O que é preciso para a ISO 27001, quanto custa e quanto tempo leva.

A parte que assusta não é a que consome o cronograma. Escrever o SGSI e os procedimentos ocupa algo entre um quinto e um terço do esforço. O resto se concentra em duas coisas: decidir o escopo e reunir evidência que ninguém guardou.

Gaste duas semanas no escopo antes de escrever qualquer política, com diretoria, comercial e engenharia na mesma conversa. O escopo cabe em um parágrafo e decide o custo de tudo o que vem depois. Refazê-lo no meio da preparação custa meses.

Comece a coletar evidência no primeiro mês, não no último. Auditor de certificação quer histórico: três meses de registro consistente valem mais do que um SGSI impecável sem lastro por trás.

Por que a pergunta chegou até você

Quase ninguém decide buscar a ISO 27001 sozinho. A pergunta costuma chegar de fora, num requisito de contrato, numa avaliação de fornecedor ou numa renovação em que o comprador passou a exigir norma reconhecida.

O que não se afirma aqui, porque não há estudo independente que sustente: que certificação encurta ciclo de venda. O que se sustenta é a mecânica. O comprador exige, provar cada exigência na mão custa semanas, e um programa faz isso uma vez e reaproveita.

Definir o escopo é a decisão mais cara do projeto

O escopo determina quais sistemas, times, escritórios e fornecedores entram na declaração de aplicabilidade. É uma frase curta com consequência longa.

Escopo largo demais leva a organização a documentar e controlar áreas que o cliente nunca pediu para ver. Escopo estreito demais gera um certificado que o time comercial não consegue usar, porque não cobre o produto que está sendo vendido. O segundo erro é mais caro que o primeiro, e é o mais comum.

O teste que resolve: escreva o escopo em uma frase e mostre para quem vende. Se a pessoa não conseguir dizer para qual cliente aquilo serve, ele está errado.

A evidência não existe até que alguém a colete

Auditor não avalia intenção. Ele pede o registro: a ata da análise crítica, o log de revisão de acesso do último trimestre, o resultado do teste de restauração de backup, a lista de quem participou do treinamento.

A maior parte das empresas já faz essas coisas. Simplesmente não guarda a prova, ou guarda em quatro ferramentas diferentes, sem data confiável.

• Defina o dono e o intervalo de cada evidência: quem gera, com que frequência, onde fica. Uma planilha resolve o primeiro ciclo.
• Comece cedo. O que o auditor procura é regularidade, e regularidade só aparece no tempo.
• Prefira o registro que o sistema já produz ao relatório que alguém precisa lembrar de escrever. Evidência que depende de disciplina humana falha no mês em que a equipe está ocupada.

O SGSI é a parte previsível

Documentar a metodologia de risco, a política do SGSI, a declaração de aplicabilidade e os procedimentos é trabalho conhecido, com prazo estimável. É a parte que uma consultoria acelera com mais facilidade, e é justamente a que mais assusta no início.

Um cronograma realista para uma empresa de médio porte sem programa formal fica entre três e seis meses em regime parcial, com a preparação da auditoria interna acontecendo em paralelo à coleta de evidência, e não depois dela.

Custo e prazo, com as faixas que existem publicadas

Não existe número de mercado auditado para isto no Brasil. O que existe são faixas publicadas por fornecedores e por organismos, em 2026, e elas servem para dimensionar a conversa e não para orçar um projeto:

• Preparação completa no primeiro ano, incluindo consultoria, ferramentas e a auditoria: faixas publicadas por fornecedores em 2026 vão de cerca de US$ 15 mil a US$ 60 mil, com variação enorme conforme o escopo.
• A auditoria de certificação isolada, para organizações abaixo de cinquenta pessoas: cerca de US$ 5 mil a US$ 10 mil, também por publicação de fornecedor em 2026.
• Prazo: de seis a dez meses no caso típico, e de três a seis meses quando o escopo é pequeno e bem definido.
• O certificado vale três anos, com auditorias de manutenção anuais. O custo do primeiro ano não se repete, o da manutenção sim.

Sobre a palavra certificação

Consultoria prepara e conduz a organização até a auditoria. Quem certifica é o organismo certificador acreditado, que precisa ser independente de quem ajudou a preparar. Qualquer proposta que prometa a certificação em si está descrevendo algo que não pode entregar.

Vale conferir isso na proposta que você tiver na mesa. A palavra usada ali diz bastante sobre o que mais vai ser prometido depois.

Onde isso costuma travar

Raramente na redação. Trava quando o escopo é decidido por uma pessoa e descoberto pelas outras no terceiro mês, e trava quando a coleta de evidência começa depois de o SGSI estar pronto, que é a ordem inversa da que funciona.

O terceiro motivo é mais simples: ninguém tem a função. A preparação vira um projeto paralelo de quem já tem entrega para fazer, e projetos paralelos param na primeira semana difícil.

Perguntas que costumam vir junto

Se um cliente já pediu a ISO 27001, o caminho é a implantação de segurança da informação: o programa montado do zero e levado até a auditoria, com o escopo fechado antes de qualquer política ser escrita.