Certificação ISO 27001: etapas, prazo e custo

Certificação ISO 27001 é a auditoria do seu SGSI por organismo acreditado: estágio 1 (prontidão e documentação) e estágio 2 (evidência na operação). Consultoria prepara; certificadora emite. Este artigo cobre passos, prazo, custo e acreditação.

Guia Certificação ISO (Templum). Hub ISO 27001 · requisitos · implementar · consultoria · auditoria.

Respostas diretas: certificação ISO 27001

• Passos: escopo, riscos, SoA, controles operando, auditoria interna, análise crítica, estágios 1 e 2, tratamento de NCs, certificado.
• Antes do auditor: escopo documentado, riscos, SoA, controles com registro, auditoria interna e análise crítica feitas.
• Prazo: meses a ~12 meses; gargalo é operar tempo suficiente para evidência, não só escrever políticas.
• Custo certificação: dias de auditoria (ISO/IEC 27006-1), escopo, sites, complexidade, ciclo de 3 anos.
• Preço certificação iso 27001: sem tabela única; organismo cobra por dias (27006-1) e implantação soma horas internas e consultoria. Página dedicada: quanto custa ISO 27001. Detalhe neste artigo.
• 27701 (privacidade): SGPI pode ser certificado sem 27001 desde 2025; integrar reduz retrabalho. Hub ISO 27701 · certificação 27701 · custo 27701.
• Incidentes: auditoria cobra gestão de incidentes com registro; vazamento sem protocolo gera NC no estágio 2.

Consultoria e organismo certificador: qual a diferença?

A consultoria prepara o sistema de gestão; o organismo acreditado audita e emite o certificado. São contratos separados e, por regra de acreditação, quem consulta não certifica a mesma empresa no mesmo ciclo.

Quais são os passos para obter a certificação ISO 27001 e quanto tempo leva?

1. Definir escopo do SGSI e patrocínio da direção.
2. Avaliação de riscos e Declaração de Aplicabilidade (SoA).
3. Implementar controles e operar com registros (incidentes, acessos, backup).
4. Auditoria interna e análise crítica pela direção.
5. Contratar organismo acreditado: estágio 1 (documentação) e estágio 2 (evidência).
6. Tratar não conformidades e receber certificado (ciclo de 3 anos).

Prazo realista: cerca de 6 a 12 meses para a primeira certificação na maioria das PME, podendo passar de 12 meses em escopos complexos. Hub: ISO 27001.

O que precisa existir antes de chamar o auditor

A auditoria de certificação verifica um sistema em funcionamento, não um projeto em andamento. Antes dela, a empresa precisa ter:

• escopo do SGSI definido e documentado, com as interfaces e dependências externas explícitas: o que é responsabilidade sua e o que é do provedor de nuvem;
• política de segurança da informação aprovada pela direção, com controle de versão e prova de que chegou às pessoas;
• avaliação de riscos executada com critérios escritos antes dos resultados, com riscos nomeados e donos atribuídos;
• o plano de tratamento de riscos e a Declaração de Aplicabilidade (SoA), com justificativa de inclusão e de exclusão de cada controle do Anexo A, mais a aceitação formal dos riscos residuais;
• controles implantados onde o risco apontou: e operando há tempo suficiente para gerar registro. Os que mais geram achado têm guia próprio aqui: backup e cópia de segurança (8.13), controle criptográfico (8.24) e mascaramento de dados (8.11);
• pessoal conscientizado, com registro de participação e avaliação de eficácia;
• ao menos uma rodada completa de auditoria interna e de análise crítica pela direção, com ata que registre decisões e não só números.

Como conduzir a auditoria interna que a norma exige, e o que o auditor externo confere depois, está em auditoria ISO 27001.

Faltando a auditoria interna ou a análise crítica, a certificação trava no estágio 1. É o motivo mais banal de adiamento e o mais fácil de evitar. O detalhamento de cada exigência está em requisitos da ISO 27001: as cláusulas 4 a 10.

