Objetivos e Competências

Decreto nº 12.572, de 4 de agosto de 2025:

Art. 10.  Compete aos órgãos e às entidades da administração pública federal, em seu âmbito de atuação:

I – implementar a Política Nacional de Segurança da Informação;

II – instituir comitê interno de segurança da informação ou estrutura equivalente;

III – designar o gestor de segurança da informação;

IV – elaborar, publicar, implementar e revisar regularmente suas políticas de segurança da informação e suas normas internas de segurança da informação, observados os normativos sobre segurança da informação editados pelo Gabinete de Segurança Institucional;

V – estimular ações de conscientização e de capacitação de pessoas que atuem nos órgãos e nas entidades da administração pública federal em temas relacionados à segurança da informação;

VI – realizar a avaliação de conformidade com as normas relativas à segurança da informação;

VII – aplicar as ações corretivas e administrativas cabíveis nos casos de violação de sua política de segurança da informação, nos termos do disposto neste Decreto e na legislação;

VIII – coordenar as atividades desenvolvidas pelo gestor de segurança da informação, pelo encarregado pelo tratamento de dados pessoais, pelo gestor de segurança e credenciamento e pelo titular da unidade de tecnologia da informação;

IX – assegurar a transmissão do conhecimento e das responsabilidades por ocasião da substituição do gestor de segurança da informação; e

X – planejar e destinar recursos orçamentários para ações de segurança da informação.

Parágrafo único.  Ao órgão de que trata o inciso II do caput compete propor a elaboração e as revisões da política de segurança da informação e das normas internas de segurança da informação do seu órgão ou da sua entidade.  

Instrução Normativa GSI nº 1, de 27 de maio de 2020:

­Art. 9º É obrigatório a todos os órgãos e as entidades da administração pública federal possuir uma Política de Segurança da Informação, implementada a partir da formalização e aprovação por parte da autoridade máxima da instituição, com o objetivo de estabelecer diretrizes, responsabilidades, competências e subsídios para a gestão da segurança da informação.

Parágrafo único. A autoridade máxima do órgão ou da entidade é responsável por garantir os recursos necessários para a execução da Política de Segurança da Informação no âmbito de sua organização.

Art. 10. A Política de Segurança da Informação deve ser elaborada sob a coordenação do Gestor de Segurança da Informação do órgão ou entidade, com a participação do Comitê de Segurança da Informação interno ou estrutura equivalente.

Parágrafo único. Cabe ao Gestor de Segurança da Informação promover, com apoio da alta administração, a ampla divulgação da Política, das normas internas de segurança da informação e de suas atualizações, de forma ampla e acessível, a todos os servidores, aos usuários e aos prestadores de serviço, a fim de que esses tomem conhecimento de tais instrumentos. (…)

­Art. 16. De forma a estruturar a gestão da segurança da informação, os órgãos e entidades da administração pública federal deverão designar ou instituir, ao menos:
I – o Gestor de Segurança da Informação;
II – o Comitê de Segurança da Informação ou estrutura equivalente; e (…)

­Art. 18. O gestor de segurança da informação será designado dentre os servidores públicos civis ocupantes de cargo efetivo e militares de carreira do órgão ou entidade, com formação ou capacitação técnica compatível às suas atribuições. (…)

Art. 19. Compete ao gestor de segurança da informação:

(…)

II – coordenar a elaboração da Política de Segurança da Informação e das normas internas de segurança da informação do órgão, observadas as normas afins exaradas pelo Gabinete de Segurança Institucional da Presidência da República e as melhores práticas sobre o assunto; (Redação dada pela Instrução Normativa nº 7, de 2022)

III – assessorar a alta administração na implementação da Política de Segurança da Informação;

IV – estimular ações de capacitação e de profissionalização de recursos humanos em temas relacionados à segurança da informação; V – promover a divulgação da política e das normas internas de segurança da informação do órgão a todos os servidores, usuários e prestadores de serviços que trabalham no órgão ou na entidade;

VI – incentivar estudos de novas tecnologias, bem como seus eventuais impactos relacionados à segurança da informação;

VII – propor recursos necessários às ações de segurança da informação;

VIII – acompanhar os trabalhos da Equipe de Tratamento e Resposta a Incidentes Cibernéticos;

IX – verificar os resultados dos trabalhos de auditoria sobre a gestão da segurança da informação;

X – acompanhar a aplicação de ações corretivas e administrativas cabíveis nos casos de violação da segurança da informação; e

XI – manter contato direto com o Departamento de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República em assuntos relativos à segurança da informação.

Art. 20. O Comitê de Segurança da Informação interno dos órgãos e das entidades da administração pública federal possui as seguintes atribuições:

I – assessorar a implementação das ações de segurança da informação;

II – constituir grupos de trabalho para tratar de temas e propor soluções específicas sobre segurança da informação;

III – participar da elaboração da Política de Segurança da Informação e das normas internas de segurança da informação;

IV – propor alterações à Política de Segurança da Informação e às normas internas de segurança da informação; 

V – deliberar sobre normas internas de segurança da informação; e

VI – deliberar sobre as ações propostas pelo gestor de segurança da informação no parecer técnico sobre o relatório de avaliação de conformidade e encaminhar à alta administração para aprovação o processo contendo os documentos sobre a avaliação de conformidade.

 Art. 21. O Comitê de Segurança da Informação disposto no art. 20 terá a seguinte composição:

I – o gestor de segurança da informação do órgão ou da entidade;

II – um representante da Secretaria-Executiva ou da unidade equivalente do órgão ou da entidade;

III – um representante de cada unidade finalística do órgão ou da entidade; e

IV – o titular da unidade de tecnologia da informação do órgão ou da entidade.

Parágrafo único. O Comitê de Segurança da Informação será coordenado pela maior autoridade designada.

Instrução Normativa GSI nº 5, de 30 de agosto de 2021:

­Art. 8º Ao Comitê de Segurança da Informação ou à estrutura equivalente compete:

I – estabelecer os países nos quais dados e informações custodiados pela administração pública federal poderão ser armazenados em soluções de computação em nuvem;

II – definir os requisitos criptográficos mínimos para o armazenamento de dados e informações, custodiados pela administração pública federal, em soluções de computação em nuvem; e

III – analisar, em caráter conclusivo, as minutas de elaboração e de revisões do ato normativo sobre o uso seguro de computação em nuvem. (…)

­

Instrução Normativa GSI nº 6, de 23 de dezembro de 2021:

Art. 7º Compete ao Comitê de Segurança da Informação ou estrutura equivalente:

I – analisar os riscos de segurança da informação provenientes da presença do órgão ou da entidade em mídias sociais;

II – promover ações para tratar os riscos de segurança da informação provenientes da presença do órgão ou da entidade em mídias sociais;

III – analisar, em caráter conclusivo, as minutas de elaboração e de revisões do ato normativo sobre o uso seguro de mídias sociais;

IV – analisar os relatórios de que tratam o inciso III do art. 4º e o inciso IV do art. 5º; e

V – assessorar na implementação das ações de segurança da informação para o uso seguro de mídias sociais. (…)