INSTRUÇÃO NORMATIVA GSI/PR Nº 9, DE 8 DE JANEIRO DE 2026

INSTRUÇÃO NORMATIVA GSI/PR Nº 9, DE 8 DE JANEIRO DE 2026
Altera a Instrução Normativa nº 1, de 27 de maio de
2020.
O MINISTRO DE ESTADO CHEFE DO GABINETE DE SEGURANÇA INSTITUCIONAL
DA PRESIDÊNCIA DA REPÚBLICA, no uso da atribuição que lhe confere o art. 87, parágrafo
único, incisos I, II e IV, da Constituição, e tendo em vista o disposto no art. 6º, parágrafo
único, e no art. 10, inciso III, do Decreto nº 12.572, de 4 de agosto de 2025, resolve:
Art. 1º A Instrução Normativa nº 1, de 27 de maio de 2020, do Gabinete de
Segurança Institucional da Presidência da República, passa a vigorar com as seguintes
alterações:
"Art. 18. Compete aos órgãos e às entidades da administração pública federal a
designação do gestor de segurança da informação, observados os seguintes requisitos
cumulativamente:
I - ser servidor ou empregado público civil ocupante de cargo efetivo ou militar
das Forças Armadas;
II - ser ocupante de Cargo Comissionado Executivo - CCE ou Função
Comissionada Executiva - FCE de nível 15, equivalente ou superior, ou oficial general,
na hipótese de militar das Forças Armadas;
III - não ser o responsável pela unidade de tecnologia da informação ou seu
subordinado, salvo quando não houver no órgão ou na entidade outro servidor,
empregado ou militar apto ao exercício do encargo, hipótese em que o ato de
designação deverá conter justificativa formal e fundamentada sobre eventual conflito
de competências; e
IV - possuir conhecimentos ou estar em processo de formação em segurança da
informação.
§1º O substituto do gestor de segurança da informação deverá atender aos
requisitos dispostos nos incisos I, III e IV do caput, e ser ocupante de Cargo
Comissionado Executivo - CCE ou Função Comissionada Executiva - FCE de nível 13,
equivalente ou superior, ou oficial superior do último posto, na hipótese de militar
das Forças Armadas.
§2º Em órgãos e entidades em que o dirigente máximo seja ocupante de Cargo
Comissionado Executivo - CCE ou Função Comissionada Executiva - FCE de nível igual ou
inferior a 15, ou equivalente, é permitida a designação de servidores ocupantes de CCE
ou FCE de nível igual ou superior a 13 ao titular, e de nível igual ou superior a 10 ao
substituto, observados os demais requisitos dispostos nos incisos I, III e IV do caput.
§3º O Gabinete de Segurança Institucional ofertará formações de gestores de
segurança da informação para o atendimento ao requisito previsto no inciso IV do
caput." (NR)
"Art. 19. Ao Gestor de Segurança da Informação dos órgãos e das entidades da
administração pública federal compete, no âmbito de sua atuação, exercer as
seguintes atribuições:
I - coordenar as iniciativas de segurança da informação no âmbito do órgão ou
da entidade ao qual representa, garantindo o cumprimento das normas internas e da
legislação vigente;
II - estimular iniciativas de capacitação em temas relacionados à segurança da
informação e promover ações de conscientização sobre boas práticas aos agentes
públicos;
III - divulgar as normas internas de segurança da informação a todos os agentes
públicos;
IV - realizar avaliações de riscos e análise dos impactos antes da adoção de
tecnologias emergentes no contexto de seu órgão ou entidade;
V - planejar e propor os recursos orçamentários necessários à implementação,
atualização e manutenção de iniciativas de segurança da informação;
VI - acompanhar os trabalhos da Equipe de Prevenção, Tratamento e Resposta
a Incidentes Cibernéticos;
VII - atuar como segunda linha de defesa no âmbito do Sistema de Controle Interno;
VIII - realizar avaliações de conformidade em relação à implementação de
requisitos estabelecidos na Política Nacional de Segurança da Informação (PNSI), nas
normas inferiores e na legislação aplicável à segurança da informação, e apoiar
auditorias internas e externas;
IX - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos
casos de violação da segurança da informação;
X - cooperar com o Encarregado pelo Tratamento de Dados Pessoais nas ações
relativas à segurança da informação quando envolver dados pessoais;
XI - elaborar e revisar o planejamento tático de segurança da informação, e
acompanhar sua implementação;
XII - participar de fóruns especializados para obtenção de experiências e
ampliação de capacidades, tanto no setor público quanto no setor privado; e
XIII - avaliar a capacidade operacional do órgão ou da entidade que representa,
a fim de:
a) subsidiar as decisões dos gestores superiores sobre ações de segurança da
informação; e
b) emitir parecer técnico ou recomendação sobre a conveniência de integrar ou
desligar-se de arranjos colaborativos de segurança da informação.
Parágrafo único. O responsável pela unidade de tecnologia da informação
deverá colaborar e fornecer os subsídios necessários ao Gestor de Segurança da
Informação para a execução de suas competências." (NR)
"Art. 19-A. Os órgãos e as entidades da administração pública federal poderão
designar servidor para o exercício de atribuições análogas às do Gestor de Segurança
da Informação, no âmbito de suas unidades administrativas.
§ 1º A designação de que trata o caput não configura a criação de cargo,
emprego ou função pública, mas a atribuição de responsabilidades a servidor já
ocupante de cargo público, o qual passará a ser identificado, em sua respectiva
unidade, como Gestor Setorial de Segurança da Informação.
§ 2º O servidor designado deverá observar os requisitos previstos nos incisos I,
III e IV do art. 18 e atuará sob a governança do Gestor de Segurança da Informação
titular do órgão ou entidade, ao qual deverá se reportar." (NR)
"Art. 19-B. Os órgãos e as entidades da administração pública federal deverão
comunicar à Secretaria de Segurança da Informação e Cibernética do Gabinete de
Segurança Institucional os nomes e os dados para contato do Gestor de Segurança da
Informação, titular e substituto, e de eventuais Gestores Setoriais de Segurança da
Informação, sempre que houver uma nova designação." (NR)
Art. 2º. O prazo para a designação dos gestores de segurança da informação
será de 60 (sessenta) dias corridos após a data da publicação desta Instrução Normativa.
Parágrafo único. Fica facultada aos órgãos e às entidades, até 29 de janeiro de
2027, a designação em Cargo Comissionado Executivo - CCE ou Função Comissionada
Executiva - FCE de nível 13 e nível 10, equivalentes ou superiores, para os titulares e
suplentes respectivamente, exceto para:
I - órgãos e entidades integrantes do Comitê Gestor de Segurança da
Informação - CGSI;
II - órgãos e entidades que tratam informação classificada, nos termos da Lei de
Acesso à Informação - LAI, Lei nº 12.527, de 18 de novembro de 2011; e
III - órgãos e entidades que sejam responsáveis por infraestruturas críticas
identificadas ou em processo de identificação, nos termos da Política Nacional de Segurança
de Infraestruturas Críticas - PNSIC, Decreto nº 9.573, de 22 de novembro de 2018.
Art. 3º. Esta Instrução Normativa entra em vigor na data de sua publicação.
MARCOS ANTONIO AMARO DOS SANTOS