Portaria MGI No 10.035, DE 29 DE dezembro DE 2025 Dispõe sobre as diretrizes e requisitos para uso do ambiente de computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos. O MINISTRO DE ESTADO DA GESTÃO E DA INOVAÇÃO EM SERVIÇOS PÚBLICOS SUBSTITUTO, no uso das atribuições que lhe confere o art. 87, parágrafo único, incisos I e II, da Constituição, e tendo em vista o disposto nos art. 9o e art. 24 da Instrução Normativa GSI/PR no 5, de 30 de agosto de 2021, na Portaria SGD/MGI no 5.950, de 26 de outubro de 2023, na Portaria MGI No 10.033, de 29 de dezembro de 2025, e no processo 18001.000873/2025-34, resolve: Objeto e âmbito de aplicação Art. 1o Esta Portaria dispõe sobre as diretrizes e requisitos para uso do ambiente de computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos, com a finalidade de promover alta disponibilidade e melhoria do desempenho das soluções de Tecnologia da Informação - TI, baseando-se nos princípios de segurança da informação. Parágrafo único. O disposto nesta Portaria aplica-se a: I - órgãos de assistência direta e imediata e órgãos singulares da estrutura do Ministério da Gestão e da Inovação em Serviços Públicos; II - órgãos solicitantes do Colabora Gov, de que trata o Decreto no 11.837, de 21 de dezembro de 2023, que utilizem o serviço de nuvem a que se refere o caput; e III - agentes públicos e colaboradores que sejam usuários dos sistemas e serviços de TI do Ministério da Gestão e da Inovação em Serviços Públicos ou dos ativos de TI que suportam a respectiva rede. Definições Art. 2o Para os fins do disposto nesta Portaria, consideram-se: I - ambiente de computação em nuvem ou ambiente de nuvem - modelo computacional que permite acesso por demanda, independentemente da localização, a um conjunto compartilhado de recursos configuráveis de computação, tais como rede de computadores, servidores, armazenamento, aplicativos e serviços, provisionados com esforços mínimos de gestão ou de interação com o provedor de serviços; II - ativos de informação - meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização; III - Colabora Gov - modelo centralizado de prestação de serviços de suporte administrativo, de forma organizada e padronizada, para órgãos da administração pública federal direta, nos termos do disposto no art. 3o, § 1o, do Decreto no 11.837, de 21 de dezembro de 2023; IV - escritório digital - plataforma para trabalho colaborativo do Ministério da Gestão e da Inovação em Serviços Públicos, cujo objetivo é facilitar a gestão do trabalho e a interação entre os membros da equipe, independentemente de onde as pessoas estejam, inclusive fora das dependências do órgão, a partir de ativos de informação; e V - provedor de serviços de nuvem - ente, público ou privado, que fornece uma plataforma, infraestrutura, aplicativo, serviços de armazenamento ou ambientes de tecnologia da informação baseados em nuvem. Diretrizes gerais Art. 3o São diretrizes para o uso do ambiente de computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos: I - a continuidade dos negócios; II - a interoperabilidade dos dados na execução de políticas públicas; III - a prontidão no suporte às iniciativas do Governo Digital; IV - a otimização dos custos de infraestrutura e serviços; e V - a redução do tempo para a disponibilização de recursos. Utilização e migração de soluções de TI Art. 4o Fica autorizada a utilização e a migração de soluções de TI para o ambiente de computação em nuvem pelo Ministério da Gestão e da Inovação em Serviços Públicos. Parágrafo único. As diretrizes de governança, segurança, controle de acesso, definição de perfis de acesso e as condições mínimas de infraestrutura e sistema do ambiente informatizado do Ministério da Gestão e da Inovação em Serviços Públicos são válidas, no que se aplicar, ao ambiente de nuvem. Contratações Art. 5o Na aquisição de serviços ou produtos de infraestrutura de computação deve ser priorizada a solução de ambiente em nuvem, salvo quando demonstrada sua inviabilidade técnica ou econômica em estudo técnico preliminar da contratação, observadas as diretrizes estabelecidas pelo órgão central do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP. § 1o A contratação de soluções de computação em nuvem de que trata o caput busca: I - garantir benefícios de capacidade, segurança e eficiência em tecnologia para o Ministério da Gestão e da Inovação em Serviços Públicos; e II - cumprir as metas e os objetivos do Planejamento Estratégico Institucional e do Plano Diretor de Tecnologia da Informação do Ministério da Gestão e da Inovação em Serviços Públicos. § 2o Os novos sistemas de TI serão hospedados, preferencialmente, em ambiente de computação em nuvem. Tratamento das informações no ambiente de nuvem Art. 6o O tratamento de informações digitais no ambiente de computação em nuvem deve observar os princípios da Política de Segurança da Informação do Ministério da Gestão e da Inovação em Serviços Públicos - POSI/MGI e as demais normas específicas de segurança da informação do Ministério e do Gabinete de Segurança Institucional da Presidência da República. Art. 7o Antes de transferir serviços ou dados para um provedor de serviço de nuvem, devem ser observadas, no mínimo, as seguintes condições: I - garantir que estejam alinhadas à legislação brasileira e aos direitos à privacidade, à proteção dos dados pessoais e ao sigilo das comunicações privadas e dos registros as seguintes operações: a) de coleta, armazenamento, guarda e tratamento de registros de dados pessoais; e b) de comunicações realizada por provedores de conexão e de aplicações de internet, em que pelo menos um desses atos ocorra em território nacional; II - realizar o gerenciamento de riscos, precedido por análise e relatório de impacto de dados pessoais, em conformidade com a legislação, dos seguintes itens: a) o tipo de informação a ser migrada; b) o fluxo de tratamento dos dados que podem ser afetados com a adoção da