O sistema de gestão que a ISO 27001 certifica é o mesmo que a Lei 21.663 exige de um Operador de Importância Vital. Constrói-se uma vez.
As três exigências que um único sistema resolve, os prazos que um incidente abre, as cinco fases do trabalho e como pedir a sua proposta a partir desta mesma página.
1080p · 3:57 · com narração e legendas Baixar o vídeo
Até 2024, implementar ISO 27001 no Chile era uma decisão comercial: abria licitações e tranquilizava clientes corporativos. A Lei 21.663 mudou isso para uma parte do mercado. Seu artigo 8, letra a) obriga os Operadores de Importância Vital a implementar «um sistema de gestão de segurança da informação contínuo». Não é uma recomendação nem uma boa prática: é um dever cuja infração a própria lei qualifica como grave.
A ANCI encerrou seu primeiro processo de qualificação em duas etapas: 915 entidades em dezembro de 2025 e mais 239 em julho de 2026, entre elas empresas de energia, combustíveis, água, transporte, bancos, saúde e telecomunicações. A qualificação não se solicita nem se recusa: chega por resolução publicada no Diário Oficial, e desde esse dia correm os prazos.
E aqui está a parte que quase ninguém diz em voz alta: a lei não exige ISO 27001. Não nomeia essa norma nem nenhuma outra — verificamos isso sobre o texto oficial, seus regulamentos e as quatro instruções gerais da ANCI. O que ela pede é o sistema, não o certificado. A ISO 27001 é a forma mais reconhecida de construí-lo e evidenciá-lo, e por isso trabalhamos sobre ela; mas certificar-se não a substitui, e quem prometer o contrário está vendendo tranquilidade, não conformidade.
A norma
ISO/IEC 27001:2022 — cláusulas 4 a 10 e 93 controles do Anexo A
ISO/IEC 27002:2022 — guia de implementação desses controles
ISO/IEC 27005 — metodologia de gestão do risco
Os deveres legais que se apoiam nele
Lei 21.663, art. 8 a) — o SGSI contínuo
Lei 21.663, art. 8 c) — planos de continuidade e cibersegurança
Lei 21.663, art. 8 i) — encarregado de cibersegurança
Lei 21.663, art. 9 — reporte de incidentes à ANCI
A camada de dados pessoais
Anexo A, controle 5.34 — privacidade e proteção da PII
Lei 21.719, art. 14 quinquies — medidas de segurança
Para o sistema de privacidade completo, veja ISO 27701
Um incidente com efeito significativo dispara quatro obrigações com relógio. Se o protocolo, os papéis e os canais não estiverem definidos e ensaiados antes, o descumprimento é quase inevitável.
Todos os sujeitos obrigados
art. 9 a)Todos os sujeitos obrigados
Cai para 24 horas se um Operador de Importância Vital tiver afetada a prestação de seu serviço essencial.
art. 9 b)Somente Operadores de Importância Vital
É o prazo que mais se publica errado: não são 15 dias, e não se aplica a todos.
art. 9, inc. penúltimoTodos os sujeitos obrigados
Contam-se desde o alerta antecipado, não desde o incidente.
art. 9 c)A Lei 21.719 não vive numa pasta separada. O seu dever de segurança — o artigo 14 quinquies — pede exatamente o que o Anexo A já constrói, então é coberto de dentro do mesmo SGSI. O que ele não cobre, dizemos abaixo.
A pseudonimização e a criptografia de dados pessoais, que a letra a) do artigo nomeia de forma expressa
Os dois únicos controles que a lei chilena menciona com nome próprio, então excluí-los na Declaração de Aplicabilidade exige uma justificativa muito boa.
Confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas e serviços de tratamento
Classificar primeiro para poder proteger de forma proporcional: sem classificação, tudo se protege igual e nada se protege bem.
Capacidade de restaurar a disponibilidade e o acesso com rapidez após um incidente físico ou técnico
Os mesmos planos que já se testam para o artigo 9 da Lei 21.663. Ensaiam-se uma vez e servem para as duas leis.
Verificação, avaliação e valoração regulares da eficácia das medidas técnicas e organizacionais
É o ciclo que produz a evidência datada, e sem data a evidência não prova nada.
