Institui a Política Nacional de Cibersegurança e o Comitê Nacional de Cibersegurança para orientar a segurança cibernética no Brasil.
O decreto institui a PNCiber e cria o CNCiber, com foco em política pública e governança nacional de cibersegurança.
📌 Organiza princípios, objetivos, instrumentos e funcionamento do comitê.
🏛️ Predomina como norma de governança pública, sem requisitos empresariais diretos.
🧭 Registra a revogação pontual de dispositivos do Decreto nº 9.637/2018.
O Decreto nº 11.856, de 26 de dezembro de 2023, institui a Política Nacional de Cibersegurança, conhecida como PNCiber, e cria o Comitê Nacional de Cibersegurança, o CNCiber. O texto tem natureza predominantemente programática e de governança pública: ele organiza princípios, objetivos, instrumentos e arranjos institucionais para a atuação nacional em segurança cibernética, mas não impõe, por si só, um conjunto de obrigações operacionais diretas às empresas privadas.
A leitura produto-first deste pacote separa duas camadas. A primeira camada é a camada de política pública: princípios como soberania nacional, direitos fundamentais, prevenção de incidentes, resiliência de organizações públicas e privadas, educação, desenvolvimento tecnológico e cooperação. A segunda camada é a camada de governança institucional: criação do CNCiber, definição de competências, composição, regras de indicação e mandato, reuniões, grupos de trabalho, secretaria-executiva, regimento interno, primeira composição e revogação pontual de dispositivos do Decreto nº 9.637/2018.
Por essa razão, o pacote contém pontos de documento e alterações normativas, mas não cria requisitos empresariais ativos. Essa decisão evita transformar objetivos públicos amplos em obrigações artificiais, como “adotar medidas de cibersegurança” ou “manter resiliência cibernética”, quando o decreto não especifica sujeito regulado empresarial, prazo, entrega, controle, evidência ou procedimento diretamente exigível de empresas.
O escopo material do decreto é a segurança cibernética no País. A PNCiber é instituída para orientar a atividade de segurança cibernética e funciona como eixo de coordenação para políticas, estratégias e planos nacionais. O texto menciona organizações públicas e privadas em princípios e objetivos, especialmente ao tratar de resiliência, cooperação, intercâmbio de informações e estímulo à adoção de medidas de proteção cibernética e gestão de riscos.
Essa menção ao setor privado, contudo, não equivale a comando regulatório empresarial direto. O decreto não define uma categoria de empresa obrigada, não estabelece entrega regulatória, não fixa periodicidade de reporte, não cria canal de comunicação obrigatório para empresas, não determina artefatos mínimos de governança cibernética privada e não prevê procedimento de fiscalização diretamente aplicável a entidades privadas. O setor privado aparece como ator relevante para cooperação, interlocução e política pública, além de ser representado no CNCiber por entidades representativas relacionadas à área de segurança cibernética.
A segmentação adotada no pacote reflete essa diferença. Os pontos ligados a princípios e objetivos foram tratados como sem aplicabilidade empresarial direta. Os pontos ligados à composição e funcionamento do CNCiber foram tratados como governança interna de órgão público ou comitê público, porque o comando se dirige ao arranjo institucional do Estado e aos seus representantes, e não a empresas em geral.
O art. 1º institui a PNCiber e define sua finalidade geral. Os arts. 2º e 3º estabelecem princípios e objetivos da política. Entre os pontos centrais estão a proteção de direitos fundamentais, a prevenção de incidentes e ataques, a resiliência de organizações públicas e privadas, a educação e capacitação, a pesquisa e inovação, a cooperação entre atores públicos e privados e o desenvolvimento de mecanismos de regulação, fiscalização e controle.
O art. 4º identifica a Estratégia Nacional de Cibersegurança e o Plano Nacional de Cibersegurança como instrumentos da PNCiber. Esse ponto é relevante para navegação regulatória porque indica onde comandos operacionais futuros ou mais detalhados podem vir a ser estruturados. No retrato deste decreto, porém, esses instrumentos são mencionados como instrumentos da política; o pacote não incorpora conteúdo de atos posteriores nem presume obrigações específicas derivadas deles.
O art. 5º cria o CNCiber no âmbito da Câmara de Relações Exteriores e Defesa Nacional do Conselho de Governo, com a finalidade de acompanhar a implementação e a evolução da PNCiber. O art. 6º enumera competências do comitê, incluindo propor atualizações da política, estratégia e plano; avaliar e propor medidas para incremento da segurança cibernética; formular propostas para prevenção, detecção, análise e resposta a incidentes; propor medidas de educação; promover interlocução com entes federativos e sociedade; propor estratégias de cooperação técnica internacional; e manifestar-se quando solicitado pelo Presidente da Câmara de Relações Exteriores e Defesa Nacional.
Os arts. 7º a 14 disciplinam a governança do CNCiber: composição, suplência, critérios de indicação, mandato, recondução, designação, possibilidade de convidados, submissão de deliberações, reuniões ordinárias trimestrais, quóruns, voto de qualidade, grupos de trabalho temáticos, modalidade de participação, natureza não remunerada da participação, secretaria-executiva, elaboração de regimento interno e regra excepcional para a primeira composição. Esses dispositivos são relevantes para rastreabilidade institucional, mas não foram convertidos em requisitos empresariais.
O art. 15 revoga dispositivos específicos do Decreto nº 9.637/2018. Essa revogação foi registrada em alteracoesRequisitos, pois pode impactar registros existentes associados ao decreto anterior. O pacote não recria os requisitos do Decreto nº 9.637/2018, nem tenta consolidar sua situação atual; apenas registra o efeito que nasce expressamente do documento-fonte analisado.
