Certificação SBIS/CFM do Prontuário Eletrônico: Guia 2026

O que é a certificação SBIS/CFM e o que ela avalia?

A certificação SBIS/CFM é um processo de auditoria técnica criado pela parceria entre a SBIS e o CFM para atestar qualidade, segurança e privacidade de sistemas de registro eletrônico em saúde. O CFM não testa softwares diretamente — ele reconhece a avaliação conduzida pela SBIS como evidência de conformidade com a Resolução CFM nº 1.821/2007.

Um sistema pode ser certificado em uma ou mais categorias, conforme o escopo: Prontuário Eletrônico do Paciente (PEP), Telessaúde, Prescrição Eletrônica, Serviço de Apoio Diagnóstico Terapêutico (SADT) ou Segurança da Informação. Cada certificado publicado indica a categoria, o estágio de maturidade e o nível NGS avaliados.

Os requisitos avaliados se dividem em três grupos: estrutura, conteúdo e funcionalidades (ECF); segurança da informação nível 1 (NGS1); e certificação digital nível 2 (NGS2). É esse conjunto que separa um prontuário eletrônico com respaldo formal de um sistema que só armazena texto. Para quem está avaliando a troca do papel, entender esses grupos ajuda a ler qualquer proposta comercial com mais critério — o mesmo raciocínio vale ao escolher o que não pode faltar em um modelo de prontuário eletrônico.

Qual a diferença entre NGS1 e NGS2?

NGS1 é o nível básico de segurança da informação; NGS2 acrescenta a certificação digital ICP-Brasil e é o único que permite operar sem papel. Os níveis são cumulativos: o NGS2 contém todos os requisitos do NGS1 e adiciona a assinatura digital de cada documento.

Na prática, a diferença define se a sua clínica ainda precisa arquivar folhas assinadas. Com NGS1, o registro é eletrônico, mas a guarda física do papel continua obrigatória. Com NGS2, cada documento é assinado com certificado digital ICP-Brasil e o arquivo em papel pode ser descartado após a digitalização certificada. Quem quer entender a mecânica da assinatura pode ver o que a lei exige do prontuário eletrônico com assinatura digital.

Existe certificação NGS3? Desfazendo a confusão

Não existe NGS3. A certificação SBIS tem apenas dois níveis de garantia de segurança — NGS1 e NGS2. Muito material no mercado cita um suposto "NGS3", mas isso é impreciso: nenhum certificado emitido pela SBIS traz esse rótulo.

De onde vem a confusão? Da existência de dois eixos diferentes na certificação, que costumam ser misturados:

1. Níveis de Garantia de Segurança (NGS): medem a segurança e a validade jurídica. São dois: NGS1 e NGS2.
2. Estágios de Maturidade (1, 2 e 3): medem a completude funcional do software, e não a segurança. São três estágios cumulativos.

Um sistema pode estar no Estágio 1 de maturidade e, ainda assim, ser NGS2 — como mostra a própria lista de certificados da SBIS, em que a combinação "Estágio 1 / NGS2" é a mais comum. Quem lê "NGS3" em um material de venda está diante de um erro conceitual, não de um nível superior de segurança.

O que são os estágios de maturidade 1, 2 e 3?

Os estágios de maturidade classificam o quanto o software cobre de funcionalidades, do registro mínimo ao uso avançado da informação clínica. São cumulativos: o Estágio 2 inclui tudo do Estágio 1, e o Estágio 3 inclui tudo dos anteriores. Já o Estágio 1 garante a aderência às regras necessárias para eliminar o papel.

Para o dia a dia de um consultório ou clínica de pequeno porte, o Estágio 1 com NGS2 já resolve a necessidade central: registro seguro, assinado e sem papel. Os estágios superiores fazem mais diferença em hospitais e redes com fluxos complexos.

A certificação SBIS/CFM é obrigatória?

Não. Nenhuma lei brasileira obriga clínicas ou consultórios a usar um software certificado pela SBIS. O que a legislação exige é que o prontuário — em papel ou eletrônico — cumpra a Resolução CFM nº 1.821/2007, garantindo autenticidade, integridade, rastreabilidade e guarda mínima de 20 anos.

A certificação importa quando o objetivo é abandonar o papel de vez. Sem um sistema NGS2 e sem a assinatura ICP-Brasil, a clínica é obrigada a manter a guarda física dos registros. Com eles, o descarte legal do arquivo físico passa a ser possível. Para muitos consultórios, essa é a única razão prática para buscar o selo; para outros, cumprir a resolução do CFM e a LGPD no software da clínica já basta.

Há ainda o lado do custo: a SBIS publica uma tabela de preços oficial da certificação, e o processo envolve auditoria e renovação a cada dois anos. Por isso, muitos fornecedores optam por seguir os mesmos requisitos técnicos sem passar pelo selo formal.

Como verificar se um software é certificado pela SBIS?

