Gestor de Segurança da Informação na APF
Resumo executivo
A Instrução Normativa GSI/PR nº 9, de 8 de janeiro de 2026, publicada no Diário Oficial da União em 9 de janeiro de 2026, alterou a Instrução Normativa GSI/PR nº 1, de 27 de maio de 2020, e redesenhou por completo o papel, o perfil, os requisitos de designação e as competências do Gestor de Segurança da Informação (equivalente ao CISO – Chief Information Security Officer) nos órgãos e entidades da Administração Pública Federal.
A prática consiste em uma intervenção normativa de arquitetura institucional. Em vez de prescrever controles técnicos adicionais, a norma atua sobre a posição organizacional de quem responde pela segurança da informação. Dois movimentos estruturam a inovação.
O primeiro é a elevação do nível estratégico e decisório da função. A designação passa a exigir vínculo efetivo com o serviço público civil ou militar e a ocupação de Cargo Comissionado Executivo de nível superior ou posto de oficial-general, o que aproxima o gestor da alta administração e assegura que a segurança da informação tenha assento e voz nas decisões finalísticas do órgão, e não apenas na camada de execução tecnológica.
O segundo é a segregação de funções entre Segurança da Informação e Tecnologia da Informação. A norma veda expressamente que o responsável pela unidade de TI, ou servidores a ele subordinados, acumulem a função de Gestor de Segurança da Informação. Rompe-se, assim, um arranjo historicamente dominado pela lógica operacional da TI, em que o mesmo agente que opera a tecnologia era também o encarregado de fiscalizar a suficiência dos seus próprios controles. Em contrapartida, a norma impõe à unidade de TI o dever de colaborar e fornecer os subsídios necessários ao Gestor de Segurança da Informação para o exercício de suas competências, o que previne que a separação se converta em isolamento.
Como consequência dessa reconfiguração, a IN nº 9/2026 posiciona formalmente o Gestor de Segurança da Informação como segunda linha de defesa no âmbito do sistema de controle interno. Suas competências passam a incluir a avaliação de riscos e a análise de impacto prévias à adoção de tecnologias emergentes, o planejamento e a proposição de recursos orçamentários específicos para segurança da informação, o acompanhamento das equipes de prevenção, tratamento e resposta a incidentes cibernéticos e a supervisão da eficácia dos controles implantados. A norma prevê ainda a figura dos gestores setoriais em unidades dotadas de independência administrativa, o que capilariza a governança em estruturas complexas e descentralizadas. A figura do gestor setorial é similar ao Business Information Security Officer (BISO) do setor privado.
O problema enfrentado é antigo e bem documentado. No modelo anterior, a segurança da informação era tratada como disciplina subordinada à TI, competindo por orçamento, pessoal e prioridade com as demandas de disponibilidade e entrega de serviços, invariavelmente em desvantagem. O resultado era um conflito de interesses estrutural, decisões de risco tomadas em nível técnico sem conhecimento da alta administração e ausência de interlocutor institucional legitimado para dialogar com áreas jurídica, de auditoria, de gestão de pessoas e de comunicação.
A IN nº 9/2026 dá concretude organizacional à Política Nacional de Segurança da Informação, instituída pelo Decreto nº 12.572, de 2025, e converte um princípio de governança em requisito verificável de estrutura. Seu propósito principal é assegurar que a segurança da informação deixe de ser um apêndice técnico e se consolide como componente transversal de governança, riscos e controles do Estado brasileiro.
Motivação e Justificativa
A concepção da IN nº 9/2026 partiu de um diagnóstico institucional consolidado ao longo de mais de uma década de atuação do GSI/PR como órgão central de segurança da informação do Executivo federal. O desenho vigente colocava o responsável pela segurança da informação em posição estruturalmente incapaz de cumprir seu mandato.
Primeiro problema, conflito de interesses. Na maioria dos órgãos, o Gestor de Segurança da Informação era o próprio dirigente de TI ou um servidor a ele subordinado. Isso significava que o agente encarregado de avaliar a suficiência dos controles era o mesmo que respondia por sua implantação, operação e custo. Quando o cumprimento de prazos de entrega e a disponibilidade dos serviços entravam em rota de colisão com requisitos de segurança, a decisão era tomada por quem tinha incentivo direto para minimizar o requisito. Nenhum modelo de controle interno admite esse arranjo, e ele era a regra na APF.
