PORTARIA SSC/MGI Nº 390, DE 20 DE JANEIRO DE 2026

PORTARIA SSC/MGI Nº 390, DE 20 DE JANEIRO DE 2026
Dispõe sobre a Gestão de Segurança da Informação no
âmbito do Centro de Serviços Compartilhados -
ColaboraGov.
A SECRETÁRIA DE SERVIÇOS COMPARTILHADOS SUBSTITUTA DO MINISTÉRIO DA
GESTÃO E DA INOVAÇÃO EM SERVIÇOS PÚBLICOS, no uso das atribuições que lhe confere o art.
51, caput, inciso I, alínea "a", e inciso III, do Anexo I ao Decreto nº 12.102, de 8 de julho de
2024, e o art. 5º, caput, inciso I, do Decreto nº 11.837, de 21 de dezembro de 2023, e tendo em
vistaodispostonaPortariaMGInº10.033,de29dedezembrode2025,naPortariaSSC/MGInº
202, de 15 de janeiro de 2026, no Decreto nº 12.572, de 4 de agosto de 2025, na Instrução
Normativa GSI/PR nº 1, de 27 de maio de 2020, e na Instrução Normativa GSI/PR nº 3, de 28 de
maio de 2021, resolve:
Objeto e âmbito de aplicação
Art. 1º Esta Portaria dispõe sobre a Gestão de Segurança da Informação no âmbito
do Centro de Serviços Compartilhados - ColaboraGov, de que trata o Decreto nº 11.837, de 21
de dezembro de 2023.
Definições
Art. 2º Para os fins do disposto nesta Portaria, consideram-se:
I - ativos de informação - meios de armazenamento, transmissão e processamento
da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se
encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que
tem valor para um indivíduo ou organização;
II - Centro Integrado de Segurança Cibernética do Governo Digital - CISC Gov.br -
unidade de coordenação operacional das equipes de prevenção, tratamento e resposta a
incidentes cibernéticos dos órgãos e das entidades integrantes do Sistema de Administração de
Recursos de Tecnologia da Informação - SISP, de que trata o Decreto nº 7.579, de 11 de
outubro de 2011;
III - Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de
Governo - CTIR Gov - unidade do Departamento de Segurança Cibernética da Secretaria de
Segurança da Informação e Cibernética do Gabinete de Segurança Institucional da Presidência
da República com a atribuição de receber, analisar e responder a notificações e atividades
relacionadas a incidentes de segurança em computadores;
IV - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR -
grupo de agentes públicos com a responsabilidade de prestar serviços relacionados à
segurança cibernética para o órgão ou a entidade da administração pública federal, em
observância à política de segurança da informação e aos processos de gestão de riscos de
segurança da informação do órgão ou da entidade;
V - Estrutura de Segurança da Informação - orientações para gestão de segurança
da informação que deverão ser observadas e implementadas pelos órgãos e pelas entidades da
administração pública federal, direta e indireta, nos termos do disposto na Instrução Normativa
nº 1, de 27 de maio de 2020;
VI - Gestão de Segurança da Informação - processo que visa integrar atividades de
gestão de riscos, gestão de continuidade do negócio, tratamento de incidentes, tratamento da
informação, conformidade, credenciamento, segurança cibernética, segurança física,
segurança lógica, segurança orgânica e organizacional, aos processos institucionais
estratégicos, operacionais e táticos, não se limitando, portanto, à tecnologia da informação;
VII - órgão setorial - unidade de administração dos recursos de tecnologia da
informação dos Ministérios e dos órgãos da Presidência da República, integrante do SISP;
VIII - órgão correlato - unidade desconcentrada e formalmente constituídas de
administração dos recursos de tecnologia da informação, integrante do SISP;
IX - órgão prestador do ColaboraGov - órgão responsável pela prestação de serviços
de suporte administrativo a um órgão ou a um grupo de órgãos solicitantes;
X - órgão solicitante do ColaboraGov - órgão beneficiário dos serviços de suporte
administrativo realizados pelo órgão prestador; e
XI - usuário de informação - pessoa física, seja servidor ou equiparado, empregado
ou prestador de serviços, habilitada pela administração para acessar os ativos de informação de
um órgão ou entidade da administração pública federal, formalizada por meio da assinatura de
Termo de Responsabilidade.
