Portaria estabelece regras internas para avaliar riscos tecnológicos, mas não alcança automaticamente os demais órgãos do Sisp e deixa questões em aberto sobre correção de falhas críticas e dependência de fornecedores.
O Ministério da Gestão e da Inovação em Serviços Públicos (MGI) estabeleceu novas regras para controlar riscos em sistemas, dados, infraestrutura e contratos de tecnologia. A Portaria SSC/MGI nº 9.097/2026, publicada nesta segunda-feira (9), reforça as responsabilidades administrativas, mas apresenta lacunas sobre prazos de correção de vulnerabilidades críticas, dependência de fornecedores e transparência dos controles. A decisão também tem alcance limitado: aplica-se à Diretoria de Tecnologia da Informação da Secretaria de Serviços Compartilhados, sem estender automaticamente suas exigências aos demais órgãos integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp).
A distinção é relevante porque o próprio MGI abriga a Secretaria de Governo Digital (SGD), órgão central do Sisp, responsável pela orientação e coordenação das políticas de tecnologia da informação do Executivo federal. A nova portaria, entretanto, não foi editada como norma geral da SGD. Trata-se de uma regulamentação interna da Secretaria de Serviços Compartilhados, embora os sistemas e serviços sob responsabilidade de sua diretoria possam atender outras estruturas da administração pública.
A medida substitui a Portaria DTI/ME nº 11.596, de setembro de 2021, e detalha as responsabilidades pela identificação, avaliação, tratamento e acompanhamento de riscos tecnológicos. A regulamentação abrange serviços, sistemas, infraestrutura, dados, projetos e contratos de tecnologia, incluindo situações que possam comprometer a continuidade dos serviços públicos, a segurança da informação, a privacidade, a integridade administrativa e a proteção de dados pessoais.
Os riscos serão classificados em quatro níveis: pequeno, moderado, alto e crítico. As coordenações-gerais da Diretoria de Tecnologia da Informação (DTI) ficarão responsáveis pela identificação e acompanhamento dos problemas em suas áreas, enquanto a direção deverá deliberar sobre determinadas medidas de controle e situações que ultrapassem a competência dos gestores.
Prazos de correção e aceitação de riscos
Uma das principais fragilidades está na ausência de prazos máximos específicos para corrigir vulnerabilidades críticas. A portaria estabelece até seis meses, contados do início do gerenciamento de determinado objeto, para concluir as etapas iniciais de identificação, análise, avaliação e definição das respostas aos riscos. Esse período não se confunde com os prazos de resposta a incidentes de segurança, que podem estar sujeitos a procedimentos próprios.
O problema é que a regulamentação deixa os prazos de implementação das medidas corretivas para os respectivos planos de controle, considerando a complexidade das ações e a disponibilidade de recursos. Não estabelece, em seu texto, um limite geral para a eliminação ou mitigação de riscos críticos já identificados, o que torna a efetividade das correções dependente das decisões administrativas e dos procedimentos complementares adotados pela diretoria.
Outro ponto sensível envolve a possibilidade de aceitação de riscos. A norma permite expressamente que riscos pequenos e moderados sejam aceitos pelos gestores, mediante justificativa formal, respeitadas determinadas exceções. Para riscos altos e críticos, estabelece exigências de deliberação sobre planos que envolvam medidas de prevenção, mitigação ou transferência, mas não apresenta uma proibição absoluta e expressa de sua aceitação.
A decisão remete aos critérios de apetite e tolerância definidos no Guia de Gestão de Riscos do MGI. Isso significa que a possibilidade de aceitar riscos elevados e os limites dessa decisão precisam ser examinados em conjunto com o guia. A portaria, isoladamente, não esclarece todas as condições para uma eventual aceitação excepcional nem estabelece um procedimento específico de validação independente dessas decisões. Já os riscos à integridade, independentemente da gravidade, não poderão ser simplesmente aceitos.
Dependência tecnológica
A inclusão expressa dos contratos de tecnologia entre os objetos de gerenciamento de riscos é um dos aspectos relevantes da regulamentação. A medida permite avaliar problemas relacionados à dependência de fornecedores, interrupção de serviços terceirizados, dificuldades de migração de plataformas, exposição de dados e continuidade operacional.
Entretanto, a portaria não estabelece critérios específicos para riscos associados à contratação de fornecedores estrangeiros, dependência de tecnologias proprietárias, localização de dados, acesso por autoridades de outros países ou dificuldades de substituição de prestadores de serviços de computação em nuvem.
Essas questões podem ser examinadas dentro da metodologia geral de gerenciamento de riscos, mas não receberam tratamento próprio. A ausência de exigências explícitas chama atenção diante da importância que o próprio governo atribui à soberania digital, à autonomia tecnológica e à redução da dependência de fornecedores externos.
A regulamentação também não determina que a identificação de dependência tecnológica elevada provoque necessariamente uma revisão contratual ou a elaboração de estratégias de substituição de fornecedores. A decisão sobre as medidas cabíveis dependerá da avaliação de cada risco e das regras aplicáveis à contratação.
