O PREFEITO MUNICIPAL DE GRAVATAÍ, no uso de suas atribuições, de acordo com o disposto no inciso IV do artigo 58 da Lei Orgânica do Município,

CONSIDERANDO a Constituição Federal, especialmente os princípios que regem a Administração Pública e as garantias relacionadas à intimidade, à vida privada, à proteção de dados pessoais, à segurança das informações e ao acesso à informação;

CONSIDERANDO a Lei Federal nº 12.527, de 18 de novembro de 2011 - Lei de Acesso à Informação;

CONSIDERANDO a Lei Federal nº 12.965, de 23 de abril de 2014 - Marco Civil da Internet;

CONSIDERANDO a Lei Federal nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais - LGPD;

CONSIDERANDO a Lei Federal nº 14.129, de 29 de março de 2021 - Lei do Governo Digital;

CONSIDERANDO a Lei Federal nº 14.133, de 1º de abril de 2021 - Lei de Licitações e Contratos Administrativos;

CONSIDERANDO a Lei Municipal nº 4.993, de 11 de dezembro de 2025, que dispõe sobre a exigência de Programa de Integridade para pessoas jurídicas que contratam com a Administração Pública Direta e Indireta;

CONSIDERANDO o Decreto Federal nº 12.572, de 4 de agosto de 2025, que institui a Política Nacional de Segurança da Informação e dispõe sobre a governança da segurança da informação no âmbito da Administração Pública Federal;

CONSIDERANDO o Decreto Federal nº 12.573, de 4 de agosto de 2025, que institui a Estratégia Nacional de Segurança Cibernética - E-Ciber;

CONSIDERANDO a Lei Complementar Municipal nº 07, de 3 de agosto de 2022, que institui a Política de Governo Digital do Município de Gravataí;

CONSIDERANDO a necessidade de assegurar a disponibilidade, a integridade, a confidencialidade, a autenticidade e a rastreabilidade das informações produzidas, recebidas, armazenadas, processadas ou custodiadas pelo Município

 

 

D E C R E T A:

 

 

CAPÍTULO I

DAS DISPOSIÇÕES GERAIS

 

Art. 1º Fica instituída a Política de Segurança da Informação - PSI do Município de Gravataí, como instrumento integrante da Política Municipal de Governo Digital, aplicável à Administração Pública Municipal Direta e, no que couber, às entidades da Administração Indireta.

 

Parágrafo único. A PSI constitui instrumento permanente de governança, gestão de riscos, proteção de dados, segurança cibernética, continuidade dos serviços públicos e proteção dos ativos de informação do Município.

 

Art. 2º A Política de Segurança da Informação tem por finalidade estabelecer princípios, objetivos, diretrizes, responsabilidades e mecanismos de governança destinados a proteger as informações e os ativos de informação do Município contra ameaças internas e externas, assegurando níveis adequados de:

I - confidencialidade;

II - integridade;

III - disponibilidade;

IV - autenticidade;

V - rastreabilidade;

VI - proteção de dados pessoais;

VII - continuidade dos serviços;

VIII - resiliência operacional; e

IX - conformidade legal, normativa e contratual.

 

Art. 3º A PSI aplica-se:

I - aos órgãos da Administração Pública Municipal Direta;

II - às entidades da Administração Indireta, no que couber;

III - aos agentes públicos, servidores, empregados públicos, ocupantes de cargos em comissão, estagiários, bolsistas e demais colaboradores;

IV - aos fornecedores, contratados, prestadores de serviços, parceiros, conveniados e demais terceiros que tenham acesso a informações ou ativos de informação municipais;

V - aos sistemas, aplicações, bancos de dados, redes, equipamentos, serviços em nuvem, dispositivos, plataformas e demais recursos tecnológicos utilizados pelo Município; e

VI - às informações produzidas, recebidas, processadas, armazenadas, transmitidas ou custodiadas pelo Município, independentemente do meio ou suporte utilizado.

 

Art. 4º A Política de Segurança da Informação será implementada de forma integrada às políticas e instrumentos municipais relacionados a:

I - Governo Digital;

II - proteção de dados pessoais;

III - gestão de riscos;

IV - integridade e compliance;

V - transparência e acesso à informação;

VI - gestão documental e arquivística;

VII - continuidade dos serviços públicos;

VIII - gestão de contratos;

IX - governança e tecnologia da informação;

X - segurança cibernética;

XI - inovação e transformação digital; e

XII - controle interno.

