Como contratar cibersegurança no setor público

Publicado em 13 de novembro de 2026 · Revisão editorial e de conformidade

Resposta direta: contratar cibersegurança no setor público exige transformar necessidade em escopo mensurável. Um bom termo de referência descreve o problema, os serviços, os entregáveis, a metodologia, a equipe, o SLA, as evidências e a forma de aceite. Sem isso, o contrato vira uma caixa de surpresas — e a fiscalização não consegue medir resultado.

1. Comece pelo problema, não pela ferramenta

“Contratar solução de SIEM” não é um objeto. O objeto é reduzir o tempo de detecção de incidentes em sistemas críticos, ou elevar a maturidade de segmentação OT, ou estruturar a resposta a incidentes. A ferramenta é meio.

Um bom diagnóstico prévio responde:

• quais serviços essenciais ao cidadão dependem de tecnologia;
• quais ativos e protocolos existem no ambiente;
• quais obrigações regulatórias se aplicam;
• qual lacuna será fechada com a contratação;
• como o resultado será medido.

2. Estrutura recomendada do termo de referência

3. Qualificação técnica sem direcionamento

Critérios devem ser proporcionais e justificados. Em vez de exigir uma marca, exija capacidade demonstrável:

• experiência em ambientes OT/ICS comparáveis;
• equipe com responsável técnico e atribuições compatíveis;
• metodologia documentada e exemplos de entrega;
• capacidade de atuar em janelas de operação e emergências;
• referências verificáveis, respeitando confidencialidade;
• comprovação de práticas de segurança da informação.

Evite exigir certificações que só um fornecedor possui, tempo mínimo de mercado desproporcional ou “atestado de boa reputação” sem critério objetivo. Isso fragiliza a licitação e reduz a concorrência.

4. SLA e medição

SLA útil é aquele que protege o serviço público. Defina:

• Severidade: critérios claros para crítico, alto, médio e baixo.
• Tempo de resposta: separado de tempo de solução.
• Disponibilidade: janela, exclusões e forma de cálculo.
• Evidência: ticket, log, relatório e aceite formal.
• Consequência: glosas, planos de ação e escalonamento.

Para resposta a incidentes, o contrato precisa prever acionamento fora do horário comercial e critérios de mobilização. Um SLA de “horário comercial” não resolve ransomware às 2h da manhã.

5. Segurança e LGPD no contrato

• Classificação da informação e regras de acesso.
• Proibição de uso de dados para treinamento de IA sem autorização expressa.
• Notificação de incidentes em prazo compatível com a obrigação do órgão.
• Subcontratação controlada e identificação de envolvidos.
• Devolução ou eliminação de dados ao final.
• Auditoria, confidencialidade e responsabilização.
• Seguro e garantias compatíveis com o risco, quando cabível.

6. Checklist rápido

• O objeto descreve um resultado, não um produto.
• O escopo lista ativos, unidades e limites.
• Cada entregável tem formato, conteúdo e critério de aceite.
• A metodologia é verificável e não direciona marca.
• A equipe tem papéis e senioridade definidos.
• O prazo considera janelas de operação e dependências.
• O SLA tem severidade, medição e consequência.
• Há cláusulas de segurança, LGPD e notificação de incidentes.
• O preço está vinculado a entregáveis e medição.
• O órgão sabe quem fiscaliza e como fará o aceite.

Precisa de uma estrutura pronta para adaptar? Use o modelo de termo de referência e valide com o jurídico.

Perguntas frequentes

Fontes

• Lei 14.133/2021 — Licitações e Contratos Administrativos.
• IN GSI/PR 7/2022 — segurança da informação na administração federal.
• Decreto 11.856/2023 — Política Nacional de Cibersegurança.
• Lei 13.709/2018 (LGPD) — proteção de dados pessoais.