DOU 07/10/2026 - Diario Oficial da Uniao - Brasil

TEXTO OFICIAL · ÍNTEGRA

Seção 1

Nº 190, quarta-feira, 7 de outubro de 2026

ISSN 1677-7042

Art. 8° Devem ser mantidas em ambiente de nuvem de governo, exceto se expressamente determinado pelo Comitê de Governança Digital da Enap (mediante análise técnica fundamentada que justifique a segurança e a economicidade da decisão), cargas de trabalho que tratem informação com restrição de acesso prevista na legislação, a exemplo de: sigilo fiscal, bancário, comercial, empresarial, contábil, de segredo industrial, de direito autoral, de propriedade intelectual, industrial, policial, processual civil, processual penal e disciplinar administrativa.

CAPÍTULO II - SEÇÃO I

Da Alta Administração

Art. 9° Compete à alta administração da Enap, com apoio da área de tecnologia da informação:

I - aprovar e garantir os recursos necessários para a implementação desta estratégia; II - promover a cultura de uso seguro e eficiente da computação em nuvem na instituição; III - tomar decisões estratégicas relativas à adoção de nuvem, com base nas recomendações técnicas e de governança. CAPÍTULO II - SEÇÃO II Do Comitê de Governança Digital (CGD/Enap)

Art. 10. Compete à alta administração da Enap, com apoio da área de tecnologia da informação:

I - deliberar sobre as políticas, normas e planos relacionados à computação em nuvem; II - acompanhar a implementação desta estratégia e avaliar seus resultados; III - arbitrar sobre casos omissos ou conflitos de interpretação desta estratégia. CAPÍTULO II - SEÇÃO III

Da Coordenação-Geral de Tecnologia da Informação (CGTI)

Art. 11. Compete à Coordenação-Geral de Tecnologia da Informação (CGTI): propor, implementar e gerenciar as soluções de software e serviços em nuvem, conforme esta estratégia;

prestar suporte técnico e orientação às áreas de negócio quanto ao uso de soluções em nuvem;

gerenciar os contratos com os provedores de serviços em nuvem;

monitorar a segurança, o desempenho e os custos dos serviços em nuvem; manter-se atualizada sobre as novas tecnologias e melhores práticas em computação em nuvem. CAPÍTULO II - SEÇÃO IV

Do Gestor de Segurança da Informação

Art. 12. Compete ao Gestor de Segurança da Informação:

I - definir e fiscalizar o cumprimento dos requisitos de segurança para soluções em nuvem; II - realizar análises de risco e propor medidas mitigatórias;

III - gerenciar incidentes de segurança relacionados a serviços em nuvem; IV - promover a conscientização sobre segurança da informação no contexto da nuvem. CAPÍTULO II - SEÇÃO V Das Áreas de Negócio

Art. 13. Compete às áreas de negócio (Diretorias, Coordenações e demais unidades demandantes):

I - identificar as necessidades de negócio que podem ser atendidas por soluções em nuvem; II - participar da especificação e validação das soluções em nuvem;

III - utilizar as soluções em nuvem de forma segura e segundo as políticas da Enap. CAPÍTULO II - SEÇÃO VI Do Encarregado pelo Tratamento de Dados Pessoais (DPO)

Art. 14. Compete ao Encarregado pelo Tratamento de Dados Pessoais (DPO):

I - orientar e fiscalizar a conformidade das soluções em nuvem com a LGPD;

II - participar da avaliação de impacto à proteção de dados (DPIA) para novas soluções em nuvem. CAPÍTULO III DIRETRIZES PARA DEFINIÇÃO DA ESTRATÉGIA

Art. 15. A Enap adota as seguintes diretrizes para orientar o uso de software e serviços de computação em nuvem, de forma a garantir segurança, eficiência, governança e alinhamento estratégico com as políticas públicas:

I - identificação das necessidades do negócio - todas as iniciativas em nuvem deverão partir da análise das necessidades específicas das áreas de negócio da Enap, considerando:

a) os serviços, sistemas, dados e aplicações que demandam escalabilidade ou

alta disponibilidade;

b) a natureza dos dados (abertos, pessoais, sensíveis, sigilosos ou classificados);

c) os requisitos de desempenho, acessibilidade e continuidade.

II - seleção dos modelos adequados (IaaS, PaaS, SaaS, nuvem pública, híbrida, privada ou de governo) - a escolha do modelo de serviço e de implantação será pautada em: a) maturidade técnica da Enap para operar e governar o serviço;

b) natureza dos dados a serem tratados;

c) critérios de custo-benefício, agilidade e segurança;

d) a abordagem cloud híbrida será preferencial, permitindo combinar controle e escalabilidade, dados com restrição de acesso serão priorizados em nuvem de governo ou ambiente controlado. III - avaliação dos possíveis fornecedores - as contratações serão precedidas de estudo técnico com análise de fornecedores com:

experiência comprovada em ambientes governamentais;

certificações de conformidade e segurança (ex.: ISO/IEC 27001, SOC 2 tipo II); capacidade técnica, suporte local, Acordo de Nível de Serviço (ANS) compatível com as exigências institucionais;

o princípio da economicidade e da pluralidade de fornecedores será respeitado. IV - definição dos requisitos mínimos obrigatórios de segurança, incluindo:

• a) criptografia ponta a ponta;

• b) autenticação multifator (MFA);

c) segmentação de redes;

d) gestão de identidade e acesso com privilégios mínimos;

e) registro e auditoria de logs.