 

 

CAPÍTULO II

DOS PRINCÍPIOS DA POLÍTICA DE SEGURANÇA DA INFORMAÇÃO

 

Art. 5º São princípios da Política de Segurança da Informação:

I - legalidade e conformidade;

II - responsabilidade institucional;

III - prevenção e precaução;

IV - gestão baseada em riscos;

V - segurança desde a concepção - security by design;

VI - privacidade desde a concepção - privacy by design;

VII - proporcionalidade dos controles de segurança aos riscos identificados;

VIII - proteção da informação durante todo o seu ciclo de vida;

IX - continuidade e resiliência dos serviços públicos;

X - responsabilização e prestação de contas;

XI - segregação de funções;

XII - menor privilégio e necessidade de conhecimento;

XIII - rastreabilidade das ações realizadas nos sistemas;

XIV - educação e conscientização permanente;

XV - cooperação entre órgãos e entidades;

XVI - melhoria contínua;

XVII - transparência, observados os limites legais relativos ao sigilo, à segurança e à proteção de dados pessoais; e

XVIII - integração entre segurança da informação, proteção de dados, governança e transformação digital.

 

 

CAPÍTULO III

DOS OBJETIVOS

 

Art. 6º São objetivos da Política de Segurança da Informação:

I - proteger os ativos de informação do Município;

II - reduzir a exposição do Município a riscos tecnológicos e cibernéticos;

III - prevenir, detectar, responder e recuperar-se de incidentes de segurança;

IV - proteger dados pessoais e informações protegidas por sigilo legal;

V - assegurar a continuidade dos serviços públicos essenciais;

VI - fortalecer a governança e a gestão de riscos de tecnologia da informação;

VII - promover cultura institucional de segurança da informação;

VIII - estabelecer padrões mínimos de segurança para sistemas, aplicações e infraestrutura tecnológica;

IX - aprimorar a segurança dos serviços públicos digitais;

X - promover a gestão segura do acesso aos sistemas e informações;

XI - estabelecer mecanismos de controle, monitoramento e auditoria;

XII - assegurar maior segurança nas contratações de soluções e serviços de tecnologia;

XIII - reduzir riscos associados a fornecedores, prestadores de serviços e terceiros;

XIV - fortalecer mecanismos de integridade e prevenção de irregularidades;

XV - promover a segurança no compartilhamento e na interoperabilidade de dados;

XVI - estimular a adoção de padrões, boas práticas e normas técnicas reconhecidas; e

XVII - promover a melhoria contínua da segurança da informação e da segurança cibernética.

 

 

CAPÍTULO IV

DA GOVERNANÇA DA SEGURANÇA DA INFORMAÇÃO

 

Art. 7º A governança da segurança da informação será exercida de forma integrada com a governança de tecnologia da informação, Governo Digital, proteção de dados, gestão de riscos, integridade e controle interno.

 

Art. 8º Fica estabelecida a seguinte estrutura básica de governança da segurança da informação:

I - autoridade máxima do Poder Executivo Municipal;

II - órgão municipal responsável pela política de tecnologia da informação e segurança da informação;

III - Comitê ou estrutura colegiada de Governança Digital, Segurança da Informação e Proteção de Dados, conforme regulamentação específica;

IV - Gestor de Segurança da Informação;

V - Encarregado pelo Tratamento de Dados Pessoais, nos termos da legislação aplicável;

VI - unidades administrativas responsáveis pelos sistemas e ativos de informação;

VII - gestores e fiscais de contratos, no âmbito de suas atribuições; e

VIII - unidades de controle interno, auditoria e demais estruturas de fiscalização, conforme suas competências legais.

 

§ 1º A Autoridade Máxima do Poder Executivo Municipal é a responsável final pela aprovação da PSI e pela coordenação superior de sua implementação.

 

§ 2º O Gestor de Segurança da Informação responderá diretamente à autoridade máxima ou à chefia do órgão coordenador da política de tecnologia da informação, mantendo atuação técnica independente e articulada com o Encarregado de Dados (LGPD) e o Controle Interno.

 

Art. 9º A Secretaria Municipal responsável pela área de inovação, ciência, tecnologia e/ou tecnologia da informação, observadas suas competências legais, atuará como órgão coordenador da implementação técnica e institucional da PSI.

 

Art. 10. Compete ao órgão coordenador da PSI:

I - coordenar a implementação da Política de Segurança da Informação;

II - propor normas, padrões, procedimentos e controles de segurança;

III - apoiar os órgãos municipais na identificação e tratamento de riscos;

IV - coordenar ações de prevenção, detecção e resposta a incidentes;

V - promover ações de capacitação e conscientização;

VI - acompanhar a evolução das ameaças cibernéticas;

VII - propor medidas de melhoria da segurança da infraestrutura tecnológica;

VIII - apoiar a implementação de mecanismos de continuidade e recuperação;

IX - promover avaliações periódicas da maturidade da segurança da informação;

X - propor atualização periódica da PSI; e

XI - articular-se com as demais unidades responsáveis por proteção de dados, integridade, controle interno e gestão de riscos.

 

 

CAPÍTULO V

DO GESTOR DE SEGURANÇA DA INFORMAÇÃO

 

Art. 11. O Município deverá designar Gestor de Segurança da Informação, com atribuições e qualificação técnica compatíveis com as responsabilidades previstas nesta Política, preferencialmente integrante da estrutura responsável pela tecnologia da informação ou segurança cibernética.

