláusula 4.3)
Quais unidades, processos, sistemas e locais entram, e quais interfaces com o que ficou de fora. O escopo aparece no certificado, e o cliente que pediu a certificação vai lê-lo. Na nossa leitura, é a decisão que mais pesa no esforço e a mais difícil de corrigir depois. Um escopo muito amplo atrasa tudo; um escopo estreito demais gera um certificado que o cliente não aceita, porque não cobre o serviço que ele contrata. O critério que usaríamos é simples: o escopo precisa cobrir o serviço que o seu principal cliente vai auditar.
2. Analise o contexto e as partes interessadas (4.1 e 4.2)
Aqui entram os requisitos legais e regulatórios brasileiros que se aplicam a você, como a LGPD e a norma do seu regulador setorial, os requisitos contratuais dos clientes e, desde 2024, a análise sobre mudança climática. Registre a decisão da cláusula 4.2 c): quais desses requisitos o SGSI vai tratar.
3. Garanta a liderança (cláusula 5)
Política de segurança da informação aprovada pela direção, papéis e responsabilidades atribuídos e comunicados. Na nossa leitura, vale preparar alguém da alta direção para falar dos objetivos de segurança com as próprias palavras, porque a liderança é requisito da norma, e o auditor não vai ouvir apenas a equipe de TI.
4. Avalie e trate os riscos (6.1.2 e 6.1.3)
A norma pede critérios de aceitação de risco e critérios para realizar a avaliação definidos antes, e um processo que produza resultados consistentes, válidos e comparáveis quando repetido. Cada risco precisa de um responsável. O tratamento termina num plano com controles escolhidos e na aprovação do risco residual pelos donos dos riscos.
5. Escreva a Declaração de Aplicabilidade (6.1.3 d)
Para cada um dos 93 controles do Anexo A: se é necessário, por que foi incluído, se está implementado e, quando excluído, a justificativa. A IAF MD 26 lembra que o Anexo A serve de lista de conferência: se a comparação revelar um controle necessário que ficou de fora, o plano de tratamento precisa ser atualizado.
6. Implemente os controles e guarde a evidência
O procedimento escrito não basta: o auditor procura o registro de que o controle funcionou no período. Revisão de acessos feita, backup testado, treinamento com lista de presença, contrato de fornecedor com cláusula de segurança.
7. Meça, audite e revise (9.1, 9.2 e 9.3)
Defina o que será monitorado e medido, rode pelo menos um ciclo completo de auditoria interna e faça a análise crítica pela direção. As duas precisam ter acontecido antes da auditoria de certificação, com as não conformidades tratadas conforme a cláusula 10.
8. Contrate o organismo de certificação
Peça proposta a mais de um, confira a acreditação (ver abaixo) e alinhe o escopo antes da fase 1. Sem promessas de prazo aqui: a duração depende do tamanho do escopo e do ponto de partida, e qualquer número genérico seria inventado.
O que precisa estar documentado
A norma não pede um manual, mas exige informação documentada em pontos definidos. Na edição de 2022, a fórmula «a informação documentada deve estar disponível como evidência» foi padronizada nas cláusulas 9.1, 9.2.2, 9.3.3 e 10.2, como registra a IAF MD 26. A tabela abaixo serve de lista de conferência antes da fase 1:
| Cláusula | O que documentar | Formato que funciona |
|---|---|---|
| 4.3 | Escopo do SGSI | Uma página com limites, locais, sistemas e interfaces |
| 5.2 | Política de segurança da informação | Documento aprovado pela direção, com data e versão |
| 6.1.2 | Processo de avaliação de riscos | Metodologia com escalas e critério de aceitação |
| 6.1.3 | Processo de tratamento de riscos, Declaração de Aplicabilidade e plano de tratamento | Planilha ou sistema com os 93 controles e justificativas |
| 6.2 | Objetivos de segurança da informação | Objetivos mensuráveis com responsável e prazo |
| 7.2 | Evidência de competência | Currículos, certificados de cursos, registros de treinamento |
| 8.1 a 8.3 | Controle operacional e resultados da avaliação e do tratamento de riscos | Relatórios de risco datados, registros de execução |
| 9.1 | Resultados de monitoramento e medição | Indicadores com série histórica |
| 9.2.2 | Programa de auditoria e resultados | Plano anual, relatórios, independência do auditor |
| 9.3.3 | Resultados da análise crítica pela direção | Ata com decisões e responsáveis |
| 10.2 | Não conformidades, ações tomadas e resultados | Registro de ações corretivas com verificação de eficácia |
Por onde começaríamos: escopo, metodologia de risco e Declaração de Aplicabilidade. São os três documentos que a fase 1 lê primeiro e os que, se mudarem depois, obrigam a refazer boa parte do resto.