V - estabelecimento de uma política de governança em nuvem envolverá:

• a) controle de acesso baseado em função (RBAC);

b) classificação da informação conforme o Decreto nº 7.724/2012;

• c) monitoramento contínuo;

d) conformidade com a Política de Segurança da Informação da Enap;

e) acompanhamento pelo Comitê de Governança Digital.

somente poderão ser migrados à nuvem os dados e sistemas cuja análise de impacto e classificação permitam. Será exigida mitigação de riscos por meio de: a) controles técnicos e administrativos;

• b) treinamento de usuários;

c) planos de resposta a incidentes;

d) respeito à LGPD e demais normativos;

e) ambientes em nuvem pública não poderão processar informações classificadas (reservadas, secretas ou ultrassecretas).

antes da adoção de serviços em nuvem, será avaliada a infraestrutura de TIC da Enap quanto a:

a) conectividade (banda larga estável e segura);

• b) capacidade da equipe técnica;

c) ferramentas de gestão e monitoramento existentes. papéis e responsabilidades na governança dos contratos de nuvem: a) área de TIC: planejamento, execução e fiscalização contratual;

b) áreas de negócio: levantamento das necessidades e validação das entregas; c) Comitê de Governança Digital: priorização, monitoramento e deliberação estratégica. princípios norteadores da estratégia

• a) cloud smart (adoção estratégica, segura e eficiente);

• b) interoperabilidade entre sistemas e dados;

• c) resiliência e disponibilidade contínua;

d) lift-and-shift como exceção, preferindo reengenharia e modernização; e) uso de cloud broker quando necessário, com foco em portabilidade e conformidade. todas as iniciativas dessa estratégia deverão ser alinhadas aos seguintes instrumentos:

a) Plano Estratégico Institucional (PEI);

b) Plano Diretor de TIC (PDTIC);

c) Plano de Contratações Anual (PCA);

d) Plano de Segurança da Informação;

e) Política de Proteção de Dados Pessoais.

cada iniciativa deverá conter mapeamento AS IS (estado atual) e definição do TO BE (estado desejado), com indicadores como:

a) tempo médio de provisionamento;

• b) redução de custos operacionais;

• c) aumento de disponibilidade e desempenho;

• d) nível de satisfação do usuário;

e) conformidade com LGPD e políticas de segurança. a Enap promoverá a capacitação contínua dos servidores envolvidos com a gestão, operação e uso de soluções em nuvem, priorizando:

a) segurança da informação;

• b) gerenciamento de contratos e custos;

c) arquitetura e engenharia de nuvem;

d) ferramentas de monitoramento e automação.

serão observados requisitos de interoperabilidade entre plataformas, serviços e bases de dados, visando evitar dependência de fornecedor (vendor lock-in), os contratos incluirão cláusulas de portabilidade, formatos abertos e APIs padronizadas. requisitos regulatórios e de conformidade: a) LGPD (Lei nº 13.709/2018);

b) Lei de Acesso à Informação (Lei nº 12.527/2011);

• c) Marco Civil da Internet (Lei nº 12.965/2014);

d) normas técnicas de segurança da informação e privacidade (ISO/IEC 27001, 27701 etc.);

• e) normas do TCU e CGU aplicáveis à contratação pública.

definição da Estratégia de saída, ou seja, cada contrato de serviços em nuvem conterá cláusula de saída que inclua: a) plano de migração reversa para infraestrutura local ou outro provedor; b) backup completo e atualizado;

• c) devolução segura dos dados;

d) suporte na transição durante período definido; e) garantia de portabilidade dos dados em formato aberto.

toda iniciativa em nuvem será acompanhada por um plano de gerenciamento de riscos com: a) mapa de riscos atualizado;

b) análise de impacto (BIA - Business Impact Analysis);

• c) estratégias de mitigação, aceitação ou transferência;

d) monitoramento contínuo dos riscos residuais;

e) registro em ferramenta oficial da Enap.

