Califórnia exige auditorias de cibersegurança: o que as empresas precisam saber para se adequar

A Califórnia colocou em vigor, em janeiro de 2026, regulamentações que obrigam empresas sujeitas à CCPA/CPRA a realizarem auditorias anuais abrangentes de cibersegurança, com foco na efetividade real dos controles de segurança, e não apenas na existência de políticas formais. As exigências se aplicam a empresas cujo processamento de dados pessoais represente risco significativo aos consumidores, considerando critérios como faturamento e volume de dados processados. O cronograma de conformidade é escalonado por porte financeiro, com prazos que vão de abril de 2028 a abril de 2030, mas o primeiro período auditável já se inicia em janeiro de 2027. As auditorias devem cobrir 18 componentes específicos do programa de cibersegurança, ser conduzidas por profissionais independentes e resultar em relatório formal retido por pelo menos cinco anos. Empresas devem agir agora para mapear documentações existentes, avaliar auditores qualificados e acompanhar as orientações que a CalPrivacy prometeu publicar ao longo de 2026.