PORTARIA MGI Nº 10.035, DE 29 DE DEZEMBRO DE 2025

PORTARIA MGI Nº 10.035, DE 29 DE DEZEMBRO DE 2025
Dispõe sobre as diretrizes e requisitos para uso do
ambiente de computação em nuvem do Ministério
da Gestão e da Inovação em Serviços Públicos.
O MINISTRO DE ESTADO DA GESTÃO E DA INOVAÇÃO EM SERVIÇOS
PÚBLICOS SUBSTITUTO, no uso das atribuições que lhe confere o art. 87, parágrafo
único, incisos I e II, da Constituição, e tendo em vista o disposto nos art. 9º e art. 24
da Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021, na Portaria SGD/MGI
nº 5.950, de 26 de outubro de 2023, na Portaria MGI Nº 10.033, de 29 de dezembro
de 2025, e no processo 18001.000873/2025-34, resolve:
Objeto e âmbito de aplicação
Art. 1º Esta Portaria dispõe sobre as diretrizes e requisitos para uso do
ambiente de computação em nuvem do Ministério da Gestão e da Inovação em
Serviços Públicos, com a finalidade de promover alta disponibilidade e melhoria do
desempenho das soluções de Tecnologia da Informação - TI, baseando-se nos princípios
de segurança da informação.
Parágrafo único. O disposto nesta Portaria aplica-se a:
I - órgãos de assistência direta e imediata e órgãos singulares da estrutura
do Ministério da Gestão e da Inovação em Serviços Públicos;
II - órgãos solicitantes do ColaboraGov, de que trata o Decreto nº 11.837, de 21
de dezembro de 2023, que utilizem o serviço de nuvem a que se refere o caput; e
III - agentes públicos e colaboradores que sejam usuários dos sistemas e
serviços de TI do Ministério da Gestão e da Inovação em Serviços Públicos ou dos
ativos de TI que suportam a respectiva rede.
Definições
Art. 2º Para os fins do disposto nesta Portaria, consideram-se:
I - ambiente de computação em nuvem ou ambiente de nuvem - modelo
computacional que permite acesso por demanda, independentemente da localização, a
um conjunto compartilhado de recursos configuráveis de computação, tais como rede
de computadores, servidores, armazenamento, aplicativos e serviços, provisionados com
esforços mínimos de gestão ou de interação com o provedor de serviços;
II - ativos de informação - meios de armazenamento, transmissão e
processamento da informação, equipamentos necessários a isso, sistemas utilizados
para tal, locais onde se encontram esses meios, recursos humanos que a eles têm
acesso e conhecimento ou dado que tem valor para um indivíduo ou organização;
III - ColaboraGov - modelo centralizado de prestação de serviços de suporte
administrativo, de forma organizada e padronizada, para órgãos da administração
pública federal direta, nos termos do disposto no art. 3º, § 1º, do Decreto nº 11.837,
de 21 de dezembro de 2023;
IV - escritório digital - plataforma para trabalho colaborativo do Ministério da
Gestão e da Inovação em Serviços Públicos, cujo objetivo é facilitar a gestão do trabalho e
a interação entre os membros da equipe, independentemente de onde as pessoas estejam,
inclusive fora das dependências do órgão, a partir de ativos de informação; e
V - provedor de serviços de nuvem - ente, público ou privado, que fornece
uma plataforma, infraestrutura, aplicativo, serviços de armazenamento ou ambientes de
tecnologia da informação baseados em nuvem.
Diretrizes gerais
Art. 3º São diretrizes para o uso do ambiente de computação em nuvem do
Ministério da Gestão e da Inovação em Serviços Públicos:
I - a continuidade dos negócios;
II - a interoperabilidade dos dados na execução de políticas públicas;
III - a prontidão no suporte às iniciativas do Governo Digital;
IV - a otimização dos custos de infraestrutura e serviços; e
V - a redução do tempo para a disponibilização de recursos.
Utilização e migração de soluções de TI
Art. 4º Fica autorizada a utilização e a migração de soluções de TI para o
ambiente de computação em nuvem pelo Ministério da Gestão e da Inovação em
Serviços Públicos.
