# ISO/IEC 27001: o que é e como uma empresa se certifica — Citeo > A ISO/IEC 27001 é a norma internacional que define os requisitos de um sistema de gestão de segurança da informação. A ISO não certifica ninguém: quem audi... Fonte: https://mail.citeo.com.br/artigo/iso-27001-o-que-e-como-se-certificar · Atualizado em 21/10/2026 [Início](https://mail.citeo.com.br) [Insights](https://mail.citeo.com.br/blog) [Segurança](https://mail.citeo.com.br/blog/seguranca) Segurança# ISO/IEC 27001: o que é e como uma empresa se certifica **Redação Citeo** Publicado em 18/10/2026 Revisado em 18/10/2026 5 min de leitura Resposta rápidaA ISO/IEC 27001 é a norma internacional que define os requisitos de um sistema de gestão de segurança da informação. A ISO não certifica ninguém: quem audita e emite o certificado é um organismo de certificação independente, em duas fases de auditoria e com ciclos de três anos. A ISO/IEC 27001 é a norma internacional que define os requisitos de um sistema de gestão de segurança da informação (SGSI, ou ISMS em inglês). A edição em vigor é a de 2022. Ela não é uma lista de produtos a comprar: exige que a empresa identifique riscos à confidencialidade, à integridade e à disponibilidade da informação, escolha controles para tratá-los e prove, em auditoria independente, que o sistema funciona e melhora com o tempo. ## O que exatamente a norma exige? A norma tem duas partes que funcionam juntas. As cláusulas de 4 a 10 descrevem o sistema de gestão: contexto da organização, liderança, planejamento, apoio, operação, avaliação de desempenho e melhoria. O Anexo A traz o catálogo de controles de segurança que a empresa deve considerar ao tratar os riscos. Na prática, o SGSI é um ciclo: 1. Definir o escopo: quais áreas, sistemas, locais e serviços entram. 2. Avaliar os riscos de segurança da informação dentro desse escopo. 3. Escolher como tratar cada risco e quais controles do Anexo A se aplicam. 4. Registrar as escolhas na Declaração de Aplicabilidade (com a justificativa de cada controle incluído ou excluído). 5. Operar os controles, medir resultados, fazer auditoria interna e análise crítica pela direção. 6. Corrigir o que falhou e melhorar continuamente. A edição de 2022 incluiu uma subcláusula sobre planejamento de mudanças (6.3): alterações no SGSI devem ser feitas de forma planejada. ## O que mudou da versão 2013 para a 2022? A mudança mais visível está no Anexo A. A versão de 2013 tinha 114 controles distribuídos em 14 domínios. A de 2022 reorganizou o catálogo em 93 controles agrupados em quatro temas. Tema do Anexo A (2022)SeçãoNúmero de controlesExemplos de assuntoOrganizacionaisA.537políticas, papéis, gestão de fornecedores, inteligência de ameaçasPessoasA.68triagem, conscientização, trabalho remotoFísicosA.714perímetros, equipamentos, mesa limpaTecnológicosA.834controle de acesso, criptografia, backup, desenvolvimento seguro Em 2024 saiu ainda uma emenda (Amd 1:2024) que trata de mudanças climáticas, pedindo que a organização considere se o tema é relevante no contexto do seu sistema de gestão. O prazo de transição terminou em 31 de outubro de 2025: certificados emitidos pela versão de 2013 que não migraram até essa data deixaram de valer. Se um fornecedor apresentar hoje um certificado "ISO 27001:2013", ele está vencido. ## Quem certifica uma empresa? A ISO escreve normas, mas não certifica empresas nem emite certificados. A certificação é feita por organismos de certificação independentes, que auditam a empresa e emitem o certificado. Esses organismos podem ser **acreditados**, ou seja, reconhecidos formalmente por um organismo de acreditação como competentes para auditar segundo normas internacionais. No Brasil, o organismo de acreditação é a Cgcre, do Inmetro. A acreditação não é obrigatória, mas é o sinal mais simples de que o certificado foi emitido por quem segue regras reconhecidas. Ao avaliar um certificado, confira: - o nome do organismo certificador e se ele é acreditado (e por quem); - a versão da norma ("ISO/IEC 27001:2022"); - o **escopo** escrito no certificado, porque uma empresa pode certificar só um produto, uma unidade ou um datacenter; - a validade e se o certificado aparece na consulta pública do organismo certificador. ## Como funciona o processo de certificação? O caminho mais comum segue estas etapas: 1. **Implantação do SGSI**: escopo, avaliação de riscos, Declaração de Aplicabilidade, políticas e controles funcionando por um período que gere registros. 2. **Auditoria interna e análise crítica pela direção**: exigências da própria norma antes da auditoria externa. 3. **Auditoria de certificação em duas fases**: na fase 1, o auditor verifica a documentação e se a empresa está pronta; na fase 2, avalia se o sistema funciona na prática, com entrevistas e evidências. 4. **Tratamento de não conformidades** apontadas pelo auditor. 