Publicado no DOU em 3 nov 2026
Institui a Norma de Computação em Nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, estabelecendo princípios, diretrizes, requisitos e responsabilidades para a contratação, utilização, gestão, monitoramento e auditoria de serviços de computação em nuvem, com vistas à segurança da informação, à proteção de dados, à soberania dos dados institucionais e à continuidade dos serviços públicos.
O MINISTRO DE ESTADO DO DESENVOLVIMENTO E ASSISTÊNCIA SOCIAL, FAMÍLIA E COMBATE À FOME, no uso das atribuições que lhe confere o art. 87, parágrafo único, incisos I e II, da Constituição, e tendo em vista o disposto no Decreto nº 12.572, de 4 de agosto de 2025, resolve:
Art. 1º Fica instituída a Norma de Computação em Nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome - MDS.
CAPÍTULO I - DAS DISPOSIÇÕES GERAIS
Art. 2º Esta Norma aplica-se a todas as unidades do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome que contratem, utilizem ou gerenciem serviços de computação em nuvem, direta ou indiretamente.
Art. 3º A contratação, a utilização e a gestão de serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão observar estritamente a legislação e os normativos federais vigentes relativos à segurança da informação, à proteção de dados pessoais e às contratações de soluções de tecnologia da informação e comunicação.
Art. 4º A adoção de serviços de nuvem deve estar alinhada às necessidades institucionais, observar o interesse público, a eficiência e a soberania dos dados.
Art. 5º A adoção de serviços em nuvem é exclusiva para finalidades institucionais e deve ser precedida de análise de viabilidade técnica, econômica e de riscos, garantindo que a inovação não comprometa a soberania dos dados e a continuidade dos serviços públicos.
Art. 6º Para fins desta Norma, consideram-se:
I - análise de viabilidade: avaliação prévia que considera aspectos técnicos, econômicos, operacionais e de segurança para adoção de serviços de computação em nuvem;
II - área de tecnologia da informação - TI: unidade responsável por apoiar tecnicamente, definir requisitos, supervisionar e monitorar os serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome;
III - computação em nuvem: modelo de provisão de recursos de tecnologia da informação sob demanda, por meio de rede, com elasticidade, escalabilidade e medição de uso;
IV - dados pessoais: informações relacionadas a pessoa natural identificada ou identificável, nos termos da legislação vigente;
V - disponibilidade: capacidade de um serviço estar acessível e operacional quando necessário;
VI - gestão de riscos: processo contínuo de identificação, análise, avaliação, tratamento e monitoramento de riscos que possam comprometer os serviços e os ativos de informação;
VII - governança de TI: conjunto de práticas, processos e estruturas que asseguram que a tecnologia da informação suporte os objetivos institucionais;
VIII - incidente de segurança: evento que compromete ou ameaça a confidencialidade, integridade ou disponibilidade de informações ou serviços;
IX - interoperabilidade: capacidade de sistemas e serviços distintos operarem de forma integrada;
X - logs: registros eletrônicos de eventos, acessos e operações realizadas nos sistemas e serviços de nuvem;
XI - matriz de alocação de riscos: cláusula contratual definidora de riscos de eventos supervenientes à contratação e de responsabilidades entre as partes contratantes;
XII - nuvem de governo: infraestrutura de nuvem privada ou comunitária gerida exclusivamente por órgãos ou empresas públicas;
XIII - nuvem privada (ou interna): infraestrutura de nuvem dedicada para uso exclusivo do órgão e de suas unidades vinculadas, ou de entidade composta por múltiplos usuários, e sua propriedade e seu gerenciamento podem ser da própria organização, de terceiros ou de ambos;
XIV - nuvem comunitária: infraestrutura de nuvem dedicada para uso exclusivo de uma comunidade, ou de um grupo de usuários de órgãos ou de entidades não vinculados, que compartilham a mesma natureza de trabalho e obrigações, e sua propriedade e seu gerenciamento podem ser de organizações da comunidade, de terceiros ou de ambos;
XV - portabilidade: capacidade de transferir dados, aplicações e serviços entre diferentes provedores ou ambientes sem prejuízo de sua integridade ou funcionalidade;
XVI - proteção de dados: conjunto de medidas técnicas e administrativas destinadas a garantir a privacidade e a segurança dos dados pessoais;
XVII - provedor de serviço de nuvem - PSN: pessoa jurídica responsável pela oferta e operação dos serviços de computação em nuvem;
XVIII - rastreabilidade: capacidade de identificar e acompanhar ações realizadas sobre dados e sistemas, permitindo auditoria e controle;
XIX - resiliência operacional: capacidade de resistir, adaptar-se e recuperar-se de eventos adversos, garantindo a continuidade das operações;
XX - responsabilidade compartilhada: modelo que define as obrigações entre o provedor e o contratante, no qual o provedor garante a segurança da infraestrutura da nuvem e a organização garante a segurança dos dados, aplicações e acessos;
XXI - segurança da informação: conjunto de práticas e controles destinados a proteger a confidencialidade, integridade e disponibilidade das informações;
XXII - serviço de computação em nuvem: conjunto de recursos de tecnologia da informação disponibilizados por provedor externo, incluindo infraestrutura, plataformas e softwares, acessíveis remotamente;
XXIII - tratamento de dados: toda operação realizada com dados, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, armazenamento, eliminação ou avaliação; e
XXIV - unidade demandante: unidade organizacional responsável por identificar a necessidade, justificar e acompanhar a utilização de serviços de computação em nuvem.
CAPÍTULO III - DOS PRINCÍPIOS E DIRETRIZES
Art. 7º A contratação e a operação de serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão observar os seguintes princípios e diretrizes:
I - auditabilidade e controle: os serviços devem permitir a realização de auditorias, inspeções e mecanismos de controle pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, garantindo a verificação do cumprimento dos requisitos contratuais e normativos;
II - conformidade e governança: os serviços devem estar alinhados às políticas institucionais de governança de tecnologia da informação, segurança da informação e proteção de dados do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome;
III - disponibilidade e continuidade: os serviços de computação em nuvem devem assegurar alta disponibilidade e continuidade operacional, de modo a não comprometer a prestação dos serviços públicos;
IV - eficiência e economicidade: a utilização de serviços de computação em nuvem deve buscar a melhor relação custo-benefício, considerando aspectos técnicos, operacionais e financeiros ao longo de todo o ciclo de vida do serviço;
V - gestão de riscos: a adoção e o uso de serviços de computação em nuvem devem ser precedidos e acompanhados por processos contínuos de identificação, análise, avaliação e tratamento de riscos;
VI - interoperabilidade e portabilidade: sempre que possível, devem ser adotadas soluções que favoreçam a interoperabilidade entre sistemas e a portabilidade dos dados e serviços, mitigando riscos de dependência tecnológica;
VII - minimização de dados: a coleta, o processamento e o armazenamento de dados devem se limitar ao mínimo necessário para a execução das finalidades institucionais do serviço;
VIII - proteção de dados: os serviços de computação em nuvem devem assegurar a proteção dos dados institucionais e pessoais contra acessos não autorizados, vazamentos, perda, alteração indevida ou qualquer forma de tratamento inadequado;
IX - resiliência operacional: os serviços devem possuir capacidade de resistir, absorver, adaptar-se e recuperar-se de incidentes, incluindo ataques cibernéticos, falhas técnicas e desastres, garantindo a manutenção das operações sob supervisão institucional;
X - responsabilidade compartilhada: a segurança e a proteção de dados nos serviços de nuvem devem observar o modelo de responsabilidade compartilhada entre o Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome e o provedor, conforme definido contratualmente;
XI - segurança e privacidade desde a concepção (Privacy by Design): a segurança da informação e a proteção de dados pessoais devem ser incorporadas desde as fases iniciais de planejamento, contratação e implementação dos serviços, não podendo ser tratadas como elementos acessórios ou posteriores; e
XII - transparência e rastreabilidade: o provedor de serviços de nuvem deve garantir transparência quanto à localização dos dados, aos fluxos de tratamento e à disponibilização de registros (logs), assegurando a rastreabilidade das operações realizadas.
Art. 8º Fica estabelecida a priorização do uso da Nuvem de Governo como arranjo tecnológico de infraestrutura digital para o armazenamento, processamento e tratamento de dados e sistemas no âmbito da Administração Pública.
§ 1º A Nuvem de Governo deverá ser preferencialmente adotada por constituir solução sediada em território nacional, sob governança do Estado brasileiro, assegurando proteção física e lógica das informações, bem como a integração e interoperabilidade entre bases de dados públicas.
§ 2º A utilização da Nuvem de Governo deverá observar, em todos os casos, as disposições da Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), e da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação - LAI).
