A norma ISO/IEC 27001 é o principal padrão internacional para a gestão da Segurança da Informação. Em 2022, a norma sofreu uma revisão e foi publicada como ISO/IEC 27001:2022, introduzindo mudanças que buscam alinhar ainda mais os Sistemas de Gestão de Segurança da Informação (SGSI) às novas ameaças e desafios do cenário digital.

As organizações certificadas na versão ISO/IEC 27001:2013 têm até o dia 31 de outubro de 2025 para concluir a transição para a versão atualizada da norma. Esse período de transição de três anos, começou em 31 de outubro de 2022 e foi definido de forma a permitir que as empresas realizem as adequações necessárias em seus processos e garantam a conformidade com os novos requisitos.

A ISO/IEC 27001:2022 modernizou a norma, tornando-a mais flexível e alinhada com as necessidades atuais da cibersegurança, computação em nuvem e monitoramento contínuo de ameaças.

Principais mudanças na ISO 27001:2022

A atualização da norma trouxe diversas alterações, sendo as mais significativas:

1. Revisão e consolidação dos controles – a nova versão reorganizou os controles do Anexo A, reduzindo o número de controles de 114 para 93, agora distribuídos em quatro temas principais: pessoas, organização, tecnologias e controles físicos.
2. Inclusão de novos controles – foram adicionados 11 novos controles, refletindo a necessidade de adaptação a riscos emergentes, como segurança em serviços na nuvem, inteligência de ameaças e monitoramento da Segurança da Informação.
3. Maior enfoque na gestão de riscos – a abordagem baseada em riscos foi reforçada, exigindo um monitoramento mais eficaz e contínuo das ameaças.
4. Integração com outras normas – a estrutura foi ajustada para facilitar a integração com outras normas de sistemas de gestão, como a ISO 9001 (Qualidade) e a ISO 22301 (Continuidade de Negócios).

Vejam abaixo tabela comparativa com as principais mudanças entre a ISO/IEC 27001:2013 e a ISO/IEC 27001:2022:

Passos para a migração

Para garantir uma transição eficiente para a ISO 27001:2022, as empresas devem seguir algumas etapas fundamentais:

1. Análise de lacunas (Gap Analysis) – comparar os requisitos da ISO 27001:2013 com a versão 2022 para identificar as áreas que necessitam de ajustes.
2. Treinamento e capacitação – atualizar os conhecimentos da equipe responsável pelo SGSI para compreender as mudanças na nova norma.
3. Revisão da documentação – atualizar políticas, procedimentos e controles para alinhar-se aos novos requisitos da ISO 27001:2022.
4. Auditorias internas e revisão pela direção – realizar auditorias internas e revisões pela direção para assegurar que o SGSI esteja em conformidade com os novos requisitos descritos na norma antes da auditoria de transição. 
5. Planejamento da certificação – coordenar com o organismo certificador para realizar a auditoria de transição antes do prazo final.

Consequências da não migração

Caso uma organização certificada na ISO 27001:2013 não conclua a migração até 31 de outubro de 2025, sua certificação perderá a validade, que pode impactar negativamente contratos, credibilidade e competitividade no mercado, especialmente para empresas que lidam com dados sensíveis e que precisam demonstrar conformidade com normas internacionais de Segurança da Informação.

Conclusões finais

A migração para a ISO 27001:2022 não deve ser encarada apenas como uma obrigação regulatória, mas como uma oportunidade de fortalecer a Segurança da Informação e aumentar a resiliência organizacional. As empresas que iniciarem a transição com antecedência terão mais tempo para implementar as mudanças de forma eficaz, garantindo um processo de certificação bem-sucedido e alinhado às melhores práticas globais de segurança cibernética.