PORTARIA SSC/MGI No 390, DE 20 DE JANEIRO DE 2026 Dispõe sobre a Gestão de Segurança da Informação no âmbito do Centro de Serviços Compartilhados - Colabora Gov. A SECRETÁRIA DE SERVIÇOS COMPARTILHADOS SUBSTITUTA DO MINISTÉRIO DA GESTÃO E DA INOVAÇÃO EM SERVIÇOS PÚBLICOS, no uso das atribuições que lhe confere o art. 51, caput, inciso I, alínea "a", e inciso III, do Anexo I ao Decreto no 12.102, de 8 de julho de 2024, e o art. 5o, caput, inciso I, do Decreto no 11.837, de 21 de dezembro de 2023, e tendo em vista o disposto na Portaria MGI no 10.033, de 29 de dezembro de 2025, na Portaria SSC/MGI no 202, de 15 de janeiro de 2026, no Decreto no 12.572, de 4 de agosto de 2025, na Instrução Normativa GSI/PR no 1, de 27 de maio de 2020, e na Instrução Normativa GSI/PR no 3, de 28 de maio de 2021, resolve: Objeto e âmbito de aplicação Art. 1o Esta Portaria dispõe sobre a Gestão de Segurança da Informação no âmbito do Centro de Serviços Compartilhados - Colabora Gov, de que trata o Decreto no 11.837, de 21 de dezembro de 2023. Definições Art. 2o Para os fins do disposto nesta Portaria, consideram-se: I - ativos de informação - meios de armazenamento, transmissão e processamento da informação, equipamentos necessários a isso, sistemas utilizados para tal, locais onde se encontram esses meios, recursos humanos que a eles têm acesso e conhecimento ou dado que tem valor para um indivíduo ou organização; II - Centro Integrado de Segurança Cibernética do Governo Digital - CISC Gov.br - unidade de coordenação operacional das equipes de prevenção, tratamento e resposta a incidentes cibernéticos dos órgãos e das entidades integrantes do Sistema de Administração de Recursos de Tecnologia da Informação - SISP, de que trata o Decreto no 7.579, de 11 de outubro de 2011; III - Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo - CTIR Gov - unidade do Departamento de Segurança Cibernética da Secretaria de Segurança da Informação e Cibernética do Gabinete de Segurança Institucional da Presidência da República com a atribuição de receber, analisar e responder a notificações e atividades relacionadas a incidentes de segurança em computadores; IV - Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR - grupo de agentes públicos com a responsabilidade de prestar serviços relacionados à segurança cibernética para o órgão ou a entidade da administração pública federal, em observância à política de segurança da informação e aos processos de gestão de riscos de segurança da informação do órgão ou da entidade; V - Estrutura de Segurança da Informação - orientações para gestão de segurança da informação que deverão ser observadas e implementadas pelos órgãos e pelas entidades da administração pública federal, direta e indireta, nos termos do disposto na Instrução Normativa no 1, de 27 de maio de 2020; VI - Gestão de Segurança da Informação - processo que visa integrar atividades de gestão de riscos, gestão de continuidade do negócio, tratamento de incidentes, tratamento da informação, conformidade, credenciamento, segurança cibernética, segurança física, segurança lógica, segurança orgânica e organizacional, aos processos institucionais estratégicos, operacionais e táticos, não se limitando, portanto, à tecnologia da informação; VII - órgão setorial - unidade de administração dos recursos de tecnologia da informação dos Ministérios e dos órgãos da Presidência da República, integrante do SISP; VIII - órgão correlato - unidade desconcentrada e formalmente constituídas de administração dos recursos de tecnologia da informação, integrante do SISP; IX - órgão prestador do Colabora Gov - órgão responsável pela prestação de serviços de suporte administrativo a um órgão ou a um grupo de órgãos solicitantes; X - órgão solicitante do Colabora Gov - órgão beneficiário dos serviços de suporte administrativo realizados pelo órgão prestador; e XI - usuário de informação - pessoa física, seja servidor ou equiparado, empregado ou prestador de serviços, habilitada pela administração para acessar os ativos de informação de um órgão ou entidade da administração pública federal, formalizada por meio da assinatura de Termo de Responsabilidade. Processos relacionados à Gestão de Segurança da Informação Art. 3o A Gestão de Segurança da Informação realizada pelo órgão prestador do Colabora Gov compreende a infraestrutura computacional e os ativos de informação do Ministério da Gestão e da Inovação em Serviços Públicos e dos demais órgãos solicitantes do Colabora Gov, gerenciados pela Diretoria de Tecnologia da Informação da Secretaria de Serviços Compartilhados. Art. 4o O órgão prestador do Colabora Gov observará os processos relacionados à Gestão de Segurança da Informação de que trata a Política de Segurança da Informação do Ministério da Gestão e da Inovação em Serviços Públicos - POSI-MGI, instituída pela Portaria MGI No 10.033, de 29 de dezembro de 2025, e demais normativos decorrentes desta Política. Art. 5o Aos órgãos solicitantes do Colabora Gov compete: I - elaborar, publicar, implementar e revisar regularmente suas políticas de segurança da informação e suas normas internas de segurança da informação, observados os normativos sobre segurança da informação editados pelo Gabinete de Segurança Institucional, nos termos do disposto no art. 10, caput, inciso IV, do Decreto no 12.572, de 4 de agosto de 2025; e II - designar ou instituir, nos termos do disposto no art. 16 da Instrução Normativa GSI/PR no 1, de 27 de maio de 2020, ao menos: a) o Gestor de Segurança da Informação; b) o Comitê de Segurança da Informação ou estrutura equivalente; e c) uma ETIR ou estrutura equivalente. Art. 6o Os usuários de informação dos órgãos solicitantes que acessem os serviços e ativos de informação, geridos e operados pela Diretoria de Tecnologia da Informação da Secretaria de Serviços Compartilhados, deverão observar a POSI-MGI e as demais normas específicas de segurança da informação do Ministério da Gestão e da Inovação em Serviços Públicos. Parágrafo único. Os órgãos solicitantes do Colabora Gov deverão promover, em parceria e de forma colaborativa, a divulgação da POSI-MGI e demais normas específicas de segurança da informação do Ministério da Gestão e da Inovação em Serviços Públicos aos seus usuários de informação. Equipes de Prevenção, Tratamento e Respostas a Incidentes Cibernéticos Art. 7o As equipes de prevenção, tratamento e resposta a incidentes cibernéticos dos órgãos solicitantes do Colabora Gov são autônomas e independentes entre si, sem nenhuma subordinação hierárquica entre elas. Parágrafo único. Cada órgão correlato tratará com a ETIR do órgão setorial ao qual está vinculado. Art. 8o A ETIR do Ministério da Gestão e da Inovação em Serviços Públicos - ETIR-MGI manterá um canal de comunicação com as equipes de prevenção, tratamento e resposta a incidentes cibernéticos dos órgãos solicitantes do Colabora Gov com o objetivo de: I - facilitar o contato tempestivo entre os Agentes Responsáveis pelas equipes de prevenção, tratamento e resposta a incidentes cibernéticos; II - garantir o compartilhamento ágil de informações de incidentes e ataques cibernéticos; e III - compartilhar conhecimento e boas práticas, favorecendo um ambiente de colaboração e desenvolvimento. Parágrafo único. Cada ETIR tem autonomia para definir quais informações ou conhecimentos serão compartilhados no canal de comunicação de que trata o caput. Art. 9o A comunicação com o CTIR Gov e com o CISC Gov.br deverá ser realizada diretamente pelas respectivas equipes de prevenção, tratamento e resposta a incidentes cibernéticos dos órgãos solicitantes do Colabora Gov. Incidentes cibernéticos Art. 10. Na ocorrência de incidentes cibernéticos nos órgãos solicitantes do Colabora Gov, devem ser observadas as seguintes medidas: I - incidentes cibernéticos que afetem serviços e ativos de informação geridos e operados pela Diretoria de Tecnologia da Informação da Secretaria de Serviços Compartilhados: a) o Gestor de Segurança da Informação do Ministério da Gestão e da Inovação em Serviços Públicos decidirá quais medidas devem ser adotadas referentes à resposta, nos termos do disposto no art. 18, § 1o, da Portaria SSC/MGI no 202, de 15 de janeiro de 2026; b) a ETIR-MGI adotará as medidas necessárias para a recuperação e tratamento do incidente cibernético, após a tomada de decisão de que trata a alínea "a" do inciso I do caput, e c) a ETIR-MGI coordenará a comunicação com o Gestor de Segurança da Informação e com o Encarregado de Proteção de Dados Pessoais do Ministério da Gestão e da Inovação em Serviços Públicos, interagirá com órgãos externos, tais como a Polícia Federal, a Agência Brasileira de Inteligência - ABIN, o CTIR Gov e o CISC Gov.br, e cientificará o órgão responsável pela comunicação com a imprensa, quando couber; II - incidentes cibernéticos que afetem ativos de informação sob a responsabilidade de um órgão solicitante do Colabora Gov: o órgão decidirá quais medidas devem ser adotadas referentes à resposta, incluindo a comunicação com o Gestor de Segurança da Informação e com o Encarregado de Proteção de Dados Pessoais do órgão, a interação com órgãos externos, de que trata a alínea "c" do inciso I do caput, e a ciência ao órgão responsável pela comunicação com a imprensa, quando couber; III - incidentes cibernéticos que afetem serviços e ativos de informação geridos e operados pela Diretoria de Tecnologia da Informação da Secretaria de Serviços Compartilhados e dados ou sistemas sob a responsabilidade de um órgão solicitante do Colabora Gov: a) o Gestor de Segurança da Informação do Ministério da Gestão e da Inovação em Serviços Públicos decidirá quais medidas devem ser adotadas referentes à resposta, nos termos do disposto no art. 18, § 1o, da Portaria SSC/MGI no 202, de 2026; b) a ETIR-MGI adotará as medidas necessárias para a recuperação e tratamento do incidente cibernético, após a tomada de decisão de que trata a alínea "a" do inciso III do caput, interagirá com órgãos externos a que se refere a alínea "c" do inciso I do caput e alertará o órgão responsável pela comunicação com a imprensa, quando couber; c) a ETIR do órgão solicitante do Colabora Gov comunicará o incidente cibernético ao Gestor de Segurança da Informação e ao Encarregado de Proteção de Dados Pessoais do órgão e cientificará o órgão responsável pela comunicação com a imprensa, quando couber. § 1o Nas hipóteses de que tratam os incisos I e III do caput, à ETIR-MGI compete informar o Agente Responsável pela ETIR do órgão solicitante do Colabora Gov envolvido para condução do processo de tratamento do incidente, que se dará de forma colaborativa entre as equipes. § 2o Para os fins do disposto na alínea "b" do inciso III do caput, a ETIR-MGI poderá solicitar o auxílio do órgão solicitante do Colabora Gov. § 3o O órgão solicitante do Colabora Gov que detectar incidente cibernético em ativo de informação que esteja na infraestrutura computacional gerenciada pela Diretoria de Tecnologia da Informação da Secretaria de Serviços Compartilhados deverá cientificar a ETIR-MGI, mesmo que a gestão do ativo seja do referido órgão solicitante. § 4o As comunicações e ações relacionadas às áreas de negócio do órgão solicitante do Colabora Gov envolvido no incidente deverão ser adotadas pela ETIR daquele órgão. § 5o Em qualquer das hipóteses do caput, o órgão que detectar o incidente cibernético deverá dar ciência a todas as equipes de prevenção, tratamento e resposta a incidentes cibernéticos dos órgãos solicitantes do Colabora Gov, através do canal de comunicação de que trata o art. 8o. Vigência Art. 11. Esta Portaria entra em vigor na data de sua publicação. LUCÍOLA MAURÍCIO DE ARRUDA