solução; c) o valor dos ativos envolvidos; e d) os benefícios da adoção de uma solução de computação em nuvem, em relação aos riscos de segurança e privacidade referentes à disponibilização de informações e serviços a um terceiro; III - definir o modelo de serviço e de implementação de computação em nuvem que será adotado; IV - avaliar quais informações serão hospedadas na nuvem, considerando: a) o processo de classificação da informação de acordo com a legislação; b) o valor do ativo de informação; c) os controles de acessos físico e lógico relativos à segurança da informação; e d) o modelo de serviço e de implementação de computação em nuvem; V - definir as medidas de mitigação de riscos e de custos para a implementação de solução de computação em nuvem e para possibilidade de crescimento dessa solução; e VI - planejar custos de migração das informações e dos serviços, nos casos de ingresso e de saída do serviço de computação em nuvem. Parágrafo único. A unidade custodiante da informação deve analisar a necessidade de criptografar as informações constantes nos sistemas migrados para um ambiente de nuvem, com base nos requisitos legais, nos riscos, no nível de criticidade, nos custos e nos benefícios. Art. 8o Em relação ao tratamento da informação em ambiente de computação em nuvem devem ser observadas as seguintes diretrizes: I - a informação sem restrição de acesso poderá ser tratada em ambiente de nuvem, considerada a legislação e os riscos de segurança da informação; II - a informação classificada em grau de sigilo e documento preparatório que possa originar informação classificada não poderão ser tratados em ambiente de computação em nuvem; e III - poderão ser tratados em ambiente de computação em nuvem, observados os riscos de segurança da informação e a legislação vigente: a) a informação com restrição de acesso prevista na legislação; b) o material de acesso restrito regulado pelo Ministério da Gestão e da Inovação em Serviços Públicos; c) a informação pessoal relativa à intimidade, vida privada, honra e imagem, nos termos do disposto na Lei no 13.709, de 14 de agosto de 2018; e d) o documento preparatório não previsto no inciso II do caput. Parágrafo único. O disposto no caput aplica-se aos documentos e arquivos compartilhados ou armazenados no escritório digital, bem como aos eventuais anexos às mensagens transmitidas via correio eletrônico corporativo do Ministério da Gestão e da Inovação em Serviços Públicos. Armazenamento no ambiente em nuvem em outros países Art. 9o O armazenamento em nuvem de dados e informações produzidos ou custodiados pelo Ministério da Gestão e da Inovação em Serviços Públicos em outros países deverá seguir as diretrizes estabelecidas pelo Gabinete de Segurança Institucional da Presidência da República. Parágrafo único. Para fins do tratamento de dados pessoais, deve ser observado o disposto na Lei no 13.709, de 14 de agosto de 2018. Responsabilidades Art. 10. Ao Gestor de Segurança da Informação compete: I - supervisionar a aplicação das diretrizes e requisitos para uso do ambiente de computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos previstos nesta Portaria; II - assegurar a contínua efetividade da comunicação com o provedor de serviço de nuvem, que fornece tais serviços ao Ministério da Gestão e da Inovação em Serviços Públicos e aos órgãos solicitantes do Colabora Gov, de forma a assegurar que os controles e os níveis de serviço acordados sejam cumpridos; III - supervisionar a aplicação das medidas de correção pelo provedor de serviço de nuvem, em casos de eventuais desvios; e IV - comunicar incidentes cibernéticos informados pelo provedor de serviço de nuvem aos órgãos competentes para os seus tratamentos, conforme a relevância dos incidentes previamente estabelecida. Art. 11. Ao Comitê de Governança Digital e Segurança da Informação, instituído pela Portaria MGI no 3.844, de 28 de julho de 2023, compete: I - estabelecer os países nos quais dados e informações custodiados pelo Ministério da Gestão e da Inovação em Serviços Públicos poderão ser armazenados em soluções de computação em nuvem; II - definir os requisitos criptográficos mínimos para o armazenamento de dados e informações, custodiados pelo Ministério da Gestão e da Inovação em Serviços Públicos, em soluções de computação em nuvem; III - deliberar sobre os requisitos técnicos para o uso do ambiente de computação em nuvem do Ministério da Gestão e da Inovação em Serviços Públicos; e IV - propor à autoridade máxima do Ministério da Gestão e da Inovação em Serviços Públicos a revisão do disposto nesta Portaria a cada dois anos ou com mais frequência, se necessário, para refletir as mudanças no ambiente do Ministério, nos riscos à segurança da informação e nas melhores práticas de segurança da informação. Art. 12. Ao provedor de serviços em nuvem compete manter a segurança do ambiente de nuvem, por meio da proteção à infraestrutura que engloba hardware, software, redes, instalações físicas, storage, datacenter e servidores virtuais, garantindo o alinhamento com os normativos vigentes e operando de acordo com as melhores práticas de segurança. Art. 13. À área gestora de TI compete primar pela segurança da informação, mediante o gerenciamento das aplicações, bancos de dados, sistemas operacionais, identidade e acesso, regras de firewall e atualizações para a segurança. Metas Art. 14. O Ministério da Gestão e da Inovação em Serviços Públicos visa alcançar os seguintes objetivos e metas relacionadas ao serviço de computação em nuvem: I - ampliar a oferta de recursos de infraestrutura em nuvem para o Colabora Gov, com o aumento em vinte e cinco por cento do poder computacional em nuvem até 31 de dezembro de 2025; e II - ampliar a oferta de serviços em nuvem para o Colabora Gov, com a disponibilização do catálogo de serviços até agosto de 2026. Vigência Art. 15. Esta Portaria entra em vigor na data de sua publicação. CILAIR RODRIGUES DE ABREU