Documentos obrigatórios da ISO 27001:2022: lista por cláusula

A ISO/IEC 27001:2022 exige informação documentada para: o escopo do SGSI (4.3), a política de segurança da informação (5.2), os processos de avaliação e tratamento de riscos e seus resultados (6.1.2, 6.1.3, 8.2, 8.3), a Declaração de Aplicabilidade (6.1.3 d), os objetivos de segurança (6.2), as evidências de competência (7.2), o planejamento operacional (8.1), os resultados de monitoramento e medição (9.1), o programa e os resultados de auditoria interna (9.2), os resultados da análise crítica pela direção (9.3) e as não conformidades e ações corretivas (10.2).

Informação documentada obrigatória por cláusula

Cláusula	Documento ou registro	Tipo
4.3	Escopo do SGSI	Documento
5.2	Política de segurança da informação	Documento
6.1.2	Processo de avaliação de riscos (metodologia)	Documento
6.1.3	Processo de tratamento de riscos e plano de tratamento	Documento
6.1.3 d)	Declaração de Aplicabilidade (DA)	Documento
6.2	Objetivos de segurança da informação	Documento
7.2	Evidências da competência das pessoas	Registro
8.1	Informações que mostram que os processos foram executados como planejado	Registro
8.2	Resultados das avaliações de riscos	Registro
8.3	Resultados do tratamento de riscos	Registro
9.1	Resultados de monitoramento e medição	Registro
9.2.2	Programa de auditoria e resultados das auditorias	Registro
9.3.3	Resultados das análises críticas pela direção	Registro
10.2	Não conformidades, ações tomadas e resultados das ações corretivas	Registro

Documentos que a própria organização define

A cláusula 7.5.1 b) acrescenta toda a informação documentada que a organização considera necessária para a eficácia do SGSI. Na prática, isso inclui procedimentos (controle de documentos, auditoria interna, ação corretiva, gestão de mudanças) e os registros operacionais que mostram que os controles funcionam.

Documentos esperados para os controles do Anexo A

Vários controles do Anexo A são demonstrados com mais facilidade por meio de documentos. Eles não são obrigatórios por si só, mas, se o controle for aplicável, o auditor vai esperar evidências como:

Políticas específicas por tema: controle de acesso, uso aceitável, classificação, fornecedores, nuvem, trabalho remoto, backup, criptografia (5.1, 5.10, 5.12, 5.15, 5.19, 5.23, 6.7, 8.13, 8.24).
Inventário de informações e outros ativos associados (5.9).
Procedimentos operacionais documentados (5.37).
Gestão de incidentes de segurança da informação (5.24 a 5.28).
Requisitos legais, estatutários, regulamentares e contratuais identificados (5.31).
Segurança da informação durante disrupções e prontidão de TIC (5.29, 5.30).

SGSI e LGPD no Brasil

No Brasil, a norma é publicada pela ABNT como ABNT NBR ISO/IEC 27001. Um SGSI bem documentado ajuda a demonstrar as medidas de segurança que a LGPD exige para dados pessoais, mas não substitui a análise jurídica das obrigações da lei. A certificação é concedida por um organismo de certificação acreditado.

Como organizar a documentação

Uma estrutura simples facilita a auditoria: um índice mestre com código, versão, responsável e data de revisão de cada documento; pastas por cláusula (contexto, liderança, planejamento, apoio, operação, avaliação de desempenho, melhoria) e uma pasta com as políticas do Anexo A. O importante é que cada documento esteja aprovado, com controle de versão e disponível para quem precisa dele (cláusula 7.5.3).

O kit NexoDocs em português

O kit NexoDocs em português reúne os documentos obrigatórios, políticas para os controles do Anexo A, registros em Excel com fórmulas, um índice mestre e exemplos preenchidos para uma empresa fictícia, organizados por etapa. Cada documento deve ser adaptado à sua organização. Você pode testar grátis a matriz de riscos reduzida (em inglês).

Baixar a amostra grátis (em inglês) Ver o kit completo

Perguntas frequentes

Quantos documentos obrigatórios tem a ISO 27001:2022?

Depende de como são agrupados: cerca de 14 itens de informação documentada exigidos pelas cláusulas 4 a 10, mais o que a organização considera necessário e o que pedem os controles aplicáveis do Anexo A.

Os procedimentos são obrigatórios?

A norma não exige procedimentos com nomes específicos, mas exige informação documentada suficiente. A maioria das organizações documenta pelo menos controle de documentos, auditoria interna e ação corretiva.

O que mudou em relação à versão 2013?

Foi incluído o planejamento de mudanças (6.3) e o Anexo A passou de 114 para 93 controles em 4 temas; por isso a Declaração de Aplicabilidade e as políticas precisam ser atualizadas.

Ter todos os documentos garante a certificação?

Não. O auditor verifica se os documentos são aplicados e se há evidências; a certificação é concedida por um organismo de certificação após a auditoria.

Guias relacionados

Atualizado: 2026-10-20