O artigo 16 mantém a aplicação da Instrução Normativa SGD/ME nº 94/2022 ao gerenciamento de riscos das contratações de tecnologia. A nova portaria funciona de maneira complementar, sem substituir as obrigações já existentes para o planejamento e acompanhamento desses contratos.
Reavaliações podem levar até três anos
A periodicidade das avaliações também merece atenção. A portaria estabelece que os objetos classificados com risco residual alto ou crítico sejam reavaliados em intervalos máximos de um ano. Para riscos moderados, o prazo chega a dois anos e, para riscos pequenos, a três anos. Objetos com riscos à integridade também deverão ser reavaliados, no máximo, anualmente.
Embora a norma determine monitoramento contínuo e permita revisões antecipadas diante de incidentes, mudanças tecnológicas, alterações contratuais ou recomendações dos órgãos de controle, não fixa periodicidades mínimas específicas para verificações técnicas de vulnerabilidades cibernéticas.
A diferença é importante porque um sistema considerado de baixo risco pode passar a apresentar falhas graves em pouco tempo, especialmente diante da descoberta de novas vulnerabilidades ou de mudanças na infraestrutura. A efetividade do modelo dependerá, portanto, da capacidade de identificar alterações no cenário de ameaças sem aguardar os ciclos formais de reavaliação.
Sem transparência pública
A nova regulamentação exige que os riscos e as medidas de tratamento sejam registrados no Sistema de Gestão da Estratégia (SisGE) ou no Sistema Ágatha. Os planos deverão identificar o problema, sua classificação, as ações previstas, os responsáveis, os prazos e a situação de execução.
A exigência fortalece a rastreabilidade administrativa e pode facilitar o trabalho de auditoria, inclusive na identificação de dirigentes que receberam informações sobre vulnerabilidades e das providências adotadas.
Entretanto, a portaria não determina a publicação periódica de relatórios públicos sobre os riscos tecnológicos identificados, a quantidade de vulnerabilidades críticas, os atrasos na execução dos planos ou os resultados das medidas de controle.
A preservação de informações técnicas sensíveis é necessária para evitar a exposição de sistemas públicos. Isso, porém, não impede necessariamente a divulgação de indicadores consolidados que permitam à sociedade e aos órgãos de fiscalização acompanhar a efetividade da gestão de riscos sem comprometer a segurança das infraestruturas.
Outra limitação está na concentração das responsabilidades dentro da própria estrutura administrativa. As unidades responsáveis pelos sistemas e contratos deverão identificar e acompanhar os riscos, enquanto a direção decidirá sobre as situações submetidas à sua competência. A Assessoria Especial de Controle Interno participa da orientação e do acompanhamento institucional, mas a portaria não cria uma instância independente específica para validar tecnicamente todos os riscos altos e críticos.
Isso não significa ausência de fiscalização externa ou de mecanismos de controle já existentes, mas demonstra que a regulamentação prioriza o gerenciamento administrativo interno, sem estabelecer uma nova camada obrigatória de verificação técnica independente.
Alcance limitado ao MGI
Apesar de tratar de questões relevantes para a segurança e a continuidade dos serviços digitais federais, a decisão não estabelece um padrão uniforme de gerenciamento de riscos para todos os integrantes do Sisp.
Os demais órgãos continuam sujeitos às normas gerais de governança, segurança da informação, proteção de dados e contratações de tecnologia aplicáveis às suas atividades. Entretanto, os procedimentos específicos agora definidos pela Secretaria de Serviços Compartilhados não se tornam automaticamente obrigatórios para essas instituições.
O alcance da portaria também não deve ser confundido com a responsabilidade da secretaria pelos serviços que presta a outras estruturas governamentais. Quando sistemas, contratos ou infraestruturas sob gestão da DTI atendem diferentes órgãos, os riscos correspondentes podem integrar o processo de avaliação previsto na nova regulamentação. Isso não equivale, porém, a submeter as diretorias de tecnologia desses órgãos às mesmas regras internas.
A decisão representa, assim, um esforço de organização das responsabilidades sobre riscos tecnológicos dentro de uma unidade do MGI, mas não uma revisão abrangente da política de segurança e governança de TI do governo federal. A existência de registros, responsáveis e planos de controle pode melhorar a administração dos riscos, mas não garante, por si só, a correção tempestiva de vulnerabilidades, a redução da dependência tecnológica ou a transparência dos resultados.
O principal desafio será demonstrar que os procedimentos estabelecidos não se limitarão ao cumprimento de exigências burocráticas, mas produzirão medidas efetivas de prevenção e correção. Sem indicadores públicos de desempenho e evidências da implementação dos controles, continuará difícil avaliar se a nova regulamentação representa uma melhoria concreta na segurança dos serviços digitais ou apenas um aperfeiçoamento formal de sua gestão administrativa.