Como escolher o organismo e conferir um certificado
No Brasil, a acreditação é feita pela Coordenação Geral de Acreditação do Inmetro (Cgcre), que se apresenta como o único organismo de acreditação reconhecido pelo Governo Brasileiro. A mesma página lista a ABNT NBR ISO/IEC 27001 entre as normas para as quais acredita organismos de certificação, com o código OTS, com base na ABNT NBR ISO/IEC 17021-1 e nas interpretações do IAF e do IAAC. A lista inclui também a ABNT NBR ISO/IEC 27701 (gestão da privacidade), útil para quem quer estender o SGSI ao tratamento de dados pessoais.
Para auditar um SGSI, o organismo segue, além da 17021-1, a ISO/IEC 27006-1:2024, que traz os requisitos específicos para certificar sistemas de gestão de segurança da informação. Há certificadoras que atuam no Brasil acreditadas por organismos de outros países; isso pode ser válido, desde que a acreditação cubra a ISO/IEC 27001.
Três verificações antes de assinar
- Peça o certificado de acreditação do organismo e confira se o escopo dele inclui a ISO/IEC 27001. Acreditação para ISO 9001 não vale para segurança da informação.
- Procure certificados emitidos por ele no IAF CertSearch. O próprio Inmetro indica a base para consultar empresas certificadas por organismos acreditados pela Cgcre. A busca pública é gratuita e, segundo o IAF, reúne mais de 3,2 milhões de certificações acreditadas.
- Confirme o vínculo internacional. Desde 1º de janeiro de 2026 o IAF deixou de operar e suas funções passaram à Global Accreditation Cooperation (Global ACI), que mantém o acordo de reconhecimento multilateral (MRA) e segue apontando para o CertSearch. Certificados e documentos antigos continuam citando o IAF; isso não os invalida.
A mesma busca serve no sentido inverso: quando um fornecedor diz ser certificado, procure o certificado no CertSearch e leia o escopo. É o jeito mais rápido de descobrir que a certificação cobre só a matriz e não o datacenter que vai hospedar seus dados.
A auditoria de certificação e o ciclo de três anos
Na fase 1, o auditor revisa a documentação: escopo, política, metodologia de riscos, Declaração de Aplicabilidade, auditoria interna e análise crítica. O objetivo é saber se a empresa está pronta para a fase 2. Lacunas aqui adiam a etapa seguinte.
Na fase 2, o auditor verifica se o sistema funciona: entrevista responsáveis, pede evidências de controles e confere se o tratamento de riscos saiu do papel. A IAF MD 26 é explícita num ponto que vale para qualquer auditoria de 27001: a verificação não pode se apoiar só em revisão documental, sobretudo nos controles tecnológicos. Espere pedidos de tela, de log e de configuração.
Não conformidades maiores precisam ser corrigidas antes da emissão do certificado; as menores entram num plano de ação acompanhado nas auditorias seguintes. Depois, o ciclo é de três anos: auditorias de manutenção nos anos intermediários e uma recertificação antes do vencimento.
Quem ainda tinha certificado 2013
O calendário da IAF MD 26 foi este:
| Data | O que aconteceu |
|---|---|
| 25/10/2022 | Publicação da ISO/IEC 27001:2022 |
| 30/04/2024 | Certificações iniciais e recertificações passam a ser feitas só pela edição de 2022 |
| 31/10/2025 | Fim da transição: certificações pela edição de 2013 expiram ou são retiradas |
Se o certificado da sua empresa não migrou até 31 de outubro de 2025, ele perdeu a validade, e o caminho agora é uma nova certificação inicial. Vale também conferir os certificados que fornecedores entregaram em processos de due diligence antigos: um certificado 2013 arquivado na pasta do fornecedor já não prova nada.