 

Art. 12. Compete ao Gestor de Segurança da Informação:

I - coordenar tecnicamente a execução da PSI;

II - propor normas e procedimentos de segurança;

III - apoiar a identificação, avaliação e tratamento dos riscos;

IV - acompanhar vulnerabilidades e ameaças relevantes;

V - coordenar ou apoiar a resposta a incidentes;

VI - promover ações de conscientização;

VII - acompanhar a implementação dos controles de segurança;

VIII - apoiar auditorias e avaliações de conformidade;

IX - elaborar relatórios periódicos sobre o nível de segurança da informação; e

X - desempenhar outras atribuições definidas em regulamentação específica.

 

 

CAPÍTULO VI

DA GESTÃO DE ATIVOS DE INFORMAÇÃO

 

Art. 13. Os órgãos e entidades municipais deverão manter, conforme sua competência, inventário atualizado dos principais ativos de informação sob sua responsabilidade.

 

Art. 14. São considerados ativos de informação, entre outros:

I - dados e bases de dados;

II - sistemas e aplicações;

III - redes e equipamentos;

IV - servidores e dispositivos de armazenamento;

V - serviços em nuvem;

VI - documentos e arquivos digitais;

VII - credenciais e mecanismos de autenticação;

VIII - códigos-fonte e componentes de software;

IX - serviços de telecomunicações;

X - infraestrutura de datacenter;

XI - dispositivos utilizados para acesso aos sistemas municipais; e

XII - demais recursos necessários ao processamento, armazenamento, transmissão ou disponibilização de informações.

 

Art. 15. Os ativos de informação deverão ser classificados segundo sua criticidade, sensibilidade e impacto potencial decorrente de indisponibilidade, alteração, perda, divulgação indevida ou acesso não autorizado.

 

 

CAPÍTULO VII

DO CONTROLE DE ACESSO

 

Art. 16. O acesso aos sistemas e ativos de informação municipais deverá observar os princípios da necessidade de conhecimento, menor privilégio e segregação de funções.

 

Art. 17. As credenciais de acesso são pessoais e intransferíveis, sendo vedado seu compartilhamento.

 

Art. 18. Os acessos deverão ser concedidos, alterados, revisados e revogados de acordo com as funções exercidas pelo usuário.

 

§ 1º O desligamento, afastamento ou alteração de função deverá ensejar a revisão ou revogação dos respectivos acessos.

 

§ 2º A concessão de acessos privileged (privilegiados) deverá observar controles adicionais e registro das atividades realizadas.

 

Art. 19. Sempre que tecnicamente viável e proporcional ao risco, deverão ser adotados mecanismos de autenticação multifator, especialmente para acessos administrativos, privileged ou remotos.

 

 

CAPÍTULO VIII

DA PROTEÇÃO DE DADOS E DA PRIVACIDADE

 

Art. 20. A segurança da informação deverá observar integralmente a legislação aplicável à proteção de dados pessoais, especialmente a Lei Federal nº 13.709, de 14 de agosto de 2018 - LGPD.

 

Art. 21. O tratamento de dados pessoais pelos órgãos municipais deverá observar medidas técnicas e administrativas aptas a proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas.

 

Art. 22. A definição e implementação de controles de segurança relacionados a dados pessoais deverá considerar a natureza dos dados, os riscos envolvidos, a finalidade do tratamento e o impacto potencial aos titulares.

 

Art. 23. A atuação do Gestor de Segurança da Informação deverá ser articulada com o Encarregado pelo Tratamento de Dados Pessoais e demais responsáveis pela governança de privacidade.

 

 

CAPÍTULO IX

DA GESTÃO DE RISCOS

 

Art. 24. A segurança da informação será orientada por abordagem baseada em riscos.

 

Art. 25. Os órgãos e entidades municipais deverão identificar, avaliar e tratar riscos relacionados aos seus principais ativos, sistemas, processos e serviços digitais.

 

Art. 26. A gestão de riscos deverá considerar, entre outros:

I - ameaças cibernéticas;

II - vulnerabilidades tecnológicas;

III - falhas humanas;

IV - indisponibilidade de sistemas;

V - perda ou corrupção de dados;

VI - acesso não autorizado;

VII - vazamento de informações;

VIII - dependência de fornecedores;

IX - riscos relacionados à cadeia de suprimentos;

X - obsolescência tecnológica;

XI - falhas de infraestrutura;

XII - riscos decorrentes de serviços em nuvem;

XIII - riscos relacionados à interoperabilidade e integração de sistemas; e

XIV - eventos que possam comprometer a continuidade dos serviços públicos.

 

 

CAPÍTULO X

DA SEGURANÇA NAS CONTRATAÇÕES E NAS RELAÇÕES COM TERCEIROS

 

Art. 27. A contratação de bens, serviços e soluções que envolvam acesso, processamento, armazenamento, transmissão ou tratamento de informações municipais deverá observar requisitos de segurança da informação compatíveis com o objeto e os riscos envolvidos.

