A primeira coisa que você precisa saber sobre ISO 27001 e ISO 27701: elas não são concorrentes. Essa confusão é tão comum que eu vejo empresas gastando dinheiro na errada porque acham que precisam escolher uma ou outra. A verdade é que a 27701 é uma extensão da 27001, não uma alternativa.
Este artigo explica a relação entre as duas, quando cada uma faz sentido e como decidir o caminho certo para sua software house. No final, você vai saber exatamente qual norma destrava o contrato que você quer.
O que cada uma é (e o que não é)
ISO 27001 em uma frase
A ISO 27001 é a norma internacional que define como estruturar um Sistema de Gestão de Segurança da Informação (SGSI). Ela se baseia em análise de riscos, políticas, controles e melhoria contínua. O resultado é um certificado que comprova para o mercado que sua empresa protege dados com práticas reconhecidas internacionalmente.
A 27001 cobre qualquer tipo de informação: dados financeiros, propriedade intelectual, código-fonte, segredos comerciais, dados pessoais. Ela não faz distinção. Se é informação e precisa ser protegida, entra no escopo.
ISO 27701 em uma frase
A ISO 27701 é uma extensão de privacidade da ISO 27001. Ela adiciona requisitos específicos para gestão de dados pessoais (PII, na sigla em inglês). A 27701 não substitui a 27001, ela complementa.
Se a 27001 é sobre proteger informação em geral, a 27701 é sobre proteger especificamente dados pessoais de acordo com leis como LGPD, GDPR e outras regulamentações de privacidade.
O ponto central: ISO 27001 protege informação. ISO 27701 protege dados pessoais. Uma não substitui a outra. A 27701 só existe se a 27001 já estiver implementada.
A relação entre as duas normas
Aqui está o que muita gente não entende: você não pode ter ISO 27701 sem ISO 27001. A 27701 foi desenhada como um anexo da 27001. Ela pressupõe que você já tem um SGSI funcionando e adiciona camadas específicas de privacidade.
Pense assim:
- ISO 27001: você tem um sistema de gestão de segurança da informação.
- ISO 27701: dentro desse sistema, você adiciona controles específicos para dados pessoais.
A auditoria da 27701 é feita junto com a 27001. Você não certifica só a 27701. Você certifica as duas juntas, ou mantém a 27001 e adiciona a 27701 como extensão.
Por que a 27701 existe
Antes da LGPD e do GDPR, privacidade era tratada como parte da segurança. As empresas protegiam dados pessoais porque faziam parte da informação geral. Mas as leis de privacidade mudaram isso. Elas exigem controles específicos para dados pessoais:
- Consentimento do titular
- Direito de acesso, retificação e exclusão
- Notificação de violação de dados
- Avaliação de impacto à privacidade
- Gestão de fornecedores que processam dados pessoais
- Designação de Encarregado (DPO)
A ISO 27701 foi criada para cobrir esses requisitos de forma estruturada. Se sua empresa processa dados pessoais em escala, a 27701 te dá um framework reconhecido internacionalmente para demonstrar conformidade com leis de privacidade.
As diferenças essenciais em uma tabela
| Critério | ISO 27001 | ISO 27701 |
|---|---|---|
| O que é | Norma de gestão de segurança da informação | Extensão de privacidade da ISO 27001 |
| Foco | Proteção de qualquer informação | Proteção de dados pessoais (PII) |
| Pré-requisito | Nenhum | ISO 27001 implementada |
| Resultado | Certificado ISO 27001 | Extensão do certificado ISO 27001 |
| Base legal | Nenhuma (é voluntária) | Apoia conformidade com LGPD, GDPR, etc. |
| Quem precisa | Qualquer empresa que protege informação | Empresas que processam dados pessoais |
| Auditoria | Independente | Conjunto com a 27001 |
Quando escolher só a ISO 27001
A ISO 27001 sozinha é suficiente quando:
- Sua empresa protege informação sensível, mas não processa dados pessoais em escala.
- Seus clientes pedem certificação de segurança, mas não mencionam privacidade.
- Você participa de licitações que exigem ISO 27001, mas não LGPD.
- Seu produto é B2B e os dados que você processa são corporativos, não pessoais.
- Você quer uma base sólida de segurança antes de pensar em privacidade.
Exemplos típicos:
- Software houses que desenvolvem sistemas internos para clientes (ERP, CRM, etc.)
