PORTARIA Nº 2.499, DE 21 DE JULHO DE 2026. (parte 1 de 2)

PORTARIA Nº 2.499, DE 21 DE JULHO DE 2026.
Dispõe sobre a Estratégia de uso de software e de
serviços de computação em nuvem no âmbito da
Fundação Nacional de Saúde - Funasa.
O PRESIDENTE DA FUNDAÇÃO NACIONAL DE SAÚDE, no uso das atribuições
que lhe foram conferidas pelo inciso XII, do art. 14, Anexo I, do Estatuto aprovado pelo
Decreto nº 8.867, de 3 de outubro de 2016, resolve:
Art. 1º A Estratégia de uso de software e de serviços de computação em
nuvem tem como finalidade estabelecer diretrizes para as contratações desses serviços,
que deverão observar o processo de contratação de soluções de tecnologia da
informação e comunicação - TIC, bem como seu uso seguro, conforme disposto na
Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, e na Portaria SGD/MGI
nº 5.950, de 26 de outubro de 2023.
Parágrafo único. As disposições desta Portaria aplicam-se às contratações
realizadas no âmbito da Funasa.
CAPÍTULO I
DAS DISPOSIÇÕES GERAIS
Art.2º A Funasa deverá observar as seguintes orientações:
I - avaliar a viabilidade de utilização de modelos já adotados na Administração
Pública, com o objetivo de aumentar o nível de padronização nas contratações no âmbito
do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP;
II - não utilizar métricas de remuneração cuja medição não seja passível de
verificação, nos termos da Súmula do Tribunal de Contas da União - TCU nº 269;
III - avaliar a economicidade dos preços estimados e contratados, por meio da
análise crítica da composição dos preços unitários e do custo total estimado da
contratação; e
IV - abster-se de criar unidades de medida de forma unilateral, sem prévia
avaliação técnica, econômica e de padronização.
Art. 3º A Coordenação-Geral de Modernização e Tecnologia da Informação -
CGMTI, do Departamento de Administração da Funasa - DEADM, deverá adotar,
monitorar e garantir a aplicação das diretrizes estabelecidas na Estratégia de Uso de
Software e de Serviços de Computação em Nuvem, visando garantir a qualidade e a
conformidade na utilização dos recursos nas contratações de software e dos serviços de
nuvem de acordo com as necessidades de negócio do órgão.
1º A Estratégia de uso de software e de serviços de computação em nuvem
deverá estar alinhada com a Política de Segurança da Informação - PSI do órgão.
2º Para os fins desta Portaria, e conforme o Decreto nº 9.637/2018, a
segurança da informação abrange:
I - a defesa cibernética;
II - a segurança física e a proteção de dados organizacionais; e
III - as ações destinadas a assegurar a disponibilidade, a integridade, a
confidencialidade e a autenticidade da informação.
Art. 4º Esta estratégia deve ser aplicada às novas contratações de software e
de serviços de computação em nuvem no âmbito da Funasa, tais como:
I - software sob o modelo de licenciamento permanente de direitos de uso;
II - software sob o modelo de cessão temporária de direitos de uso;
III - software sob o modelo de subscrição ou como serviço, na modalidade
Software as a Service - SaaS;
IV - infraestrutura como serviço, na modalidade Infrastructure as a Service -
IaaS;
V - plataforma como serviço, na modalidade Platform as a Service - PaaS;
VI - suporte técnico para software e serviços de computação em nuvem;
VII - serviços de operação e gerenciamento de recursos em nuvem;
VIII - serviços de migração de recursos para ambiente de nuvem;
IX - integração de serviços de computação em nuvem;
X - consultoria especializada em software; e
XI - serviços de computação em nuvem.