 

Art. 28. Os instrumentos convocatórios, contratos, termos de parceria, convênios, acordos e instrumentos congêneres poderão estabelecer requisitos específicos relativos a:

I - confidencialidade;

II - proteção de dados pessoais;

III - controle de acesso;

IV - gestão de credenciais;

V - registro e rastreabilidade;

VI - gestão de vulnerabilidades;

VII - comunicação de incidentes;

VIII - continuidade dos serviços;

IX - recuperação de dados;

X - descarte seguro de informações;

XI - auditoria e fiscalização;

XII - localização e tratamento de dados, quando juridicamente relevante;

XIII - subcontratação;

XIV - encerramento contratual e devolução ou eliminação de informações; e

XV - demais controles necessários à mitigação dos riscos identificados.

 

Art. 29. A gestão de fornecedores e terceiros deverá observar abordagem baseada em riscos, considerando a criticidade do serviço, o nível de acesso concedido, a natureza das informações envolvidas e o impacto potencial de eventual incidente.

 

Art. 30. Sempre que aplicável e nos termos da legislação vigente, a Administração poderá exigir de pessoas jurídicas contratadas mecanismos de governança, integridade, controles internos e gestão de riscos, observada especialmente a Lei Municipal nº 4.993, de 11 de dezembro de 2025, e respeitados os princípios da razoabilidade, proporcionalidade, isonomia, competitividade e pertinência com o objeto contratado.

 

Art. 31. O acesso de terceiros aos ativos de informação municipais deverá ser:

I - previamente autorizado;

II - limitado ao estritamente necessário;

III - individualizado;

IV - registrado e rastreável;

V - submetido a controles compatíveis com o risco; e

VI - revogado quando cessar a necessidade de acesso.

 

Art. 32. Os contratos que envolvam serviços tecnológicos críticos deverão prever, sempre que pertinente, mecanismos de continuidade, recuperação, portabilidade e encerramento seguro, de modo a reduzir riscos de dependência tecnológica e interrupção dos serviços públicos.

 

 

CAPÍTULO XI

DA SEGURANÇA NO DESENVOLVIMENTO E NA AQUISIÇÃO DE SISTEMAS

 

Art. 33. Os sistemas e aplicações desenvolvidos, adquiridos ou contratados pelo Município deverão observar requisitos de segurança desde as etapas de planejamento, especificação, desenvolvimento, aquisição, implantação, operação, manutenção e descontinuidade.

 

Art. 34. Sempre que aplicável, deverão ser adotadas práticas de:

I - desenvolvimento seguro;

II - controle de versões;

III - gestão de vulnerabilidades;

IV - testes de segurança;

V - segregação entre ambientes de desenvolvimento, homologação e produção;

VI - gestão de credenciais e segredos;

VII - registro de eventos;

VIII - controle de alterações; e

IX - avaliação de componentes e dependências de terceiros.

 

 

CAPÍTULO XII

DA GESTÃO DE INCIDENTES DE SEGURANÇA

 

Art. 35. O Município deverá manter procedimentos para prevenção, identificação, registro, análise, contenção, resposta, recuperação e comunicação de incidentes de segurança da informação e segurança cibernética.

 

Art. 36. Para fins desta Política, considera-se incidente de segurança da informação o evento adverso que comprometa ou apresente indícios concretos de comprometimento da confidencialidade, integridade, disponibilidade ou autenticidade das informações ou dos ativos de informação municipais.

 

Art. 37. Os incidentes deverão ser classificados segundo sua natureza, criticidade, impacto e urgência de tratamento.

 

§ 1º A classificação deverá considerar, sempre que aplicável:

I - a extensão e a duração do incidente;

II - a quantidade, a natureza e a criticidade dos ativos de informação afetados;

III - a indisponibilidade ou degradação de serviços públicos;

IV - a existência de acesso, divulgação, alteração, destruição, perda ou exfiltração não autorizada de informações;

V - a existência de indícios de ação maliciosa, fraude, comprometimento de credenciais ou exploração de vulnerabilidades;

VI - a quantidade e a natureza dos dados pessoais eventualmente envolvidos;

VII - os possíveis impactos aos titulares de dados, aos serviços públicos, à Administração Municipal e a terceiros; e

VIII - a possibilidade de propagação ou recorrência do incidente.

 

§ 2º Os critérios e níveis de classificação dos incidentes serão definidos em procedimento específico de resposta a incidentes.

 

Art. 38. Os órgãos e entidades municipais deverão comunicar ao Gestor de Segurança da Informação os incidentes ou suspeitas de incidentes, observados os procedimentos internos e a legislação aplicável.

 

§ 1º Todo agente público, prestador de serviço, contratado ou terceiro que identificar ou suspeitar da ocorrência de incidente de segurança relacionado aos ativos ou às informações municipais deverá comunicá-lo, sem demora indevida, pelos canais oficiais estabelecidos pelo Município.

