PORTARIA Nº 2, DE 9 DE JANEIRO DE 2026

PORTARIA Nº 2, DE 9 DE JANEIRO DE 2026
Institui a Equipe de Prevenção, Tratamento e Resposta
a Incidentes Cibernéticos no âmbito do Instituto
Nacional de Tecnologia da Informação (ETIR-ITI).
O DIRETOR-PRESIDENTE DO INSTITUTO NACIONAL DE TECNOLOGIA DA
INFORMAÇÃO - ITI, no uso das atribuições que lhe conferem o inciso VI do art. 13 do
Decreto nº 12.103, de 8 de julho de 2024, o disposto na Lei nº 13.709, de 14 de agosto
de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), Decreto nº 12.572, de 04 de
agosto de 2025 (Política Nacional de Segurança da Informação - PNSI) e no Decreto nº
10.748, de 16 de julho de 2021 (Rede Federal de Gestão de Incidentes Cibernéticos -
ReGIC), e o que consta no Processo Administrativo nº 00100.002790/2025-04, resolve:
CAPÍTULO I - DA INSTITUIÇÃO, FINALIDADE E ABRANGÊNCIA
Art. 1º Fica instituída, em caráter permanente, a Equipe de Prevenção,
Tratamento e Resposta a Incidentes Cibernéticos do Instituto Nacional de Tecnologia da
Informação, denominada ETIR-ITI.
Art. 2º A ETIR-ITI tem por missão coordenar e executar as ações de prevenção,
detecção, análise e resposta a incidentes cibernéticos e violações à privacidade que possam
comprometer os ativos de informação, a continuidade dos serviços negociais e a
integridade dos dados, pessoais ou não, do ITI ou sob sua custódia.
Art. 3º. Para efeito desta Portaria, aplicam-se os termos e definições constantes
no Glossário de Segurança da Informação, aprovado pela Portaria GSI/PR nº 93, de 18 de
outubro de 2021 e nas normas técnicas ABNT NBR ISO/IEC da família 27000.
Parágrafo único. A ETIR-ITI integra a Rede Federal de Gestão de Incidentes
Cibernéticos (ReGIC), devendo atuar em conformidade com as normas estabelecidas pelo
Gabinete de Segurança Institucional da Presidência da República (GSI/PR) e pelo Centro de
Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov).
CAPÍTULO II - DA COMPOSIÇÃO E ORGANIZAÇÃO
Art. 3º A ETIR-ITI adotará o Modelo Misto (combinado e descentralizado) de
atuação, sendo composta por uma Coordenação Central e Equipes Distribuídas, conforme
a seguinte estrutura:
I - Coordenação Central:
a) Agente Responsável pela ETIR (Coordenador);
b) Encarregado pelo Tratamento de Dados Pessoais;
c) Gestor de Segurança da Informação (GSI);
d) Um representante titular da Diretoria de Infraestrutura Tecnológica (DITEC).
II - Equipes Distribuídas - Oficiais de Segurança da Informação e de Resposta a
Incidentes (OSIRI):
a) Um representante da Diretoria de Auditoria, Fiscalização e Normalização (DAFN);
b) Um representante da Diretoria de Tecnologias de Identificação (DITI);
c)UmrepresentantedaDiretoriadePlanejamento,OrçamentoeAdministração(DPOA);
d) Um representante do Gabinete da Presidência (GABIN).
§ 1º O Agente Responsável pela ETIR será designado formalmente por ato do
Diretor-Presidente.
§ 2º A participação na ETIR-ITI é considerada serviço público relevante, não
remunerado, e será exercida sem prejuízo das atribuições regulares do cargo do
servidor.
§ 3º Os indicados para atuar nas equipes distribuídas devem ser,
preferencialmente, os Oficiais de Segurança da Informação e de Resposta a Incidentes
(OSIRI) conforme previsto na POSIN-ITI.
§ 4º Os membros titulares e suplentes da ETIR-ITI terão prioridade nas
capacitações, eventos e intercâmbios dentro do planejamento anual de capacitação do ITI,
desde que relacionados às suas atividades e competências.
CAPÍTULO III - DAS COMPETÊNCIAS E AUTONOMIA
Art. 4º Compete à ETIR-ITI:
I - Atuar como ponto focal único para o recebimento de notificações de
incidentes cibernéticos e violações de dados pessoais no âmbito do ITI;
II - Realizar a triagem, classificação de severidade e análise técnica de
incidentes;
III - Coordenar as ações de contenção, erradicação e recuperação de serviços
afetados;
IV - Elaborar relatórios técnicos e gerenciais sobre os incidentes, incluindo
lições aprendidas;
V - Disseminar alertas e recomendações de segurança para a comunidade
interna do ITI.
Art. 5º A ETIR-ITI possui Autonomia Operacional para a tomada de decisões
técnicas imediatas necessárias à contenção e recuperação de incidentes, visando minimizar
danos aos serviços negociais e aos dados, pessoais ou não, sob custódia da Autarquia.
Parágrafo único. As ações tomadas em regime de autonomia devem ser
comunicadas imediatamente à Alta Administração e posteriormente documentadas.
CAPÍTULO IV - DA COMUNICAÇÃO E NOTIFICAÇÃO
Art. 6º A comunicação de incidentes deverá observar os seguintes fluxos
obrigatórios:
I - Ao CTIR Gov: A ETIR-ITI deve comunicar imediatamente ao CTIR Gov a
ocorrência de incidentes cibernéticos relevantes que impactem serviços da APF, conforme
normativos vigentes.
II - À ANPD: Em conformidade com a Resolução CD/ANPD nº 15/2024, o
incidente de segurança que envolva dados pessoais e possa acarretar risco ou dano
relevante aos titulares deve ser comunicado à Autoridade Nacional de Proteção de Dados
(ANPD) no prazo de 3 (três) dias úteis, contados da confirmação do evento.
III - Ao CISC Gov.br: Para fins de coordenação operacional no âmbito do SISP,
a ETIR-ITI deverá interagir e compartilhar informações técnicas com o Centro Integrado de
Segurança Cibernética do Governo Digital.
CAPÍTULO V - DAS DISPOSIÇÕES FINAIS
Art. 7°. A Alta Administração proverá os recursos necessários para o funcionamento
da ETIR-ITI, em conformidade com a Instrução Normativa GSI/PR nº 1, de 2020.
Art. 8º O ITI adotará o protocolo Traffic Light Protocol (TLP) versão 2.0 (ou
superior) para a classificação e compartilhamento de informações sensíveis sobre
incidentes.
Art. 9º O Plano de Gestão de Incidentes Cibernéticos do ITI, contendo os
modelos e fluxos detalhados de resposta, deverá ser publicado em até 90 (noventa) dias a
partir da publicação desta Portaria, alinhado ao Plano de Gestão de Incidentes Cibernéticos
(PlanGIC) da Administração Pública Federal.
Art. 10º Esta Portaria entra em vigor na data de sua publicação.
ENYLSON FLAVIO MARTINEZ CAMOLESI