§ 3º O uso da Nuvem de Governo deverá viabilizar o compartilhamento responsável de informações entre órgãos e entidades, com vistas ao aprimoramento da formulação, execução e avaliação de políticas públicas.
§ 4º Deverá ser considerada, sempre que possível, a adoção de soluções alinhadas ao conceito de nuvem soberana do Estado, entendida como aquela que assegura a gestão nacional sobre dados, sistemas e infraestruturas críticas, com controle estatal sobre sua operação, armazenamento e tratamento.
§ 5º A implementação do disposto neste artigo observará os instrumentos de cooperação técnica firmados no âmbito da Administração Pública Federal, especialmente aqueles celebrados entre entidades responsáveis pela prestação de serviços de tecnologia da informação.
§ 6º A contratação de serviços de nuvem para abrigar sistemas estruturantes do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverá utilizar exclusivamente os modelos de implementação de nuvem privada ou de nuvem comunitária, desde que restritas às infraestruturas de órgãos ou de entidades da administração pública.
CAPÍTULO IV - DA CONFORMIDADE LEGAL E PRIVACIDADE DOS DADOS
Art. 9º A contratação e a operação de serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão observar, além da LGPD, a finalidade específica e legítima para a qual os dados foram coletados.
Art. 10. Os serviços de computação em nuvem deverão estar em conformidade, no mínimo, com os seguintes normativos, ou aqueles que vierem a substituí-los:
I - Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD);
II - Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021, que dispõe sobre os requisitos mínimos de segurança da informação para utilização de soluções de computação em nuvem;
III - Instrução Normativa GSI/PR nº 8, de 6 de outubro de 2025, que dispõe sobre os requisitos mínimos de segurança da informação para tratamento de informação classificada em computação em nuvem;
IV - Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, que disciplina as contratações de soluções de Tecnologia da Informação e Comunicações no âmbito do Poder Executivo Federal;
V - Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, que estabelece modelo de contratação de software e de serviços de computação em nuvem no âmbito do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP; e
VI - normas técnicas e padrões internacionais amplamente reconhecidos relacionados à segurança da informação e à proteção de dados.
Art. 11. O tratamento de dados pessoais em serviços de computação em nuvem deverá observar, além do disposto na LGPD:
I - a finalidade específica e legítima para a qual os dados foram coletados;
II - a adequação e a necessidade do tratamento em relação às finalidades institucionais;
III - a adoção de medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados, vazamentos, perda ou qualquer forma de tratamento inadequado;
IV - a garantia dos direitos dos titulares de dados, quando aplicável; e
V - a limitação do acesso aos dados pessoais ao estritamente necessário para a execução do serviço.
Art. 12. Os serviços de computação em nuvem deverão assegurar mecanismos que permitam:
I - a identificação, o registro e o controle do fluxo de dados, inclusive quanto à sua localização, movimentação, transferência e, quando aplicável, à jurisdição a que estejam submetidos;
II - o registro e a manutenção de logs de acesso e de operações realizadas sobre os dados;
III - a rastreabilidade das atividades de tratamento de dados pessoais, permitindo identificar, quando aplicável, o usuário, sistema ou serviço responsável pela operação, a data e hora da atividade e a operação realizada; e
IV - a resposta a incidentes de segurança envolvendo dados pessoais, com comunicação tempestiva às instâncias competentes, no prazo máximo de 3 (três) dias úteis.
Art. 13. No que tange ao gerenciamento de identidades e acessos, os serviços de computação em nuvem deverão:
I - adotar padrão de identidade federada para permitir o uso de tecnologia de acesso único (Single Sign-On - SSO) na autenticação dos usuários;
II - exigir o uso de autenticação multifator - MFA ou mecanismo equivalente que eleve o grau de segurança, de acordo com o nível de criticidade da informação; e
III - garantir que o provedor de serviço de nuvem não possua permissão de uso ou acesso direto ao ambiente de autenticação interno do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome.
Art. 14. Os instrumentos contratuais deverão prever cláusulas específicas relacionadas à privacidade e à proteção de dados pessoais, incluindo, no mínimo:
I - as responsabilidades do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome e do provedor quanto ao tratamento de dados pessoais;
II - os requisitos de segurança da informação aplicáveis aos serviços contratados;
III - as condições para coleta, armazenamento, processamento, compartilhamento e transferência de dados;
IV - os procedimentos para detecção, comunicação, tratamento e resposta a incidentes de segurança;
V - os requisitos de registro e disponibilização de logs e trilhas de auditoria;
VI - as regras para retenção, eliminação, anonimização, devolução ou transferência dos dados ao término da relação contratual;
VII - os requisitos de portabilidade dos dados e de apoio à migração para outra solução ou provedor;
VIII - as condições de localização e transferência dos dados, quando aplicável;
IX - os mecanismos que permitam ao Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome exercer seus direitos de auditoria, fiscalização e verificação do cumprimento das obrigações de segurança e proteção de dados;
X - os procedimentos para encerramento seguro dos serviços, incluindo a eliminação ou devolução dos dados e a revogação dos acessos do provedor; e
XI - a proibição expressa do uso de dados e informações do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome pelo provedor de serviço de nuvem para fins de propaganda, treinamento e otimização de mecanismos de inteligência artificial ou qualquer outro uso secundário não autorizado.
Art. 15. O Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverá assegurar a supervisão institucional sobre o cumprimento das obrigações legais e contratuais relacionadas à proteção de dados pessoais nos serviços de computação em nuvem.
CAPÍTULO V - DA CATEGORIZAÇÃO DAS INFORMAÇÕES
Art. 16. As informações a serem tratadas em serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão ser previamente categorizadas quanto à sua sensibilidade e criticidade, bem como classificadas quanto ao seu grau de sigilo, quando couber.
Art. 17. A atribuição de grau de sigilo às informações observará estritamente as disposições da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação - LAI), bem como demais normativos internos e externos aplicáveis à segurança da informação.
Art. 18. Para fins desta Norma, as informações deverão ser categorizadas, no mínimo, conforme os seguintes níveis:
I - públicas: aquelas de acesso irrestrito, cuja divulgação não acarreta riscos à Administração Pública ou a terceiros;
II - restritas: aquelas cujo acesso deve ser limitado a pessoas autorizadas, em razão de requisitos legais, contratuais ou institucionais; e
III - sigilosas: submetidas à classificação quanto ao grau de sigilo em razão de sua imprescindibilidade para a segurança da sociedade ou do Estado, nos termos da LAI.
Art. 19. Além da categorização quanto ao nível de acesso, as informações deverão ser avaliadas quanto à sua criticidade, considerando os impactos decorrentes de eventual indisponibilidade, perda, alteração ou divulgação indevida.
Art. 20. A categorização e a classificação das informações deverão ser realizadas previamente à contratação e à utilização de serviços de computação em nuvem, devendo serem revisadas periodicamente ou sempre que houver alteração relevante no contexto de uso.
Art. 21. A categorização das informações deverá subsidiar a definição:
I - dos requisitos de segurança da informação aplicáveis;
II - do tipo de serviço de nuvem a ser utilizado;
III - das restrições de armazenamento, processamento e compartilhamento de dados; e
IV - dos controles de acesso e mecanismos de proteção a serem adotados.
Art. 22. As unidades responsáveis pelas informações são responsáveis por sua adequada categorização e classificação, bem como pela revisão e atualização dessa classificação ao longo do ciclo de vida dos dados.
Art. 23. É vedada a utilização de serviços de computação em nuvem para o tratamento de informações cujos requisitos de proteção e controle de acesso não possam ser adequadamente atendidos pelo serviço contratado.
Parágrafo único. É expressamente vedada a utilização de serviços de computação em nuvem para o tratamento, trânsito ou armazenamento de informações classificadas no grau de sigilo ultrassecreto e de seus documentos preparatórios, sob qualquer hipótese.
Art. 24. Sempre que houver tratamento de informação classificada em grau de sigilo nos serviços de computação em nuvem, deverão ser observados os requisitos previstos no Capítulo I da Instrução Normativa GSI/PR nº 8, de 6 de outubro de 2025, sem prejuízo das demais normas de segurança da informação, proteção de dados e classificação da informação aplicáveis.
§ 1º Todas as informações classificadas em grau de sigilo, tanto as arquivadas ou armazenadas quanto aquelas em transporte ou transmissão, deverão ser obrigatoriamente criptografadas utilizando-se algoritmos de Estado.
§ 2º O gerenciamento das chaves criptográficas utilizadas para a proteção de informações classificadas será realizado de forma exclusiva pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, sendo vedado o seu compartilhamento com o provedor de nuvem.
CAPÍTULO VI - DA CONTRATAÇÃO DE SERVIÇOS DE NUVEM
Seção I - Dos Requisitos Mínimos para o Provedor
Art. 25. O provedor de serviço de nuvem contratado deverá comprovar o pleno atendimento aos requisitos mínimos estabelecidos no art. 20 da Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021.
