Institui a Política Nacional de Segurança da Informação para assegurar a proteção e governança da informação na administração pública federal.
O decreto organiza a Política Nacional de Segurança da Informação no âmbito da administração pública federal.
📌 Estrutura princípios, objetivos, estratégia, planos, Comitê Gestor e competências públicas.
⚠️ Não cria requisito empresarial direto no retrato da publicação original.
🧭 Pode gerar efeitos indiretos para fornecedores em contratos, editais ou atos administrativos específicos.
O Decreto nº 9.637, de 26 de dezembro de 2018, institui a Política Nacional de Segurança da Informação, conhecida pela sigla PNSI, no âmbito da administração pública federal. O eixo central do ato é organizar uma arquitetura pública de governança de segurança da informação, com princípios, objetivos, instrumentos, colegiados, competências institucionais e comandos internos para órgãos e entidades federais. O texto também altera o Decreto nº 2.295/1997, em tema ligado à aquisição de equipamentos e contratação de serviços técnicos especializados em áreas de inteligência e segurança da informação, e revoga os Decretos nº 3.505/2000 e nº 8.135/2013.
Para fins de curadoria Okai, este pacote foi tratado como retrato da publicação original do Decreto nº 9.637/2018. A extração não consolida normas posteriores, não reescreve o estado atual da política por atos supervenientes e não transforma comandos dirigidos ao Poder Público em obrigações empresariais diretas. O resultado é um pacote com pontos documentais relevantes, mapa de cobertura completo e registros de alteração normativa, mas sem requisitos empresariais ativos. Essa decisão é importante: o decreto tem alta relevância institucional e pode afetar indiretamente fornecedores, prestadores de serviços, operadores de tecnologia e entidades que contratam com a administração pública federal, mas seu texto não impõe, por si só, uma obrigação operacional direta a empresas privadas.
O art. 1º fixa o escopo da PNSI no âmbito da administração pública federal. A finalidade é assegurar disponibilidade, integridade, confidencialidade e autenticidade da informação em nível nacional. O art. 2º delimita o que a segurança da informação abrange para os fins do decreto: segurança cibernética, defesa cibernética, segurança física, proteção de dados organizacionais e ações voltadas à preservação dos atributos essenciais da informação.
Essa moldura indica que o destinatário primário da norma não é o mercado privado em geral. Os comandos operacionais estão distribuídos entre o Gabinete de Segurança Institucional da Presidência da República, o Comitê Gestor da Segurança da Informação, o Ministério da Defesa, a Controladoria-Geral da União, órgãos e entidades da administração pública federal e a alta administração dessas estruturas. Mesmo quando o texto menciona sociedade, setor empresarial ou especialistas privados, a menção ocorre como princípio de integração, participação, cooperação ou eventual convite para grupos de trabalho, não como fonte de obrigação empresarial direta.
Na segmentação do pacote, por isso, os pontos foram classificados majoritariamente como internos ao regulador ou órgão público. Onde o dispositivo é conceitual, principiológico ou apenas contextual, foi usada a segmentação de ausência de aplicabilidade empresarial direta. Essa distinção evita falso positivo regulatório para empresas que, embora possam ser impactadas por contratações públicas, políticas de cibersegurança ou padrões de segurança da informação, não recebem deste decreto um comando próprio de fazer, entregar, comunicar, manter registro ou implementar controle.
Os arts. 3º e 4º têm natureza estruturante. O art. 3º reúne princípios da PNSI, como soberania nacional, respeito a direitos fundamentais, visão sistêmica, orientação à gestão de riscos, prevenção e tratamento de incidentes, articulação entre segurança cibernética, defesa cibernética e proteção de dados, proteção de informação sigilosa, cooperação institucional e integração entre Poder Público, setor empresarial, sociedade e academia. O art. 4º fixa objetivos, incluindo orientação de ações de segurança da informação, fomento à pesquisa e inovação, aprimoramento normativo, qualificação de recursos humanos, cultura de segurança, segurança de dados custodiados por entidades públicas, segurança de infraestruturas críticas, proteção de informações de pessoas físicas e tratamento de informações com restrição de acesso.
