Quanto tempo leva a ISO 27001? Plano de projeto em 8 fases para PMEs
Em uma empresa de 20 a 100 pessoas, implementar um SGSI conforme a ISO/IEC 27001:2022 e chegar à auditoria de certificação costuma levar de 4 a 9 meses. O plano de referência do kit NexoDocs chega ao Estágio 2 da auditoria de certificação na semana 30 (cerca de 7 meses): 2 semanas de preparação, 2 de contexto e escopo, 6 de riscos, cerca de 8 de implementação dos controles e cerca de 12 de operação com evidências (em parte em paralelo à implementação), depois a auditoria interna e a análise crítica pela direção antes do Estágio 1. O que mais alonga o projeto não é escrever documentos, e sim a disponibilidade das pessoas e o tempo que os controles precisam operar antes de serem auditados.
As 8 fases e quanto dura cada uma
Estas são as fases do plano de projeto com gráfico de Gantt do kit ISO 27001 NexoDocs em português (ISMS-PRJ-01 Plano de Projeto SGSI, aba «Plano»). As semanas são uma referência para 20 a 100 pessoas e se recalculam assim que você informa a data de início do projeto:
| Fase | O que acontece | Semanas do plano |
|---|---|---|
| 1 · Preparação | Autoavaliação de lacunas, business case e patrocínio da direção, nomeação do Gestor do SGSI e do Comitê de Segurança | 1-2 |
| 2 · Contexto e escopo | Contexto (incluindo mudanças climáticas, emenda de 2024), partes interessadas, escopo e mapa de processos | 3-4 |
| 3 · Política e objetivos | Aprovar a política de segurança da informação e os objetivos | 5 |
| 4 · Riscos | Inventário de ativos, metodologia, workshops de avaliação de riscos, plano de tratamento e Declaração de Aplicabilidade | 5-10 |
| 5 · Implementação | Políticas do Anexo A, controles técnicos prioritários, fornecedores e nuvem, conscientização, controle de documentos | 10-17 |
| 6 · Operação e medição | Operar os controles, registrar evidências e incidentes, medir indicadores, Comitê bimestral | 14-25 |
| 7 · Auditoria interna | Auditoria interna completa, ações corretivas e análise crítica pela direção | 24-27 |
| 8 · Certificação | Selecionar e contratar um organismo de certificação acreditado (a partir da semana 20), auditorias de Estágio 1 e Estágio 2 | 20-30 |
As fases 5 e 6 se sobrepõem de propósito: cada controle começa a gerar evidências assim que entra em operação, sem esperar pelos demais. Por isso o plano não é uma simples soma de fases em sequência.
Por que não dá para fazer em poucas semanas
Os documentos podem ficar prontos em poucas semanas, principalmente partindo de modelos. O que não se acelera tanto é o que o auditor quer ver funcionando:
- Registros de operação: evidências de que os controles são aplicados (revisões de acesso, backups testados, incidentes registrados), não apenas políticas aprovadas.
- Monitoramento e medição (seção 9.1): indicadores medidos por pelo menos alguns ciclos.
- Uma auditoria interna completa (9.2) e uma análise crítica pela direção (9.3), com ações corretivas em andamento, antes da auditoria de certificação.
- Conscientização (7.3) que alcance todas as pessoas do escopo, não só a equipe de TI.
- A agenda do organismo de certificação, que convém reservar com semanas de antecedência.
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)O que alonga ou encurta o projeto
| Fator | Efeito no prazo |
|---|---|
| Escopo amplo (várias unidades, muitos sistemas ou serviços) | Alonga o trabalho de riscos, a implementação e as auditorias |
| Tempo disponível do Gestor do SGSI | Com menos de um dia por semana, o plano se estende por vários meses |
| Patrocínio real da alta direção | Sem ele, aprovações, orçamento e mudanças de processo travam |
| Controles técnicos ausentes (MFA, backups testados, registro de logs) | Costuma ser o trecho mais longo da implementação |
| Outro sistema de gestão ISO já implantado (por exemplo ISO 9001) | Encurta as seções 4 a 10 (documentos, auditoria interna, análise crítica) |
| Começar com modelos e um exemplo preenchido | Encurta a redação; não substitui a operação nem as evidências |
Certificação no Brasil: o que pesa no prazo
Para um certificado reconhecido, escolha um organismo de certificação acreditado para a ISO/IEC 27001 pela Cgcre do Inmetro (ou por outro organismo de acreditação signatário dos acordos internacionais); reserve tempo para comparar propostas e combinar datas, no kit a partir da semana 20. Se a empresa trata dados pessoais, aproveite o mesmo projeto para alinhar as medidas de segurança que a LGPD pede (art. 46): o SGSI ajuda, mas os prazos da lei não dependem do seu plano de projeto.