Consulte a lista pública de sistemas certificados no site da SBIS e confira quatro dados antes de fechar contrato. A certificação tem validade e pode expirar sem aviso ao cliente, então a checagem na fonte é o que garante a informação correta.

1. Nome e versão exatos do produto — a certificação vale para uma versão específica, não para a marca inteira.
2. Categoria (PEP, Telessaúde, Segurança da Informação) — precisa cobrir o uso que você fará.
3. Nível NGS — confirme se é NGS2, caso queira operar sem papel.
4. Data de validade — o certificado expira a cada dois anos; peça o número ao fornecedor e confira na lista.

Entre os sistemas de mercado, alguns nomes conhecidos aparecem na lista da SBIS com selo NGS2 — o Feegow Clinic, por exemplo, consta como certificado. A ausência de um software na lista não significa que ele seja inseguro; significa apenas que ele não passou pelo processo formal de certificação. Ao comparar opções, cruze esse dado com os softwares de prontuário eletrônico certificados pelo CFM e com o que cada um entrega de segurança na prática.

O ByDoctor tem certificação SBIS/CFM?

Sendo direto: o ByDoctor não consta na lista de sistemas certificados pela SBIS. A certificação é voluntária, e a plataforma segue os requisitos de segurança da Resolução CFM nº 1.821/2007 sem carregar o selo formal — é a mesma escolha que outros sistemas em nuvem fazem.

Na prática, isso significa controle de acesso individual por profissional, trilha de auditoria imutável (cada registro fica marcado com data, hora e autor, sem edição silenciosa) e criptografia dos dados em trânsito e em repouso. A prescrição sai assinada digitalmente via integração com a Memed, que usa certificado ICP-Brasil.

A limitação honesta: para descartar legalmente o arquivo físico com validade jurídica plena, a rota formal continua sendo um sistema com certificado NGS2 somado à sua assinatura ICP-Brasil pessoal. O ByDoctor cobre a operação segura do dia a dia — agenda, prontuário, WhatsApp nativo e IA inclusos — por R$ 147/mês fixos, sem cobrar por profissional, com 30 dias grátis. Se a certificação SBIS formal é um requisito inegociável para o seu caso, vale checar a lista da SBIS antes de decidir.

Perguntas frequentes sobre certificação SBIS/CFM

A certificação SBIS/CFM é obrigatória para clínicas e consultórios?

Não. A certificação SBIS/CFM é voluntária — nenhuma lei obriga a clínica a usar software certificado. Ela é, porém, o referencial técnico reconhecido pelo CFM e o caminho formal para eliminar o arquivo em papel com validade jurídica. Para a maioria dos consultórios, atender à Resolução CFM nº 1.821/2007 já garante conformidade.

Qual a diferença entre NGS1 e NGS2 na certificação SBIS?

NGS1 (Nível de Garantia de Segurança 1) reúne os requisitos mínimos de segurança da informação, mas mantém a guarda do papel. NGS2 inclui todos os requisitos do NGS1 e acrescenta a assinatura digital ICP-Brasil, permitindo operar sem papel. O NGS2 é o nível que dá validade jurídica plena ao prontuário digital.

Existe certificação NGS3?

Não existe NGS3. A certificação SBIS tem apenas dois níveis de segurança: NGS1 e NGS2. A confusão vem dos estágios de maturidade (1, 2 e 3), que medem a completude funcional do sistema — não o nível de segurança. Um software pode estar no Estágio 1 e já ser NGS2.

Como sei se um software de prontuário é certificado pela SBIS?

Consulte a lista pública de sistemas certificados no site da SBIS. Ela traz o nome do produto, a versão, a categoria (PEP, Telessaúde), o nível NGS e a validade do certificado. A certificação expira a cada dois anos, então confirme a data e peça o número do certificado ao fornecedor.

Prontuário sem certificação SBIS tem validade jurídica?

Sim. Um prontuário eletrônico sem selo SBIS pode ter validade jurídica se cumprir a Resolução CFM nº 1.821/2007: autenticidade, integridade e rastreabilidade. Sem certificação NGS2 e assinatura ICP-Brasil, porém, a clínica não pode descartar o papel — precisa manter a guarda física por, no mínimo, 20 anos.

Em resumo

A certificação SBIS/CFM atesta que um prontuário eletrônico cumpre os requisitos de segurança e validade jurídica reconhecidos pelo CFM. São dois níveis — NGS1 (básico) e NGS2 (com assinatura ICP-Brasil, sem papel); "NGS3" não existe e se confunde com os estágios de maturidade. O selo é voluntário: importa mais para quem quer descartar o papel.

Antes de contratar, confirme nome, versão, nível NGS e validade na lista da SBIS. Se o que a sua clínica precisa é operar com segurança no dia a dia — agenda, prontuário eletrônico, WhatsApp e prescrição via Memed — conheça o ByDoctor e teste 30 dias grátis, sem cartão.