Parágrafo único. O mapeamento de que trata o caput será consolidado nos documentos de planejamento da contratação (Estudo Técnico Preliminar - ETP e Termo de Referência - TR) e vinculado ao Plano Diretor de TIC (PDTIC). CAPÍTULO IV DEFINIÇÃO DOS REQUISITOS DE SEGURANÇA

Art. 16. A Enap adota os seguintes requisitos técnicos e normativos para garantir a segurança, resiliência e conformidade no uso de serviços de computação em nuvem, em alinhamento com a Instrução Normativa GSI/PR nº 5/2021, Portaria SGD/MGI nº 5.950/2023 e a legislação vigente: I - toda informação deve ser previamente classificada conforme a Tabela de Classificação da Informação da ENAP, com base no Decreto nº 7.724/2012 e na Lei nº 12.527/2011 (Lei de Acesso à Informação);

II - informações com restrição de acesso (ex.: dados pessoais sensíveis, informações fiscais, processuais, de pesquisa sigilosa etc.) só poderão ser processadas em nuvem governamental, privada ou comunitária, com controle total da ENAP ou de ente público responsável; III - as soluções em nuvem devem oferecer mecanismos de segurança: a) criptografia de dados em trânsito e em repouso com algoritmos aderentes aos padrões do GSI/PR; b) controle de acesso baseado em identidade (IAM), com autenticação multifator (MFA) obrigatória; c) segmentação lógica e física de ambientes, com políticas claras de isolamento entre tenants (instâncias ou ambientes em nuvem);

d) rastreamento de atividades e trilhas de auditoria com retenção mínima legal;

e) resiliência e alta disponibilidade, com garantias contratuais de continuidade de serviço (recuperação de desastres e failover (redundância)); f) atualizações e correções de segurança automatizadas, auditáveis e gerenciadas com base em ciclos regulares.

IV - os dados deverão ser armazenados preferencialmente em data centers localizados em território nacional. Casos excepcionais de uso de data centers fora do país só serão aceitos com: a) cópia de segurança (backup) atualizada e integral mantida em território brasileiro;

b) avaliação formal do Comitê de Governança Digital da ENAP;

c) garantia contratual da soberania jurídica sobre os dados.

V - todos os contratos com provedores de nuvem deverão prever cláusulas específicas sobre relatórios e auditoria:

a) garantia de confidencialidade, integridade e disponibilidade da informação; b) responsabilidade solidária do cloud broker, quando houver;

c) apresentação obrigatória dos relatórios de auditoria SOC 2 tipo II, ISO/I EC 27001 ou equivalente;

d) permissão para auditoria externa ou interna por parte da ENAP, órgãos de controle ou parceiros credenciados. VI - requisitos de Governança e Gestão de Riscos:

Mapa de riscos para serviços em nuvem, com análise de probabilidade, impacto e plano de tratamento;

Plano de continuidade de negócios (PCN) específico para cargas de trabalho em nuvem; Plano de saída (estratégia de exit) com procedimentos para portabilidade, migração reversa, destruição segura de dados e mitigação de aprisionamento tecnológico (vendor lock-in); diretrizes para controle de consumo e alocação de recursos computacionais. VII - capacitação e conscientização: a) capacitação técnica da equipe de TIC, segurança da informação e áreas usuárias; b) conscientização institucional sobre riscos e boas práticas no uso da nuvem; c) atualização normativa sobre segurança da informação e proteção de dados. CAPÍTULO V DISPOSIÇÕES FINAIS

Art. 17. Esta estratégia bem como os documentos gerados a partir dela devem ser revisados, aprovados e atualizados em função de alterações na legislação pertinente, de diretrizes políticas do governo federal, de alterações nas políticas e normas da Enap, quando considerada necessária pelo Comitê de Segurança da Informação.

Art. 18. Em função da capacidade de os provedores de serviço de computação em nuvem implementar atualizações relacionadas à segurança da informação em seus produtos e serviços, a presente estratégia deve ser revisada em até 2 (dois) anos para: I - definir novos critérios e a periodicidade das atualizações dos procedimentos e dos recursos computacionais a serem observados pelo provedor de serviço de nuvem; II - atualizar periodicamente os processos internos de gestão de riscos de segurança da informação.

Parágrafo único. A estratégia também será revisada quando ocorrerem eventos, fatores relevantes, novos requisitos tecnológicos, corporativos e/ou legais que exijam sua revisão imediata.

Art. 19. As novas contratações de software e serviços de computação em nuvem devem observar as diretrizes apresentadas neste documento, bem como o modelo de contratação de software e de serviços de computação em nuvem, no âmbito dos órgãos e entidades integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do Poder Executivo Federal.

Art. 20. Esta estratégia e seus documentos complementares devem ser divulgados a todos os usuários e partes interessadas, mediante publicação no Boletim de Serviço Eletrônico e no portal da Enap na internet, a fim de promover sua observância e conhecimento.

Art. 21. A alta administração deve priorizar a alocação dos recursos (humanos, tecnológicos e financeiros) necessários para a execução desta estratégia.

Art. 22. Os casos omissos e os conflitos de interpretação não abordados neste documento serão analisados pelo Comitê de Governança Digital.

74

Documento assinado digitalmente conforme MP nº 2.200-2 de 24/08/2001, que institui a Infraestrutura de Chaves Públicas Brasileira - ICP-Brasil.

Este documento pode ser verificado no endereço eletrônico http://www.in.gov.br/autenticidade.html, pelo código 05152026100700074