ISO 27001 para a média empresa: o ponto de partida realista

A pergunta sobre a ISO 27001 raramente parte do próprio auditor da média empresa. Ela vem do cliente: como questionário de fornecedores, como critério de licitação, como cláusula contratual. E ela surge com mais frequência desde que a nova lei do BSI entrou em vigor – pois a BSIG 2025 (em vigor desde 6 de dezembro de 2025) obriga entidades reguladas a repassar requisitos de segurança à sua cadeia de fornecimento. O que o legislador exige das grandes empresas acaba chegando como pedido de comprovação aos seus fornecedores – ou seja, a muitas empresas de médio porte que até agora nunca precisaram de um certificado.

A boa notícia: ninguém precisa saltar do zero direto para a certificação. O caminho sólido é uma escada – e o primeiro degrau é bem mais baixo do que muitos imaginam.

O que a ISO 27001 significa concretamente hoje

Desde 31 de outubro de 2025 expirou o período de transição da versão antiga: a ISO/IEC 27001:2022 é a única base de certificação válida. Atualmente vale a edição de 2022 incluindo o Amendment 1:2024 – um pequeno complemento que incorpora o aspecto “Climate Action” em dois trechos de texto, mas que não altera nada em termos de conteúdo do marco de segurança.

O núcleo da norma é um Sistema de Gestão de Segurança da Informação (ISMS): responsabilidades definidas, avaliação de riscos, gestão de medidas, melhoria contínua. O Anexo A da versão de 2022 abrange 93 controles em quatro blocos temáticos:

Organizacional: 37 controles – políticas, papéis, relações com fornecedores, gestão de incidentes.
Pessoas: 8 controles – do onboarding à conscientização.
Físico: 14 controles – acesso, instalações, dispositivos.
Tecnológico: 34 controles – de controle de acesso a backup e logging.

A estrutura está alinhada com a ISO 27002:2022, que serve como guia de implementação. Um certificado tem validade de três anos, com auditorias de acompanhamento anuais e posterior recertificação. Na Alemanha, os organismos de certificação são credenciados pela DAkkS – um critério que você deve observar na seleção.

A escada: quatro degraus em vez de um salto

Degrau 1: Determinar a posição – o CyberRisikoCheck

Para empresas menores existe, abaixo da ISO 27001, um ponto de partida oficial: o CyberRisikoCheck conforme a DIN SPEC 27076, codesenvolvido pelo BSI. Ele se destina a empresas com menos de 50 colaboradores e é deliberadamente enxuto: uma entrevista de uma a duas horas, 27 requisitos em seis áreas temáticas e, ao final, um relatório de resultados com pontuação e recomendações priorizadas – incluindo indicações sobre possíveis recursos de fomento. O BSI mantém uma lista de prestadores qualificados que estão autorizados a realizar o check. Para programas de fomento concretos, vale a pena consultar o banco de dados de fomento do governo federal; as condições variam conforme o estado e o programa.

Para empresas acima dessa ordem de grandeza, uma análise de lacunas estruturada contra o Anexo A cumpre o mesmo papel: ela mostra onde você está – antes de planejar aonde quer chegar. Que esse olhar sóbrio é necessário mostra o relatório de situação do BSI 2025 à margem: em média, as PMEs cumpriam cerca de 56 por cento dos requisitos básicos do CyberRisikoCheck – ao mesmo tempo em que a autoavaliação era predominantemente positiva (nossa análise do relatório de situação). A distância entre a autoimagem e o diagnóstico é justamente a razão para começar por uma medição.

Degrau 2: Fechar o básico

De quase toda primeira análise saltam as mesmas prioridades: autenticação multifator de forma abrangente, backups comprovadamente recuperáveis, gestão de patches consequente. Essas medidas reduzem o risco real de imediato – independentemente de algum auditor jamais aparecer. Quem as pula e escreve diretamente documentos para um ISMS constrói fachada em vez de fundamento.

Degrau 3: Um ISMS com escopo bem definido

Só agora começa o verdadeiro projeto de ISMS: definir o âmbito de aplicação, avaliar riscos, selecionar ou excluir de forma fundamentada as medidas do Anexo A, documentar processos e – decisivo – vivê-los. O escopo é aqui a maior alavanca: um âmbito de aplicação deliberadamente recortado, por exemplo em torno dos sistemas e locais que de fato dizem respeito aos seus clientes, mantém o projeto administrável. Quanto ao esforço, cabe honestidade: um ISMS não surge de passagem, ele consome atenção da gestão e capacidade interna ao longo de um período mais longo. Isso só pode ser quantificado com seriedade após a análise de lacunas – durações de projeto genéricas de prospectos de vendas não ajudam no planejamento.

Degrau 4: Certificar quando houver motivo

O certificado em si é o último degrau – e vale a pena quando um cliente, uma licitação ou um marco regulatório exige a comprovação formal. Um ISMS vivenciado sem certificado é valioso; um certificado sem ISMS vivenciado se revela, no mais tardar, na auditoria de acompanhamento. Quem percorreu com seriedade os degraus um a três transforma a auditoria de certificação em um fechamento planejável em vez de um esforço extremo.

O segundo caminho: IT-Grundschutz – e o que vem em 2026/2027

Além da certificação ISO nativa, existe na Alemanha o caminho do BSI: o “certificado ISO 27001 com base no IT-Grundschutz” comprova a conformidade ISO por meio da metodologia do BSI. Ele é difundido sobretudo onde autoridades ou contratantes próximos ao setor público o exigem explicitamente.

Aqui vale a pena olhar para frente: o BSI está modernizando sua metodologia sob o nome IT-Grundschutz++. A fase piloto ocorre de 1º de abril a 30 de setembro de 2026, a publicação está anunciada para 27 de outubro de 2026, na it-sa, e a nova abordagem deve ser certificável a partir de 1º de janeiro de 2027. O IT-Grundschutz atual permanece válido em paralelo. Para a prática, isso significa: quem começa hoje começa sobre uma base segura – e deve manter a transição em vista no planejamento plurianual.

Conclusão: começar pequeno, mas começar

A ISO 27001 não é para a média empresa um fim em si mesmo nem um bicho de sete cabeças – mas tampouco um projeto que se delega a um estagiário com um modelo de documento. O caminho realista passa por uma determinação honesta da posição, por fundamentos fechados e por um âmbito de aplicação deliberadamente recortado, até o certificado, quando o mercado o exigir. Cada degrau tem valor próprio: menos risco, melhores respostas aos questionários de clientes, comprovações de compliance sólidas – e a certeza de que a autoimagem da própria segurança resiste a uma verificação.

Como a sector7 apoia

Como empresa de gestão própria, acompanhamos empresas de médio porte em cada degrau dessa escada: da determinação da posição, passando pela implementação das medidas básicas, até a consultoria de compliance em ISO 27001, NIS-2, DORA e TISAX. O lado técnico – da expertise certificada em rede e segurança (Juniper, Cisco, HPE, F5, Fortinet, Palo Alto Networks), passando por nossa prática de backup com Veeam, até o monitoramento automatizado 24/7 por meio do nosso NOC – executamos nós mesmos. Se desejado, por uma mensalidade fixa previsível, para que o caminho até o ISMS permaneça orçável.

Este artigo é um enquadramento técnico e não substitui aconselhamento jurídico no caso concreto.