DOU 31/10/2025 - Diário Oficial da União - Brasil

TEXTO OFICIAL · ÍNTEGRA

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil. Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152025103100091 91 Nº 208, sexta-feira, 31 de outubro de 2025 ISSN 1677-7042 Seção 1 ANEXO . Órgão .Quantitativo de GSISTE . . .NÍVEL SUPERIOR .NÍVEL INTERMEDIÁRIO .Total . ..................... . . . . .2. Órgãos Setoriais e Seccionais . . . . ............................. . . . . .2.61. Agência Nacional do Cinema .1 .0 .1 . .2.62. Instituto Nacional de Tecnologia da Informação .2 .0 .2 . .2.63. Imprensa Nacional .2 .2 .4 . .T OT A L .1.087 .499 .1.586 SECRETARIA DE GOVERNO DIGITAL PORTARIA SGD/MGI Nº 9.511, DE 28 DE OUTUBRO DE 2025 Institui o Programa de Privacidade e Segurança da Informação no âmbito dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional, que possuem unidades que integram o Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do Poder Executivo federal. O SECRETÁRIO DE GOVERNO DIGITAL DO MINISTÉRIO DA GESTÃO E DA INOVAÇÃO EM SERVIÇOS PÚBLICOS, no uso das atribuições que lhe conferem o art. 23, caput, inciso VI, do Decreto nº 12.102, de 8 de julho de 2024, o art. 3º, caput, inciso VI, do Decreto 12.198, de 24 de setembro de 2024, e o art. 4º, caput, incisos I, III, IV e V do Decreto nº 7.579, de 11 de outubro de 2011, e tendo em vista o disposto na Portaria GSI/PR nº 93, de 18 de outubro de 2021, resolve: CAPÍTULO I DAS DISPOSIÇÕES PRELIMINARES Art. 1º Esta Portaria institui o Programa de Privacidade e Segurança da Informação - PPSI no âmbito dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional, que possuem unidades que integram o Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do Poder Executivo federal. Art. 2º Para fins desta Portaria, consideram-se: I - controle de privacidade: conjunto de medidas técnicas e administrativas para a proteção de dados pessoais em ativos de informação; II - controle de segurança da informação: conjunto de medidas técnicas e administrativas para assegurar a confidencialidade, a integridade, a disponibilidade e a autenticidade das informações; III - informações críticas sobre privacidade e segurança da informação: quaisquer dados ou informações sobre infraestrutura, configurações e características técnicas dos ativos de informação, políticas, normas e procedimentos operacionais e arquiteturas de negócio que podem expor vulnerabilidades e comprometer a privacidade dos titulares ou a confidencialidade, a integridade, a disponibilidade ou a autenticidade das informações; IV - medida de privacidade: ação técnica ou administrativa para proteger dados pessoais contra acessos não autorizados, vazamentos, usos indevidos ou qualquer outra forma de tratamento que possa comprometer a privacidade dos titulares; V - medida de segurança da informação: ação técnica ou administrativa para assegurar a confidencialidade, a integridade, a disponibilidade e a autenticidade das informações; e VI - plano de trabalho: instrumento tático de planejamento da implementação das medidas de privacidade e de segurança da informação. CAPÍTULO II DO PROGRAMA DE PRIVACIDADE E SEGURANÇA DA INFORMAÇÃO Art. 3º O PPSI caracteriza-se como um conjunto de ações, iniciativas e estratégias distribuídas nas áreas temáticas de governança, maturidade, metodologia, pessoas e tecnologia. § 1º O PPSI tem como objetivo elevar a maturidade e a resiliência dos órgãos e entidades da administração pública federal direta, autárquica e fundacional, que possuem unidades que integram o SISP, nos aspectos de privacidade e segurança da informação. § 2º São iniciativas do PPSI: I - definir e manter a estrutura de controles e medidas de privacidade e segurança da informação, além de metodologias e ferramentas de apoio; II - diagnosticar o grau de implementação das medidas de privacidade e segurança da informação pelos órgãos e entidades do SISP fundamentado em processo de gestão de riscos; III - acompanhar a implementação das medidas de privacidade e segurança da informação; IV - orientar a estrutura de governança do PPSI, prevista no art. 7º, quanto às melhores práticas relacionadas à privacidade e segurança da informação; V - fomentar a integração da gestão de riscos em privacidade e segurança da informação com a gestão de riscos do órgão ou entidade; VI - promover parcerias com órgãos e entidades públicas, instituições privadas e organismos internacionais para desenvolver e dar sustentação às