§ 1º Caso o serviço de computação em nuvem contemple o tratamento de informação classificada em grau de sigilo, o provedor deverá atender, cumulativamente, aos requisitos dispostos no art. 7º da Instrução Normativa GSI/PR nº 8, de 6 de outubro de 2025.
§ 2º Sem prejuízo do disposto no caput, o provedor deverá garantir que o armazenamento e o processamento dos dados ocorram em datacenters localizados exclusivamente em território nacional, assegurando a soberania e o controle dos dados institucionais.
Seção II - Do Procedimento de Contratação
Art. 26. As contratações de soluções de computação em nuvem deverão observar a Lei nº 14.133, de 1º de abril de 2021, a Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, a Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, e demais normas aplicáveis.
§ 1º As contratações de software e serviços de computação em nuvem deverão utilizar obrigatoriamente o modelo de contratação estabelecido no Anexo I da Portaria SGD/MGI nº 5.950, de 26 de outubro de 2026.
§ 2º A adoção de modelo diverso somente será admitida nas hipóteses e condições estabelecidas pela Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, mediante justificativa da área técnica proponente, comunicação à Secretaria de Governo Digital e aprovação prévia daquela Secretaria.
§ 3º O processo de contratação deverá observar as fases, procedimentos e artefatos previstos na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, e no modelo de contratação estabelecido pela Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, sem prejuízo das disposições da Lei nº 14.133, de 1º de abril de 2021.
§ 4º Em todas as fases da contratação deverão ser considerados, conforme aplicável, os requisitos de planejamento, análise e gerenciamento de riscos, segurança da informação, privacidade e proteção de dados, continuidade, níveis mínimos de serviço, portabilidade, interoperabilidade, gestão contratual e demais requisitos estabelecidos na legislação e nos normativos aplicáveis.
Seção III - Da Análise de Viabilidade e da Gestão de Riscos
Art. 27. A contratação de serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverá ser precedida de avaliação da viabilidade da solução, integrada ao processo de planejamento da contratação de TIC e formalizada nos artefatos previstos na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, especialmente no Estudo Técnico Preliminar, quando aplicável.
Parágrafo único. A contratação e a execução dos serviços de computação em nuvem deverão ser acompanhadas de processo contínuo de gestão de riscos, observado o disposto na legislação e nos normativos aplicáveis.
Art. 28. A avaliação da viabilidade da contratação de solução de computação em nuvem deverá ser realizada pela equipe responsável pelo planejamento da contratação, com a participação da unidade demandante e da área de tecnologia da informação, observadas as competências e responsabilidades estabelecidas na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022.
Art. 29. A análise de viabilidade deverá considerar, no mínimo:
I - a necessidade de negócio e o alinhamento com os objetivos institucionais;
II - a adequação da solução de computação em nuvem às demandas da unidade;
III - a avaliação de alternativas tecnológicas disponíveis, inclusive quanto à adoção ou não de serviços em nuvem;
IV - os custos envolvidos ao longo do ciclo de vida da solução, incluindo contratação, operação e eventual descontinuidade;
V - os requisitos de segurança da informação, proteção de dados e conformidade;
VI - a capacidade de integração com sistemas e serviços existentes; e
VII - os impactos operacionais e organizacionais decorrentes da adoção da solução.
Art. 30. A gestão de riscos deverá ser realizada de forma contínua e integrada ao longo de todo o processo de contratação e operação dos serviços de computação em nuvem.
Art. 31. O processo de gestão de riscos deverá contemplar, no mínimo:
I - a identificação dos riscos associados à contratação e ao uso da solução;
II - a análise e avaliação dos riscos, considerando a probabilidade de ocorrência e o impacto nos serviços e nas informações;
III - a definição e implementação de medidas de tratamento dos riscos, incluindo sua mitigação, transferência, aceitação ou eliminação; e
IV - o monitoramento e a revisão periódica dos riscos identificados.
Art. 32. Deverá ser elaborado e mantido atualizado o Mapa de Gerenciamento de Riscos, em conformidade com a Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, contendo, no mínimo:
I - a descrição dos riscos identificados;
II - a classificação quanto à probabilidade e ao impacto;
III - as medidas de tratamento adotadas;
IV - os responsáveis pelo acompanhamento dos riscos; e
V - o condição e a evolução dos riscos ao longo do tempo.
Art. 33. A gestão de riscos deverá observar a legislação e os normativos aplicáveis, especialmente aqueles que disciplinam a contratação e a gestão de soluções de TIC, bem como, quando pertinente, as boas práticas e padrões reconhecidos de gestão de riscos, tais como a ABNT NBR ISO 31000 e as normas relacionadas à segurança da informação e à continuidade dos serviços adotadas pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome.
Art. 34. A gestão de riscos deverá subsidiar as decisões relacionadas à contratação, à definição dos requisitos da solução e ao estabelecimento dos níveis de serviço - SLA.
Seção IV - Das Responsabilidades e Níveis de Serviço - SLA
Art. 35. As responsabilidades relativas à contratação, implantação e operação de serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome observarão os papéis definidos no processo de contratação previsto na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022.
Art. 36. Compete à unidade demandante da solução de computação em nuvem:
I - identificar a necessidade de negócio e justificar a contratação de serviços de computação em nuvem;
II - definir, em conjunto com a área de tecnologia da informação, os requisitos funcionais e de negócio da solução;
III - classificar as informações a serem tratadas, quanto ao sigilo e à criticidade;
IV - apoiar a definição dos níveis de serviço - SLA, especialmente quanto aos requisitos de disponibilidade e desempenho;
V - acompanhar a execução do serviço, avaliando se os níveis de serviço contratados atendem às necessidades institucionais;
VI - comunicar à área de tecnologia da informação eventuais falhas, indisponibilidades ou inadequações do serviço; e
VII - gerar relatório periódico sobre a solução de computação em nuvem contratada e encaminhar à área de tecnologia da informação responsável.
Art. 37. Compete à Subsecretaria de Tecnologia da Informação - STI/MDS, por meio de suas unidades competentes:
I - apoiar a unidade demandante na definição da solução de computação em nuvem;
II - avaliar a viabilidade técnica da contratação, bem como sua aderência às normas e padrões institucionais;
III - definir requisitos técnicos, de segurança da informação, proteção de dados e arquitetura da solução;
IV - apoiar a definição e a formalização dos Acordos de Nível de Serviço - SLA;
V - coordenar o processo de contratação, no que se refere aos aspectos técnicos da solução;
VI - monitorar o desempenho, a segurança, a disponibilidade e o consumo dos serviços de nuvem;
VII - gerir e acompanhar o cumprimento dos níveis de serviço - SLA;
VIII - comunicar tempestivamente incidentes, falhas ou riscos que possam impactar os serviços;
IX - assegurar que a implantação e operação da solução estejam em conformidade com os normativos institucionais; e
X - atuar, por meio da Coordenação-Geral de Infraestrutura - CGINFRA, na operação e sustentação dos ambientes de nuvem.
Art. 38. Compete ao preposto do provedor de serviço de nuvem:
I - representar a contratada junto ao Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome durante a execução do contrato;
II - atuar como ponto focal de interlocução técnica e operacional com o Gestor do Contrato e com os Fiscais do Contrato;
III - receber e dar cumprimento imediato às notificações, ordens de serviço e solicitações relativas ao ajuste e aos níveis de serviço - SLA; e
IV - reportar tempestivamente à equipe de fiscalização do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome eventuais falhas, incidentes ou indisponibilidades na infraestrutura de nuvem.
Art. 39. A gestão e a fiscalização da execução dos contratos de soluções de computação em nuvem serão exercidas pelo Gestor do Contrato e pelos Fiscais Técnico, Requisitante e Administrativo, designados nos termos da Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, observadas as seguintes competências específicas:
I - ao Gestor do Contrato: coordenar as atividades de fiscalização, encaminhar demandas formais, acompanhar a execução contratual e gerenciar os riscos durante a vigência do contrato;
II - ao Fiscal Técnico: verificar o atendimento das especificações técnicas e dos Acordos de Nível de Serviço - SLA, realizar a avaliação de desempenho da contratada e emitir o Termo de Recebimento Provisório;
III - ao Fiscal Requisitante: avaliar a qualidade dos serviços prestados sob a perspectiva funcional e do negócio; e
IV - ao Fiscal Administrativo: acompanhar os aspectos operacionais, prazos, documentação fiscal, trabalhista e pagamentos.
