Califórnia exige auditorias de cibersegurança anuais: o que as empresas precisam saber

A partir de 1º de janeiro de 2026, entraram em vigor as regulamentações de auditoria de cibersegurança da California Privacy Protection Agency (CalPrivacy), exigindo que determinadas empresas sujeitas à CCPA realizem auditorias anuais abrangentes de seus programas de segurança. As regras se aplicam a negócios cujo processamento de dados pessoais apresente risco significativo aos consumidores, levando em conta critérios como porte, receita e volume de dados tratados. A conformidade segue um cronograma escalonado por faixa de receita, com prazos entre 2028 e 2030 para os primeiros relatórios de auditoria. As auditorias devem avaliar 18 componentes do programa de cibersegurança e ser conduzidas por profissional qualificado, objetivo e independente, podendo ser interno ou externo à empresa. Empresas já devem começar a mapear seus recursos existentes e avaliar auditores qualificados, pois o primeiro período auditável começa em 1º de janeiro de 2027.