 

§ 2º A comunicação deverá ocorrer ainda que não estejam disponíveis todas as informações sobre o incidente, podendo os dados ser complementados posteriormente.

 

§ 3º A comunicação de boa-fé de possível incidente não deverá ser retardada em razão da ausência de certeza quanto à sua ocorrência, extensão ou gravidade.

 

Art. 39. Os incidentes que envolverem dados pessoais deverão ser tratados em articulação com o Encarregado pelo Tratamento de Dados Pessoais, observadas as obrigações legais e regulamentares aplicáveis.

 

§ 1º Deverá ser realizada avaliação específica quanto à possibilidade de o incidente acarretar risco ou dano relevante aos titulares dos dados pessoais.

 

§ 2º Na avaliação de que trata o § 1º, deverão ser considerados, entre outros elementos:

I - a natureza e a categoria dos dados pessoais afetados;

II - o volume e a quantidade de titulares envolvidos;

III - a existência de dados pessoais sensíveis;

IV - o envolvimento de dados de crianças e adolescentes, idosos ou outros grupos em situação de vulnerabilidade;

V - o envolvimento de dados financeiros ou patrimoniais;

VI - o comprometimento de credenciais, senhas, dados de autenticação ou mecanismos de controle de acesso;

VII - a existência de informações protegidas por sigilo legal, judicial ou profissional;

VIII - a possibilidade de identificação dos titulares;

IX - os potenciais danos materiais, morais, reputacionais ou discriminatórios aos titulares; e

X - a escala, a duração e as circunstâncias do incidente.

 

§ 3º Quando caracterizada a obrigação de comunicação de incidente de segurança envolvendo dados pessoais, o Município deverá observar integralmente os requisitos, prazos, procedimentos e demais disposições estabelecidos pela legislação aplicável e pela regulamentação vigente da Autoridade Nacional de Proteção de Dados - ANPD.

 

§ 4º A decisão de comunicar ou de não comunicar o incidente à ANPD e aos titulares deverá ser fundamentada e registrada.

 

Art. 40. O tratamento dos incidentes de segurança deverá contemplar, conforme sua natureza e criticidade, as seguintes etapas:

I - identificação e registro;

II - análise e triagem;

III - classificação e priorização;

IV - contenção;

V - coleta e preservação de evidências;

VI - erradicação da causa ou do vetor de comprometimento;

VII - recuperação dos serviços e ativos afetados;

VIII - monitoramento posterior;

IX - comunicação às partes competentes, quando aplicável; e

X - encerramento, documentação e registro das lições aprendidas.

 

Parágrafo único. As medidas de contenção e recuperação deverão buscar, sempre que possível, reduzir os impactos do incidente sem comprometer desnecessariamente a preservação de evidências necessárias à investigação.

 

Art. 41. Todo incidente de segurança deverá possuir registro formal que permita sua rastreabilidade desde a identificação até o encerramento.

 

§ 1º O registro deverá conter, sempre que aplicável:

I - data e hora da identificação e da ciência do incidente;

II - descrição das circunstâncias conhecidas;

III - origem da comunicação;

IV - ativos, sistemas, serviços e unidades administrativas afetados;

V - natureza e classificação do incidente;

VI - informações ou categorias de dados afetadas;

VII - quantidade estimada de usuários ou titulares atingidos, quando aplicável;

VIII - avaliação dos impactos e riscos;

IX - evidências coletadas;

X - medidas de contenção, correção, recuperação e mitigação adotadas;

XI - responsáveis pelas ações realizadas;

XII - comunicações internas e externas efetuadas;

XIII - causa identificada ou provável, quando possível sua determinação;

XIV - medidas preventivas ou corretivas recomendadas; e

XV - data e fundamento para o encerramento do incidente.

 

§ 2º Os incidentes envolvendo dados pessoais deverão ser registrados ainda que não resultem em comunicação à ANPD ou aos titulares.

 

§ 3º Os registros deverão ser protegidos contra acesso, alteração ou exclusão não autorizados e mantidos observados, quando aplicáveis, os prazos mínimos estabelecidos pela legislação e regulamentação da ANPD, bem como as normas de gestão documental e de temporalidade aplicáveis à Administração Pública.

 

Art. 42. Durante o tratamento de incidentes deverão ser preservados, sempre que técnica e operacionalmente possível, registros, arquivos, imagens, logs, trilhas de auditoria, informações de rede e demais elementos que possam auxiliar na determinação da origem, extensão, autoria, impacto e causa do incidente.

 

§ 1º A coleta, o armazenamento, o acesso e a transferência de evidências deverão preservar sua integridade, autenticidade, rastreabilidade e cadeia de custódia, quando aplicável.

 

§ 2º É vedada a destruição, alteração, ocultação ou manipulação injustificada de evidências relacionadas a incidente de segurança.