- Empresas de infraestrutura que não acessam dados pessoais dos usuários finais
- Consultorias que protegem propriedade intelectual e segredos comerciais
Quando adicionar a ISO 27701
A ISO 27701 faz sentido quando:
- Sua empresa processa dados pessoais em escala (clientes, usuários, funcionários).
- Seus clientes pedem conformidade com LGPD ou GDPR.
- Você é SaaS e seus dados incluem informações de pessoas físicas.
- Seu produto é B2C ou B2B2C e você tem contato direto com dados pessoais.
- Você quer demonstrar conformidade com leis de privacidade de forma estruturada.
Exemplos típicos:
- Software houses que desenvolvem apps para consumidores finais
- SaaS que processa dados de clientes (CRM, RH, financeiro)
- Empresas de saúde que lidam com dados de pacientes
- Fintechs que processam dados financeiros de pessoas físicas
Na prática: se sua software house desenvolve um SaaS que tem usuários finais (pessoas físicas), você provavelmente precisa das duas. Se você desenvolve sistemas internos para empresas (B2B puro), a 27001 sozinha pode ser suficiente.
O caminho recomendado
Se você ainda não tem nenhuma das duas, a ordem é clara:
- ISO 27001 primeiro: cria a base de gestão, a cultura de segurança e a documentação.
- ISO 27701 depois: adiciona as camadas de privacidade sobre a base existente.
Por que essa ordem?
- A 27701 pressupõe que você já tem um SGSI funcionando. Sem a 27001, você não tem base.
- Os controles de segurança da 27001 (acesso, criptografia, backup) também protegem dados pessoais. Você não precisa duplicar esforço.
- A auditoria da 27701 é feita junto com a 27001. Se você tentar fazer as duas ao mesmo tempo, o projeto fica mais complexo e caro.
E se você já tem a 27001?
Se sua empresa já é certificada na ISO 27001 e agora precisa da 27701, o caminho é mais curto. Você não precisa recomeçar do zero. Você adiciona os controles de privacidade sobre o que já existe:
- Revisão da política de privacidade
- Mapeamento de dados pessoais
- Avaliação de impacto à privacidade
- Controles específicos para consentimento, direitos do titular e notificação de violação
- Gestão de fornecedores que processam dados pessoais
O prazo típico para adicionar a 27701 sobre uma 27001 já implementada é de 3 a 6 meses, dependendo da complexidade.
Custo e prazo: o que esperar
ISO 27001 sozinha
- Prazo: 6 a 12 meses, dependendo do tamanho e da maturidade da empresa.
- Investimento total: para uma software house de 20 pessoas, entre R$ 80 mil e R$ 150 mil, somando consultoria, auditoria e custos internos.
ISO 27001 + 27701
- Prazo: 9 a 15 meses se você começar do zero.
- Investimento total: o custo adicional da 27701 sobre a 27001 é de 30% a 50%. Ou seja, se a 27001 custa R$ 100 mil, a 27701 adiciona mais R$ 30 mil a R$ 50 mil.
O erro mais caro aqui é tentar fazer as duas ao mesmo tempo sem ter a base da 27001. Você acaba retrabalhando, porque a 27701 exige que a 27001 esteja funcionando. Melhor fazer uma de cada vez, com qualidade.
Como decidir sem errar
A decisão correta vem de três perguntas objetivas:
- Sua empresa processa dados pessoais em escala? Se sim, você precisa da 27701. Se não, a 27001 sozinha pode ser suficiente.
- Seus clientes pedem conformidade com LGPD ou GDPR? Se sim, a 27701 te dá um framework reconhecido para demonstrar conformidade.
- Você já tem ISO 27001? Se sim, adicionar a 27701 é mais rápido e barato. Se não, comece pela 27001.
Se você ainda não tem clareza sobre onde está o gargalo, não decida no escuro. Um diagnóstico bem feito te mostra o estado atual da sua segurança e privacidade, e qual norma faz mais sentido para o seu caso.
Próximos passos
ISO 27001 e ISO 27701 não são rivais. São complementares. A 27001 protege informação. A 27701 protege dados pessoais. O erro não é escolher uma delas, é escolher a ordem errada ou tentar fazer as duas ao mesmo tempo sem ter a base.
O primeiro passo é um diagnóstico gratuito. Em 24 horas, você recebe um relatório com:
- O estado atual da sua segurança e privacidade
- Qual norma faz mais sentido para o seu caso
- Os gaps críticos que precisam ser corrigidos antes de qualquer auditoria
- Uma estimativa de tempo e investimento para cada caminho
Sem compromisso. Sem venda agressiva. Só clareza sobre qual caminho protege sua empresa e destrava receita.