CAPÍTULO II
DAS REFERÊNCIAS
Art. 5º Para o desenvolvimento da estratégia de uso de software e de serviços
de computação em nuvem, cabe à Funasa observar, sem prejuízo das demais normas em
vigor:
I - o Decreto nº 12.572, de 4 de agosto de 2025, que institui a Política
Nacional de Segurança da Informação - PNSI e dispõe sobre a governança da segurança
da informação no âmbito da administração pública federal;
II - o Decreto nº 12.573, de 4 de agosto de 2025, que institui a Estratégia
Nacional de Cibersegurança - ENC;
III - a Portaria da Secretaria de Governo Digital - SGD do Ministério da Gestão
e Inovação em Serviços Públicos - MGISP, nº 5.950, de 26 de outubro de 2023, que
estabelece o modelo de contratação de software e de serviços de computação em nuvem
no âmbito dos órgãos e entidades integrantes do SISP do Poder Executivo Federal;
IV - a Portaria SGD/MGI nº 852, de 28 de março de 2023, que dispõe sobre
o Programa de Privacidade e Segurança da Informação - PPSI;
V - a Instrução Normativa Gabinete de Segurança Institucional da Presidência
da República - GSI/PR nº 1, de 27 de maio de 2020, que dispõe sobre a Estrutura de
Gestão da Segurança da Informação nos órgãos e entidades da administração pública
federal;
VI - a Instrução Normativa GSI/PR nº 2, de 24 de julho de 2020, que dispõe
sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e entidades da
administração pública federal;
VII - a Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021, que dispõe
sobre os processos relacionados à gestão de segurança da informação nos órgãos e
entidades da administração pública federal;
VIII - a Instrução Normativa GSI/PR nº 4, de 26 de março de 2020, que dispõe
sobre requisitos mínimos de segurança cibernética;
IX - a Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021, que dispõe
sobre os requisitos mínimos de segurança da informação para utilização de soluções de
computação em nuvem pelos órgãos e entidades da administração pública federal;
X - o Glossário de Segurança da Informação, disponível em
https://www.gov.br/gsi/pt-br/seguranca-da-informacao-e-cibernetica/glossario-de-
seguranca-da-informacao-1;
XI - demais leis, decretos, resoluções, portarias e instruções normativas
relacionadas à segurança da informação, publicadas pelo GSI/PR, disponível em
https://www.gov.br/gsi/pt-br/seguranca-da-informacao-e-cibernetica/legislacao.
CAPÍTULO III
DOS PRINCÍPIOS
Art. 6° Esta estratégia segue os seguintes princípios:
I - respeito aos princípios e diretrizes constitucionais, legais e regulamentares
que regem a administração pública federal;
II - garantia da integridade, autenticidade e disponibilidade da informação sob
a custódia da Funasa, com observância ao princípio da transparência e atribuição de
confidencialidade apenas nos casos expressamente previstos na legislação;
III - alinhamento estratégico da Política de Segurança da Informação com os
demais planos institucionais;
IV - responsabilidade pelo cumprimento das normas vigentes pertinentes à
segurança da informação; e
V - conscientização, educação e comunicação como alicerces fundamentais
para o fortalecimento da cultura de segurança da informação.
VI - a otimização do uso dos recursos disponíveis no datacenter, com foco na
perenidade e na padronização das soluções;
VII - a utilização da nuvem como solução complementar ao uso do datacenter
local da Funasa;
VIII - a priorização das contratações de softwares por meio de licenças como
serviço, evitando a aquisição de soluções com licenciamento perpétuo; e
IX - a adoção do modelo lift-and-shift apenas como último recurso, devendo
ser evitada a migração de aplicativos do datacenter para a nuvem sem a devida
adaptação ao ambiente de nuvem.
DAS DIRETRIZES E NORMAS INTERNAS DE SEGURANÇA DA INFORMAÇÃO
Seção I
Da identificação das necessidades do negócio
Art. 7º A Funasa deverá identificar e avaliar as necessidades de negócio antes
da contratação de software e de serviços de computação em nuvem.
1º Compete à Funasa determinar quais sistemas, aplicações, dados e serviços
precisam ser migrados para a nuvem, como serão acessados e quais recursos
computacionais e de armazenamento serão requeridos.
2º Na concepção de novos serviços e sistemas, a Funasa deverá avaliar a
viabilidade do seu desenvolvimento para a utilização em ambientes de nuvem.
Seção II
Da seleção dos modelos adequados
Art. 8º A Funasa deverá avaliar quais modelos de serviço e de implementação
de nuvem pública, privada ou híbrida, que melhor se adequam aos requisitos de
negócio.
1º A Funasa dará preferência à adoção de uma abordagem estratégica de
nuvem híbrida.
2º Quando houver estudos que indiquem que a demanda prevista pode ser
melhor atendida integralmente por meio de serviços em nuvem, a instituição deverá
adotar uma abordagem completa, incluindo as demandas de migração do ambiente on-
premises para a nuvem.
3º Quando houver a previsão de implementação de soluções totalmente em
nuvem, deverá ser incluído no processo de aquisição um plano de recuperação dos
serviços, a ser acionado em caso de descontinuidade do instrumento contratual por
fatores externos ao controle da Funasa.
4º Compete à área de Tecnologia da Informação - TI da Funasa:
I - emitir o parecer técnico vinculante quanto ao modelo de serviço IaaS, PaaS
ou SaaS; e
II - emitir o parecer técnico quanto ao modelo de implementação de nuvem
pública, privada ou híbrida, com base nos requisitos de negócio fornecidos pela área
requisitante.
5º Os pareceres técnicos mencionados no §4º deste artigo integrarão o Estudo
Técnico Preliminar - ETP e serão submetidos ao Comitê de Governança Digital e
Segurança da Informação - CGDSI, no âmbito do Plano Diretor de Tecnologia da
Informação e Comunicação - PDTIC, para ciência e alinhamento às diretrizes
institucionais.
