DECRETO Nº 10.748, DE 16 DE JULHO DE 2021

Compete ao GSI coordenar a ReGIC e convocar reunião da Câmara de Relações Exteriores e Defesa Nacional em caso de incidente grave ou risco elevado.

O DSI/GSI, por meio do CTIR Gov, coordena equipes da ReGIC, mantém articulação, elabora plano, difunde alertas e mantém sítio eletrônico.

Incidentes de maior impacto são estabelecidos com base na classificação de severidade constante do processo de gestão de riscos de segurança da informação.

As competências previstas para órgãos e entidades federais também se aplicam às agências reguladoras, ao Banco Central e à Comissão Nacional de Energia Nuclear.

Órgãos e entidades federais devem instituir ETIR, apoiar ações, comunicar vulnerabilidades e incidentes, capacitar equipes, atualizar infraestrutura e sanar vulnerabilidades.

O CTIR Gov divulgará os elementos básicos e a periodicidade de atualização do plano setorial de gestão de incidentes cibernéticos em seu sítio eletrônico.

Órgãos e entidades federais com competência regulatória em área prioritária futura devem implementar ações no prazo de até dezoito meses da notificação pelo GSI.

Agências reguladoras, Banco Central e CNEN devem instituir ou designar coordenação setorial, identificar equipes principais e infraestruturas críticas, e notificar o CTIR Gov.

Equipes de coordenação setorial devem elaborar plano setorial, coordenar atividades, centralizar notificações e obedecer às normas de segurança da informação do GSI.

Informações específicas sobre incidentes e características técnicas de ativos são imprescindíveis à segurança; estatísticas gerais de interesse público serão divulgadas pelo CTIR Gov.

As ações de funcionamento da ReGIC a cargo dos órgãos e entidades do art. 13, inclusive coordenações setoriais, deveriam ser implementadas em dezoito meses da publicação.

Órgãos e entidades federais com participação obrigatória deveriam implementar as ações de funcionamento da ReGIC em um ano da publicação do decreto.

O decreto entrou em vigor na data de sua publicação no Diário Oficial da União.

Fica instituída a Rede Federal de Gestão de Incidentes Cibernéticos, vinculada ao regime de segurança da informação previsto no Decreto nº 9.637/2018.

A participação na ReGIC é obrigatória para órgãos e entidades da administração pública federal direta, autárquica e fundacional.

Empresas públicas, sociedades de economia mista federais e suas subsidiárias participam voluntariamente da ReGIC, por meio de adesão.

A Secretaria de Governo Digital participa da ReGIC como órgão central do Sistema de Administração dos Recursos de Tecnologia da Informação do Poder Executivo federal.

A ReGIC busca aprimorar e manter a coordenação entre órgãos e entidades federais para prevenção, tratamento e resposta a incidentes cibernéticos.

A ReGIC tem objetivos de divulgar medidas, compartilhar alertas, divulgar informações sobre ataques, promover cooperação e acelerar a resposta a incidentes.

O decreto define ETIR, equipe de coordenação setorial, equipes principais, áreas prioritárias, incidente cibernético e planos de gestão de incidentes.

Outras entidades públicas ou privadas podem ser convidadas pelo GSI a integrar a ReGIC, por ofício, desde que cumpram os requisitos de adesão.

A ReGIC é composta pelo GSI, órgãos e entidades federais e, quando aderirem, estatais federais e suas subsidiárias; a coordenação é exercida pelo CTIR Gov.

No Ministério da Defesa e nas Forças Singulares, a articulação com o CTIR Gov ocorre prioritariamente pela equipe de coordenação setorial do Comando de Defesa Cibernética.

Ao elaborar o ato de adesão, o órgão vinculante avalia necessidade de requisitos adicionais de segurança da informação, especialmente em atividades de infraestrutura crítica.

A entidade que solicita adesão deve possuir ETIR conforme normas do GSI e encaminhar termo de adesão assinado pelo dirigente máximo ou representante legal.

A adesão à ReGIC depende de aprovação formal pelo GSI, que pode recusá-la de forma motivada mesmo com os requisitos cumpridos.

As regras de adesão aplicam-se, no que couber, a pessoas jurídicas privadas e a pessoas jurídicas de direito público interno convidadas pelo GSI.

A colaboração espontânea, caso a caso, com o CTIR Gov ou integrantes da ReGIC independe de adesão formal à rede.

A adesão de estatais federais é formalizada por ato do dirigente máximo do órgão da administração pública federal direta ao qual estejam vinculadas ou subordinadas.

Pessoas jurídicas fora da administração pública federal direta, autárquica e fundacional que aderiram à ReGIC devem reportar incidentes e vulnerabilidades nas hipóteses previstas.

A saída de pessoa jurídica convidada da ReGIC pode ocorrer a pedido do dirigente máximo ou por decisão do GSI nas hipóteses previstas.