INSTRUÇÃO NORMATIVA GSI/PR No 9, DE 8 DE JANEIRO DE 2026 Altera a Instrução Normativa no 1, de 27 de maio de 2020. O MINISTRO DE ESTADO CHEFE DO GABINETE DE SEGURANÇA INSTITUCIONAL DA PRESIDÊNCIA DA REPÚBLICA , no uso da atribuição que lhe confere o art. 87, parágrafo único, incisos I, II e IV, da Constituição, e tendo em vista o disposto no art. 6o, parágrafo único, e no art. 10, inciso III, do Decreto no 12.572, de 4 de agosto de 2025, resolve: Art. 1o A Instrução Normativa no 1, de 27 de maio de 2020, do Gabinete de Segurança Institucional da Presidência da República, passa a vigorar com as seguintes alterações: "Art. 18. Compete aos órgãos e às entidades da administração pública federal a designação do gestor de segurança da informação, observados os seguintes requisitos cumulativamente: I - ser servidor ou empregado público civil ocupante de cargo efetivo ou militar das Forças Armadas; II - ser ocupante de Cargo Comissionado Executivo - CCE ou Função Comissionada Executiva - FCE de nível 15, equivalente ou superior, ou oficial general, na hipótese de militar das Forças Armadas; III - não ser o responsável pela unidade de tecnologia da informação ou seu subordinado, salvo quando não houver no órgão ou na entidade outro servidor, empregado ou militar apto ao exercício do encargo, hipótese em que o ato de designação deverá conter justificativa formal e fundamentada sobre eventual conflito de competências; e IV - possuir conhecimentos ou estar em processo de formação em segurança da informação. §1o O substituto do gestor de segurança da informação deverá atender aos requisitos dispostos nos incisos I, III e IV do caput , e ser ocupante de Cargo Comissionado Executivo - CCE ou Função Comissionada Executiva - FCE de nível 13, equivalente ou superior, ou oficial superior do último posto, na hipótese de militar das Forças Armadas. §2o Em órgãos e entidades em que o dirigente máximo seja ocupante de Cargo Comissionado Executivo - CCE ou Função Comissionada Executiva - FCE de nível igual ou inferior a 15, ou equivalente, é permitida a designação de servidores ocupantes de CCE ou FCE de nível igual ou superior a 13 ao titular, e de nível igual ou superior a 10 ao substituto, observados os demais requisitos dispostos nos incisos I, III e IV do caput . §3o O Gabinete de Segurança Institucional ofertará formações de gestores de segurança da informação para o atendimento ao requisito previsto no inciso IV do caput ." (NR) "Art. 19. Ao Gestor de Segurança da Informação dos órgãos e das entidades da administração pública federal compete, no âmbito de sua atuação, exercer as seguintes atribuições: I - coordenar as iniciativas de segurança da informação no âmbito do órgão ou da entidade ao qual representa, garantindo o cumprimento das normas internas e da legislação vigente; II - estimular iniciativas de capacitação em temas relacionados à segurança da informação e promover ações de conscientização sobre boas práticas aos agentes públicos; III - divulgar as normas internas de segurança da informação a todos os agentes públicos; IV - realizar avaliações de riscos e análise dos impactos antes da adoção de tecnologias emergentes no contexto de seu órgão ou entidade; V - planejar e propor os recursos orçamentários necessários à implementação, atualização e manutenção de iniciativas de segurança da informação; VI - acompanhar os trabalhos da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos; VII - atuar como segunda linha de defesa no âmbito do Sistema de Controle Interno; VIII - realizar avaliações de conformidade em relação à implementação de requisitos estabelecidos na Política Nacional de Segurança da Informação (PNSI), nas normas inferiores e na legislação aplicável à segurança da informação, e apoiar auditorias internas e externas; IX - acompanhar a aplicação de ações corretivas e administrativas cabíveis nos casos de violação da segurança da informação; X - cooperar com o Encarregado pelo Tratamento de Dados Pessoais nas ações relativas à segurança da informação quando envolver dados pessoais; XI - elaborar e revisar o planejamento tático de segurança da informação, e acompanhar sua implementação; XII - participar de fóruns especializados para obtenção de experiências e ampliação de capacidades, tanto no setor público quanto no setor privado; e XIII - avaliar a capacidade operacional do órgão ou da entidade que representa, a fim de: a) subsidiar as decisões dos gestores superiores sobre ações de segurança da informação; e b) emitir parecer técnico ou recomendação sobre a conveniência de integrar ou desligar-se de arranjos colaborativos de segurança da informação. Parágrafo único. O responsável pela unidade de tecnologia da informação deverá colaborar e fornecer os subsídios necessários ao Gestor de Segurança da Informação para a execução de suas competências." (NR) "Art. 19-A. Os órgãos e as entidades da administração pública federal poderão designar servidor para o exercício de atribuições análogas às do Gestor de Segurança da Informação, no âmbito de suas unidades administrativas. § 1o A designação de que trata o caput não configura a criação de cargo, emprego ou função pública, mas a atribuição de responsabilidades a servidor já ocupante de cargo público, o qual passará a ser identificado, em sua respectiva unidade, como Gestor Setorial de Segurança da Informação. § 2o O servidor designado deverá observar os requisitos previstos nos incisos I, III e IV do art. 18 e atuará sob a governança do Gestor de Segurança da Informação titular do órgão ou entidade, ao qual deverá se reportar." (NR) "Art. 19-B. Os órgãos e as entidades da administração pública federal deverão comunicar à Secretaria de Segurança da Informação e Cibernética do Gabinete de Segurança Institucional os nomes e os dados para contato do Gestor de Segurança da Informação, titular e substituto, e de eventuais Gestores Setoriais de Segurança da Informação, sempre que houver uma nova designação." (NR) Art. 2o. O prazo para a designação dos gestores de segurança da informação será de 60 (sessenta) dias corridos após a data da publicação desta Instrução Normativa. Parágrafo único. Fica facultada aos órgãos e às entidades, até 29 de janeiro de 2027, a designação em Cargo Comissionado Executivo - CCE ou Função Comissionada Executiva - FCE de nível 13 e nível 10, equivalentes ou superiores, para os titulares e suplentes respectivamente, exceto para: I - órgãos e entidades integrantes do Comitê Gestor de Segurança da Informação - CGSI; II - órgãos e entidades que tratam informação classificada, nos termos da Lei de Acesso à Informação - LAI, Lei no 12.527, de 18 de novembro de 2011; e III - órgãos e entidades que sejam responsáveis por infraestruturas críticas identificadas ou em processo de identificação, nos termos da Política Nacional de Segurança de Infraestruturas Críticas - PNSIC, Decreto no 9.573, de 22 de novembro de 2018. Art. 3o. Esta Instrução Normativa entra em vigor na data de sua publicação. MARCOS ANTONIO AMARO DOS SANTOS