A resposta curta
A ISO 27001 dá a uma startup de biotecnologia ou ciências da vida uma comprovação independente de que ela gerencia a segurança dos dados de pesquisa e da propriedade intelectual. Um projeto focado costuma levar de 4 a 8 semanas, não um ano, e a auditoria em si pode ser rápida: a Orbion, uma startup de Berlim que desenvolve modelos de IA para engenharia de proteínas, recebeu o certificado acreditado pela UKAS 39 dias depois da auditoria de Estágio 1, com zero não conformidades no Estágio 2.
É a mesma norma que as empresas de SaaS usam. O que muda na biotecnologia é o que você protege: sequências, resultados de ensaios, modelos, a propriedade intelectual dos parceiros e, às vezes, dados de pacientes ou dados genéticos. E os parceiros costumam citar outros frameworks na mesma conversa, como o GDPR e as GxP. Este guia trata de cada um.
Fale com um fundador sobre a sua ISO 27001 · Leia o estudo de caso da Orbion
Por que os parceiros de biotecnologia pedem a ISO 27001
Startups de biotecnologia recebem dados que os parceiros levaram anos para produzir. Um parceiro farmacêutico ou de biotecnologia que compartilha sequências de proteínas ou resultados experimentais quer saber quem pode vê-los, onde ficam armazenados e o que acontece se algo der errado.
O cofundador da Orbion resumiu assim no estudo de caso da Tempo Audits:
"Nossos clientes e parceiros nos confiam dados de pesquisa sensíveis e uma propriedade intelectual valiosa. Queríamos uma norma independente e reconhecida para demonstrar como protegemos essas informações."
Aniruddh Goteti, cofundador, Orbion
Traduzido do inglês.
A ISO 27001 responde a isso com um certificado de um organismo certificador acreditado, que a área de compras do parceiro pode verificar no UKAS CertCheck ou no IAF CertSearch. As perguntas não param: os parceiros continuam enviando questionários de segurança. Mas muitas respostas passam a apontar para políticas e evidências que um auditor independente já revisou.
O que incluir no escopo
O escopo é a primeira decisão de verdade e o que mais pesa nos dias de auditoria e no custo. Comece pelo que os parceiros compram e pelos dados que eles enviam a você, não pela empresa inteira.
- A plataforma e os dados dela. O certificado da Orbion cobre as pessoas, os processos, os sistemas, os fornecedores, as instalações e os ativos de informação que sustentam a plataforma SaaS de engenharia de proteínas, as APIs de produção, os fluxos de processamento de ML, o suporte ao cliente e as operações de apoio ao negócio (Tempo Audits).
- Capacidade de processamento e outros fornecedores. Provedores de GPU e de nuvem que processam dados dos parceiros são fornecedores que você avalia e lista. O Trust Center da Orbion lista 8 suboperadores.
- O laboratório, se ele guardar os dados. A ISO 27001 protege informação, não processos de laboratório. Se instrumentos, cadernos eletrônicos de laboratório ou um LIMS armazenam dados do escopo, inclua-os. Se o laboratório nunca toca nesses dados, deixe-o de fora.
- Segurança física, mesmo em uma auditoria remota. O auditor do Estágio 2 verifica os controles na prática. O Estágio 2 remoto da Orbion também cobriu a segurança física.
O que os parceiros perguntam e o que aceitam
Perguntas que compradores da área de ciências da vida costumam fazer e o que normalmente os satisfaz.
| O que perguntam | O que aceitam |
|---|---|
| "Vocês têm certificação ISO 27001?" | Um certificado de um organismo certificador acreditado, com um escopo que cubra o que eles compram |
| "Um certificado do Reino Unido vale para nós?" | Sim, se for acreditado: a UKAS e a DAkkS assinaram o acordo da EA que trata as suas acreditações como equivalentes |
| "Como vocês protegem os nossos dados e a nossa propriedade intelectual?" | As suas políticas, como classificação de dados, controle de acesso e criptografia, mais evidências de que você as segue |
| "Quem mais tem acesso aos nossos dados?" | Uma lista de suboperadores que diz o que cada um faz |
| "Podemos ver os seus documentos?" | Um Trust Center onde eles solicitam políticas e certificados, com um NDA se você precisar |
| "Vocês têm um pentest recente?" | Um relatório de teste de intrusão do produto que eles usam |
| "Vocês tratam dados de pacientes ou dados genéticos?" | O seu papel no GDPR (controlador ou operador), a base legal e a condição do Artigo 9 quando você é o controlador, e um acordo de tratamento de dados |
| "O seu sistema é validado para GxP?" | Só é relevante se o seu software fizer parte do trabalho regulado por GxP do parceiro, como BPF segundo o Anexo 11 ou registros da FDA segundo a Part 11. Isso é documentação de validação, não ISO 27001 |
A Orbion responde às perguntas sobre documentos no seu Trust Center: o status da ISO 27001, os títulos de 33 políticas e 8 suboperadores são públicos, e os parceiros solicitam o certificado, os PDFs das políticas e outros documentos, que a Orbion analisa.