As etapas, na ordem que funciona

1. Diagnóstico. Comparar o que já existe com o que a norma exige. Empresa que já tem ISO 9001 costuma descobrir que boa parte da estrutura está pronta: contexto, informação documentada, competência, auditoria interna, ação corretiva. Veja o que se aproveita em ISO 27001 e ISO 9001.
2. Definição de escopo. Quais processos, unidades, pessoas e ativos entram. Decisão de negócio antes de ser técnica: se o cliente exige a 27001 para o serviço que ele contrata, aquele serviço tem de estar dentro.
3. Avaliação de riscos. A etapa que determina todo o resto: é ela que diz quais controles você precisa e em que profundidade.
4. Tratamento de riscos e SoA. Escolher os controles a partir do risco e só então conferir contra o Anexo A, para não deixar lacuna.
5. Implantação dos controles nos processos reais: acessos, fornecedores, desenvolvimento, operação de TI, pessoas, ambiente físico.
6. Conscientização e comunicação, proporcionais ao risco de cada função.
7. Operação com registro. O sistema precisa rodar tempo suficiente para gerar evidência: acessos revisados, incidentes tratados, testes de restauração feitos, indicadores medidos.
8. Auditoria interna e análise crítica pela direção.
9. Auditoria de certificação, estágio 1 e estágio 2.
10. Tratamento de não conformidades, com análise de causa e evidência de implementação, no prazo dado pelo organismo.
11. Decisão e emissão do certificado, tomada por uma instância do organismo que não participou da auditoria.

Estágio 1 e estágio 2: o que o auditor faz em cada um

A auditoria inicial da ISO 27001 acontece obrigatoriamente em dois estágios, e a diferença entre eles explica por que sistema de fachada não passa.

No estágio 1, o organismo avalia se você está pronto para ser auditado: analisa o escopo, a documentação, a avaliação de riscos, a SoA, o entendimento do contexto, e confirma que a auditoria interna e a análise crítica aconteceram. Ele também usa esse estágio para planejar o estágio 2: quais locais visitar, quais áreas amostrar. Sai com pontos a resolver, e é comum sair com a recomendação de adiar.

No estágio 2, o auditor verifica a implementação: entrevista quem executa, amostra registros, confere se o controle declarado na SoA deixa rastro na operação. É aqui que a pergunta muda de "existe o documento?" para "mostre a última vez que isso aconteceu". Controle marcado como implementado sem histórico amostrável é a não conformidade mais comum desta etapa.

Há um intervalo entre os dois estágios: a norma prevê tempo para você tratar o que apareceu no estágio 1, e esse intervalo entra no cronograma.

Depois do certificado: o ciclo de três anos

O certificado vale três anos. Dentro do ciclo há auditorias de manutenção (normalmente anuais, com escopo reduzido) e, ao fim, uma recertificação, que reavalia o sistema inteiro. Não conformidade grave não tratada, ou sistema que parou de operar, leva a suspensão e depois a cancelamento.

Esse ritmo externo costuma ser o maior benefício prático para quem já tinha alguma estrutura de segurança: o calendário do organismo impede que o SGSI vire pasta parada depois do primeiro semestre. O que fazer entre auditorias está em como manter o SGSI depois da certificação.

Quanto tempo leva

Não há resposta única, e desconfie de quem der uma. O prazo depende de três variáveis: maturidade de partida (já ter sistema de gestão certificado encurta muito), tamanho e dispersão do escopo (uma unidade ou doze) e, principalmente, disponibilidade real da equipe: cronograma trava mais por agenda de gente do que por complexidade técnica.

O que dá para afirmar com segurança sobre a composição do prazo: a etapa mais longa raramente é escrever os documentos. É operar tempo suficiente para gerar evidência. Um controle implantado ontem não tem histórico para o auditor amostrar hoje, e alguns registros só existem com o calendário: revisão trimestral de acessos precisa de trimestres, teste de restauração de backup precisa de testes feitos.

Somam-se ao cronograma a agenda do organismo de certificação, o intervalo entre estágio 1 e estágio 2, o prazo para tratar não conformidades e os dias até a decisão de certificação.

O que define o custo

Preço da certificação ISO 27001, em uma frase: o valor cobrado pelo organismo é, em grande parte, função dos dias mínimos de auditoria definidos pela ISO/IEC 27006-1 (tamanho do escopo, complexidade e ciclo de três anos), mais o investimento de implementação (hora interna e, se houver, apoio externo). Não existe tabela única em reais válida para toda empresa.

São duas contratações distintas, e a separação não é comercial, é regra de imparcialidade: o organismo que certifica não pode prestar consultoria a quem ele audita. Quem oferece "consultoria e certificação no mesmo pacote" está oferecendo um certificado que o mercado não vai aceitar.

Custo da certificação, cobrado pelo organismo

Aqui está a parte que quase ninguém explica: para a ISO 27001 o tempo mínimo de auditoria não é arbitrado pelo certificador. Ele segue a ISO/IEC 27006-1, a norma que os organismos precisam cumprir para serem acreditados a certificar SGSI. Ela parte do número de pessoas que executam trabalho dentro do escopo e ajusta esse tempo por fatores de complexidade. Ou seja: o preço é, em boa medida, uma função de dias de auditoria: e os dias têm piso normativo.