Como estimar o seu próprio prazo
- Faça uma análise de lacunas: o percentual por seção e por tema do Anexo A mostra quanto trabalho existe de fato.
- Combine o escopo com a alta direção: é a decisão que mais muda o prazo.
- Informe a data de início no plano e ajuste a duração das tarefas onde a análise de lacunas ficou vermelha.
- Reserve desde o primeiro dia o período de operação com evidências e a auditoria interna: são os trechos mais subestimados.
- Revise o andamento a cada duas semanas e mude datas com base em dados, não em otimismo.
Modelo: o plano de projeto do kit ISO 27001
O kit ISO 27001 NexoDocs em português inclui o Plano de Projeto SGSI ISMS-PRJ-01: uma planilha Excel sem macros com as 23 tarefas das 8 fases já carregadas, responsável sugerido (da aba «CONFIGURAÇÃO»), semana de início e duração, gráfico de Gantt que se recalcula a partir da data de início, status automático de cada tarefa (Pendente, Em andamento, Atrasado, Concluído) e progresso geral ponderado pela duração. A primeira tarefa é a autoavaliação de lacunas ISMS-GAP-01 do mesmo kit, e cada tarefa indica o documento do kit que utiliza.
Próximo passo
Teste grátis ou vá direto à solução completa.
Kit de documentação SGSI ISO 27001
84 arquivos para documentar seu SGSI segundo a ISO/IEC 27001:2022.
Ver o kit de documentação ISO 27001 (pagamento único)
Amostra grátis
Baixe gratuitamente uma versão reduzida da matriz de riscos do kit (Excel, 10 cenários, mapa de calor; amostra em inglês). Veja como o nível e a categoria são calculados antes de decidir.
Baixar a amostra grátis (em inglês)Perguntas frequentes
Dá para certificar a ISO 27001 em 3 meses?
É incomum. Com um escopo muito restrito, controles técnicos já funcionando e alto envolvimento interno, é possível chegar perto, mas a auditoria de certificação exige evidências de operação e uma auditoria interna e uma análise crítica pela direção já concluídas.
Quanto tempo entre o Estágio 1 e o Estágio 2?
Quem decide é o organismo de certificação. Na prática, algumas semanas, para corrigir o que o Estágio 1 encontrar; o plano de referência prevê duas.
Quantas horas internas o projeto exige?
Depende do escopo. Como referência, o Gestor do SGSI dedica uma parte importante da semana durante o projeto, e os donos de processo e a TI participam dos workshops e da implementação dos controles.
A edição 2022 muda o prazo?
Não de forma fundamental. A edição 2022 reorganizou o Anexo A em 93 controles e acrescentou alguns novos, que costumam exigir trabalho técnico extra de quem vem da edição 2013.
Um kit de modelos faz o projeto terminar no prazo?
Não. Um kit encurta a redação e organiza o trabalho, mas o prazo depende do escopo, do tempo interno e de quanto tempo os controles levam para gerar evidências.
Guias relacionados
Análise de lacunas ISO 27001: a que distância o seu SGSI está da norma?
Análise de lacunas (gap analysis) ISO/IEC 27001:2022: 29 perguntas das cláusulas 4 a 10, os 93 controles do Anexo A, pontuação com semáforo e próximos passos.
Ler o guia →Quanto custa a ISO 27001? Kit, consultoria ou software
Quanto custa a ISO 27001 em uma pequena empresa: auditoria, consultoria, software de conformidade ou kit de modelos comparados, e quando cada opção faz sentido.
Ler o guia →Checklist de auditoria interna ISO 27001: estrutura, classificação e modelo
Checklist de auditoria interna ISO/IEC 27001:2022: cláusulas 4 a 10 e 93 controles do Anexo A, como classificar constatações e quais evidências pedir.
Ler o guia →Atualizado: 2026-10-29