Menu
Não existe preço de tabela, mas existe uma estrutura de custo previsível. São duas contratações separadas, com empresas diferentes, pagas em momentos diferentes. Somar as duas é o erro mais comum de quem orça pela primeira vez.
Quem está orçando precisa entender que são duas contratações separadas, com empresas diferentes, pagas em momentos diferentes:
Somar as duas em um único número é o erro mais comum de quem orça pela primeira vez, e é o que gera surpresa no meio do projeto.
Uma terceira conta costuma aparecer depois e quase nunca entra no orçamento inicial: a manutenção anual. O certificado vale três anos, condicionado a auditorias de manutenção anuais e a uma recertificação ao fim do ciclo.
Antes das faixas, um alerta que economiza tempo: valores muito distantes entre si no mercado brasileiro geralmente não são a mesma entrega. Comparar preço sem comparar escopo é a origem da maior parte das frustrações em projeto de ISO 27001.
| Conta | Faixa | Quem cobra |
|---|---|---|
| Projeto completo de implementação | R$ 60 mil a R$ 100 mil em 8 a 12 meses |
Consultoria |
| Auditoria de certificação | R$ 8 mil a R$ 25 mil empresa de médio porte |
Organismo certificador acreditado |
| Manutenção anual | R$ 10 mil a R$ 30 mil por ano | Organismo certificador acreditado |
Um projeto conduzido do diagnóstico até a preparação para a auditoria de certificação, com mapeamento de ativos, análise e tratamento de riscos, Declaração de Aplicabilidade, implementação de controles na operação, documentação, treinamento, auditoria interna e análise crítica pela direção, fica na faixa de R$ 60 mil a R$ 100 mil, em prazos de 8 a 12 meses.
O que move o valor dentro dessa faixa é principalmente a duração e o escopo: quantas áreas entram, quantas unidades, qual a maturidade inicial e quanto do trabalho a equipe interna consegue executar.
Você vai encontrar ofertas a partir de R$ 20 mil. Elas existem e às vezes fazem sentido, desde que você saiba o que está comprando. Normalmente correspondem a um destes três casos:
O que separa os dois mundos é a evidência. A auditoria de Estágio 2 não avalia se os documentos existem: avalia se os controles declarados aplicáveis estão implementados e funcionando. Empresa que comprou pasta de políticas descobre isso na auditoria, quando o custo de corrigir é maior do que teria sido fazer certo.
Como referência de mercado, há prestadores publicando ticket médio de adequação entre R$ 22 mil e R$ 30 mil, e diagnóstico de lacunas cobrado à parte entre R$ 5 mil e R$ 20 mil. Vale conferir, em cada proposta, se o valor cobre implementação na operação ou apenas produção documental.
Esta é a parte que mais gera confusão, inclusive em conteúdo publicado por prestadores.
O tempo de auditoria de um sistema de gestão de segurança da informação não é definido pelo IAF MD 5: esse documento trata da duração de auditorias de sistemas de gestão da qualidade e ambiental. Para SGSI, quem estabelece os requisitos aplicáveis aos organismos certificadores, incluindo a determinação da duração da auditoria, é a ISO/IEC 27006-1, que complementa a ISO/IEC 17021-1.
O cálculo parte do número efetivo de pessoas no escopo, que não é o número de funcionários da empresa, e sim quem efetivamente atua nas atividades cobertas pela certificação. Depois é ajustado por fatores de complexidade: número de unidades, criticidade dos sistemas, desenvolvimento próprio de software, uso de nuvem, requisitos regulatórios do setor.
A consequência prática é útil na hora de negociar. Como a metodologia é normatizada, o número de dias de auditoria cotado por dois organismos acreditados para a mesma empresa deve ser semelhante. O que legitimamente varia é o valor cobrado por dia.
Se você recebe duas propostas com diferença grande em quantidade de dias, isso não é desconto: ou houve entendimento diferente do escopo, ou alguém está subdimensionando para ganhar a conta, e auditoria subdimensionada tende a virar não conformidade depois.