Art. 40. Compete ao operador do serviço de computação em nuvem:
I - garantir a correta configuração e operação da solução sob sua responsabilidade;
II - gerenciar os acessos ao sistema, observando o princípio do menor privilégio;
III - manter atualizada a matriz de perfis de acesso;
IV - apoiar auditorias e ações de conformidade; e
V - comunicar incidentes ou vulnerabilidades à área de tecnologia da informação.
Art. 41. Compete ao Encarregado pelo Tratamento de Dados Pessoais:
I - assessorar a área demandante e a equipe de planejamento da contratação quanto aos aspectos relacionados à proteção de dados pessoais, sempre que houver tratamento de dados pessoais no objeto da contratação;
II - analisar e manifestar-se sobre os riscos relacionados ao tratamento de dados pessoais decorrentes da contratação, propondo medidas para sua mitigação, quando necessário;
III - avaliar, quando aplicável, a necessidade de elaboração ou atualização do Relatório de Impacto à Proteção de Dados Pessoais - RIPD, em conformidade com a legislação vigente e com as diretrizes institucionais;
IV - orientar quanto à observância dos princípios, direitos dos titulares e demais obrigações previstos na legislação de proteção de dados pessoais durante a execução contratual;
V - recomendar a inclusão de requisitos e controles de proteção de dados pessoais nos instrumentos da contratação, especialmente aqueles relacionados à confidencialidade, à segurança da informação, à retenção, ao compartilhamento, à eliminação de dados e à comunicação de incidentes de segurança;
VI - apoiar a equipe de gestão e fiscalização do contrato na análise de questões relacionadas à proteção de dados pessoais que surjam durante a execução contratual; e
VII - atuar como ponto de orientação institucional em matéria de proteção de dados pessoais, sem prejuízo das competências atribuídas às áreas gestoras, de tecnologia da informação, de segurança da informação e à contratada.
Parágrafo único. As competências previstas neste artigo são complementares e não excluem nem substituem as atribuições gerais estabelecidas para o cargo no art. 41 da Lei nº 13.709, de 14 de agosto de 2018 (LGPD), e na Resolução CD/ANPD nº 18, de 16 de julho de 2024, especialmente a de atuar como canal de comunicação institucional com os titulares de dados pessoais e com a Autoridade Nacional de Proteção de Dados - ANPD.
Art. 42. São deveres dos usuários de quaisquer soluções de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome:
I - manter o sigilo de suas credenciais de acesso, de uso pessoal e intransferível;
II - utilizar os serviços de computação em nuvem exclusivamente para fins institucionais;
III - comunicar imediatamente qualquer suspeita ou ocorrência de incidente de segurança;
IV - observar as diretrizes de segurança da informação e proteção de dados no uso dos serviços; e
V - zelar pelo uso adequado dos recursos tecnológicos disponibilizados.
Art. 43. A Equipe de Planejamento da Contratação será responsável pela realização da análise de viabilidade da contratação da solução de computação em nuvem, compreendendo a identificação, a análise, a avaliação e o tratamento dos riscos inerentes à contratação, bem como pela elaboração da respectiva matriz de alocação de riscos.
Parágrafo único. A Equipe de Planejamento da Contratação poderá solicitar manifestação das unidades responsáveis pela segurança da informação, proteção de dados pessoais, gestão de riscos, assessoramento jurídico e demais áreas técnicas, sempre que a natureza dos riscos exigir conhecimento especializado.
Art. 44. A Equipe de Planejamento da Contratação será responsável pela realização da análise de viabilidade da contratação da solução de computação em nuvem, compreendendo a identificação, a análise, a avaliação e o tratamento dos riscos inerentes à contratação, bem como pela elaboração do respectivo Mapa de Gerenciamento de Riscos, que subsidiará a matriz de alocação de riscos.
Parágrafo único. As informações registradas no Mapa de Gerenciamento de Riscos poderão ser utilizadas como insumo para a elaboração da Matriz de Alocação de Riscos a ser integrada ao Termo de Referência e ao contrato, quando couber, nos termos da Lei nº 14.133, de 1º de abril de 2021, e da Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022.
Art. 45. Durante a execução contratual, caberá ao Gestor do Contrato e à Equipe de Fiscalização acompanhar os riscos da contratação, monitorar a eficácia das medidas de tratamento adotadas e promover a atualização contínua do Mapa de Gerenciamento de Riscos sempre que ocorrerem alterações relevantes no objeto contratado, no ambiente tecnológico ou nas condições de execução do contrato.
Parágrafo único. A atualização da matriz de alocação de riscos será realizada com o apoio das unidades técnicas competentes, conforme a natureza dos riscos identificados.
Art. 46. Os serviços de computação em nuvem deverão observar Acordos de Nível de Serviço - SLA, definidos durante o processo de contratação, em conformidade com o que dispõe a Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, contemplando, no mínimo:
I - disponibilidade dos serviços;
III - prazos de atendimento e resolução de incidentes;
IV - requisitos de continuidade e recuperação de desastres; e
V - métricas de monitoramento e penalidades aplicáveis.
Art. 47 O cumprimento dos níveis de serviço deverá ser monitorado continuamente pela Equipe de Fiscalização do Contrato, assegurando a qualidade e a continuidade dos serviços de nuvem prestados.
CAPÍTULO VII - DO MONITORAMENTO E AUDITORIA DOS SERVIÇOS DE NUVEM
Art. 48. Os serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão ser monitorados continuamente, com vistas a assegurar a disponibilidade, a segurança, o desempenho e a conformidade dos serviços.
Art. 49. O monitoramento dos serviços deverá contemplar, no mínimo:
I - a coleta, o registro e a análise de logs de acesso, operação e eventos de segurança;
II - o acompanhamento do desempenho, da capacidade e da disponibilidade dos serviços;
III - a identificação de falhas, incidentes e comportamentos anômalos; e
IV - o acompanhamento do consumo de recursos e dos custos associados.
Art. 50. Os logs, acessos, incidentes e eventos cibernéticos, incluindo informações relativas a sessões e transações no ambiente de computação em nuvem, deverão:
I - assegurar a integridade, a confidencialidade e a disponibilidade das informações registradas;
II - permitir a rastreabilidade das ações realizadas e a identificação dos responsáveis;
III - ser registrados e armazenados por no mínimo 1 (um) ano pelo provedor de serviço de nuvem; e
IV - ser coletados, preservados e custodiados pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, em ambiente próprio e controlado, pelo período mínimo de 5 (cinco) anos, cabendo à Área de Tecnologia de Informação do Ministério promover a coleta e a preservação desses registros.
Art. 51. Os serviços de computação em nuvem estarão sujeitos a análises de conformidade periódicas, com o objetivo de verificar a conformidade com esta Norma, com os instrumentos contratuais e com os normativos institucionais aplicáveis.
Art. 52. As análises de conformidade deverão observar os procedimentos e diretrizes estabelecidos pela Coordenação-Geral de Governança de TI.
Art. 53. A classificação das informações tratadas em ambiente de computação em nuvem deverá ser revisada periodicamente, ou sempre que houver alteração relevante no contexto de uso, de modo a assegurar a adequação dos controles de proteção adotados.
Art. 54. Os requisitos aplicáveis ao provedor de serviços de computação em nuvem deverão ser avaliados e revisados periodicamente, especialmente no que se refere:
I - à segurança da informação e à proteção de dados;
II - ao cumprimento dos níveis de serviço - SLA;
III - à conformidade com requisitos legais, normativos e contratuais; e
IV - à capacidade de atendimento às necessidades institucionais.
Art. 55. A Área de Tecnologia de Informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverá:
I - monitorar continuamente os serviços de computação em nuvem e consolidar informações relevantes para a gestão dos serviços;
II - apoiar e acompanhar auditorias relacionadas aos serviços de nuvem;
III - adotar medidas corretivas e preventivas em caso de identificação de não conformidades; e
IV - promover a melhoria contínua dos serviços, com base nos resultados do monitoramento e das auditorias.
CAPÍTULO VIII - DISPOSIÇÕES FINAIS
Art. 56. Os casos omissos e as dúvidas decorrentes da aplicação desta Norma serão dirimidos pela Subsecretaria de Tecnologia da Informação, do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome.
Art. 57. Esta Norma deverá ser revisada no prazo máximo de 2 (dois) anos, contado da data de sua publicação, de forma a assegurar sua atualização em relação à legislação vigente, às melhores práticas e à evolução tecnológica.
Art. 58. As unidades do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão adotar as medidas necessárias para o cumprimento desta Norma, no âmbito de suas competências.
Art. 59. O descumprimento das disposições desta Norma poderá ensejar a apuração de responsabilidade, nos termos da legislação vigente.
Art. 60. Esta Portaria entra em vigor na data de sua publicação.