iniciativas relacionadas aos temas, nos termos da legislação vigente; VII - promover a cultura e as boas práticas em privacidade e segurança da informação; VIII - estabelecer e coordenar o Centro de Excelência em Privacidade e Segurança da Informação do Governo Digital; IX - estabelecer e coordenar o Centro Integrado de Segurança Cibernética do Governo Digital; X - apoiar na prevenção, tratamento e resposta a incidentes cibernéticos; e XI - identificar e disseminar informações sobre ameaças e vulnerabilidades para a prevenção, tratamento e resposta a incidentes cibernéticos. § 3º São valores do PPSI: I - a soberania; II - a maturidade; III - a resiliência; IV - a inteligência; V - a efetividade; e VI - a colaboração. Art. 4º O PPSI constitui instrumento de governança dos órgãos e entidades da administração pública federal direta, autárquica e fundacional, e deve ser implementado em conformidade com políticas, normas e sistemas aplicáveis, incluindo, mas não se limitando: I - à Lei nº 13.709, de 14 de agosto de 2018; II - à Lei nº 14.129, de 29 de março de 2021; III - ao Decreto nº 9.203, de 22 de novembro de 2017; IV - ao Decreto nº 11.856, de 26 de dezembro de 2023; V - ao Decreto nº 12.572, de 4 de agosto de 2025; VI - ao Decreto nº 12.573, de 4 de agosto de 2025; e VII - aos normativos emitidos pelo Gabinete de Segurança Institucional da Presidência da República relacionados à segurança da informação e pela Agência Nacional de Proteção de Dados. Art. 5º As informações críticas geradas a partir da execução de quaisquer etapas, atividades ou procedimentos previstos nesta Portaria são consideradas imprescindíveis à segurança da sociedade e do Estado e somente podem ser acessadas por profissionais autorizados pelas autoridades responsáveis pelos respectivos ativos de informação, conforme previsto no art. 15 do Decreto nº 10.748, de 16 de julho de 2021. Art. 6º A Secretaria de Governo Digital atua no apoio técnico à realização das ações, iniciativas e estratégias do Programa, em articulação com a estrutura de governança do PPSI dos órgãos e entidades. CAPÍTULO III ESTRUTURA DE GOVERNANÇA DO PPSI Art. 7º Compõem a estrutura de governança do PPSI: I - a alta administração, nos termos do art. 2º, caput, inciso III, do Decreto nº 9.203, de 22 de novembro de 2017; II - o gestor de tecnologia da informação e comunicação, de que trata o art. 4º, caput, inciso IV, da Portaria SGD/ME nº 778, de 4 de abril de 2019; III - o gestor de segurança da informação, de que trata a Instrução Normativa nº 1, de 27 de maio de 2020; IV - o encarregado pelo tratamento de dados pessoais, de que trata o art. 41, § 2º, da Lei nº 13.709, de 14 de agosto de 2018; e V - o responsável setorial pela gestão da integridade, de que trata o art. 5º, caput, inciso II, do Decreto nº 11.529, de 16 de maio de 2023. Art. 8º À alta administração compete gerir os riscos no âmbito organizacional, fornecer os recursos necessários para assegurar a gestão da privacidade e da segurança da informação, viabilizar a implementação da estrutura de governança do PPSI e adotar decisões sobre privacidade e segurança da informação em um nível de relevância e prioridade adequadas e alinhadas com a estratégia e com a consecução dos objetivos do órgão ou entidade no cumprimento da sua missão institucional. Art. 9º Ao gestor de tecnologia da informação e comunicação compete planejar, desenvolver, executar e monitorar as medidas de privacidade e segurança da informação em soluções de tecnologia da informação e comunicação, considerando inclusive a cadeia de suprimentos relacionada à solução. Art. 10. Ao gestor de segurança da informação compete conduzir o diagnóstico de segurança da informação, bem como orientar, planejar e monitorar as medidas de segurança da informação. Art. 11. Ao encarregado pelo tratamento de dados pessoais compete conduzir o diagnóstico de privacidade, bem como orientar os agentes de tratamento no planejamento, implementação e monitoramento das medidas de privacidade. Art. 12. Ao responsável setorial pela gestão da integridade compete o diagnóstico das medidas relativas à estruturação básica e instrumentos fundamentais de governança do PPSI, além da coordenação e gestão dos riscos para a integridade relacionados aos temas. CAPÍTULO IV DO FRAMEWORK DO PPSI Art. 13. O framework do PPSI é composto por um conjunto de controles e medidas de privacidade e segurança da informação. Art. 14. Os órgãos e entidades da administração pública