Auditorias de Cibersegurança na Califórnia: O Que as Empresas Precisam Saber Antes de 2027

A California Privacy Protection Agency (CalPrivacy) colocou em vigor, em janeiro de 2026, regulamentos que exigem auditorias anuais de cibersegurança para empresas que tratam dados pessoais de consumidores californianos em escala significativa. O cumprimento é faseado conforme o faturamento: empresas com mais de US$ 100 milhões em receita devem apresentar seu primeiro relatório até abril de 2028, enquanto empresas menores têm prazos estendidos até 2030. As auditorias devem avaliar 18 componentes específicos do programa de cibersegurança e ser conduzidas por profissionais independentes e qualificados, resultando em relatório escrito retido por ao menos cinco anos. A CalPrivacy anunciou a criação de uma Divisão de Auditorias especializada e a publicação de materiais de orientação para empresas e profissionais ao longo de 2026. Recomenda-se que as organizações iniciem imediatamente o mapeamento de auditorias existentes, o inventário documental e a avaliação de auditores qualificados, uma vez que o primeiro período auditável já está em curso desde janeiro de 2027.