Esses artigos são úteis para interpretação, mas não foram convertidos em requisitos. Eles funcionam como base de política pública e devem ser preservados como pontos de rastreabilidade. Em uso de produto, podem apoiar leitura executiva, busca semântica, associação com temas de cibersegurança, governança de dados e segurança da informação, além de contextualizar atos posteriores que detalhem obrigações concretas.
Os arts. 5º a 7º criam os instrumentos da PNSI: a Estratégia Nacional de Segurança da Informação e os planos nacionais. A Estratégia deve conter ações estratégicas e objetivos, alinhados a políticas e programas do Governo federal, e ser dividida em módulos como segurança cibernética, defesa cibernética, segurança de infraestruturas críticas, segurança da informação sigilosa e proteção contra vazamento de dados. Os planos nacionais devem detalhar execução das ações, planejamento, organização, coordenação, uso de recursos, responsabilidades, cronogramas, análise de riscos e ações de contingência. Esses comandos são relevantes para governança pública, mas não constituem checklist empresarial direto.
Os arts. 8º a 11 instituem e regulam o Comitê Gestor da Segurança da Informação. O Comitê tem função de assessorar o Gabinete de Segurança Institucional em atividades relacionadas à segurança da informação. O art. 9º define sua composição por representantes de órgãos federais, regras de indicação e designação, substituição por suplentes, natureza não remunerada da participação e prazo para aprovação de regimento interno. O art. 10 disciplina reuniões semestrais ordinárias, convocações extraordinárias, quóruns, criação de grupos de trabalho ou câmaras técnicas, convite de representantes do setor público ou privado e especialistas com notório saber, além de regras de deliberação. O art. 11 atribui ao GSI o apoio técnico e administrativo ao Comitê.
A existência do Comitê pode ser relevante para empresas que acompanham agendas públicas de segurança da informação ou que venham a participar de debates técnicos, consultas ou grupos convidados. Ainda assim, a norma não cria dever empresarial de participação, reporte ou adequação. Na curadoria, esses dispositivos foram mantidos como pontos documentais de governança pública e não como requisitos.
O Capítulo VI concentra os comandos operacionais mais densos. O art. 12 atribui ao GSI competências em temas de segurança da informação, assessorado pelo Comitê Gestor: estabelecer norma metodológica para gestão de risco dos ativos de informação por órgãos e entidades federais, aprovar diretrizes, elaborar programas de conscientização e capacitação, acompanhar evolução doutrinária e tecnológica, elaborar e publicar a Estratégia Nacional, apoiar planos nacionais, estabelecer critérios de monitoramento e avaliação, propor atos normativos e estabelecer requisitos mínimos de segurança para produtos com recursos de segurança da informação.
O art. 13 atribui ao Ministério da Defesa apoio ao GSI em segurança cibernética e elaboração de diretrizes, dispositivos e procedimentos de defesa em sistemas ligados à defesa nacional contra ataques cibernéticos. O art. 14 atribui à Controladoria-Geral da União a auditoria da execução das ações da PNSI sob responsabilidade de órgãos e entidades federais. Esses dispositivos são relevantes para localizar responsabilidades públicas e para entender quem pode emitir normas, auditar ações ou influenciar padrões técnicos. Porém, permanecem como comandos internos de governança estatal.
O art. 15 é o dispositivo com maior densidade operacional. Ele atribui aos órgãos e entidades da administração pública federal, em seu âmbito de atuação, competências como implementar a PNSI, elaborar política e normas internas de segurança da informação, designar gestor interno de segurança da informação, instituir comitê de segurança da informação ou estrutura equivalente, destinar recursos orçamentários, promover capacitação, instituir equipe de tratamento e resposta a incidentes em redes computacionais, coordenar e executar ações de segurança, consolidar e analisar resultados de auditoria e aplicar ações corretivas e disciplinares cabíveis em violações de segurança da informação.