5. **Emissão do certificado**, que abre um ciclo de três anos. 6. **Auditorias de manutenção** durante o ciclo e **recertificação** ao final, que reinicia um novo ciclo de três anos. O tempo e o custo dependem do tamanho do escopo, do número de pessoas e locais, da maturidade de segurança de partida e do organismo escolhido. Não existe preço tabelado: peça propostas a mais de um organismo certificador e, se for contratar consultoria de implantação, separe quem implanta de quem audita. ## Vale a pena para uma empresa de serviços digitais? Depende de quem compra de você. A certificação tende a fazer diferença quando: - clientes grandes, bancos, saúde ou governo pedem a norma em questionários de segurança e editais; - a empresa processa dados pessoais ou dados sensíveis de clientes em escala; - a venda para o exterior exige evidência formal de segurança. SituaçãoCertificação ISO 27001Alternativa mais leveVenda para grandes empresas que exigem a normaNormalmente necessáriaNão substituiSoftware house pequena com clientes PMEPode ser cara para o momentoPolítica de segurança, controles básicos, questionário respondido com evidênciasSaaS que vende para os EUAAjuda; alguns compradores pedem SOC 2Relatório SOC 2Adequação à LGPDAjuda a organizar controlesNão substitui as obrigações da lei A ISO 27001 não é exigência da LGPD (Lei 13.709/2018), mas ajuda a demonstrar as "medidas de segurança, técnicas e administrativas" que a lei pede de quem trata dados pessoais. Para entender o lado do comprador, veja [como contratar empresa de cibersegurança](/artigo/como-contratar-empresa-de-ciberseguranca-2026) e o [checklist de LGPD para empresas digitais](/artigo/lgpd-empresas-digitais-checklist-adequacao). Se você é fornecedor, as [certificações que ajudam software houses a vender](/artigo/certificacoes-que-ajudam-software-houses-a-vender) comparam ISO 27001, SOC 2 e MPS.BR. ## Próximo passo Se você contrata tecnologia, peça o certificado e confira escopo, versão e organismo certificador antes de aceitar a norma como prova. Compare fornecedores em [empresas](/empresas) e nos [rankings da Citeo](/rankings). Se a sua empresa é certificada, registre isso no perfil gratuito: [crie ou reivindique o perfil](/cadastro) e coloque o certificado como evidência pública. ## Fontes - [ISO — ISO/IEC 27001:2022 Information security management systems](https://www.iso.org/standard/27001) — definição, edição de 2022 e emenda de 2024 - [ISO — Certification](https://www.iso.org/certification.html) — a ISO não certifica; certificação por organismos externos; acreditação - [Cloud Security Alliance — How to prepare for ISO/IEC 27001:2022](https://cloudsecurityalliance.org/blog/2023/03/15/how-to-prepare-for-iso-iec-27001-2022) — 114 para 93 controles, subcláusula 6.3 e prazo de transição - [TÜV NORD — Client information on the ISO 27001 revision (PDF)](https://www.tuv-nord.com/fileadmin/Content/TUV_NORD_COM/TUEV_NORD_CZECH/Pictures/Clients_information_ISO_27001-revision_EN.pdf) — fim dos certificados 2013 em 31/10/2025 e ciclo de três anos com auditoria em duas fases - [Sprinto — ISO 27001 controls](https://sprinto.com/blog/iso-27001-controls/) — distribuição dos 93 controles nos quatro temas (fonte secundária) - [Agência Gov — Inmetro e o Dia Mundial da Acreditação](https://agenciagov.ebc.com.br/noticias/202406/9-de-junho-inmetro-e-organizacoes-internacionais-celebram-o-dia-mundial-da-acreditacao) — papel da Cgcre/Inmetro na acreditação no Brasil - [Planalto — Lei 13.709/2018 (LGPD)](https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm) — dever de adotar medidas de segurança no tratamento de dados pessoais **Encontre cybersegurança verificadas**Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo. [Ver empresas ](https://mail.citeo.com.br/empresas/cyber) [Comparar empresas lado a lado](https://mail.citeo.com.br/comparar) ## Perguntas frequentes ### A ISO emite o certificado ISO 27001? Não. A ISO publica a norma, mas não certifica empresas nem emite certificados. A certificação é feita por organismos de certificação independentes, de preferência acreditados por um organismo de acreditação reconhecido. ### Quantos controles tem a ISO 27001:2022? O Anexo A da edição de 2022 tem 93 controles, organizados em quatro temas: organizacionais, pessoas, físicos e tecnológicos. A empresa não precisa adotar todos: escolhe com base na avaliação de riscos e justifica as escolhas na Declaração de Aplicabilidade. ### Um certificado ISO 27001:2013 ainda vale? Não. O prazo de transição para a versão de 2022 terminou em 31 de outubro de 2025, e os certificados da versão de 2013 que não migraram deixaram de valer nessa data. ### Quanto tempo vale o certificado? O certificado abre um ciclo de três anos, com auditorias de manutenção ao longo do período. Ao final, a recertificação inicia um novo ciclo. ### ISO 27001 garante que a empresa nunca terá incidentes? Não. A norma garante que existe um sistema para identificar riscos, aplicar controles e melhorar continuamente, auditado por terceiros. Incidentes ainda podem acontecer; a diferença está em preveni-los melhor e responder de forma organizada. ## Leia também [](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) Segurança### [Backup 3-2-1 e recuperação de desastres: o mínimo que toda empresa precisa](https://mail.citeo.com.br/artigo/backup-3-2-1-e-recuperacao-de-desastres) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) Segurança### [Programa de bug bounty vale a pena? Quando faz sentido e como começar](https://mail.citeo.com.br/artigo/bug-bounty-vale-a-pena) 18 de out · 5 min de leitura [](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) Segurança### [Comunicação de incidente de segurança à ANPD: prazos e o que informar](https://mail.citeo.com.br/artigo/comunicacao-de-incidente-a-anpd) 18 de out · 6 min de leitura [](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) Segurança### [Incidentes de segurança no Brasil: o que mostram os dados públicos](https://mail.citeo.com.br/artigo/incidentes-de-seguranca-no-brasil-dados) 18 de out · 6 min de leitura