INSTRUÇÃO NORMATIVA SGD/MGI No 4, DE 14 DE JANEIRO DE 2026 Dispõe sobre o ciclo de implementação de 2026 do framework do Programa de Privacidade e Segurança da Informação - PPSI no âmbito dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional que possuem unidades integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do Poder Executivo federal. A SECRETÁRIA DE GOVERNO DIGITAL SUBSTITUTA DO MINISTÉRIO DA GESTÃO E DA INOVAÇÃO EM SERVIÇOS PÚBLICOS, no uso da competência que lhe foi subdelegada pelo art. 11 da Portaria MGI no 572, de 8 de março de 2023, publicada no Diário Oficial da União de 9 de março de 2023, e nas atribuições que lhe conferem o art. 23, caput, inciso VI, do Anexo I ao Decreto no 12.102, de 8 de julho de 2024, o art. 3o, caput, inciso VI, do Decreto no 12.198, de 24 de setembro de 2024, e o art. 4o, caput, incisos I, IV e V do Decreto no 7.579, de 11 de outubro de 2011, e tendo em vista o disposto na Portaria SGD/MGI no 9.511, de 28 de outubro de 2025, resolve: Objeto e âmbito de aplicação Art. 1o Esta Instrução Normativa dispõe sobre o ciclo de implementação de 2026 do framework do Programa de Privacidade e Segurança da Informação - PPSI no âmbito dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional que possuem unidades integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP do Poder Executivo federal. Definições Art. 2o Para os fins do disposto nesta Instrução Normativa, consideram-se: I - diagnóstico: avaliação conduzida pelo órgão ou entidade, destinada a aferir o nível de implementação das medidas do framework do PPSI; II - plano de trabalho: instrumento tático de planejamento da implementação das medidas de privacidade e de segurança da informação; III - ciclos de implementação: ciclos anuais de priorização incremental de medidas, estruturados para promover a maturidade em privacidade e segurança da informação, por meio da execução das etapas do framework do PPSI, de que trata o art. 15 da Portaria SGD/MGI no 9.511, de 28 de outubro de 2025; IV - gestão contínua: processo continuado destinado a monitorar, revisar e adequar o nível de implementação das medidas priorizadas, assegurando sua efetividade frente a necessidades tecnológicas, organizacionais ou normativas; V - maturidade em privacidade e segurança da informação: estágio em que o órgão ou entidade encontra-se quanto ao nível de implementação de um conjunto específico de medidas estabelecidas no framework do PPSI; VI - Nível de Adoção do Controle - NAC: grau de adoção de um controle em escala nominal, determinado a partir da média da pontuação do nível de implementação das medidas contidas no controle, na forma do Anexo III; e VII - Nível de Implementação da Medida - NIM: grau de implementação de uma medida em escala nominal, com respectiva pontuação, considerando o seu propósito e escopo de aplicação no framework do PPSI, na forma do Anexo II. Informações sobre serviços prestados por órgãos ou entidades provedores Art. 3o Caso haja prestação de serviços a órgãos ou entidades por integrantes do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP, os órgãos ou entidades provedores deverão prestar as informações essenciais à execução das etapas do framework do PPSI aos respectivos órgãos ou entidades providos. Das medidas a serem adotadas pelos órgãos e entidades Art. 4o Os órgãos e entidades de que trata o art. 1o deverão adotar as medidas prioritárias e as medidas de gestão contínua de que trata o Anexo I. Parágrafo único. O órgão ou entidade de que trata o art. 1o poderá implementar outras medidas não priorizadas no ciclo de implementação de 2026 do framework do PPSI. Art. 5o A Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos disponibilizará ferramenta para preenchimento, pelos órgãos e entidades, de informações relativas: I - à estrutura de governança do PPSI, de que trata o art. 7o da Portaria SGD/MGI no 9.511, de 28 de outubro de 2025; e II - ao ciclo de implementação de 2026 do framework do PPSI. Parágrafo único. Os órgãos e entidades deverão manter atualizadas as informações dispostas nos incisos I e II do caput. Do diagnóstico e do plano de trabalho Art. 