Para áreas de compliance, riscos, jurídico regulatório, tecnologia, segurança da informação e relações institucionais, o decreto funciona como sinal regulatório e institucional relevante. Ele indica a direção da política pública nacional em cibersegurança e cria um fórum governamental com participação de órgãos públicos, CGI.br, entidades da sociedade civil, instituições científicas e entidades representativas do setor empresarial.
Do ponto de vista de gestão regulatória, o principal impacto não é a criação imediata de obrigações empresariais, mas a necessidade de monitorar os instrumentos e deliberações que podem surgir no ecossistema da PNCiber. A Estratégia Nacional de Cibersegurança, o Plano Nacional de Cibersegurança, o regimento interno do CNCiber e atos posteriores do comitê podem detalhar agendas, prioridades, grupos de trabalho, recomendações, propostas normativas ou futuras obrigações setoriais. Este pacote, no entanto, não antecipa nem consolida esses atos.
Empresas com exposição relevante a cibersegurança — como prestadores de serviços digitais, tecnologia, telecomunicações, infraestrutura crítica, instituições financeiras, meios de pagamento, mercado de capitais, saúde, energia, logística e fornecedores de soluções de segurança — podem usar o decreto como contexto estratégico. Ainda assim, no modelo Okai, essa utilidade estratégica não justifica criar requisitos aplicáveis a essas empresas sem comando normativo direto no texto do decreto.
Como não foram criados requisitos empresariais, o pacote não sugere controles, evidências, perguntas de aderência ou achados potenciais para empresas. Essa ausência é proposital. Criar controles como “manter programa de cibersegurança” ou “registrar gestão de riscos cibernéticos” extrapolaria o decreto analisado, ainda que esses controles possam ser boas práticas ou exigências de outras normas setoriais.
Para uso interno da plataforma, os pontos de documento permitem vincular análises, notícias regulatórias, planos de monitoramento ou obrigações futuras ao decreto. Também permitem explicar por que determinados dispositivos foram classificados como política pública, governança pública, procedimento interno do comitê ou revogação normativa, em vez de obrigação empresarial.
As áreas internas que tendem a se interessar pelo documento são, em termos de monitoramento, jurídico regulatório, compliance, segurança da informação, riscos, relações governamentais e estratégia. Mas essa audiência de monitoramento não foi traduzida em público de requisito, porque não há requisito empresarial no arquivo ativo.
O primeiro ponto de atenção é não confundir objetivo de política pública com obrigação operacional. O art. 3º, por exemplo, fala em estimular a adoção de medidas de proteção cibernética e gestão de riscos, mas não define um dever específico de implementação por empresas. Esse tipo de comando pode orientar reguladores e políticas futuras, porém não tem granularidade suficiente para virar requisito controlável no retrato-fonte.
O segundo ponto de atenção é a participação do setor empresarial no CNCiber. O decreto prevê três representantes de entidades representativas do setor empresarial relacionado à área de segurança cibernética, mas a regra está ligada à composição do comitê e ao processo de escolha previsto em regimento interno. Não há obrigação para toda empresa do setor de se cadastrar, indicar representante, reportar informação ou participar do comitê.
O terceiro ponto de atenção é a recorrência trimestral das reuniões do CNCiber. A frequência é normativa e real, mas se aplica ao funcionamento interno do comitê. Por isso, não foi criada série de recorrência em requisito empresarial. A informação foi preservada como ponto de documento e no mapa de cobertura.
O quarto ponto é a revogação do Decreto nº 9.637/2018. O decreto analisado revoga dois dispositivos específicos, e esse efeito foi registrado como alteração normativa. A curadoria não atualiza o pacote do Decreto nº 9.637/2018 nem reconstrói obrigações antigas, porque cada pacote representa o documento-fonte analisado.
A extração foi completa para os artigos do decreto. Todos os artigos materiais foram representados no mapa de cobertura e, quando úteis para rastreabilidade, em pontos de documento. Os dispositivos de princípios, objetivos e instrumentos foram classificados como definição, escopo ou governança da política. Os dispositivos de composição e funcionamento do CNCiber foram classificados como governança ou procedimento interno de comitê público. O dispositivo de revogação foi registrado em alteração de requisito. A cláusula de vigência foi preservada como ponto de documento.
Não foram gerados requisitos porque não se identificou comando empresarial verificável com sujeito regulado privado, evidência própria, entrega, prazo, periodicidade, procedimento ou controle exigido diretamente pelo decreto. Essa é uma decisão de qualidade de produto: evita poluir o workspace com obrigações genéricas e mantém o pacote fiel ao documento-fonte.
Este pacote usa a publicação original do decreto como documento-fonte. Ele não consolida normas posteriores, atos do CNCiber, portarias, resoluções, regimentos internos, estratégias ou planos aprovados depois, salvo como referências mencionadas pelo próprio decreto quando apropriado. Caso o usuário queira uma visão consolidada do ecossistema de cibersegurança nacional, o caminho adequado é processar cada ato posterior em pacote próprio ou solicitar explicitamente uma extração consolidada.
Também não foram incluídos links operacionais para instrumentos posteriores não fornecidos como documento-fonte. A plataforma poderá resolver esses links por sua base oficial, mas este pacote não usa atos posteriores para alterar status, criar obrigações ou enriquecer requisitos inexistentes no decreto analisado.
Nenhum item vinculado a este artefato.