ISO 27001, GDPR e GxP: o que cada um cobre
Fundadores da área de ciências da vida costumam ouvir esses nomes juntos. Eles respondem a perguntas diferentes.
| Framework | O que cobre | O que você recebe |
|---|---|---|
| ISO 27001 | Como você gerencia a segurança da informação: riscos, controles e evidências | Um certificado de um organismo certificador acreditado, válido por três anos, com auditorias anuais |
| GDPR | Dados pessoais, incluindo dados de saúde e genéticos como categorias especiais de dados | Nenhum certificado que os compradores costumem pedir: registros, políticas, acordos de tratamento de dados e, muitas vezes, avaliações de impacto |
| Anexo 11 das BPF da UE, FDA 21 CFR Part 11 | Sistemas computadorizados e registros eletrônicos usados em atividades sujeitas às BPF ou reguladas pela FDA | Documentação de validação, não um certificado |
| SOC 2 | Controles de segurança avaliados por uma firma de CPA, pedidos sobretudo por compradores dos EUA | Um relatório SOC 2, não um certificado |
Dois detalhes importam para a biotecnologia:
- Dados genéticos nem sempre são dados pessoais. O ICO observa que uma amostra não é um dado pessoal até você analisá-la, e que resultados genéticos só contam como dados pessoais se você puder ligá-los a uma pessoa identificável. Mas resultados ligados a uma amostra específica, ou detalhados o bastante para serem únicos de uma pessoa, costumam ser dados pessoais mesmo sem os nomes. Verifique o que você realmente guarda antes de definir o escopo do seu trabalho de GDPR.
- A ISO 27001 não valida o seu sistema. O Anexo 11 diz que aplicações usadas em atividades sujeitas às BPF devem ser validadas. Controles da ISO 27001, como controle de acesso, registro de logs e backups, ajudam, mas a validação é um projeto à parte.
Orbion: como foi a auditoria
Fundada em 2025 e sediada em Berlim, a Orbion desenvolve modelos de IA que preveem a expressão, a estabilidade e a desenvolvibilidade de proteínas, e trabalha com empresas de biotecnologia e pesquisadores acadêmicos. A equipe adaptou as políticas preliminares da Kantis ao seu trabalho em biotecnologia, implementou os controles e preparou as evidências. A Tempo Audits, um organismo certificador acreditado pela UKAS, conduziu a auditoria.
- Agendamento: as duas etapas da auditoria foram agendadas em até 8 dias após a primeira conversa da Orbion com a Tempo.
- Estágio 1, 16 de julho de 2026: uma revisão das políticas e dos documentos. O relatório chegou no dia seguinte, com cinco oportunidades de melhoria.
- Estágio 2, 17 e 18 de agosto de 2026: controles e evidências em detalhe, incluindo a segurança física. Zero não conformidades.
- Certificado, 24 de agosto de 2026: ISO/IEC 27001:2022, 6 dias depois do Estágio 2 e 39 dias depois do Estágio 1.
- Como: uma auditoria remota, com o auditor revisando documentos e evidências na Kantis.
A certificação agora aparece no site e no Trust Center da Orbion. Leia o estudo de caso da Orbion.
Como uma startup de biotecnologia chega lá
- Pergunte do que o parceiro precisa e para quando. ISO 27001, um relatório SOC 2, um questionário ou uma validação GxP são trabalhos diferentes. Pergunte se "em andamento" basta por enquanto. Na nossa experiência, muitas vezes basta.
- Defina o escopo em torno dos dados. A plataforma, os dados que os parceiros enviam e os sistemas que lidam com eles.
- Nomeie um responsável e reserve o tempo. A equipe da Orbion fez muito trabalho prático. Mesmo com uma plataforma e apoio, alguém precisa tomar decisões e operar os controles.
- Agende o organismo certificador cedo. Os bons lotam a agenda. A primeira conversa da Orbion com a Tempo foi em 22 de junho, e a auditoria de Estágio 1, em 16 de julho. Na nossa experiência, os nomes mais conhecidos são mais concorridos e podem esticar o projeto para três ou quatro meses.
- Colete evidências ao longo do caminho, não na semana anterior ao Estágio 2.
- Dê aos parceiros um único lugar para consultar. Um Trust Center com o seu certificado, as suas políticas e os seus suboperadores responde a muitas perguntas antes que elas sejam feitas.
Para o processo completo, do escopo ao certificado, leia o nosso guia de ISO 27001 para startups. Para o orçamento, item por item, leia o guia de custos da ISO 27001.
Onde a Kantis entra
A Kantis combina o software com apoio prático: a análise de lacunas, políticas preliminares que você adapta à forma como a sua equipe realmente trabalha, a coleta de evidências, a auditoria interna, a coordenação com o seu organismo certificador e um Trust Center para os seus parceiros. O organismo certificador conduz a auditoria e emite o certificado.
Fale com um fundador sobre a sua ISO 27001 e você sai da conversa com o seu escopo, o que os seus parceiros vão pedir e o caminho confiável mais rápido até o certificado. As conversas são em inglês.