Processos relacionados à Gestão de Segurança da Informação
Art. 3º A Gestão de Segurança da Informação realizada pelo órgão prestador do
ColaboraGov compreende a infraestrutura computacional e os ativos de informação do
Ministério da Gestão e da Inovação em Serviços Públicos e dos demais órgãos solicitantes do
ColaboraGov,gerenciadospelaDiretoriadeTecnologiadaInformaçãodaSecretariadeServiços
Compartilhados.
Art. 4º O órgão prestador do ColaboraGov observará os processos relacionados à
Gestão de Segurança da Informação de que trata a Política de Segurança da Informação do
Ministério da Gestão e da Inovação em Serviços Públicos - POSI-MGI, instituída pela Portaria
MGI Nº 10.033, de 29 de dezembro de 2025, e demais normativos decorrentes desta Política.
Art. 5º Aos órgãos solicitantes do ColaboraGov compete:
I - elaborar, publicar, implementar e revisar regularmente suas políticas de
segurança da informação e suas normas internas de segurança da informação, observados os
normativos sobre segurança da informação editados pelo Gabinete de Segurança Institucional,
nos termos do disposto no art. 10, caput, inciso IV, do Decreto nº 12.572, de 4 de agosto de
2025; e
II - designar ou instituir, nos termos do disposto no art. 16 da Instrução Normativa
GSI/PR nº 1, de 27 de maio de 2020, ao menos:
a) o Gestor de Segurança da Informação;
b) o Comitê de Segurança da Informação ou estrutura equivalente; e
c) uma ETIR ou estrutura equivalente.
Art. 6º Os usuários de informação dos órgãos solicitantes que acessem os serviços e
ativos de informação, geridos e operados pela Diretoria de Tecnologia da Informação da Secretaria
de Serviços Compartilhados, deverão observar a POSI-MGI e as demais normas específicas de
segurança da informação do Ministério da Gestão e da Inovação em Serviços Públicos.
Parágrafo único. Os órgãos solicitantes do ColaboraGov deverão promover, em
parceria e de forma colaborativa, a divulgação da POSI-MGI e demais normas específicas de
segurança da informação do Ministério da Gestão e da Inovação em Serviços Públicos aos seus
usuários de informação.
Equipes de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos
Art. 7º As equipes de prevenção, tratamento e resposta a incidentes cibernéticos
dos órgãos solicitantes do ColaboraGov são autônomas e independentes entre si, sem
nenhuma subordinação hierárquica entre elas.
Parágrafo único. Cada órgão correlato tratará com a ETIR do órgão setorial ao qual
está vinculado.
Art. 8º A ETIR do Ministério da Gestão e da Inovação em Serviços Públicos - ETIR-
MGI manterá um canal de comunicação com as equipes de prevenção, tratamento e resposta
a incidentes cibernéticos dos órgãos solicitantes do ColaboraGov com o objetivo de:
I - facilitar o contato tempestivo entre os Agentes Responsáveis pelas equipes de
prevenção, tratamento e resposta a incidentes cibernéticos;
II - garantir o compartilhamento ágil de informações de incidentes e ataques
cibernéticos; e
III - compartilhar conhecimento e boas práticas, favorecendo um ambiente de
colaboração e desenvolvimento.
Parágrafo único. Cada ETIR tem autonomia para definir quais informações ou
conhecimentos serão compartilhados no canal de comunicação de que trata o caput.
Art. 9º A comunicação com o CTIR Gov e com o CISC Gov.br deverá ser realizada
diretamente pelas respectivas equipes de prevenção, tratamento e resposta a incidentes
cibernéticos dos órgãos solicitantes do ColaboraGov.