Não conformidades que a própria norma antecipa
Não vamos listar «os erros que mais vemos». O que dá para fazer com segurança é ler o texto da norma e das regras de auditoria e apontar onde o auditor tem base para registrar uma constatação:
- Critério de aceitação definido depois da avaliação. A 6.1.2 pede os critérios antes. Uma avaliação em que o risco aceitável «coincide» com o que já estava implementado chama atenção.
- Declaração de Aplicabilidade sem justificativa. Controle marcado como «não aplicável» sem motivo, ou incluído sem ligação com nenhum risco.
- 4.2 c) vazia. Lista de partes interessadas sem dizer quais requisitos o SGSI trata. Foi um dos itens novos de 2022.
- Clima ignorado. Pelo comunicado IAF e ISO, a falta de análise sobre mudança climática deve gerar constatação.
- Fornecedores fora do 8.1. Nuvem e serviços gerenciados que sustentam o escopo sem controle definido.
- Mudanças sem planejamento (6.3). Migração de sistema ou troca de fornecedor feita sem avaliar o efeito no SGSI.
- Auditoria interna sem independência. A 9.2.2 pede objetividade e imparcialidade; o responsável pelo processo auditando o próprio processo é o caso clássico.
- Análise crítica sem decisões. Ata que registra a apresentação, mas não as decisões e ações que a 9.3.3 pede.
O que muda conforme o tipo de empresa
Fornecedor de tecnologia que vende para instituições reguladas. É o perfil para quem a certificação mais rende, porque o cliente usa o certificado na própria verificação de prestadores. O escopo deve seguir o serviço contratado, incluindo a nuvem onde ele roda.
Instituição regulada pelo BCB, Susep, Aneel ou Anatel. A certificação não é exigida, mas o SGSI ajuda a organizar o que a norma setorial já cobra. Na nossa leitura, faz sentido certificar primeiro o perímetro mais exposto e usar o mesmo catálogo de controles para responder ao regulador, em vez de manter dois inventários.
Empresa pequena ou média. A norma é a mesma, mas o escopo pode ser enxuto e a documentação, proporcional. O que não encolhe é a evidência: mesmo com poucos controles, cada um precisa de registro.
Grupo com várias unidades. Cada local incluído no escopo entra no planejamento da auditoria e pesa na proposta do organismo. Decidir cedo se as filiais entram evita reabrir o escopo numa manutenção.
O que a certificação resolve diante dos reguladores
Nenhuma das normas brasileiras de segurança cibernética exige a ISO 27001, mas várias pedem o que ela organiza:
| Norma | Onde a ISO 27001 ajuda |
|---|---|
| Resolução CMN 4.893 | A verificação de prestadores de nuvem considera as certificações e os relatórios de auditoria independente do prestador. |
| Circular SUSEP 638 | A certificação concedida por instituição independente é uma das formas de demonstrar que o prestador tem controles adequados. |
| REN ANEEL 964 | Manda adotar normas, padrões e referências de boas práticas, sem escolher qual. |
| Resolução Anatel 740 | A política precisa declarar os padrões e boas práticas adotados, e os fornecedores precisam de auditoria independente. |
| LGPD, art. 46 | Pede medidas de segurança técnicas e administrativas para proteger os dados pessoais. |
A certificação não substitui o cumprimento de cada norma, que tem exigências próprias como prazos de comunicação de incidentes. Ela dá a base de controles sobre a qual essas exigências se apoiam. Por isso, faz sentido incluir os requisitos regulatórios aplicáveis já na análise de contexto do passo 2, e não tratá-los como um projeto paralelo.
No GlobalSuite®, o módulo de ISO 27001 faz a análise diferencial, a avaliação e o tratamento de riscos e gera a Declaração de Aplicabilidade a partir de um catálogo de controles configurável. Os mesmos controles ficam ligados aos requisitos de outras normas na biblioteca de conformidade, e a gestão de auditorias mantém as não conformidades e os planos de ação de uma auditoria para a outra.
Fontes oficiais: Inmetro, acreditação de organismos pela Cgcre; IAF MD 26:2023, requisitos de transição para a ISO/IEC 27001:2022; comunicado conjunto IAF e ISO sobre mudança climática; ISO/IEC 27001:2022/Amd 1:2024; ISO/IEC 27006-1:2024; Global Accreditation Cooperation; Lei nº 13.709/2018 (LGPD). Conteúdo revisado em outubro de 2026.