JOSÉ WELLINGTON BARROSO DE ARAÚJO DIAS
PORTARIA MDS Nº 1.223, de 29 DE OUTUBRO DE 2026
Institui a Norma de Computação em Nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, estabelecendo princípios, diretrizes, requisitos e responsabilidades para a contratação, utilização, gestão, monitoramento e auditoria de serviços de computação em nuvem, com vistas à segurança da informação, à proteção de dados, à soberania dos dados institucionais e à continuidade dos serviços públicos.
O MINISTRO DE ESTADO DO DESENVOLVIMENTO E ASSISTÊNCIA SOCIAL, FAMÍLIA E COMBATE À FOME, no uso das atribuições que lhe confere o art. 87, parágrafo único, incisos I e II, da Constituição, e tendo em vista o disposto no Decreto nº 12.572, de 4 de agosto de 2025, resolve:
Art. 1º Fica instituída a Norma de Computação em Nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome - MDS.
CAPÍTULO I - DAS DISPOSIÇÕES GERAIS
Art. 2º Esta Norma aplica-se a todas as unidades do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome que contratem, utilizem ou gerenciem serviços de computação em nuvem, direta ou indiretamente.
Art. 3º A contratação, a utilização e a gestão de serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão observar estritamente a legislação e os normativos federais vigentes relativos à segurança da informação, à proteção de dados pessoais e às contratações de soluções de tecnologia da informação e comunicação.
Art. 4º A adoção de serviços de nuvem deve estar alinhada às necessidades institucionais, observar o interesse público, a eficiência e a soberania dos dados.
Art. 5º A adoção de serviços em nuvem é exclusiva para finalidades institucionais e deve ser precedida de análise de viabilidade técnica, econômica e de riscos, garantindo que a inovação não comprometa a soberania dos dados e a continuidade dos serviços públicos.
Art. 6º Para fins desta Norma, consideram-se:
I - análise de viabilidade: avaliação prévia que considera aspectos técnicos, econômicos, operacionais e de segurança para adoção de serviços de computação em nuvem;
II - área de tecnologia da informação - TI: unidade responsável por apoiar tecnicamente, definir requisitos, supervisionar e monitorar os serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome;
III - computação em nuvem: modelo de provisão de recursos de tecnologia da informação sob demanda, por meio de rede, com elasticidade, escalabilidade e medição de uso;
IV - dados pessoais: informações relacionadas a pessoa natural identificada ou identificável, nos termos da legislação vigente;
V - disponibilidade: capacidade de um serviço estar acessível e operacional quando necessário;
VI - gestão de riscos: processo contínuo de identificação, análise, avaliação, tratamento e monitoramento de riscos que possam comprometer os serviços e os ativos de informação;
VII - governança de TI: conjunto de práticas, processos e estruturas que asseguram que a tecnologia da informação suporte os objetivos institucionais;
VIII - incidente de segurança: evento que compromete ou ameaça a confidencialidade, integridade ou disponibilidade de informações ou serviços;
IX - interoperabilidade: capacidade de sistemas e serviços distintos operarem de forma integrada;
X - logs: registros eletrônicos de eventos, acessos e operações realizadas nos sistemas e serviços de nuvem;
XI - matriz de alocação de riscos: cláusula contratual definidora de riscos de eventos supervenientes à contratação e de responsabilidades entre as partes contratantes;
XII - nuvem de governo: infraestrutura de nuvem privada ou comunitária gerida exclusivamente por órgãos ou empresas públicas;
XIII - nuvem privada (ou interna): infraestrutura de nuvem dedicada para uso exclusivo do órgão e de suas unidades vinculadas, ou de entidade composta por múltiplos usuários, e sua propriedade e seu gerenciamento podem ser da própria organização, de terceiros ou de ambos;
XIV - nuvem comunitária: infraestrutura de nuvem dedicada para uso exclusivo de uma comunidade, ou de um grupo de usuários de órgãos ou de entidades não vinculados, que compartilham a mesma natureza de trabalho e obrigações, e sua propriedade e seu gerenciamento podem ser de organizações da comunidade, de terceiros ou de ambos;
XV - portabilidade: capacidade de transferir dados, aplicações e serviços entre diferentes provedores ou ambientes sem prejuízo de sua integridade ou funcionalidade;
XVI - proteção de dados: conjunto de medidas técnicas e administrativas destinadas a garantir a privacidade e a segurança dos dados pessoais;
XVII - provedor de serviço de nuvem - PSN: pessoa jurídica responsável pela oferta e operação dos serviços de computação em nuvem;
XVIII - rastreabilidade: capacidade de identificar e acompanhar ações realizadas sobre dados e sistemas, permitindo auditoria e controle;
XIX - resiliência operacional: capacidade de resistir, adaptar-se e recuperar-se de eventos adversos, garantindo a continuidade das operações;
XX - responsabilidade compartilhada: modelo que define as obrigações entre o provedor e o contratante, no qual o provedor garante a segurança da infraestrutura da nuvem e a organização garante a segurança dos dados, aplicações e acessos;
XXI - segurança da informação: conjunto de práticas e controles destinados a proteger a confidencialidade, integridade e disponibilidade das informações;
XXII - serviço de computação em nuvem: conjunto de recursos de tecnologia da informação disponibilizados por provedor externo, incluindo infraestrutura, plataformas e softwares, acessíveis remotamente;
XXIII - tratamento de dados: toda operação realizada com dados, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, armazenamento, eliminação ou avaliação; e
XXIV - unidade demandante: unidade organizacional responsável por identificar a necessidade, justificar e acompanhar a utilização de serviços de computação em nuvem.
CAPÍTULO III - DOS PRINCÍPIOS E DIRETRIZES
Art. 7º A contratação e a operação de serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão observar os seguintes princípios e diretrizes:
I - auditabilidade e controle: os serviços devem permitir a realização de auditorias, inspeções e mecanismos de controle pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, garantindo a verificação do cumprimento dos requisitos contratuais e normativos;
II - conformidade e governança: os serviços devem estar alinhados às políticas institucionais de governança de tecnologia da informação, segurança da informação e proteção de dados do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome;
III - disponibilidade e continuidade: os serviços de computação em nuvem devem assegurar alta disponibilidade e continuidade operacional, de modo a não comprometer a prestação dos serviços públicos;
IV - eficiência e economicidade: a utilização de serviços de computação em nuvem deve buscar a melhor relação custo-benefício, considerando aspectos técnicos, operacionais e financeiros ao longo de todo o ciclo de vida do serviço;
V - gestão de riscos: a adoção e o uso de serviços de computação em nuvem devem ser precedidos e acompanhados por processos contínuos de identificação, análise, avaliação e tratamento de riscos;
VI - interoperabilidade e portabilidade: sempre que possível, devem ser adotadas soluções que favoreçam a interoperabilidade entre sistemas e a portabilidade dos dados e serviços, mitigando riscos de dependência tecnológica;
VII - minimização de dados: a coleta, o processamento e o armazenamento de dados devem se limitar ao mínimo necessário para a execução das finalidades institucionais do serviço;
VIII - proteção de dados: os serviços de computação em nuvem devem assegurar a proteção dos dados institucionais e pessoais contra acessos não autorizados, vazamentos, perda, alteração indevida ou qualquer forma de tratamento inadequado;
IX - resiliência operacional: os serviços devem possuir capacidade de resistir, absorver, adaptar-se e recuperar-se de incidentes, incluindo ataques cibernéticos, falhas técnicas e desastres, garantindo a manutenção das operações sob supervisão institucional;
X - responsabilidade compartilhada: a segurança e a proteção de dados nos serviços de nuvem devem observar o modelo de responsabilidade compartilhada entre o Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome e o provedor, conforme definido contratualmente;
XI - segurança e privacidade desde a concepção (Privacy by Design): a segurança da informação e a proteção de dados pessoais devem ser incorporadas desde as fases iniciais de planejamento, contratação e implementação dos serviços, não podendo ser tratadas como elementos acessórios ou posteriores; e
XII - transparência e rastreabilidade: o provedor de serviços de nuvem deve garantir transparência quanto à localização dos dados, aos fluxos de tratamento e à disponibilização de registros (logs), assegurando a rastreabilidade das operações realizadas.
Art. 8º Fica estabelecida a priorização do uso da Nuvem de Governo como arranjo tecnológico de infraestrutura digital para o armazenamento, processamento e tratamento de dados e sistemas no âmbito da Administração Pública.
§ 1º A Nuvem de Governo deverá ser preferencialmente adotada por constituir solução sediada em território nacional, sob governança do Estado brasileiro, assegurando proteção física e lógica das informações, bem como a integração e interoperabilidade entre bases de dados públicas.
§ 2º A utilização da Nuvem de Governo deverá observar, em todos os casos, as disposições da Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), e da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação - LAI).
§ 3º O uso da Nuvem de Governo deverá viabilizar o compartilhamento responsável de informações entre órgãos e entidades, com vistas ao aprimoramento da formulação, execução e avaliação de políticas públicas.
