INSTRUÇÃO NORMATIVA SGD/MGI Nº 4, DE 14 DE JANEIRO DE 2026 (parte 1 de 2)

INSTRUÇÃO NORMATIVA SGD/MGI Nº 4, DE 14 DE JANEIRO DE 2026
Dispõe sobre o ciclo de implementação de 2026 do
framework do Programa de Privacidade e Segurança
da Informação - PPSI no âmbito dos órgãos e das
entidades da administração pública federal direta,
autárquica e fundacional que possuem unidades
integrantes do Sistema de Administração dos
Recursos de Tecnologia da Informação - SISP do
Poder Executivo federal.
A SECRETÁRIA DE GOVERNO DIGITAL SUBSTITUTA DO MINISTÉRIO DA GESTÃO E
DA INOVAÇÃO EM SERVIÇOS PÚBLICOS, no uso da competência que lhe foi subdelegada
pelo art. 11 da Portaria MGI nº 572, de 8 de março de 2023, publicada no Diário Oficial da
União de 9 de março de 2023, e nas atribuições que lhe conferem o art. 23, caput, inciso
VI, do Anexo I ao Decreto nº 12.102, de 8 de julho de 2024, o art. 3º, caput, inciso VI, do
Decreto nº 12.198, de 24 de setembro de 2024, e o art. 4º, caput, incisos I, IV e V do
Decreto nº 7.579, de 11 de outubro de 2011, e tendo em vista o disposto na Portaria
SGD/MGI nº 9.511, de 28 de outubro de 2025, resolve:
Objeto e âmbito de aplicação
Art. 1º Esta Instrução Normativa dispõe sobre o ciclo de implementação de 2026 do
framework do Programa de Privacidade e Segurança da Informação - PPSI no âmbito dos órgãos e das
entidades da administração pública federal direta, autárquica e fundacional que possuem unidades
integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do Poder
Executivo federal.
Definições
Art. 2º Para os fins do disposto nesta Instrução Normativa, consideram-se:
I - diagnóstico: avaliação conduzida pelo órgão ou entidade, destinada a aferir
o nível de implementação das medidas do framework do PPSI;
II - plano de trabalho: instrumento tático de planejamento da implementação
das medidas de privacidade e de segurança da informação;
III - ciclos de implementação: ciclos anuais de priorização incremental de
medidas, estruturados para promover a maturidade em privacidade e segurança da
informação, por meio da execução das etapas do framework do PPSI, de que trata o art.
15 da Portaria SGD/MGI nº 9.511, de 28 de outubro de 2025;
IV - gestão contínua: processo continuado destinado a monitorar, revisar e
adequar o nível de implementação das medidas priorizadas, assegurando sua efetividade
frente a necessidades tecnológicas, organizacionais ou normativas;
V - maturidade em privacidade e segurança da informação: estágio em que o
órgão ou entidade encontra-se quanto ao nível de implementação de um conjunto
específico de medidas estabelecidas no framework do PPSI;
VI - Nível de Adoção do Controle - NAC: grau de adoção de um controle em
escala nominal, determinado a partir da média da pontuação do nível de implementação
das medidas contidas no controle, na forma do Anexo III; e
VII - Nível de Implementação da Medida - NIM: grau de implementação de uma
medida em escala nominal, com respectiva pontuação, considerando o seu propósito e
escopo de aplicação no framework do PPSI, na forma do Anexo II.
Informações sobre serviços prestados por órgãos ou entidades provedores
Art. 3º Caso haja prestação de serviços a órgãos ou entidades por integrantes
do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP, os órgãos
ou entidades provedores deverão prestar as informações essenciais à execução das etapas
do framework do PPSI aos respectivos órgãos ou entidades providos.
Das medidas a serem adotadas pelos órgãos e entidades
Art. 4º Os órgãos e entidades de que trata o art. 1º deverão adotar as medidas
prioritárias e as medidas de gestão contínua de que trata o Anexo I.
Parágrafo único. O órgão ou entidade de que trata o art. 1º poderá
implementar outras medidas não priorizadas no ciclo de implementação de 2026 do
framework do PPSI.
Art.5ºASecretariadeGovernoDigitaldoMinistériodaGestãoedaInovaçãoemServiços
Públicos disponibilizará ferramenta para preenchimento, pelos órgãos e entidades, de informações
relativas:
I - à estrutura de governança do PPSI, de que trata o art. 7º da Portaria
SGD/MGI nº 9.511, de 28 de outubro de 2025; e
II - ao ciclo de implementação de 2026 do framework do PPSI.
Parágrafo único. Os órgãos e entidades deverão manter atualizadas as
informações dispostas nos incisos I e II do caput.
Do diagnóstico e do plano de trabalho
Art. 6º O diagnóstico e o plano de trabalho resultante da etapa de
planejamento do PPSI deverão ser encaminhados à Secretaria de Governo Digital,
exclusivamente por meio da ferramenta de que trata o art. 5º, até 27 de fevereiro de
2026.
§ 1º Para registro do diagnóstico na ferramenta de que trata o caput, deverá ser indicado o
nível de implementação de cada medida constante do framework do PPSI, observado o disposto no
AnexoII.
§ 2º Na hipótese de a medida possibilitar a indicação de "Não se aplica", o
órgão ou entidade que consignar tal opção para a medida deverá registrar na ferramenta
a justificativa para a não aplicabilidade.
§ 3º Após o preenchimento dos níveis de implementação de que trata o § 1º,
a ferramenta apresentará, automaticamente, o NAC.
§ 4º Os órgãos e entidades de que trata o art. 1º deverão indicar, no plano de
trabalho a que se refere o caput, as datas inicial e final planejadas para o atingimento do
nível de implementação aprimorado das medidas de que tratam os Anexos I e II.
§ 5º A data final indicada pelo órgão ou entidade para algumas das ações
decorrentes do plano de trabalho a que se refere o § 3º poderá ultrapassar o ano de 2026,
devendo ser registrada a respectiva justificativa na ferramenta.
Dos indicadores de maturidade
Art. 7º Ficam instituídos os seguintes indicadores:
I - iBase: indicador usado para aferir a maturidade relacionada às medidas de
estruturação básica para governança e de instrumentos fundamentais de privacidade e
segurança da informação do órgão ou entidade;
II - iSeg: indicador usado para aferir a maturidade relacionada às medidas de
segurança da informação do órgão ou entidade; e
III - iPriv: indicador usado para aferir a maturidade relacionada às medidas de
privacidade do órgão ou entidade.
§ 1º A aferição dos indicadores de maturidade iBase, iSeg e iPriv será realizada
conforme disposto no Anexo IV.
§ 2º O cálculo dos indicadores de que tratam os incisos I, II, e III do caput será
realizado automaticamente pela ferramenta após o preenchimento dos níveis de
implementação de todas as medidas do respectivo indicador.
Disposições finais
Art. 8º A Secretaria de Governo Digital realizará o monitoramento contínuo do
ciclo de implementação de 2026 do framework do PPSI.
§ 1º As informações do diagnóstico e do plano de trabalho decorrentes da
etapa de planejamento do PPSI poderão ser atualizadas na ferramenta a qualquer tempo
pelos órgãos e entidades de que trata o art. 1º, sendo obrigatória a atualização nos meses
de julho e dezembro de 2026.
§ 2º Na hipótese de a Secretaria de Governo Digital identificar necessidade de
atualização das informações, o órgão ou entidade de que trata o art. 1º será comunicado
para proceder à atualização na ferramenta.
Art. 9º Esta Instrução Normativa entra em vigor na data de sua publicação.
LUANNA SANT'ANNA RONCARATTI