Os parágrafos do art. 15 detalham a composição e as atribuições do comitê interno de segurança da informação dos órgãos e entidades federais. A composição inclui gestor de segurança da informação, representante da Secretaria-Executiva ou unidade equivalente, representantes de unidades finalísticas e titular da unidade de tecnologia da informação e comunicação. As atribuições incluem assessorar a implementação de ações, constituir grupos de trabalho, propor alterações na política interna e propor normas internas. O art. 16 complementa esse bloco ao determinar que órgãos e entidades editem atos para definir a forma de funcionamento de seus comitês.
Em uma plataforma de GRC voltada a empresas, esse bloco não deve ser roteado como obrigação empresarial. Ele pode, entretanto, servir como referência para empresas contratadas por órgãos federais entenderem o ambiente de governança do contratante público e a provável origem de exigências contratuais, cláusulas de segurança, requisitos técnicos ou procedimentos de comunicação de incidentes.
O art. 17 atribui à alta administração dos órgãos e entidades federais a governança de segurança da informação. Entre os comandos estão monitorar desempenho e resultados da política interna, incorporar padrões de conduta, planejar programas e processos, estabelecer diretrizes de gestão de riscos, observar normas do GSI, implementar controles internos fundamentados em riscos, instituir sistema de gestão de segurança da informação e implantar mecanismo de comunicação imediata sobre vulnerabilidades ou incidentes que impactem ou possam impactar serviços prestados ou contratados pelos órgãos da administração pública federal.
Esse ponto é especialmente importante do ponto de vista indireto para fornecedores e prestadores de serviços. A norma fala em serviços prestados ou contratados por órgãos públicos, mas o comando de implantar mecanismo de comunicação é atribuído à alta administração pública. Assim, a empresa contratada pode ser alcançada por contrato, edital, termo de referência, norma complementar ou ato administrativo posterior, não por este dispositivo isolado. A curadoria manteve o ponto como comando interno do Poder Público e não criou requisito empresarial autônomo.
Os §§ 1º e 2º do art. 17 detalham orientações para programas, projetos e processos de segurança da informação: uso de recursos criptográficos adequados ao grau de sigilo e às restrições de acesso, aumento de resiliência de ativos de tecnologia da informação e comunicação e serviços estratégicos, cooperação contínua entre equipes de resposta a incidentes e priorização de interoperabilidade por integração e compartilhamento de ativos, uniformização de bases de informação, integração de redes e padronização de comunicação entre sistemas. O sistema de gestão de segurança da informação deve identificar necessidades quanto aos requisitos de segurança e implementar o processo de gestão de riscos.
O art. 18 determina que órgãos e entidades da administração pública federal direta, autárquica e fundacional, nos atos administrativos que envolvam ativos de tecnologia da informação, incorporem normas de segurança da informação estabelecidas pelo GSI e normativos de gestão de TIC e segurança da informação do Ministério do Planejamento, Desenvolvimento e Gestão. Esse dispositivo tem potencial de reflexo em compras públicas, contratos, convênios, termos de referência e outros instrumentos administrativos, mas o comando imediato continua dirigido aos órgãos e entidades públicas.
Para empresas que contratam com o Poder Público, o controle prático não nasce diretamente deste decreto, mas dos instrumentos administrativos específicos que incorporarem essas normas. Em uma base regulatória empresarial, o decreto deve ser tratado como referência de contexto e origem normativa, não como fonte direta de obrigação empresarial independente.
O art. 21 altera o Decreto nº 2.295/1997, que regulamenta hipótese de dispensa de licitação em casos que possam comprometer a segurança nacional. A nova redação do inciso III do art. 1º passa a mencionar aquisição de equipamentos e contratação de serviços técnicos especializados para áreas de inteligência, segurança da informação, segurança cibernética, segurança das comunicações e defesa cibernética. No pacote, esse efeito foi registrado em alteracoesRequisitos e no catálogo de textos alterados. Não foram duplicados requisitos do Decreto nº 2.295/1997, pois a regra de retrato-fonte exige que requisitos próprios da norma alvo permaneçam no pacote da norma alvo ou sejam processados em pacote próprio.