§ 4º Deverá ser considerada, sempre que possível, a adoção de soluções alinhadas ao conceito de nuvem soberana do Estado, entendida como aquela que assegura a gestão nacional sobre dados, sistemas e infraestruturas críticas, com controle estatal sobre sua operação, armazenamento e tratamento.
§ 5º A implementação do disposto neste artigo observará os instrumentos de cooperação técnica firmados no âmbito da Administração Pública Federal, especialmente aqueles celebrados entre entidades responsáveis pela prestação de serviços de tecnologia da informação.
§ 6º A contratação de serviços de nuvem para abrigar sistemas estruturantes do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverá utilizar exclusivamente os modelos de implementação de nuvem privada ou de nuvem comunitária, desde que restritas às infraestruturas de órgãos ou de entidades da administração pública.
CAPÍTULO IV - DA CONFORMIDADE LEGAL E PRIVACIDADE DOS DADOS
Art. 9º A contratação e a operação de serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão observar, além da LGPD, a finalidade específica e legítima para a qual os dados foram coletados.
Art. 10. Os serviços de computação em nuvem deverão estar em conformidade, no mínimo, com os seguintes normativos, ou aqueles que vierem a substituí-los:
I - Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD);
II - Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021, que dispõe sobre os requisitos mínimos de segurança da informação para utilização de soluções de computação em nuvem;
III - Instrução Normativa GSI/PR nº 8, de 6 de outubro de 2025, que dispõe sobre os requisitos mínimos de segurança da informação para tratamento de informação classificada em computação em nuvem;
IV - Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, que disciplina as contratações de soluções de Tecnologia da Informação e Comunicações no âmbito do Poder Executivo Federal;
V - Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, que estabelece modelo de contratação de software e de serviços de computação em nuvem no âmbito do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP; e
VI - normas técnicas e padrões internacionais amplamente reconhecidos relacionados à segurança da informação e à proteção de dados.
Art. 11. O tratamento de dados pessoais em serviços de computação em nuvem deverá observar, além do disposto na LGPD:
I - a finalidade específica e legítima para a qual os dados foram coletados;
II - a adequação e a necessidade do tratamento em relação às finalidades institucionais;
III - a adoção de medidas técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados, vazamentos, perda ou qualquer forma de tratamento inadequado;
IV - a garantia dos direitos dos titulares de dados, quando aplicável; e
V - a limitação do acesso aos dados pessoais ao estritamente necessário para a execução do serviço.
Art. 12. Os serviços de computação em nuvem deverão assegurar mecanismos que permitam:
I - a identificação, o registro e o controle do fluxo de dados, inclusive quanto à sua localização, movimentação, transferência e, quando aplicável, à jurisdição a que estejam submetidos;
II - o registro e a manutenção de logs de acesso e de operações realizadas sobre os dados;
III - a rastreabilidade das atividades de tratamento de dados pessoais, permitindo identificar, quando aplicável, o usuário, sistema ou serviço responsável pela operação, a data e hora da atividade e a operação realizada; e
IV - a resposta a incidentes de segurança envolvendo dados pessoais, com comunicação tempestiva às instâncias competentes, no prazo máximo de 3 (três) dias úteis.
Art. 13. No que tange ao gerenciamento de identidades e acessos, os serviços de computação em nuvem deverão:
I - adotar padrão de identidade federada para permitir o uso de tecnologia de acesso único (Single Sign-On - SSO) na autenticação dos usuários;
II - exigir o uso de autenticação multifator - MFA ou mecanismo equivalente que eleve o grau de segurança, de acordo com o nível de criticidade da informação; e
III - garantir que o provedor de serviço de nuvem não possua permissão de uso ou acesso direto ao ambiente de autenticação interno do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome.
Art. 14. Os instrumentos contratuais deverão prever cláusulas específicas relacionadas à privacidade e à proteção de dados pessoais, incluindo, no mínimo:
I - as responsabilidades do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome e do provedor quanto ao tratamento de dados pessoais;
II - os requisitos de segurança da informação aplicáveis aos serviços contratados;
III - as condições para coleta, armazenamento, processamento, compartilhamento e transferência de dados;
IV - os procedimentos para detecção, comunicação, tratamento e resposta a incidentes de segurança;
V - os requisitos de registro e disponibilização de logs e trilhas de auditoria;
VI - as regras para retenção, eliminação, anonimização, devolução ou transferência dos dados ao término da relação contratual;
VII - os requisitos de portabilidade dos dados e de apoio à migração para outra solução ou provedor;
VIII - as condições de localização e transferência dos dados, quando aplicável;
IX - os mecanismos que permitam ao Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome exercer seus direitos de auditoria, fiscalização e verificação do cumprimento das obrigações de segurança e proteção de dados;
X - os procedimentos para encerramento seguro dos serviços, incluindo a eliminação ou devolução dos dados e a revogação dos acessos do provedor; e
XI - a proibição expressa do uso de dados e informações do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome pelo provedor de serviço de nuvem para fins de propaganda, treinamento e otimização de mecanismos de inteligência artificial ou qualquer outro uso secundário não autorizado.
Art. 15. O Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverá assegurar a supervisão institucional sobre o cumprimento das obrigações legais e contratuais relacionadas à proteção de dados pessoais nos serviços de computação em nuvem.
CAPÍTULO V - DA CATEGORIZAÇÃO DAS INFORMAÇÕES
Art. 16. As informações a serem tratadas em serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão ser previamente categorizadas quanto à sua sensibilidade e criticidade, bem como classificadas quanto ao seu grau de sigilo, quando couber.
Art. 17. A atribuição de grau de sigilo às informações observará estritamente as disposições da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação - LAI), bem como demais normativos internos e externos aplicáveis à segurança da informação.
Art. 18. Para fins desta Norma, as informações deverão ser categorizadas, no mínimo, conforme os seguintes níveis:
I - públicas: aquelas de acesso irrestrito, cuja divulgação não acarreta riscos à Administração Pública ou a terceiros;
II - restritas: aquelas cujo acesso deve ser limitado a pessoas autorizadas, em razão de requisitos legais, contratuais ou institucionais; e
III - sigilosas: submetidas à classificação quanto ao grau de sigilo em razão de sua imprescindibilidade para a segurança da sociedade ou do Estado, nos termos da LAI.
Art. 19. Além da categorização quanto ao nível de acesso, as informações deverão ser avaliadas quanto à sua criticidade, considerando os impactos decorrentes de eventual indisponibilidade, perda, alteração ou divulgação indevida.
Art. 20. A categorização e a classificação das informações deverão ser realizadas previamente à contratação e à utilização de serviços de computação em nuvem, devendo serem revisadas periodicamente ou sempre que houver alteração relevante no contexto de uso.
Art. 21. A categorização das informações deverá subsidiar a definição:
I - dos requisitos de segurança da informação aplicáveis;
II - do tipo de serviço de nuvem a ser utilizado;
III - das restrições de armazenamento, processamento e compartilhamento de dados; e
IV - dos controles de acesso e mecanismos de proteção a serem adotados.
Art. 22. As unidades responsáveis pelas informações são responsáveis por sua adequada categorização e classificação, bem como pela revisão e atualização dessa classificação ao longo do ciclo de vida dos dados.
Art. 23. É vedada a utilização de serviços de computação em nuvem para o tratamento de informações cujos requisitos de proteção e controle de acesso não possam ser adequadamente atendidos pelo serviço contratado.
Parágrafo único. É expressamente vedada a utilização de serviços de computação em nuvem para o tratamento, trânsito ou armazenamento de informações classificadas no grau de sigilo ultrassecreto e de seus documentos preparatórios, sob qualquer hipótese.
Art. 24. Sempre que houver tratamento de informação classificada em grau de sigilo nos serviços de computação em nuvem, deverão ser observados os requisitos previstos no Capítulo I da Instrução Normativa GSI/PR nº 8, de 6 de outubro de 2025, sem prejuízo das demais normas de segurança da informação, proteção de dados e classificação da informação aplicáveis.
§ 1º Todas as informações classificadas em grau de sigilo, tanto as arquivadas ou armazenadas quanto aquelas em transporte ou transmissão, deverão ser obrigatoriamente criptografadas utilizando-se algoritmos de Estado.
§ 2º O gerenciamento das chaves criptográficas utilizadas para a proteção de informações classificadas será realizado de forma exclusiva pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, sendo vedado o seu compartilhamento com o provedor de nuvem.
CAPÍTULO VI - DA CONTRATAÇÃO DE SERVIÇOS DE NUVEM
Seção I - Dos Requisitos Mínimos para o Provedor
Art. 25. O provedor de serviço de nuvem contratado deverá comprovar o pleno atendimento aos requisitos mínimos estabelecidos no art. 20 da Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021.