 

§ 3º Quando for indispensável alterar o ambiente para conter o incidente ou restabelecer serviço essencial, as ações realizadas deverão ser registradas e justificadas.

 

Art. 43. Incidentes classificados nos níveis superiores de criticidade deverão ser imediatamente escalonados às unidades técnicas e administrativas competentes, conforme procedimento específico.

 

§ 1º Conforme a natureza e o impacto do incidente, poderão ser acionados:

I - a unidade responsável pela segurança da informação e segurança cibernética;

II - a unidade responsável pela infraestrutura e tecnologia da informação;

III - o Encarregado pelo Tratamento de Dados Pessoais;

IV - a alta administração;

V - as unidades responsáveis por continuidade de negócios e gestão de riscos;

VI - a assessoria jurídica e os órgãos de controle interno;

VII - a área de comunicação institucional;

VIII - fornecedores ou prestadores de serviços envolvidos; e

IX - autoridades públicas e órgãos competentes, quando necessário.

 

§ 2º Nos incidentes que afetem serviços públicos essenciais ou possam ocasionar indisponibilidade relevante, deverão ser avaliados o acionamento dos planos de continuidade, contingência, recuperação de desastres ou outros mecanismos destinados à manutenção ou ao restabelecimento dos serviços.

 

Art. 44. As informações relativas a incidentes de segurança deverão ser compartilhadas exclusivamente com pessoas ou unidades que delas necessitem para o exercício de suas atribuições, observados os princípios da necessidade, confidencialidade e menor privilégio.

 

§ 1º A restrição prevista no caput não prejudica o cumprimento das obrigações de transparência, comunicação, fiscalização ou prestação de informações previstas em lei.

 

§ 2º Informações cuja divulgação possa comprometer a investigação, facilitar novos ataques, revelar vulnerabilidades, expor dados pessoais ou prejudicar a segurança dos ativos municipais deverão receber tratamento compatível com seu grau de sensibilidade e com a legislação aplicável.

 

Art. 45. A comunicação externa de incidentes de segurança deverá ser realizada exclusivamente pelas unidades ou agentes formalmente competentes, observados os procedimentos internos e as atribuições legais.

 

§ 1º A comunicação poderá envolver, conforme o caso:

I - titulares de dados pessoais;

II - Agência Nacional de Proteção de Dados - ANPD;

III - órgãos policiais ou de persecução penal;

IV - órgãos de controle;

V - equipes ou centros de prevenção, tratamento e resposta a incidentes cibernéticos;

VI - fornecedores e parceiros;

VII - outros órgãos ou entidades públicas; e

VIII - a sociedade e os meios de comunicação, quando necessária comunicação pública.

 

§ 2º A comunicação de incidentes deverá observar critérios de precisão, necessidade, transparência e proteção das informações cuja divulgação possa ampliar os riscos decorrentes do incidente.

 

§ 3º O disposto neste artigo não restringe ou impede as comunicações obrigatoriamente previstas em lei ou legalmente exigidas por autoridades e órgãos de controle competente.

 

Art. 46. Os fornecedores, prestadores de serviços e demais terceiros que realizem tratamento de informações municipais ou possuam acesso aos ativos de informação do Município deverão comunicar imediatamente qualquer incidente ou suspeita de incidente relacionado ao objeto contratado.

 

§ 1º Os instrumentos contratuais deverão estabelecer, quando aplicável:

I - os canais e prazos para comunicação de incidentes;

II - as informações mínimas a serem fornecidas;

III - o dever de cooperação na investigação, contenção, mitigação e recuperação;

IV - a obrigação de preservação e fornecimento de evidências e registros técnicos;

V - as responsabilidades relacionadas à proteção de dados pessoais;

VI - a obrigação de informar a existência de subcontratados envolvidos no incidente; e

VII - os requisitos para comunicação de vulnerabilidades que possam afetar os serviços ou dados municipais.

 

§ 2º A comunicação realizada pelo contratado não afasta sua responsabilidade pela adoção das medidas necessárias à contenção e correção do incidente.

 

Art. 47. Encerrado o tratamento de incidente relevante, deverá ser realizada análise posterior destinada a identificar sua causa, avaliar a eficácia das medidas adotadas e estabelecer ações destinadas a prevenir sua recorrência.

 

§ 1º A análise deverá resultar, quando aplicável, em plano de ação contendo medidas corretivas e preventivas, responsáveis e prazos para implementação.

 

§ 2º As conclusões decorrentes dos incidentes deverão ser consideradas nos processos de:

I - gestão de riscos;

II - gestão de vulnerabilidades;

III - gestão de mudanças;

IV - continuidade de negócios;

V - capacitação e conscientização;

VI - revisão de controles de segurança;

VII - contratação de soluções e serviços de tecnologia; e

VIII - atualização de normas, procedimentos e planos de segurança.