Seção III
Da avaliação dos possíveis fornecedores e dos requisitos de segurança
Art. 9º Os ETPs deverão abranger o levantamento dos possíveis fornecedores
aptos a atender aos requisitos de negócio, de forma a garantir:
I - a existência de uma quantidade mínima de fornecedores com experiência
e capacidade técnica compatível com a demanda; e
II - fatores de segurança, conformidade, disponibilidade e suporte técnico.
Art. 10. Deverão ser determinados os requisitos de segurança considerados
importantes e mandatórios para o negócio.
Parágrafo único. Será avaliado pela equipe responsável, quando for o caso,
cada fabricante ou fornecedor, a fim de analisar se os requisitos de segurança atendem
à necessidade da Funasa.
Seção IV
Do uso seguro de software e de serviços de computação em nuvem e
condições mínimas de infraestrutura de TIC
Art. 11. A Funasa deverá observar os normativos que tratam da segurança da
informação e do tratamento de dados em ambiente de nuvem.
Parágrafo único. Compete à instituição identificar quais sistemas e workloads
podem ser migrados, como também as medidas de gerenciamento de riscos a serem
adotadas para resguardar as informações sigilosas eventualmente tratadas em nuvem.
Art. 12. A instituição deverá avaliar as condições mínimas da infraestrutura de
TIC para utilização de serviços de computação em nuvem, considerando, no mínimo, os
seguintes aspectos:
I - existência de conexão estável com a internet; e
II - suficiência da largura de banda para atendimento das necessidades
institucionais.
Parágrafo único. Compete à área de TIC avaliar e atestar as condições mínimas
de infraestrutura como conectividade, largura de banda, segurança, interoperabilidade e
demais requisitos, condicionando o prosseguimento do ETP e da contratação ao
respectivo atendimento dessas condições. A área demandante proverá as premissas de
negócio e a priorização.
Seção V
Das diretrizes de governança para o uso da nuvem
Art. 13. A Funasa deverá garantir que as contratações apresentem as
diretrizes, os papéis e as responsabilidades dos atores organizacionais, de forma clara, das
seguintes áreas:
I - da área de tecnologia da informação;
II - das áreas de negócio; e
III - dos provedores de nuvem.
Art. 14. Deverão ser observados as práticas e orientações fornecidas pela SGD
por meio de seus manuais e normativos relacionados às contratações de softwares e
serviços em nuvem.
Seção VI
Do alinhamento com outros planos estratégicos
Art. 15. Esta estratégia deverá observar e manter alinhamento com os
seguintes planos estratégicos da instituição:
I - o Planejamento Estratégico Institucional - PEI;
II - o Plano Diretor de Tecnologia da Informação e Comunicação - PDTIC;
III - o Plano Anual de Contratações - PAC;
IV - o Plano de Dados Abertos - PDA;
V - os Planos de Transformação Digital - PTD;
VI - a Política de Segurança da Informação - PSI; e
VII - a Política de Privacidade de Dados - PPD.
Seção VII
Do estabelecimento de linhas de base, metas de benefícios e resultados
esperados
Art. 16. A Funasa deverá definir, no PDTIC, as seguintes medidas para
subsidiar esta estratégia e promover maior agilidade, redução de custos, resiliência e
segurança:
I - as linhas de base da estratégia definida por esta Portaria;
II - as metas de benefícios;
III - os resultados esperados; e
IV - as ações relacionadas ao cumprimento desta estratégia.
Seção VIII
Da capacitação da equipe que gerenciará as ações desta estratégia
Art. 17. A Funasa deverá manter equipes capacitadas para gerenciar, operar
ou utilizar os recursos de software e de serviços de computação em nuvem.
Parágrafo único. Compete à instituição identificar previamente as capacidades
e habilidades necessárias para a atuação das equipes.
Seção IX
Da portabilidade e interoperabilidade entre sistemas, dados e serviços
Art. 18. A Funasa deverá considerar a viabilidade de adoção de medidas para
mitigar a dependência tecnológica e o risco de aprisionamento a um único provedor.
Seção X
Dos requisitos regulatórios e de conformidade
Art. 19. A instituição deverá considerar os requisitos regulatórios e de
conformidade aplicáveis ao uso seguro de software e de serviços de computação em
nuvem no âmbito da administração pública federal.
1º. Deverá ser incluído, nos instrumentos contratuais firmados com os
provedores de nuvem, cláusulas e mecanismos que garantam, no mínimo:
I - o sigilo dos dados, tanto em repouso quanto em trânsito;
II - a vedação à transferência de dados a terceiros;
III - a remoção incondicional dos dados após o término do contrato; e
IV - a proibição de uso dos dados, para quaisquer fins, pelo provedor ou por
terceiros.