§ 1º Caso o serviço de computação em nuvem contemple o tratamento de informação classificada em grau de sigilo, o provedor deverá atender, cumulativamente, aos requisitos dispostos no art. 7º da Instrução Normativa GSI/PR nº 8, de 6 de outubro de 2025.
§ 2º Sem prejuízo do disposto no caput, o provedor deverá garantir que o armazenamento e o processamento dos dados ocorram em datacenters localizados exclusivamente em território nacional, assegurando a soberania e o controle dos dados institucionais.
Seção II - Do Procedimento de Contratação
Art. 26. As contratações de soluções de computação em nuvem deverão observar a Lei nº 14.133, de 1º de abril de 2021, a Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, a Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, e demais normas aplicáveis.
§ 1º As contratações de software e serviços de computação em nuvem deverão utilizar obrigatoriamente o modelo de contratação estabelecido no Anexo I da Portaria SGD/MGI nº 5.950, de 26 de outubro de 2026.
§ 2º A adoção de modelo diverso somente será admitida nas hipóteses e condições estabelecidas pela Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, mediante justificativa da área técnica proponente, comunicação à Secretaria de Governo Digital e aprovação prévia daquela Secretaria.
§ 3º O processo de contratação deverá observar as fases, procedimentos e artefatos previstos na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, e no modelo de contratação estabelecido pela Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, sem prejuízo das disposições da Lei nº 14.133, de 1º de abril de 2021.
§ 4º Em todas as fases da contratação deverão ser considerados, conforme aplicável, os requisitos de planejamento, análise e gerenciamento de riscos, segurança da informação, privacidade e proteção de dados, continuidade, níveis mínimos de serviço, portabilidade, interoperabilidade, gestão contratual e demais requisitos estabelecidos na legislação e nos normativos aplicáveis.
Seção III - Da Análise de Viabilidade e da Gestão de Riscos
Art. 27. A contratação de serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverá ser precedida de avaliação da viabilidade da solução, integrada ao processo de planejamento da contratação de TIC e formalizada nos artefatos previstos na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, especialmente no Estudo Técnico Preliminar, quando aplicável.
Parágrafo único. A contratação e a execução dos serviços de computação em nuvem deverão ser acompanhadas de processo contínuo de gestão de riscos, observado o disposto na legislação e nos normativos aplicáveis.
Art. 28. A avaliação da viabilidade da contratação de solução de computação em nuvem deverá ser realizada pela equipe responsável pelo planejamento da contratação, com a participação da unidade demandante e da área de tecnologia da informação, observadas as competências e responsabilidades estabelecidas na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022.
Art. 29. A análise de viabilidade deverá considerar, no mínimo:
I - a necessidade de negócio e o alinhamento com os objetivos institucionais;
II - a adequação da solução de computação em nuvem às demandas da unidade;
III - a avaliação de alternativas tecnológicas disponíveis, inclusive quanto à adoção ou não de serviços em nuvem;
IV - os custos envolvidos ao longo do ciclo de vida da solução, incluindo contratação, operação e eventual descontinuidade;
V - os requisitos de segurança da informação, proteção de dados e conformidade;
VI - a capacidade de integração com sistemas e serviços existentes; e
VII - os impactos operacionais e organizacionais decorrentes da adoção da solução.
Art. 30. A gestão de riscos deverá ser realizada de forma contínua e integrada ao longo de todo o processo de contratação e operação dos serviços de computação em nuvem.
Art. 31. O processo de gestão de riscos deverá contemplar, no mínimo:
I - a identificação dos riscos associados à contratação e ao uso da solução;
II - a análise e avaliação dos riscos, considerando a probabilidade de ocorrência e o impacto nos serviços e nas informações;
III - a definição e implementação de medidas de tratamento dos riscos, incluindo sua mitigação, transferência, aceitação ou eliminação; e
IV - o monitoramento e a revisão periódica dos riscos identificados.
Art. 32. Deverá ser elaborado e mantido atualizado o Mapa de Gerenciamento de Riscos, em conformidade com a Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, contendo, no mínimo:
I - a descrição dos riscos identificados;
II - a classificação quanto à probabilidade e ao impacto;
III - as medidas de tratamento adotadas;
IV - os responsáveis pelo acompanhamento dos riscos; e
V - o condição e a evolução dos riscos ao longo do tempo.
Art. 33. A gestão de riscos deverá observar a legislação e os normativos aplicáveis, especialmente aqueles que disciplinam a contratação e a gestão de soluções de TIC, bem como, quando pertinente, as boas práticas e padrões reconhecidos de gestão de riscos, tais como a ABNT NBR ISO 31000 e as normas relacionadas à segurança da informação e à continuidade dos serviços adotadas pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome.
Art. 34. A gestão de riscos deverá subsidiar as decisões relacionadas à contratação, à definição dos requisitos da solução e ao estabelecimento dos níveis de serviço - SLA.
Seção IV - Das Responsabilidades e Níveis de Serviço - SLA
Art. 35. As responsabilidades relativas à contratação, implantação e operação de serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome observarão os papéis definidos no processo de contratação previsto na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022.
Art. 36. Compete à unidade demandante da solução de computação em nuvem:
I - identificar a necessidade de negócio e justificar a contratação de serviços de computação em nuvem;
II - definir, em conjunto com a área de tecnologia da informação, os requisitos funcionais e de negócio da solução;
III - classificar as informações a serem tratadas, quanto ao sigilo e à criticidade;
IV - apoiar a definição dos níveis de serviço - SLA, especialmente quanto aos requisitos de disponibilidade e desempenho;
V - acompanhar a execução do serviço, avaliando se os níveis de serviço contratados atendem às necessidades institucionais;
VI - comunicar à área de tecnologia da informação eventuais falhas, indisponibilidades ou inadequações do serviço; e
VII - gerar relatório periódico sobre a solução de computação em nuvem contratada e encaminhar à área de tecnologia da informação responsável.
Art. 37. Compete à Subsecretaria de Tecnologia da Informação - STI/MDS, por meio de suas unidades competentes:
I - apoiar a unidade demandante na definição da solução de computação em nuvem;
II - avaliar a viabilidade técnica da contratação, bem como sua aderência às normas e padrões institucionais;
III - definir requisitos técnicos, de segurança da informação, proteção de dados e arquitetura da solução;
IV - apoiar a definição e a formalização dos Acordos de Nível de Serviço - SLA;
V - coordenar o processo de contratação, no que se refere aos aspectos técnicos da solução;
VI - monitorar o desempenho, a segurança, a disponibilidade e o consumo dos serviços de nuvem;
VII - gerir e acompanhar o cumprimento dos níveis de serviço - SLA;
VIII - comunicar tempestivamente incidentes, falhas ou riscos que possam impactar os serviços;
IX - assegurar que a implantação e operação da solução estejam em conformidade com os normativos institucionais; e
X - atuar, por meio da Coordenação-Geral de Infraestrutura - CGINFRA, na operação e sustentação dos ambientes de nuvem.
Art. 38. Compete ao preposto do provedor de serviço de nuvem:
I - representar a contratada junto ao Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome durante a execução do contrato;
II - atuar como ponto focal de interlocução técnica e operacional com o Gestor do Contrato e com os Fiscais do Contrato;
III - receber e dar cumprimento imediato às notificações, ordens de serviço e solicitações relativas ao ajuste e aos níveis de serviço - SLA; e
IV - reportar tempestivamente à equipe de fiscalização do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome eventuais falhas, incidentes ou indisponibilidades na infraestrutura de nuvem.
Art. 39. A gestão e a fiscalização da execução dos contratos de soluções de computação em nuvem serão exercidas pelo Gestor do Contrato e pelos Fiscais Técnico, Requisitante e Administrativo, designados nos termos da Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, observadas as seguintes competências específicas:
I - ao Gestor do Contrato: coordenar as atividades de fiscalização, encaminhar demandas formais, acompanhar a execução contratual e gerenciar os riscos durante a vigência do contrato;
II - ao Fiscal Técnico: verificar o atendimento das especificações técnicas e dos Acordos de Nível de Serviço - SLA, realizar a avaliação de desempenho da contratada e emitir o Termo de Recebimento Provisório;
III - ao Fiscal Requisitante: avaliar a qualidade dos serviços prestados sob a perspectiva funcional e do negócio; e
IV - ao Fiscal Administrativo: acompanhar os aspectos operacionais, prazos, documentação fiscal, trabalhista e pagamentos.
Art. 40. Compete ao operador do serviço de computação em nuvem:
I - garantir a correta configuração e operação da solução sob sua responsabilidade;
II - gerenciar os acessos ao sistema, observando o princípio do menor privilégio;
III - manter atualizada a matriz de perfis de acesso;
IV - apoiar auditorias e ações de conformidade; e
V - comunicar incidentes ou vulnerabilidades à área de tecnologia da informação.