Parágrafo único. As diretrizes de governança, segurança, controle de acesso,
definição de perfis de acesso e as condições mínimas de infraestrutura e sistema do
ambiente informatizado do Ministério da Gestão e da Inovação em Serviços Públicos
são válidas, no que se aplicar, ao ambiente de nuvem.
Contratações
Art. 5º Na aquisição de serviços ou produtos de infraestrutura de
computação deve ser priorizada a solução de ambiente em nuvem, salvo quando
demonstrada sua inviabilidade técnica ou econômica em estudo técnico preliminar da
contratação, observadas as diretrizes estabelecidas pelo órgão central do Sistema de
Administração dos Recursos de Tecnologia da Informação - SISP.
§ 1º A contratação de soluções de computação em nuvem de que trata o
caput busca:
I - garantir benefícios de capacidade, segurança e eficiência em tecnologia
para o Ministério da Gestão e da Inovação em Serviços Públicos; e
II - cumprir as metas e os objetivos do Planejamento Estratégico
Institucional e do Plano Diretor de Tecnologia da Informação do Ministério da Gestão
e da Inovação em Serviços Públicos.
§ 2º Os novos sistemas de TI serão hospedados, preferencialmente, em
ambiente de computação em nuvem.
Tratamento das informações no ambiente de nuvem
Art. 6º O tratamento de informações digitais no ambiente de computação
em nuvem deve observar os princípios da Política de Segurança da Informação do
Ministério da Gestão e da Inovação em Serviços Públicos - POSI/MGI e as demais
normas específicas de segurança da informação do Ministério e do Gabinete de
Segurança Institucional da Presidência da República.
Art. 7º Antes de transferir serviços ou dados para um provedor de serviço
de nuvem, devem ser observadas, no mínimo, as seguintes condições:
I - garantir que estejam alinhadas à legislação brasileira e aos direitos à
privacidade, à proteção dos dados pessoais e ao sigilo das comunicações privadas e
dos registros as seguintes operações:
a) de coleta, armazenamento, guarda e tratamento de registros de dados
pessoais; e
b) de comunicações realizada por provedores de conexão e de aplicações de
internet, em que pelo menos um desses atos ocorra em território nacional;
II - realizar o gerenciamento de riscos, precedido por análise e relatório de
impacto de dados pessoais, em conformidade com a legislação, dos seguintes itens:
a) o tipo de informação a ser migrada;
b) o fluxo de tratamento dos dados que podem ser afetados com a adoção
da solução;
c) o valor dos ativos envolvidos; e
d) os benefícios da adoção de uma solução de computação em nuvem, em
relação aos riscos de segurança e privacidade referentes à disponibilização de
informações e serviços a um terceiro;
III - definir o modelo de serviço e de implementação de computação em
nuvem que será adotado;
IV - avaliar quais informações serão hospedadas na nuvem, considerando:
a) o processo de classificação da informação de acordo com a legislação;
b) o valor do ativo de informação;
c) os controles de acessos físico e lógico relativos à segurança da informação; e
d) o modelo de serviço e de implementação de computação em nuvem;
V - definir as medidas de mitigação de riscos e de custos para a implementação de
solução de computação em nuvem e para possibilidade de crescimento dessa solução; e
VI - planejar custos de migração das informações e dos serviços, nos casos
de ingresso e de saída do serviço de computação em nuvem.
Parágrafo único. A unidade custodiante da informação deve analisar a
necessidade de criptografar as informações constantes nos sistemas migrados para um
ambiente de nuvem, com base nos requisitos legais, nos riscos, no nível de criticidade,
nos custos e nos benefícios.
Art. 8º Em relação ao tratamento da informação em ambiente de
computação em nuvem devem ser observadas as seguintes diretrizes:
I - a informação sem restrição de acesso poderá ser tratada em ambiente
de nuvem, considerada a legislação e os riscos de segurança da informação;
II - a informação classificada em grau de sigilo e documento preparatório
que possa originar informação classificada não poderão ser tratados em ambiente de
computação em nuvem; e
III - poderão ser tratados em ambiente de computação em nuvem,
observados os riscos de segurança da informação e a legislação vigente:
a) a informação com restrição de acesso prevista na legislação;
b) o material de acesso restrito regulado pelo Ministério da Gestão e da
Inovação em Serviços Públicos;
c) a informação pessoal relativa à intimidade, vida privada, honra e imagem,
nos termos do disposto na Lei nº 13.709, de 14 de agosto de 2018; e
d) o documento preparatório não previsto no inciso II do caput.