federal direta, autárquica e fundacional, que possuem unidades que integram o SISP, devem adotar o framework de privacidade e de segurança da informação, sendo sua gestão sob responsabilidade da estrutura de governança do PPSI. Art. 15. Consideram-se etapas para a execução do framework: I - diagnóstico: o órgão ou entidade deve executar o diagnóstico, considerando o modelo de avaliação disponibilizado por meio do framework; II - análise de lacunas: identificar, a partir do diagnóstico previsto no inciso I do caput, a necessidade de implementação de medidas ou de aprimoramento das medidas já implementadas de privacidade e segurança da informação, para aumento da maturidade do órgão ou entidade; III - planejamento: a partir da etapa prevista no inciso II do caput, planejar e especificar os prazos e os recursos necessários à implementação das medidas, considerando aspectos orçamentários e de recursos humanos do próprio órgão ou entidade; e IV - implementação: implementar medidas priorizadas e gerenciar as medidas já implementadas, conforme planejamento previsto no inciso III do caput, para aumento da maturidade do órgão ou entidade nos aspectos de privacidade e segurança da informação. Parágrafo único. A Secretaria de Governo Digital poderá definir o conjunto de medidas prioritárias a serem implementadas pelos órgãos e entidades da administração pública federal direta, autárquica e fundacional que possuem unidades que integram o SISP, bem como outras orientações necessárias para a adequada implementação do PPSI. Art. 16. O diagnóstico e o plano de trabalho resultante da etapa de planejamento devem ser encaminhados à Secretaria de Governo Digital, conforme definido por esta Secretaria. § 1º O plano de trabalho para implementar as medidas do framework deve ser integrado aos instrumentos de planejamento institucional do órgão ou entidade. § 2º As ações decorrentes do plano de trabalho que demandem a necessidade de contratação de solução de tecnologia da informação e comunicação devem ser vinculadas ao Plano Diretor de Tecnologia da Informação e Comunicação - PDTIC do órgão ou entidade. Art. 17. A Secretaria de Governo Digital pode solicitar evidências da implementação das medidas de privacidade e segurança da informação para fins de análise, monitoramento e adequação do apoio ao PPSI. CAPÍTULO V DO CENTRO INTEGRADO DE SEGURANÇA CIBERNÉTICA DO GOVERNO DIGITAL Art. 18. Fica instituído o Centro Integrado de Segurança Cibernética do Governo Digital - CISC gov.br, como uma unidade de coordenação setorial, com o objetivo de integrar e fortalecer as ações de prevenção, tratamento e resposta a incidentes cibernéticos nos órgãos e entidades da administração pública federal direta, autárquica e fundacional que possuem unidades que integram o SISP, nos termos do Decreto nº 10.748, de 16 de julho de 2021. Parágrafo único. Compete à Secretaria de Governo Digital a prospecção, o planejamento, a implementação, o monitoramento, a melhoria contínua e o gerenciamento das ações no âmbito do CISC gov.br. Art. 19. Compete ao CISC gov.br: I - atuar como equipe principal para prevenção, tratamento e resposta a incidentes cibernéticos da Plataforma gov.br e dos demais serviços sob responsabilidade da Secretaria de Governo Digital; II - apoiar o planejamento, a implementação, a operação, a prevenção, o tratamento e a resposta das equipes de resposta a incidentes cibernéticos dos órgãos e entidades da administração pública federal direta, autárquica e fundacional que possuem unidades que integram o SISP; III - promover a comunicação e colaboração com outras equipes de prevenção, tratamento e resposta a incidentes cibernéticos, tanto dos órgãos e entidades da administração pública federal direta, autárquica e fundacional quanto das organizações privadas; IV - estabelecer padrões, procedimentos e processos técnicos, observando os normativos do Gabinete de Segurança Institucional; V - executar testes de intrusão em ativos de informação, sob demanda; VI - executar testes estáticos e dinâmicos de segurança em aplicações; VII - realizar análises não invasiva e contínua de ameaças e vulnerabilidades em ativos de informação; VIII - realizar análises de ameaças e vulnerabilidades em ativos de informação, sob demanda; IX - desenvolver atividades de inteligência de ameaças cibernéticas; X - elaborar e publicar alertas e recomendações; XI - emitir determinações e prazos para correção de vulnerabilidades com alta criticidade; e