Art. 41. Compete ao Encarregado pelo Tratamento de Dados Pessoais:
I - assessorar a área demandante e a equipe de planejamento da contratação quanto aos aspectos relacionados à proteção de dados pessoais, sempre que houver tratamento de dados pessoais no objeto da contratação;
II - analisar e manifestar-se sobre os riscos relacionados ao tratamento de dados pessoais decorrentes da contratação, propondo medidas para sua mitigação, quando necessário;
III - avaliar, quando aplicável, a necessidade de elaboração ou atualização do Relatório de Impacto à Proteção de Dados Pessoais - RIPD, em conformidade com a legislação vigente e com as diretrizes institucionais;
IV - orientar quanto à observância dos princípios, direitos dos titulares e demais obrigações previstos na legislação de proteção de dados pessoais durante a execução contratual;
V - recomendar a inclusão de requisitos e controles de proteção de dados pessoais nos instrumentos da contratação, especialmente aqueles relacionados à confidencialidade, à segurança da informação, à retenção, ao compartilhamento, à eliminação de dados e à comunicação de incidentes de segurança;
VI - apoiar a equipe de gestão e fiscalização do contrato na análise de questões relacionadas à proteção de dados pessoais que surjam durante a execução contratual; e
VII - atuar como ponto de orientação institucional em matéria de proteção de dados pessoais, sem prejuízo das competências atribuídas às áreas gestoras, de tecnologia da informação, de segurança da informação e à contratada.
Parágrafo único. As competências previstas neste artigo são complementares e não excluem nem substituem as atribuições gerais estabelecidas para o cargo no art. 41 da Lei nº 13.709, de 14 de agosto de 2018 (LGPD), e na Resolução CD/ANPD nº 18, de 16 de julho de 2024, especialmente a de atuar como canal de comunicação institucional com os titulares de dados pessoais e com a Autoridade Nacional de Proteção de Dados - ANPD.
Art. 42. São deveres dos usuários de quaisquer soluções de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome:
I - manter o sigilo de suas credenciais de acesso, de uso pessoal e intransferível;
II - utilizar os serviços de computação em nuvem exclusivamente para fins institucionais;
III - comunicar imediatamente qualquer suspeita ou ocorrência de incidente de segurança;
IV - observar as diretrizes de segurança da informação e proteção de dados no uso dos serviços; e
V - zelar pelo uso adequado dos recursos tecnológicos disponibilizados.
Art. 43. A Equipe de Planejamento da Contratação será responsável pela realização da análise de viabilidade da contratação da solução de computação em nuvem, compreendendo a identificação, a análise, a avaliação e o tratamento dos riscos inerentes à contratação, bem como pela elaboração da respectiva matriz de alocação de riscos.
Parágrafo único. A Equipe de Planejamento da Contratação poderá solicitar manifestação das unidades responsáveis pela segurança da informação, proteção de dados pessoais, gestão de riscos, assessoramento jurídico e demais áreas técnicas, sempre que a natureza dos riscos exigir conhecimento especializado.
Art. 44. A Equipe de Planejamento da Contratação será responsável pela realização da análise de viabilidade da contratação da solução de computação em nuvem, compreendendo a identificação, a análise, a avaliação e o tratamento dos riscos inerentes à contratação, bem como pela elaboração do respectivo Mapa de Gerenciamento de Riscos, que subsidiará a matriz de alocação de riscos.
Parágrafo único. As informações registradas no Mapa de Gerenciamento de Riscos poderão ser utilizadas como insumo para a elaboração da Matriz de Alocação de Riscos a ser integrada ao Termo de Referência e ao contrato, quando couber, nos termos da Lei nº 14.133, de 1º de abril de 2021, e da Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022.
Art. 45. Durante a execução contratual, caberá ao Gestor do Contrato e à Equipe de Fiscalização acompanhar os riscos da contratação, monitorar a eficácia das medidas de tratamento adotadas e promover a atualização contínua do Mapa de Gerenciamento de Riscos sempre que ocorrerem alterações relevantes no objeto contratado, no ambiente tecnológico ou nas condições de execução do contrato.
Parágrafo único. A atualização da matriz de alocação de riscos será realizada com o apoio das unidades técnicas competentes, conforme a natureza dos riscos identificados.
Art. 46. Os serviços de computação em nuvem deverão observar Acordos de Nível de Serviço - SLA, definidos durante o processo de contratação, em conformidade com o que dispõe a Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, contemplando, no mínimo:
I - disponibilidade dos serviços;
III - prazos de atendimento e resolução de incidentes;
IV - requisitos de continuidade e recuperação de desastres; e
V - métricas de monitoramento e penalidades aplicáveis.
Art. 47 O cumprimento dos níveis de serviço deverá ser monitorado continuamente pela Equipe de Fiscalização do Contrato, assegurando a qualidade e a continuidade dos serviços de nuvem prestados.
CAPÍTULO VII - DO MONITORAMENTO E AUDITORIA DOS SERVIÇOS DE NUVEM
Art. 48. Os serviços de computação em nuvem no âmbito do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão ser monitorados continuamente, com vistas a assegurar a disponibilidade, a segurança, o desempenho e a conformidade dos serviços.
Art. 49. O monitoramento dos serviços deverá contemplar, no mínimo:
I - a coleta, o registro e a análise de logs de acesso, operação e eventos de segurança;
II - o acompanhamento do desempenho, da capacidade e da disponibilidade dos serviços;
III - a identificação de falhas, incidentes e comportamentos anômalos; e
IV - o acompanhamento do consumo de recursos e dos custos associados.
Art. 50. Os logs, acessos, incidentes e eventos cibernéticos, incluindo informações relativas a sessões e transações no ambiente de computação em nuvem, deverão:
I - assegurar a integridade, a confidencialidade e a disponibilidade das informações registradas;
II - permitir a rastreabilidade das ações realizadas e a identificação dos responsáveis;
III - ser registrados e armazenados por no mínimo 1 (um) ano pelo provedor de serviço de nuvem; e
IV - ser coletados, preservados e custodiados pelo Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome, em ambiente próprio e controlado, pelo período mínimo de 5 (cinco) anos, cabendo à Área de Tecnologia de Informação do Ministério promover a coleta e a preservação desses registros.
Art. 51. Os serviços de computação em nuvem estarão sujeitos a análises de conformidade periódicas, com o objetivo de verificar a conformidade com esta Norma, com os instrumentos contratuais e com os normativos institucionais aplicáveis.
Art. 52. As análises de conformidade deverão observar os procedimentos e diretrizes estabelecidos pela Coordenação-Geral de Governança de TI.
Art. 53. A classificação das informações tratadas em ambiente de computação em nuvem deverá ser revisada periodicamente, ou sempre que houver alteração relevante no contexto de uso, de modo a assegurar a adequação dos controles de proteção adotados.
Art. 54. Os requisitos aplicáveis ao provedor de serviços de computação em nuvem deverão ser avaliados e revisados periodicamente, especialmente no que se refere:
I - à segurança da informação e à proteção de dados;
II - ao cumprimento dos níveis de serviço - SLA;
III - à conformidade com requisitos legais, normativos e contratuais; e
IV - à capacidade de atendimento às necessidades institucionais.
Art. 55. A Área de Tecnologia de Informação do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverá:
I - monitorar continuamente os serviços de computação em nuvem e consolidar informações relevantes para a gestão dos serviços;
II - apoiar e acompanhar auditorias relacionadas aos serviços de nuvem;
III - adotar medidas corretivas e preventivas em caso de identificação de não conformidades; e
IV - promover a melhoria contínua dos serviços, com base nos resultados do monitoramento e das auditorias.
CAPÍTULO VIII - DISPOSIÇÕES FINAIS
Art. 56. Os casos omissos e as dúvidas decorrentes da aplicação desta Norma serão dirimidos pela Subsecretaria de Tecnologia da Informação, do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome.
Art. 57. Esta Norma deverá ser revisada no prazo máximo de 2 (dois) anos, contado da data de sua publicação, de forma a assegurar sua atualização em relação à legislação vigente, às melhores práticas e à evolução tecnológica.
Art. 58. As unidades do Ministério do Desenvolvimento e Assistência Social, Família e Combate à Fome deverão adotar as medidas necessárias para o cumprimento desta Norma, no âmbito de suas competências.
Art. 59. O descumprimento das disposições desta Norma poderá ensejar a apuração de responsabilidade, nos termos da legislação vigente.
Art. 60. Esta Portaria entra em vigor na data de sua publicação.
JOSÉ WELLINGTON BARROSO DE ARAÚJO DIAS