Parágrafo único. O disposto no caput aplica-se aos documentos e arquivos
compartilhados ou armazenados no escritório digital, bem como aos eventuais anexos
às mensagens transmitidas via correio eletrônico corporativo do Ministério da Gestão
e da Inovação em Serviços Públicos.
Armazenamento no ambiente em nuvem em outros países
Art. 9º O armazenamento em nuvem de dados e informações produzidos ou
custodiados pelo Ministério da Gestão e da Inovação em Serviços Públicos em outros
países deverá seguir as diretrizes estabelecidas pelo Gabinete de Segurança
Institucional da Presidência da República.
Parágrafo único. Para fins do tratamento de dados pessoais, deve ser
observado o disposto na Lei nº 13.709, de 14 de agosto de 2018.
Responsabilidades
Art. 10. Ao Gestor de Segurança da Informação compete:
I - supervisionar a aplicação das diretrizes e requisitos para uso do ambiente
de computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos
previstos nesta Portaria;
II - assegurar a contínua efetividade da comunicação com o provedor de
serviço de nuvem, que fornece tais serviços ao Ministério da Gestão e da Inovação em
Serviços Públicos e aos órgãos solicitantes do ColaboraGov, de forma a assegurar que
os controles e os níveis de serviço acordados sejam cumpridos;
III - supervisionar a aplicação das medidas de correção pelo provedor de
serviço de nuvem, em casos de eventuais desvios; e
IV - comunicar incidentes cibernéticos informados pelo provedor de serviço
de nuvem aos órgãos competentes para os seus tratamentos, conforme a relevância
dos incidentes previamente estabelecida.
Art. 11. Ao Comitê de Governança Digital e Segurança da Informação,
instituído pela Portaria MGI nº 3.844, de 28 de julho de 2023, compete:
I - estabelecer os países nos quais dados e informações custodiados pelo
Ministério da Gestão e da Inovação em Serviços Públicos poderão ser armazenados em
soluções de computação em nuvem;
II - definir os requisitos criptográficos mínimos para o armazenamento de
dados e informações, custodiados pelo Ministério da Gestão e da Inovação em Serviços
Públicos, em soluções de computação em nuvem;
III - deliberar sobre os requisitos técnicos para o uso do ambiente de
computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos; e
IV - propor à autoridade máxima do Ministério da Gestão e da Inovação em
Serviços Públicos a revisão do disposto nesta Portaria a cada dois anos ou com mais
frequência, se necessário, para refletir as mudanças no ambiente do Ministério, nos
riscos à segurança da informação e nas melhores práticas de segurança da
informação.
Art. 12. Ao provedor de serviços em nuvem compete manter a segurança
do ambiente de nuvem, por meio da proteção à infraestrutura que engloba hardware,
software, redes, instalações físicas, storage, datacenter e servidores virtuais, garantindo
o alinhamento com os normativos vigentes e operando de acordo com as melhores
práticas de segurança.
Art. 13. À área gestora de TI compete primar pela segurança da informação,
mediante o gerenciamento das aplicações, bancos de dados, sistemas operacionais,
identidade e acesso, regras de firewall e atualizações para a segurança.
Metas
Art. 14. O Ministério da Gestão e da Inovação em Serviços Públicos visa
alcançar os seguintes objetivos e metas relacionadas ao serviço de computação em
nuvem:
I - ampliar a oferta de recursos de infraestrutura em nuvem para o
ColaboraGov, com o aumento em vinte e cinco por cento do poder computacional em
nuvem até 31 de dezembro de 2025; e
II - ampliar a oferta de serviços em nuvem para o ColaboraGov, com a
disponibilização do catálogo de serviços até agosto de 2026.
Vigência
Art. 15. Esta Portaria entra em vigor na data de sua publicação.
CILAIR RODRIGUES DE ABREU