O art. 22 revoga expressamente o Decreto nº 3.505/2000 e o Decreto nº 8.135/2013. Essas revogações também foram registradas como alterações sobre normas anteriores, sem recriação de seus requisitos. O art. 23 estabelece vigência na data de publicação, que foi identificada na publicação oficial do Diário Oficial da União de 27 de dezembro de 2018.
Embora não haja requisito empresarial direto, o decreto tem utilidade prática para áreas de compliance, jurídico regulatório, tecnologia, segurança da informação e relações institucionais de empresas que interagem com a administração pública federal. Ele ajuda a explicar por que órgãos federais passaram a estruturar políticas internas, comitês, gestores de segurança, equipes de resposta a incidentes, controles baseados em risco, requisitos mínimos de segurança e incorporação de normas de segurança em atos administrativos.
O ponto de atenção mais relevante para empresas é indireto: requisitos concretos podem surgir em editais, contratos, normas complementares do GSI, atos de governança digital, políticas internas de órgãos contratantes ou instrumentos de contratação pública. Quando isso ocorrer, a fonte de obrigação empresarial será o instrumento específico que imponha a conduta à empresa, não o Decreto nº 9.637/2018 isoladamente. Por isso, a curadoria evita criar obrigações como “manter política de segurança da informação” ou “implantar equipe de resposta a incidentes” para todas as empresas, pois tal roteamento seria amplo demais e juridicamente infiel ao documento-fonte.
Como não foram gerados requisitos empresariais, o pacote não propõe controles, evidências, perguntas de aderência ou achados potenciais para empresas. Para órgãos e entidades públicas, os comandos do decreto sugeririam artefatos como política interna de segurança da informação, normas internas, ato de designação de gestor, ato de instituição de comitê, atas de reunião, planos de capacitação, evidências de equipe de resposta a incidentes, relatórios de auditoria, registros de ações corretivas, diretrizes de gestão de riscos, documentação do sistema de gestão de segurança da informação e critérios de comunicação de vulnerabilidades e incidentes. Esses artefatos foram mencionados na análise, mas não foram transformados em campos de requisitos, porque a estrutura de segmentação fornecida é empresarial e não há tag própria para órgãos e entidades da administração pública federal como sujeito regulado externo.
O primeiro ponto de atenção é a natureza pública do ato. Ele é importante para governança estatal de segurança da informação, mas não deve ser enviado a empresas privadas como obrigação direta sem que exista contrato, edital, norma complementar ou outro ato que as vincule especificamente.
O segundo ponto de atenção é o tratamento de normas posteriores. Este pacote não é consolidação histórica nem atualização do estado vigente; é o retrato da publicação original do Decreto nº 9.637/2018. Alterações posteriores devem ser processadas em pacote próprio quando forem o documento-fonte analisado ou quando houver pedido explícito de extração consolidada.
O terceiro ponto de atenção é a alteração do Decreto nº 2.295/1997 e as revogações dos Decretos nº 3.505/2000 e nº 8.135/2013. Esses efeitos foram registrados para permitir rastreabilidade e eventual inativação ou atualização de requisitos originados nas normas anteriores, sem misturar requisitos de documentos diferentes.
O quarto ponto de atenção é o art. 18. Ele pode ser operacionalmente sensível em contratações públicas de tecnologia, porque orienta a incorporação de normas de segurança da informação e de TIC em atos administrativos envolvendo ativos de TI. Para empresas fornecedoras, o monitoramento adequado deve olhar para o ato administrativo, edital, contrato, termo de referência ou norma complementar que traga o requisito de forma vinculante.
Nenhum item vinculado a este artefato.
