Errada

Condiciona o tratamento à orientação do certificador externo e exige suspensão do SGSI. Essa não é a sequência prescrita: cabe à organização reagir à não conformidade e adotar as ações necessárias, sem depender de autorização externa.

Errada

Apresenta a substituição do controle como tratamento suficiente. A troca, mesmo justificada na Declaração de Aplicabilidade, não contempla por si só a avaliação das causas da não conformidade nem a verificação da eficácia das ações.

Certa

C contempla tanto a correção da ocorrência quanto o tratamento voltado a evitar sua recorrência: corrigir o problema não dispensa avaliar suas causas, e implementar ações não dispensa verificar se funcionaram. A informação documentada evidencia a ocorrência, as ações adotadas e os resultados. Essa correspondência com a cláusula 10.2 da ISO/IEC 27001:2022 sustenta a alternativa, mas não significa reprodução integral da cláusula: também há previsão de tratar consequências, considerar não conformidades semelhantes e realizar mudanças no SGSI, quando necessárias. A referência utilizada na base é a edição internacional de 2022 em adoção oficial indiana, não a redação brasileira.

Errada

Substitui o tratamento por registro, encaminhamento e espera. Registrar e submeter à alta direção não cumprem o dever de reagir e implementar as ações necessárias; aguardar o próximo ciclo de revisão não é uma etapa exigida pelo procedimento.