 

Art. 48. O Município deverá promover periodicamente exercícios, testes ou simulações dos procedimentos de resposta a incidentes, especialmente em relação aos sistemas, serviços e ativos considerados críticos. Parágrafo único. Os resultados dos exercícios deverão ser registrados e utilizados para aprimoramento dos procedimentos de prevenção, detecção, resposta, comunicação e recuperação.

 

 

CAPÍTULO XIII

DA CONTINUIDADE DOS SERVIÇOS E RECUPERAÇÃO

 

Art. 49. O Município deverá adotar medidas destinadas a assegurar a continuidade dos serviços públicos digitais e a recuperação de sistemas e informações em situações de falha, indisponibilidade, desastre ou incidente de segurança.

 

Art. 50. Os sistemas e serviços considerados críticos deverão possuir, de acordo com sua criticidade e disponibilidade orçamentária, mecanismos de:

I - backup;

II - redundância;

III - recuperação;

IV - monitoramento;

V - contingência; e

VI - continuidade operacional.

 

Art. 51. Os procedimentos de backup deverão contemplar, quando aplicável, proteção contra alteração, destruição, perda ou acesso não autorizado.

 

Art. 52. Deverão ser realizados testes periódicos de restauração dos backups e dos mecanismos de continuidade, de acordo com a criticidade dos sistemas.

 

 

CAPÍTULO XIV

DO MONITORAMENTO, AUDITORIA E RASTREABILIDADE

 

Art. 53. O Município deverá adotar, de forma proporcional aos riscos e à criticidade dos ativos, mecanismos de monitoramento e registro de eventos de segurança, observados os princípios da necessidade, finalidade, minimização e a legislação aplicável.

 

Art. 54. Os sistemas considerados críticos deverão manter registros suficientes para possibilitar a identificação e rastreabilidade de eventos relevantes de segurança.

 

Art. 55. Os registros deverão ser protegidos contra alteração ou eliminação não autorizada e mantidos pelo período necessário, observada a legislação aplicável.

 

Art. 56. A segurança da informação poderá ser objeto de avaliações, auditorias e verificações periódicas de conformidade, inclusive no âmbito do controle interno e da fiscalização contratual.

 

 

CAPÍTULO XV

DA CONSCIENTIZAÇÃO E CAPACITAÇÃO

 

Art. 57. O Município promoverá ações permanentes de conscientização e capacitação em segurança da informação, proteção de dados e segurança cibernética.

 

Art. 58. As ações poderão contemplar, entre outros temas:

I - proteção de credenciais;

II - prevenção contra phishing e engenharia social;

III - proteção de dados pessoais;

IV - uso seguro dos recursos tecnológicos;

V - classificação e tratamento da informação;

VI - comunicação de incidentes;

VII - segurança no trabalho remoto;

VIII - uso responsável de inteligência artificial;

IX - prevenção de fraudes digitais; e

X - boas práticas de segurança cibernética.

 

 

CAPÍTULO XVI

DA RESPONSABILIDADE DOS USUÁRIOS

 

Art. 59. São deveres dos usuários dos recursos tecnológicos municipais:

I - utilizar os sistemas e equipamentos exclusivamente para finalidades autorizadas;

II - proteger suas credenciais;

III - comunicar imediatamente incidentes ou suspeitas de incidentes;

IV - observar as normas e procedimentos de segurança;

V - preservar a confidencialidade das informações a que tenham acesso;

VI - não instalar ou utilizar softwares não autorizados;

VII - observar as regras de proteção de dados pessoais; e

VIII - participar das ações de capacitação e conscientização promovidas pelo Município.

 

Art. 60. O descumprimento das disposições desta Política poderá ensejar a adoção das medidas administrativas, disciplinares, contratuais e legais cabíveis, observado o devido processo legal.

 

§ 1º A omissão injustificada na comunicação de incidente, bem como a destruição, alteração, ocultação ou manipulação indevida de evidências ou registros relacionados ao incidente, poderá ensejar apuração de responsabilidade administrativa, civil ou penal, conforme o caso, assegurados o contraditório e a ampla defesa.

 

§ 2º O disposto no § 1º não se aplica às alterações realizadas de forma justificada e documentada para contenção do incidente, preservação de serviços essenciais ou proteção dos ativos e informações municipais.

 

 

CAPÍTULO XVII

DA INTELIGÊNCIA ARTIFICIAL E DAS NOVAS TECNOLOGIAS

 

Art. 61. A adoção de inteligência artificial, automação, Internet das Coisas, computação em nuvem, análise de dados, robótica e outras tecnologias emergentes pelo Município deverá observar os princípios desta Política.

 

Art. 62. A utilização de soluções de inteligência artificial deverá considerar, conforme o risco e a finalidade:

I - proteção de dados pessoais;

II - segurança da informação;

III - transparência;

IV - rastreabilidade;

V - supervisão humana;

VI - gestão de riscos;

VII - segurança dos dados utilizados no treinamento e operação;

VIII - prevenção contra usos indevidos; e

IX - conformidade com a legislação vigente.

