PORTARIA NORMATIVA SE/CGU Nº 249, DE 20 DE MARÇO DE 2026

PORTARIA NORMATIVA SE/CGU Nº 249, DE 20 DE MARÇO DE 2026
Dispõe sobre a certificação da cadeia de custódia de
evidências digitais em procedimentos administrativos
no âmbito da Controladoria-Geral da União.
A SECRETÁRIA EXECUTIVA DA CONTROLADORIA GERAL DA UNIÃO, no exercício
das atribuições que lhe conferem o art. 8º, caput, inciso V, e o art. 35, caput, inciso IV,
ambos do Anexo I ao Decreto nº 11.330, de 1º de janeiro de 2023, e o art. 6º, caput,
inciso II, da Portaria Normativa CGU nº 164, de 30 de agosto de 2024, e com base no que
consta no Processo nº 00190.110470/2025-57, resolve:
Art. 1º Esta Portaria Normativa dispõe sobre a utilização de ferramentas de
certificação da cadeia de custódia de evidências digitais no âmbito da Controladoria-Geral
da União a fim de garantir a integridade e a autenticidade dos arquivos eletrônicos
relevantes coletados na execução dos trabalhos institucionais.
Art. 2º Para os fins desta Portaria Normativa, considera-se:
I - evidência digital - arquivo armazenado em formato eletrônico, utilizado em
procedimentos administrativos ou judiciais para demonstrar a ocorrência de ação,
omissão, fato, condição ou outro aspecto relevante para o trabalho;
II - cadeia de custódia - conjunto de procedimentos utilizados para manter e
documentar a história cronológica da evidência digital, de modo a preservar sua
autenticidade e integridade e a permitir o rastreamento de sua origem, posse e manuseio,
desde a coleta até o descarte;
III - aplicativo de certificação - programa de computador destinado a atestar e
documentar a integridade e a autenticidade das evidências digitais coletadas durante os
procedimentos, por meio de algoritmo confiável e de registro seguro e auditável das
certificações realizadas;
IV - relatório de certificação - documento produzido pelo aplicativo de
certificação para formalizar o resultado da asseguração da integridade e da autenticidade
de evidências digitais, com menção ao algoritmo utilizado e identificação de cada arquivo
eletrônico registrado, acompanhado de seus dados relevantes e do respectivo código hash
que lhe foi atribuído;
V - código hash - cadeia de bits resultante da aplicação de uma função hash
sobre dados de uma evidência digital, gerando valor alfanumérico único, responsável por
assegurar a integridade e a autenticidade do arquivo eletrônico;
VI - função hash - algoritmo matemático que recebe uma entrada de dados de
arquivos digitais de qualquer natureza e produz uma saída de comprimento fixo e valor
único, denominada código hash;
VII - mecanismos de segurança - barreiras lógicas do aplicativo de certificação
que criam ambiente seguro para coleta da evidência digital, evitando a contaminação
entre diferentes programas de computador ou sítios eletrônicos da internet;
VIII - código-fonte do aplicativo - conjunto de instruções e declarações escritas
em linguagem de programação, compreensível por humanos, que define a lógica de
funcionamento de um programa de computador; e
IX - risco de irrepetibilidade da evidência - possibilidade de que uma evidência
digital não possa ser reproduzida ou substituída no futuro, caso venha a ser danificada,
eliminada ou invalidada processualmente, acarretando risco de não mais se poder
comprovar a ocorrência de ação, omissão, fato, condição ou outro aspecto relevante para
o respectivo trabalho.
Art. 3º A certificação de cadeia de custódia referida no art. 1º desta Portaria
Normativa será:
I - obrigatória, nos trabalhos da Controladoria-Geral da União que possam
levar, direta ou indiretamente, à responsabilização administrativa, civil ou criminal de
pessoas naturais ou jurídicas pelos fatos apurados, a exemplo de auditorias, investigações,
procedimentos disciplinares investigativos ou acusatórios, procedimentos administrativos
de responsabilização e análise de habilitação de manifestações à ouvidoria; ou
II - facultativa, nos demais procedimentos administrativos realizados na
Controladoria-Geral da União.
Art. 4º Os aplicativos de certificação de evidências digitais destinados a
atender ao disposto nesta Portaria Normativa deverão passar por prévia validação técnica
das unidades competentes da Controladoria-Geral da União.
Parágrafo único. A validação dos aplicativos de certificação de evidências
digitais é condicionada à presença das seguintes funcionalidades mínimas, dentre
outras:
I - certificação da integridade e da autenticidade de capturas de tela,
gravações de tela e arquivos baixados, coletados por intermédio da própria ferramenta;
II - certificação da integridade de arquivos pré-existentes, obtidos sem a
utilização do aplicativo;
III - relatório de certificação confiável e auditável elaborado automaticamente
pela ferramenta;
IV - mecanismos de segurança que garantam a confiabilidade das certificações
realizadas pelo aplicativo; e
V - disponibilidade do código-fonte do aplicativo de certificação, para prévio
exame técnico de seu funcionamento e eventual auditoria do sistema, quando
necessário.
Art. 5º Para assegurar conjuntamente a integridade e a autenticidade do
arquivo obtido, sobretudo nos casos de evidências sujeitas ao risco de irrepetibilidade, o
servidor da Controladoria-Geral da União deverá priorizar a coleta de evidências por
intermédio do próprio aplicativo de certificação disponível, reservando a certificação de
integridade para situações em que o arquivo seja oriundo de portais eletrônicos, sistemas
ou repositórios de dados gerenciados pela própria administração pública federal.
§ 1º Na hipótese de indisponibilidade temporária do aplicativo de certificação,
o servidor deverá:
I - realizar a coleta da evidência digital por meio alternativo idôneo,
registrando a data, a hora, o método utilizado e a justificativa para a não utilização do
aplicativo;
II - providenciar a certificação de integridade do arquivo coletado tão logo o
aplicativo esteja disponível; e
III - consignar nos autos do procedimento o registro de que a coleta foi
realizada em caráter excepcional, com a descrição das circunstâncias que impediram o uso
do aplicativo.
§ 2º O disposto no § 1º não dispensa a observância das demais cautelas
necessárias à preservação da autenticidade e da integridade da evidência digital
coletada.
Art. 6º Todos os relatórios de certificação de evidências digitais gerados pelo
aplicativo de certificação ao longo do procedimento deverão ser devidamente
armazenados pela unidade responsável, observando-se as regras aplicáveis à integridade
dos autos processuais, aos papéis de trabalho de cada processo e às especificidades
normativas de cada área de competência.
Art. 7º Esta Portaria Normativa entra em vigor quarenta e cinco dias após a
data de sua publicação.
EVELINE MARTINS BRITO