Segundo problema, déficit de autoridade. A função era exercida, com frequência, por servidores em posições intermediárias, sem acesso direto à autoridade máxima do órgão e sem legitimidade para pautar comitês estratégicos, negociar orçamento próprio ou opor-se a decisões de negócio com risco relevante. O resultado prático era a comunicação de risco morrendo em camadas intermediárias. Incidentes e vulnerabilidades críticas eram tratados como assunto técnico, e não como risco institucional a ser conhecido e aceito, ou recusado, pela alta administração.
Terceiro problema, invisibilidade orçamentária. Sem posição própria na estrutura, a segurança da informação não tinha titularidade sobre planejamento e proposição de recursos. Competia por orçamento dentro da rubrica de TI, sistematicamente em desvantagem frente a demandas de infraestrutura e sistemas finalísticos, o que perpetuava o subinvestimento crônico em capacidades preventivas.
Quarto problema, reducionismo tecnológico. Ao ficar confinada à TI, a segurança da informação perdia seu caráter transversal. Temas como segurança em recursos humanos, gestão de acessos ligada ao ciclo de vida do vínculo funcional, classificação e tratamento da informação, segurança física, cadeia de suprimentos e continuidade de negócios simplesmente não tinham dono institucional, porque não eram problemas de tecnologia.
Quinto problema, descompasso normativo. A publicação da Política Nacional de Segurança da Informação pelo Decreto nº 12.572, de 2025, estabeleceu diretrizes de governança que pressupunham uma estrutura institucional que, na prática, não existia. Havia uma lacuna entre a política e o arranjo organizacional capaz de executá-la. Sem intervenção sobre a estrutura, a PNSI corria o risco de permanecer como declaração de intenções.
A esses fatores somou-se um contexto de urgência. A aceleração da transformação digital dos serviços públicos ampliou a superfície de exposição do Estado ao mesmo tempo em que aumentou a dependência da sociedade de sistemas governamentais críticos. A adoção de tecnologias emergentes, especialmente de inteligência artificial, passou a ocorrer em velocidade superior à capacidade de avaliação de risco das estruturas existentes. E ameaças à soberania informacional do Estado deixaram de ser hipótese para se tornar realidade operacional.
A IN nº 9/2026 é, portanto, a resposta a uma necessidade concreta e reiteradamente identificada. Não bastava dizer o que proteger. Era preciso definir quem protege, com qual autoridade e respondendo a quem.
- 9 - Indústria, inovação e infraestrutura
- 16 - Paz, justiça e instituições eficazes
- 17 - Parcerias e meios de implementação
A inovação está em atuar sobre a estrutura de poder, e não sobre o catálogo de controles. Normas de segurança costumam prescrever requisitos técnicos, insuficientes quando a estrutura que deveria executá-los está capturada por interesses conflitantes. Quatro elementos distinguem a prática. A segregação entre supervisão e operação, princípio do Modelo das Três Linhas do IIA e usualmente de adesão facultativa, torna-se vedação expressa e verificável por órgãos de controle. A posição hierárquica passa a ser tratada como controle de segurança, ao reconhecer que a distância entre quem identifica o risco e quem decide sobre ele é, ela própria, uma vulnerabilidade. O dever de colaboração imposto à TI evita que a separação vire isolamento. E a transição escalonada até 2027, com exceção para infraestruturas críticas e informações classificadas, calibra a exigência por criticidade. Não há precedente equivalente no ordenamento infralegal brasileiro.
Contexto e Alcance
A entidade responsável é a Secretaria de Segurança da Informação e Cibernética do Gabinete de Segurança Institucional da Presidência da República (GSI/PR), órgão responsável pela coordenação da Política Nacional de Segurança da Informação, instituída pelo Decreto nº 12.572/2025.
O público-alvo são os aproximadamente 330 órgãos e entidades da Administração Pública Federal direta e indireta, incluindo as autarquias, fundações e empresas estatais.
O público-alvo são os aproximadamente 330 órgãos e entidades da Administração Pública Federal direta e indireta, incluindo as autarquias, fundações e empresas estatais.
A coordenação está situada em Brasília. A norma se aplica a todos os órgãos e entidades da APF, que estão situados em diversos locais do país.