 

Parágrafo único. É vedada a inserção, em soluções de inteligência artificial externas ou não autorizadas formalmente pelo Município, de dados pessoais, informações sigilosas, credenciais, documentos protegidos ou quaisquer informações cuja divulgação possa comprometer a segurança institucional ou os direitos dos titulares, ressalvadas as hipóteses expressamente regulamentadas.

 

 

CAPÍTULO XVIII

DA CONFORMIDADE E DA MELHORIA CONTÍNUA

 

Art. 63. A Política de Segurança da Informação deverá ser revisada periodicamente, considerando:

I - alterações legislativas e regulamentares;

II - evolução tecnológica;

III - mudanças no ambiente de ameaças;

IV - resultados de auditorias;

V - incidentes de segurança;

VI - avaliações de riscos;

VII - mudanças na estrutura organizacional; e

VIII - evolução das políticas municipais de Governo Digital, proteção de dados, integridade e inovação.

 

Art. 64. O Município poderá adotar normas técnicas, padrões, frameworks e boas práticas nacionais e internacionais de segurança da informação, desde que compatíveis com a legislação aplicável e com a realidade da Administração Municipal. Parágrafo único. Poderão ser utilizadas como referências técnicas, entre outras, normas da Associação Brasileira de Normas Técnicas - ABNT, especialmente as relacionadas à gestão da segurança da informação, segurança cibernética, continuidade, gestão de riscos e privacidade.

 

 

CAPÍTULO XIX

DA REGULAMENTAÇÃO COMPLEMENTAR

 

Art. 65. O órgão municipal responsável pela coordenação da Política de Segurança da Informação poderá propor normas complementares, manuais, procedimentos, padrões técnicos e planos específicos necessários à implementação desta Política.

 

Art. 66. Poderão ser instituídos, mediante regulamentação específica, instrumentos complementares, incluindo:

I - Norma de Controle de Acesso;

II - Norma de Gestão de Ativos;

III - Norma de Gestão de Incidentes;

IV - Norma de Backup e Recuperação;

V - Norma de Continuidade de Serviços;

VI - Norma de Segurança para Contratações e Terceiros;

VII - Norma de Classificação da Informação;

VIII - Norma de Uso Aceitável de Recursos Tecnológicos;

IX - Norma de Segurança para Serviços em Nuvem;

X - Norma de Segurança no Desenvolvimento de Sistemas;

XI - Norma de Gestão de Vulnerabilidades;

XII - Norma de Segurança para Trabalho Remoto;

XIII - Norma de Uso Seguro de Inteligência Artificial; e

XIV - outras normas necessárias à implementação da PSI.

 

 

CAPÍTULO XX

DAS DISPOSIÇÕES FINAIS

 

Art. 67. A implementação da Política de Segurança da Informação ocorrerá de forma gradual, considerando a criticidade dos serviços, os riscos identificados, a capacidade técnica e operacional do Município e a disponibilidade orçamentária, observadas as seguintes metas orientativas:

I - em até 90 (noventa) dias: formalização das designações dos responsáveis institucionais e do Gestor de Segurança da Informação;

II - em até 180 (cento e oitenta) dias: elaboração do inventário inicial dos ativos de informação críticos e instituição do procedimento oficial de gestão de incidentes;

III - em até 12 (doze) meses: conclusão da primeira avaliação ampla de riscos e edição das normas complementares prioritárias previstas no Art. 66.

 

Art. 68. Os órgãos e entidades municipais deverão adequar seus procedimentos, sistemas e contratos às disposições desta Política, observados os prazos e prioridades definidos pelo órgão coordenador.

 

Art. 69. Os contratos vigentes deverão ser avaliados progressivamente quanto aos riscos relacionados à segurança da informação e à proteção de dados, especialmente aqueles que envolvam sistemas críticos, dados pessoais, infraestrutura tecnológica ou acesso de terceiros aos ativos municipais.

 

Art. 70. As disposições desta Política não afastam a aplicação de normas específicas relativas a:

I - proteção de dados pessoais;

II - acesso à informação;

III - sigilo;

IV - arquivo e gestão documental;

V - licitações e contratos;

VI - integridade e compliance;

VII - controle interno;

VIII - segurança cibernética; e

IX - demais matérias relacionadas à Administração Pública.

 

Art. 71. O Poder Executivo poderá editar atos complementares necessários à execução deste Decreto.

 

Art. 72. Este Decreto entra em vigor na data de sua publicação.

 

 

PREFEITURA MUNICIPAL, em Gravataí, 30 de setembro de 2026.

 

 

 

 

LUIZ ZAFFALON,

Prefeito Municipal.

 

Registre-se e publique-se.

 

 

 

 

RODRIGO SILVEIRA DA SILVA,

Secretário Municipal da Administração,

Modernização e Transparência.

____________________________________________________________________________________

Assinado por: CLAUDEMIR DA SILVEIRA CUTI