O que empurra os dias para cima ou para baixo:

• número de pessoas no escopo: a variável de base, e é do escopo, não da empresa inteira;
• número de sites e se há amostragem entre eles (multiunidade com processos idênticos pode ser amostrado; operações distintas, não);
• criticidade da informação tratada: dado pessoal sensível, dado financeiro e informação sujeita a exigência regulatória pesam mais;
• complexidade da infraestrutura: número de plataformas, sistemas legados, ambientes;
• desenvolvimento de software dentro do escopo, que traz controles próprios e aumenta o tempo;
• grau de terceirização e uso de nuvem: pode reduzir o que você opera, mas aumenta o que você precisa evidenciar sobre o controle de fornecedores;
• quantidade de controles do Anexo A declarados aplicáveis na SoA;
• deslocamento dos auditores, quando a auditoria não é remota;
• o ciclo completo, não só a certificação inicial: some as manutenções anuais e a recertificação do terceiro ano.

Duas consequências práticas disso. A primeira: recortar o escopo é a alavanca de custo mais forte que você tem: e a mais perigosa, porque escopo estreito demais entrega um certificado que não resolve a exigência do cliente. A segunda: peça o orçamento do ciclo de três anos, não da auditoria inicial. Proposta que só mostra o ano 1 esconde metade da conta.

Custo da implantação

Consultoria, quando houver, mais o custo interno que quase ninguém orça: horas do pessoal em levantamento de ativos, avaliação de riscos, escrita de documentos, conscientização, auditoria interna e reuniões de análise crítica. Em projetos que atrasam, é esse custo invisível que estoura o orçamento: tempo de gente é a maior linha, e ela não aparece em nenhuma proposta.

Entram ainda itens menores e frequentemente esquecidos: a compra da norma (a ABNT NBR ISO/IEC 27001 é paga), eventuais ferramentas, e os controles que a avaliação de riscos apontar e que dependem de investimento: o que não é custo da certificação, é custo de segurança que a empresa provavelmente já devia ter.

Se o que você precisa é o número da sua operação, o caminho curto é descrever o cenário: quantas pessoas no escopo, quantas unidades, o que a empresa faz: e receber uma estimativa em cima disso. É o que fazemos em consultoria ISO 27001.

Acreditação: o detalhe que decide se o certificado vale

Certificado emitido por organismo acreditado tem reconhecimento internacional pelo acordo multilateral do IAF. Certificado de organismo não acreditado é um papel com logotipo: e o cliente que exigiu a certificação verifica isso.

Antes de assinar, confirme três coisas: qual organismo de acreditação reconhece aquele certificador (no Brasil, o Inmetro/Cgcre), se o escopo de acreditação cobre a ISO/IEC 27001: acreditação para ISO 9001 não serve: , e se o certificado aparece no diretório público do acreditador.

Vale saber também que a acreditação para certificar SGSI tem requisito próprio de competência: além da ISO/IEC 17021-1, o organismo precisa atender à ISO/IEC 27006-1, que define desde o tempo de auditoria até a qualificação de quem audita segurança da informação.

O que mais atrasa uma certificação

• Começar pelos documentos. Escrever política e procedimentos antes da avaliação de riscos gera um sistema que descreve uma empresa que não existe;
• Escopo mal definido. Redefinir escopo depois do estágio 1 joga cronograma e custo para frente, e muda os dias de auditoria já contratados;
• SoA sem lastro. Controle declarado aplicável e implementado, sem registro que o auditor possa amostrar;
• Chamar a auditoria sem histórico de operação. Alguns registros só existem com o passar do calendário: não há atalho;
• Pular a auditoria interna ou a análise crítica. São requisito, não boa prática, e a ausência para o processo no estágio 1;
• Tratar não conformidade com paliativo. Ação corretiva sem análise de causa volta na auditoria seguinte, agravada;
• Contratar certificador sem checar a acreditação. Descobrir isso depois significa certificar de novo, do zero.

Privacidade: cluster ISO 27701

• ISO 27701:2025 (hub privacidade)
• Como implementar a ISO 27701
• Certificação ISO 27701
• ISO 27701 e LGPD/GDPR
• Consultoria ISO 27701
• ISO 27001 e ISO 27701

Leia mais

• ISO 27001: o que é, requisitos e como certificar
• Requisitos da ISO 27001: as cláusulas 4 a 10 explicadas
• Como definir o escopo do SGSI
• Como implementar a ISO 27001: o passo a passo
• Auditoria ISO 27001: o que o auditor pede
• SGSI: o que é o Sistema de Gestão da Segurança da Informação
• Que infraestrutura a ISO 27001 exige de verdade
• Quais empresas precisam da ISO 27001
• Como manter o SGSI depois da certificação
• ISO 27701:2025: a norma de privacidade ficou independente da 27001
• Consultoria ISO 27001: como funciona