6o O diagnóstico e o plano de trabalho resultante da etapa de planejamento do PPSI deverão ser encaminhados à Secretaria de Governo Digital, exclusivamente por meio da ferramenta de que trata o art. 5o, até 27 de fevereiro de 2026. § 1o Para registro do diagnóstico na ferramenta de que trata o caput, deverá ser indicado o nível de implementação de cada medida constante do framework do PPSI, observado o disposto no Anexo II. § 2o Na hipótese de a medida possibilitar a indicação de "Não se aplica", o órgão ou entidade que consignar tal opção para a medida deverá registrar na ferramenta a justificativa para a não aplicabilidade. § 3o Após o preenchimento dos níveis de implementação de que trata o § 1o, a ferramenta apresentará, automaticamente, o NAC. § 4o Os órgãos e entidades de que trata o art. 1o deverão indicar, no plano de trabalho a que se refere o caput, as datas inicial e final planejadas para o atingimento do nível de implementação aprimorado das medidas de que tratam os Anexos I e II. § 5o A data final indicada pelo órgão ou entidade para algumas das ações decorrentes do plano de trabalho a que se refere o § 3o poderá ultrapassar o ano de 2026, devendo ser registrada a respectiva justificativa na ferramenta. Dos indicadores de maturidade Art. 7o Ficam instituídos os seguintes indicadores: I - i Base: indicador usado para aferir a maturidade relacionada às medidas de estruturação básica para governança e de instrumentos fundamentais de privacidade e segurança da informação do órgão ou entidade; II - i Seg: indicador usado para aferir a maturidade relacionada às medidas de segurança da informação do órgão ou entidade; e III - i Priv: indicador usado para aferir a maturidade relacionada às medidas de privacidade do órgão ou entidade. § 1o A aferição dos indicadores de maturidade i Base, i Seg e i Priv será realizada conforme disposto no Anexo IV. § 2o O cálculo dos indicadores de que tratam os incisos I, II, e III do caput será realizado automaticamente pela ferramenta após o preenchimento dos níveis de implementação de todas as medidas do respectivo indicador. Disposições finais Art. 8o A Secretaria de Governo Digital realizará o monitoramento contínuo do ciclo de implementação de 2026 do framework do PPSI. § 1o As informações do diagnóstico e do plano de trabalho decorrentes da etapa de planejamento do PPSI poderão ser atualizadas na ferramenta a qualquer tempo pelos órgãos e entidades de que trata o art. 1o, sendo obrigatória a atualização nos meses de julho e dezembro de 2026. § 2o Na hipótese de a Secretaria de Governo Digital identificar necessidade de atualização das informações, o órgão ou entidade de que trata o art. 1o será comunicado para proceder à atualização na ferramenta. Art. 9o Esta Instrução Normativa entra em vigor na data de sua publicação. LUANNA SANT'ANNA RONCARATTI ANEXO I MEDIDAS DO CICLO DE 2026 a) MEDIDAS PRIORIZADAS PARA O CICLO DE IMPLEMENTAÇÃO DE 2026 Tabela 1 - Medidas priorizadas para o ciclo de implementação de 2026 Segmento Controle Medidas BASE 0 - ESTRUTURAÇÃO BÁSICA PARA GOVERNANÇA 0.1 0.5 0.7 0 - INSTRUMENTOS FUNDAMENTAIS 0.9 0.13 0.14 0.15 0.16 0.17 SEGURANÇA DA INFORMAÇÃO 3 - PROTEÇÃO DE DADOS 3.7 3.8 3.9 3.11 3.12 5 - GESTÃO DE CONTAS 5.5 5.6 6 - GESTÃO DE ACESSO 6.7 6.8 8 - GESTÃO DE REGISTROS DE AUDITORIA 8.5 8.9 8.12 12 - GESTÃO DA INFRAESTRUTURA DE REDE 12.2 13 - MONITORAMENTO E DEFESA DA REDE 13.1 14 - CONSCIENTIZAÇÃO E TREINAMENTO DE COMPETÊNCIAS 14.9 15 - GESTÃO DE PROVEDOR DE SERVIÇOS 15.2 15.3 15.4 15.5 15.6 15.7 16 - SEGURANÇA DE APLICAÇÕES 16.4 16.9 16.13 17 - GESTÃO DE INCIDENTES 17.5 17.6 18 - TESTES DE INTRUSÃO 18.1 PRIVACIDADE 19 - REGISTRO DAS OPERAÇÕES DE TRATAMENTO DE DADOS PESSOAIS 19.1 19.2 19.3 19.4 20 - AÇÕES DE PREVENÇÃO 20.1 20.2 20.3 20.4 21 - ENCARREGADO E DIREITOS DOS TITULARES 21.1 21.2 21.3 21.4 21.5 21.6 22 - CONTRATOS, ACORDOS E INSTRUMENTOS CONGÊNERES 22.1 22.2 22.3 22.4 23 - ANÁLISE DAS OPERAÇÕES DE TRATAMENTO 23.1 23.2 23.3 23.4 23.5 23.6 23.7 24 - COMPARTILHAMENTO E TRANSFERÊNCIA INTERNACIONAL 24.1 24.2 24.3 24.4 24.5 25 - PRINCÍPIOS DA LGPD 25.1 25.2 25.3 25.4 25.5 25.6 25.7 25.8 25.9 25.10