Incidentes cibernéticos
Art. 10. Na ocorrência de incidentes cibernéticos nos órgãos solicitantes do
ColaboraGov, devem ser observadas as seguintes medidas:
I - incidentes cibernéticos que afetem serviços e ativos de informação geridos e
operados pela Diretoria de Tecnologia da Informação da Secretaria de Serviços
Compartilhados:
a) o Gestor de Segurança da Informação do Ministério da Gestão e da Inovação
em Serviços Públicos decidirá quais medidas devem ser adotadas referentes à resposta, nos
termos do disposto no art. 18, § 1º, da Portaria SSC/MGI nº 202, de 15 de janeiro de 2026;
b) a ETIR-MGI adotará as medidas necessárias para a recuperação e tratamento do
incidente cibernético, após a tomada de decisão de que trata a alínea "a" do inciso I do caput, e
c) a ETIR-MGI coordenará a comunicação com o Gestor de Segurança da
Informação e com o Encarregado de Proteção de Dados Pessoais do Ministério da Gestão e da
Inovação em Serviços Públicos, interagirá com órgãos externos, tais como a Polícia Federal, a
Agência Brasileira de Inteligência - ABIN, o CTIR Gov e o CISC Gov.br, e cientificará o órgão
responsável pela comunicação com a imprensa, quando couber;
II - incidentes cibernéticos que afetem ativos de informação sob a responsabilidade
de um órgão solicitante do ColaboraGov: o órgão decidirá quais medidas devem ser adotadas
referentes à resposta, incluindo a comunicação com o Gestor de Segurança da Informação e
com o Encarregado de Proteção de Dados Pessoais do órgão, a interação com órgãos externos,
de que trata a alínea "c" do inciso I do caput, e a ciência ao órgão responsável pela
comunicação com a imprensa, quando couber;
III - incidentes cibernéticos que afetem serviços e ativos de informação geridos e
operados pela Diretoria de Tecnologia da Informação da Secretaria de Serviços Compartilhados
e dados ou sistemas sob a responsabilidade de um órgão solicitante do ColaboraGov:
a) o Gestor de Segurança da Informação do Ministério da Gestão e da Inovação em
Serviços Públicos decidirá quais medidas devem ser adotadas referentes à resposta, nos termos
do disposto no art. 18, § 1º, da Portaria SSC/MGI nº 202, de 2026;
b) a ETIR-MGI adotará as medidas necessárias para a recuperação e tratamento do
incidente cibernético, após a tomada de decisão de que trata a alínea "a" do inciso III do caput,
interagirá com órgãos externos a que se refere a alínea "c" do inciso I do caput e alertará o
órgão responsável pela comunicação com a imprensa, quando couber;
c) a ETIR do órgão solicitante do ColaboraGov comunicará o incidente cibernético
ao Gestor de Segurança da Informação e ao Encarregado de Proteção de Dados Pessoais do
órgão e cientificará o órgão responsável pela comunicação com a imprensa, quando couber.
§ 1º Nas hipóteses de que tratam os incisos I e III do caput, à ETIR-MGI compete
informar o Agente Responsável pela ETIR do órgão solicitante do ColaboraGov envolvido para
condução do processo de tratamento do incidente, que se dará de forma colaborativa entre as
equipes.
§ 2º Para os fins do disposto na alínea "b" do inciso III do caput, a ETIR-MGI poderá
solicitar o auxílio do órgão solicitante do ColaboraGov.
§ 3º O órgão solicitante do ColaboraGov que detectar incidente cibernético em
ativo de informação que esteja na infraestrutura computacional gerenciada pela Diretoria de
Tecnologia da Informação da Secretaria de Serviços Compartilhados deverá cientificar a ETIR-
MGI, mesmo que a gestão do ativo seja do referido órgão solicitante.
§ 4º As comunicações e ações relacionadas às áreas de negócio do órgão solicitante
do ColaboraGov envolvido no incidente deverão ser adotadas pela ETIR daquele órgão.
§ 5º Em qualquer das hipóteses do caput, o órgão que detectar o incidente
cibernético deverá dar ciência a todas as equipes de prevenção, tratamento e resposta a
incidentes cibernéticos dos órgãos solicitantes do ColaboraGov, através do canal de
comunicação de que trata o art. 8º.
Vigência
Art. 11. Esta Portaria entra em vigor na data de sua publicação.
LUCÍOLA MAURÍCIO DE ARRUDA