Comprovar, diante de um incidente e em juízo, que as medidas existiam e funcionavam — o ônus da prova é do controlador
Sem registros com data, a defesa se reduz a uma declaração de intenções.
Tratar os dados apenas enquanto durar a finalidade, e eliminá-los ou anonimizá-los depois (art. 14 letra d)
O 8.33 é o que mais passa despercebido: é onde quase sempre aparecem dados reais de clientes em ambientes de teste que ninguém audita.
Estender o dever de sigilo a quem trate dados por conta do controlador (art. 14 bis)
Exigi-lo no contrato, verificá-lo durante a relação e poder encerrá-la se deixar de ser cumprido.
O controle 5.34 do Anexo A obriga a identificar e cumprir os requisitos de privacidade e de proteção de dados pessoais aplicáveis. É a porta pela qual a Lei 21.719 entra no SGSI, e por isso o sistema não pode ignorá-la.
Mas um controle de segurança não publica uma política de tratamento, não atende direitos em 30 dias corridos nem faz um relatório de impacto antes de iniciar um tratamento. Esses três deveres — artigos 14 ter, 11 e 15 ter — são de gestão de privacidade, não de segurança, e não saem do Anexo A por mais que se insista.
Se a organização trata dados pessoais como parte do negócio — e não apenas os da própria folha — o cumprimento completo da Lei 21.719 se constrói no programa de privacidade, que se monta sobre este mesmo sistema de gestão e reaproveita o seu contexto, os seus papéis, a sua gestão documental e a sua auditoria interna. Um só, não dois.
Ver o programa de privacidade e Lei 21.719Percorrem as cláusulas 4 a 10 da norma e, com elas, os deveres do artigo 8. Duração estimada de 4 a 8 meses conforme o porte e a complexidade da organização.
Análise do contexto e das partes interessadas, escopo formal do SGSI e política de segurança aprovada pela direção. Papéis, comitê e —se a organização for OIV— designação do encarregado de cibersegurança com o perfil que exige a Instrução Geral N° 3 da ANCI, que proíbe expressamente que o exerça quem dirige a área de TI.
Metodologia de risco conforme a ISO 27005, inventário e valoração de ativos, avaliação de riscos e plano de tratamento. A Declaração de Aplicabilidade justifica cada controle do Anexo A que é excluído, e sem ela não há certificação possível.
Políticas e procedimentos pelos quatro domínios —organizacionais, de pessoas, físicos e tecnológicos—, gestão de fornecedores, acessos e ativos, desenvolvimento seguro e o controle 5.34 de privacidade e proteção da PII, que é a camada de dados pessoais dentro do sistema.
Planos de continuidade operacional e de cibersegurança, protocolo de reporte com os quatro prazos do artigo 9 e as medidas de contenção da Instrução Geral N° 4. Simulados cronometrados: o prazo de 3 horas não se cumpre lendo um procedimento pela primeira vez.
Indicadores do SGSI, auditoria interna, análise crítica pela direção com ata e deliberações, gestão de não conformidades e acompanhamento nas etapas 1 e 2 da auditoria de certificação, realizada por um organismo certificador acreditado e independente.
A análise de lacunas pode ser contratada sozinha. Abaixo, a opção de implantar as três normativas como um único sistema de gestão, que sai mais barato do que levá-las separadas.
Segurança da Informação
ISO 27001 + Lei 21.663 + Lei 21.719
Um único projeto, não 3 por separado
Como o valor é determinado
As propostas são expressas em UF, mais IVA. O valor de cada projeto vem de quatro fatores:
Monte seu escopo no orçamentador e receba a proposta com os valores em UF em até 24 horas úteis. Sem reunião prévia e sem deixar seus dados até o final.
Uma conversa de 30 minutos, sem custo. Se a sua organização foi qualificada como Operador de Importância Vital, o primeiro passo é verificar quais prazos já estão correndo — alguns contam desde a publicação da lista no Diário Oficial, não desde o dia em que se fica sabendo.
Seu carrinho está vazio
Adicione pacotes ou planos de documentação normativa