2º. Todos os agentes públicos e fornecedores envolvidos deverão observar, de
forma integral, a Lei Geral de Proteção de Dados Pessoais - LGPD, nº 13.709/2018, e as
normas complementares expedidas pela Autoridade Nacional de Proteção de Dados -
ANPD, especialmente quanto à privacidade, à segurança da informação e à proteção de
dados pessoais.
Seção XI
Da estratégia de saída
Art. 20. A Funasa deverá considerar a análise de dependências e aspectos de
portabilidade, tais como:
I - backup;
II - redundância;
III - contratos de apoio;
IV - retorno para a infraestrutura local; e
V - demais características relevantes para a instituição.
CAPÍTULO V
DEFINIÇÃO DOS REQUISITOS PARA O USO SEGURO DE COMPUTAÇÃO EM
NUVEM
Seção I
Da análise de riscos
Art. 21. A Funasa deverá considerar as diretrizes de gerenciamento de riscos
constantes no modelo de contratação, conforme:
I - o estabelecido na Portaria SGD/MGI nº 5.950, de 26 de outubro de
2023;
II - a Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021; e
III - os documentos equivalentes que venham a ser publicados posteriormente
pela SGD/MGI e GSI/PR.
Art. 22. A Funasa deverá tratar os requisitos para o uso seguro de computação
em nuvem por meio de norma interna de segurança da informação, a ser aprovada por
comitê específico.
CAPÍTULO VI
DAS COMPETÊNCIAS, ATRIBUIÇÕES E RESPONSABILIDADES
Seção I
Da alta administração
Art. 23. Compete à alta administração, com o apoio da área de TIC e das
demais áreas competentes:
I - assegurar que a utilização de tecnologias de computação em nuvem
esteja em conformidade com as orientações contidas neste documento;
II - disponibilizar recursos humanos necessários; e
III - disponibilizar os recursos financeiros para a implementação desta
estratégia.
Seção II
Do Comitê de Governança Digital e Segurança da Informação - CGDSI, do
Gestor de Segurança da Informação e da área de Tecnologia da Informação e
Comunicações - TIC
Art. 24. Serão observadas as competências do CGDSI, previstas em artigo
específico da Portaria da Funasa que institui o referido Comitê.
Art. 25. Deverão ser observadas as competências do Gestor de Segurança da
Informação, dispostas no art. 19 da Instrução Normativa GSI/PR nº 1, de 27 de maio
de 2020.
Art. 26. Compete à autoridade da área de TIC da Funasa implementar os
procedimentos relativos ao uso de tecnologias de computação em nuvem, em
conformidade com as orientações contidas neste documento e na legislação vigente.
CAPÍTULO VII
DAS DISPOSIÇÕES FINAIS E TRANSITÓRIAS
Art. 27. Esta Estratégia de Uso de Software e de Serviços de Computação
em Nuvem deverá ser amplamente divulgada no âmbito da Funasa.
Art. 28. A Estratégia de Uso de Software e de Serviços de Computação em
Nuvem, bem como todas as normas dela decorrentes, deverão ser revisadas e
atualizadas sempre que necessário, respeitando o intervalo máximo de quatro anos,
observando-se pelo menos:
I - a definição de novos critérios para atualização dos procedimentos;
II - a periodicidade dessa atualização;
III - a definição de novos critérios de recursos computacionais a serem
observados pelo provedor de serviços de nuvem;
IV - a atualização periódica dos processos internos de gestão de riscos de
segurança da informação;
V - a revisão imediata da estratégia sempre que ocorrerem eventos, fatores
relevantes ou surgirem novos requisitos tecnológicos, corporativos ou legais; e
VI - a garantia da continuidade, sustentabilidade, adequação e efetividade
da estratégia diante de mudanças significativas nos requisitos de segurança da
informação que impactem o uso seguro da computação em nuvem.
Art. 29. As novas contratações de software e de serviços de computação em
nuvem deverão observar:
I - as diretrizes estabelecidas neste documento; e
II - o modelo de contratação adotado pelos órgãos e entidades integrantes
do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do
Poder Executivo Federal.
Art. 30. Para os casos omissos neste documento, deverá ser submetido ao
CGDSI da Funasa, para análise e deliberação.
Art. 31. Para fins desta Portaria, as atividades atribuídas à "Funasa" serão
desempenhadas pelas unidades competentes, conforme o disposto no Decreto nº
11.223, de 5 de outubro de 2022, que aprova o Estatuto e a Estrutura Organizacional
da Fundação Nacional de Saúde - Funasa.
Art. 32. Esta Portaria entra em vigor na data de sua publicação.
[PRESIDENTE DA FUNASA EM EXERCÍCIO]