ABNT NBR ISO 22301 · Certificamos esta norma
Gestão de Continuidade de Negócios
A ISO 22301 prepara a organização para continuar operando diante de interrupções — falhas de TI, desastres, pandemias, rupturas de fornecedores. Estrutura a análise de impacto no negócio (BIA), as estratégias de continuidade, os planos de resposta e os testes que provam que tudo funciona quando é preciso.
Na auditoria
O que é esperado
- Análise de impacto no negócio (BIA) com processos críticos, RTOs e RPOs definidos;
- Avaliação de riscos de interrupção e estratégias de continuidade dimensionadas;
- Planos de continuidade e de resposta a incidentes documentados e acessíveis;
- Exercícios e testes periódicos com registros e lições aprendidas;
- Comunicação de crise estruturada com papéis e canais definidos.
Implantação
Dicas úteis para implantar
- Comece pela BIA com as áreas de negócio — ela define tudo o que vem depois;
- Priorize poucos cenários realistas (indisponibilidade de site, TI, pessoas, fornecedor);
- Teste de verdade: exercício de mesa a cada semestre e simulação prática anual;
- Alinhe RTO/RPO com o que a TI consegue entregar — e documente o acordo;
- Integre com a 27001: continuidade de TI e segurança compartilham controles.
Onde se aplica
Segmentos aplicáveis e recomendados
Instituições financeiras
Data centers e nuvem
Saúde
Telecom
Utilities
Logística
Órgãos essenciais
Indústria de processo contínuo
Diferenciais
O que sua organização ganha
Clientes públicos
Serviços públicos essenciais (saúde, segurança, justiça, arrecadação) demonstram resiliência estruturada perante a sociedade e os órgãos de controle — com planos testados, não apenas escritos.
Clientes privados
Empresas certificadas respondem com evidências aos questionários de resiliência de grandes clientes e reguladores, reduzem perdas em incidentes e ganham prioridade como fornecedores confiáveis em cadeias críticas.
Base legal
Legislações e referências sobre o tema
No Brasil
- Resolução CMN nº 4.893/2021 (BACEN) — política de segurança cibernética e requisitos de continuidade para instituições financeiras;
- Resolução CNJ e normativos ANS/ANEEL/ANATEL — exigências setoriais de continuidade de serviços essenciais;
- LGPD (Lei nº 13.709/2018) — disponibilidade de dados como dimensão da segurança.
Clique em qualquer bloco para abrir a íntegra da lei ou referência no site oficial (nova aba). As referências indicam normas e políticas públicas que dialogam com o tema — a aplicabilidade a cada organização deve ser avaliada caso a caso.
Dúvidas frequentes
Perguntas sobre a ISO 22301
Continuidade não é só backup de TI?
Backup é uma fração — e das menores. Pergunte: com os dados salvos, você opera sem o prédio? Sem o sistema principal por 3 dias? Sem o fornecedor crítico? Sem 40% da equipe? A 22301 cobre o negócio inteiro: pessoas e sucessão de decisões, instalações alternativas, fornecedores e logística, comunicação com clientes e imprensa, e a ordem de retomada dos processos que geram receita. Empresas que só cuidaram do backup descobrem na crise que os dados estavam salvos — e a operação, parada.
Quanto tempo leva para implementar?
Com patrocínio real da direção, 4 a 8 meses num caminho claro: a análise de impacto no negócio (BIA) com as áreas (1–2 meses) define processos críticos e prazos máximos de parada; as estratégias de continuidade são desenhadas e aprovadas contra esses prazos (1–2 meses); os planos de resposta e continuidade são documentados e as equipes treinadas (1–2 meses); e o primeiro ciclo de exercícios valida tudo e gera os ajustes (1–2 meses). O maior risco de atraso não é técnico: é a BIA ficar acadêmica, sem decisão da direção sobre o que realmente é prioritário.
Preciso de site alternativo?
Depende do que a BIA disser — a norma exige estratégia suficiente para os seus prazos de retomada, não uma solução específica. Muitas operações resolvem com combinações mais baratas: trabalho remoto testado, redundância em nuvem, acordos de reciprocidade, contratos de standby com fornecedores e estoques estratégicos. Operações físicas (produção, atendimento presencial, logística) podem precisar de alternativas de instalação. A regra de ouro: o investimento segue o impacto — gasta-se onde a parada custa caro.
Como a auditoria avalia continuidade?
Pelos testes, acima de tudo: planos sem exercício são hipótese, não capacidade. O auditor examina a cadeia completa — BIA aprovada e atual, estratégias coerentes com os prazos definidos, planos acessíveis (inclusive com sistemas fora do ar) e, principalmente, os registros dos exercícios: cenários, participantes, tempos alcançados versus objetivos, falhas encontradas e ajustes feitos nos planos. Um exercício que revelou problemas e gerou correções vale mais que dez simulados perfeitos no papel.
O que são RTO e RPO?
São os dois números que dimensionam toda a estratégia. RTO (Recovery Time Objective) é o tempo máximo aceitável de parada de um processo — quanto tempo o faturamento, a expedição ou o atendimento podem ficar fora do ar antes do dano se tornar grave. RPO (Recovery Point Objective) é a perda máxima aceitável de dados — se o sistema voltar, de quando podem ser os últimos dados: da última hora? do último dia? Eles saem da BIA, são aprovados pela direção e viram o contrato interno com a TI: a infraestrutura de recuperação é dimensionada (e paga) para cumpri-los.
Fornecedores críticos entram no escopo?
Sim — a interrupção mais provável da sua operação pode nascer fora dela. A norma exige identificar dependências externas (fornecedores únicos, logística, nuvem, utilities) na BIA e tratá-las: exigir planos de continuidade dos críticos, prever alternativas qualificadas, incluir requisitos de continuidade e prazos de comunicação em contrato, e testar os cenários de ruptura. Cadeias enxutas demais são eficientes até o dia em que não são — a 22301 põe esse risco na mesa da direção com dados.
Pronto para certificar a ISO 22301?
Solicite o orçamento com dimensionamento personalizado para o seu escopo.