Resultados e Impacto
O objetivo central da norma era assegurar que a segurança da informação passasse a ser conduzida por gestor com independência em relação à unidade de TI e com proximidade da alta administração. Esse resultado vem se concretizando por meio das designações realizadas pelas autoridades máximas dos órgãos e entidades desde a entrada em vigor, em janeiro de 2026. Os retornos recebidos pelo GSI/PR de gestores designados, de dirigentes e de áreas de governança indicam efeitos práticos já perceptíveis, entre eles maior legitimidade para pautar temas de segurança em instâncias decisórias, articulação mais direta com auditoria interna e integridade, e clareza sobre responsabilidades antes difusas. A ampla repercussão técnica que se seguiu à publicação reforça a leitura de que a norma respondeu a uma lacuna reconhecida pela comunidade de gestão pública.
A prática nasceu em escala máxima dentro do seu escopo, porque a norma é obrigatória e autoaplicável a todos os órgãos e entidades da APF direta e indireta, sem necessidade de adesão voluntária ou de piloto. Há, ainda, outra iniciativa em andamento, para ampliação do âmbito de aplicação da norma para todo o setor público do país, com adesão voluntária pelos demais entes federativos e poderes.
O que se replica é um princípio de desenho organizacional, o de segregar supervisão e operação e posicionar o supervisor próximo à instância decisória, e não uma solução tecnológica. Não há dependência de fornecedor, de plataforma ou de licenciamento. O instrumento é público, disponível no Diário Oficial da União, e sua lógica é transparente e auditável. Estados e municípios podem adaptar os requisitos de cargo às suas estruturas remuneratórias preservando o núcleo, que é a vedação de acúmulo com a TI somada à exigência de proximidade da alta administração. Organizações privadas em setores regulados encontram na norma referência concreta de independência do CISO. A principal barreira não é técnica nem financeira, mas política, porque exige redistribuir autoridade. A própria norma mostra que ela é transponível.
A perenidade decorre da natureza normativa da prática. Uma vez em vigor, a IN nº 9/2026 não depende de renovação orçamentária, de contrato, de equipe de projeto ou de patrocínio político continuado, e sua revogação exigiria ato formal e motivado, com custo institucional relevante. Não há custo recorrente incremental significativo, porque as funções e os cargos já compunham a estrutura dos órgãos, de modo que muda a alocação, e não o volume de recursos. Somam-se o lastro hierárquico da PNSI, instituída por decreto, a coerência com princípios consolidados de controle interno, a existência de um corpo de gestores com mandato definido e a competência permanente de supervisão do GSI/PR.
A norma redistribuiu autoridade dentro do Executivo federal, ao retirar a segurança da informação da condição de subdisciplina da TI e alocá-la como componente autônomo de governança, riscos e controles. A avaliação predominante entre especialistas é a de mudança estrutural, e não incremental, porque altera quem decide e a quem se responde. Ao formalizar a segunda linha de defesa, preencheu lacuna reconhecida na arquitetura de controles, com interface legível para auditoria e controle externo. Ao exigir avaliação prévia de risco para tecnologias emergentes, inseriu controle de governança na adoção de inteligência artificial pelo setor público. A repercussão alcançou o setor privado, onde a independência do CISO deixa de ser diferencial para se aproximar de requisito. E a exigência de vínculo efetivo valoriza o corpo permanente do Estado.
Informações complementares
A prática se apoia no Decreto nº 12.572/2025, que institui a PNSI, no Decreto nº 11.856/2023, que institui a PNCiber, e na IN GSI/PR nº 1/2020, alterada pela IN nº 9/2026. Os referenciais metodológicos aplicados na concepção foram o Modelo das Três Linhas do IIA, usado para posicionar o gestor como segunda linha e delimitar fronteiras com a TI e a auditoria interna, o princípio de segregação de funções como requisito estrutural, as normas ABNT NBR ISO/IEC 27001 e 27002 para a definição de competências, e a ABNT NBR ISO 31000 para as atribuições de avaliação de riscos e análise de impacto. As instâncias de governança são o Comitê Gestor de Segurança da Informação e o GSI/PR como órgão central.
Texto oficial no DOU, https://www.in.gov.br/web/dou/-/instrucao-normativa-gsi/pr-n-9-de-8-de-janeiro-de-2026-680129488
Notícia institucional do GSI/PR com artigo da diretora do DSI, https://www.gov.br/gsi/pt-br/centrais-de-conteudo/noticias/2026/in-09-2025-eleva-o-papel-estrategico-do-gestor-de-seguranca-da-informacao
Análise no Migalhas, https://www.migalhas.com.br/depeso/447649/o-que-muda-com-a-in-9-26-na-estrutura-da-seguranca-da-informacao