O que fazer com isso: peça cotação de pelo menos dois organismos, compare separadamente a quantidade de dias e o valor por dia, e pergunte qual escopo foi considerado no cálculo.
Cinco perguntas que separam proposta séria de proposta genérica.
Proposta que não deixa isso claro costuma cobrar o diagnóstico depois, como escopo adicional.
Se disser que sim, desconfie: consultoria não pode certificar. A ISO/IEC 17021-1 exige imparcialidade do organismo certificador, que não pode certificar sistema de gestão que ele mesmo ajudou a implementar. A própria norma indica período mínimo de dois anos entre a consultoria e a certificação.
Proposta que não responde isso vai atrasar. Horas internas são o custo invisível maior de qualquer projeto de ISO.
Faz diferença: quem já auditou sabe o que reprova na auditoria de Estágio 2.
A resposta revela se o prestador assume o resultado ou se apenas entrega documento.
Depende inteiramente de por que a certificação entrou na conversa.
Se um cliente exigiu ou um contrato travou, a conta é direta: compare o investimento com o valor do contrato em risco. Na maior parte dos casos que atendemos, a exigência chega junto com um contrato cujo valor anual supera com folga o custo do projeto inteiro. E ela raramente vem sozinha: quem exige certificação costuma ser o tipo de cliente que abre outros do mesmo porte.
Se ninguém exigiu ainda, a pergunta muda. Certificar sem demanda de mercado é investimento em posicionamento, e aí o retorno é mais lento e menos previsível. Nesse cenário, faz mais sentido estruturar a segurança da informação primeiro e certificar quando a exigência aparecer: o trabalho não se perde, ele antecipa.
Se a exigência já chegou e o prazo é curto, existe caminho intermediário: responder o questionário do cliente com o que está implementado e apresentar plano de adequação com cronograma. Comprador maduro aceita. O que trava contrato não é a lacuna, é a resposta inconsistente.
Veja também as situações em que a exigência costuma chegar: edital ou licitação e cláusula de cliente.
Em uma conversa dá para estimar dias de auditoria e faixa de projeto a partir do que a sua empresa já tem. Sem compromisso.
Preço e prazo são as duas perguntas que vêm juntas. A página de prazo abre as sete etapas, e o vídeo abaixo resume a tese.
Por que a certificação leva de 8 a 12 meses e qual parte do prazo não se comprime.
Alguém na tua empresa disse, numa reunião, que até o fim do ano vocês tiram a ISO 27001. Eu preciso te contar como é de verdade, porque essa frase custa caro.
Certificação ISO 27001 leva de oito a doze meses. E o motivo não é burocracia de auditor. É que a norma não certifica documento, ela certifica sistema de gestão em operação. O auditor não vai pedir a tua política de segurança. Ele vai pedir a evidência de que essa política foi aplicada, com registro, ao longo dos meses anteriores à auditoria.
Ou seja: uma parte grande desse prazo é tempo passando. Não tem como comprimir com dinheiro nem com equipe maior. A empresa precisa operar o sistema e gerar histórico.
Isso muda a conversa. A pergunta não é quanto custa a certificação. É a partir de que data a tua empresa vai poder responder sim quando um cliente perguntar se ela é certificada. Se a resposta que tu quer é o ano que vem, o começo é agora.
Sou Joana Faccini Salaverry, advogada e auditora líder em ISO 27001. No link aqui embaixo eu abro o prazo etapa por etapa, com o que acontece em cada mês.
Conteúdo revisado em 3 de setembro de 2026 por Joana Faccini Salaverry.
© 2026 Infolock · Porto Alegre/RS ·
Política de privacidade ·
Contato
© Infolock Consultoria 2026. Todos os direitos reservados. Avenida Carlos Gomes , 700 - sala 606 - Quinto andar - Boa Vista - Porto Alegre/RS.