Publicado em 13 de novembro de 2026 · Versão 1.0 · Revisão editorial e de conformidade
Resposta direta: um termo de referência de cibersegurança precisa descrever o problema, o resultado esperado, o escopo (com exclusões), os entregáveis, a qualificação, o SLA, as evidências de aceite e as obrigações de dados. Sem isso, a contratação vira uma caixa de surpresas: o fornecedor entrega o que entendeu, e o órgão não consegue medir o que recebeu.
Aviso: este é um modelo de referência técnica, não um documento jurídico pronto. A estrutura deve ser adaptada à Lei 14.133/2021, às normas do seu órgão, ao regime de contratação aplicável e à análise do jurídico e do controle interno.
1. Estrutura mínima
| Seção | O que precisa conter | Erro comum |
|---|---|---|
| Objeto | Serviço específico, resultado esperado e limites | “Contratação de solução de cibersegurança” |
| Justificativa | Problema, risco, obrigação e consequência de não contratar | Texto genérico copiado de outro processo |
| Escopo | Ativos, redes, unidades, turnos, profundidade e exclusões | Escopo aberto ou sem exclusões |
| Entregáveis | Produtos verificáveis, formato, conteúdo e prazo | “Relatório” sem estrutura mínima |
| Qualificação | Experiência, certificações, equipe e referências | Exigência desproporcional ou genérica |
| SLA | Tempos, disponibilidade, escalonamento e penalidades | “Atendimento prioritário” sem métrica |
| Aceite | Critérios objetivos e evidências exigidas | Aceite subjetivo (“a critério do órgão”) |
| Dados e segurança | LGPD, confidencialidade, acesso, retenção e devolução | Cláusula copiada sem aderência ao serviço |
| Pagamento | Vinculação a entregáveis e medição | Pagamento por prazo, sem aceite |
2. Modelo de objeto e justificativa
OBJETO
Contratação de serviços especializados de [diagnóstico de maturidade OT | adequação à IEC 62443 | resposta a incidentes | monitoramento industrial] para [ÓRGÃO/UNIDADE], abrangendo [ATIVOS/UNIDADES/REDES] e os seguintes resultados esperados:
1. [Resultado mensurável 1]
2. [Resultado mensurável 2]
3. [Resultado mensurável 3]
JUSTIFICATIVA
O [ÓRGÃO/UNIDADE] opera [SISTEMAS/ATIVOS] que sustentam [SERVIÇOS ESSENCIAIS]. O último [DIAGNÓSTICO/AUDITORIA/INCIDENTE] identificou [LACUNAS]. A não execução expõe a instituição a [RISCO OPERACIONAL, LEGAL E REPUTACIONAL], além de [OBRIGAÇÃO REGULATÓRIA APLICÁVEL].
A contratação se justifica por [CAPACIDADE TÉCNICA ESPECÍFICA | INDEPENDÊNCIA | ESCALA | PRAZO], não supridas pela equipe própria no prazo necessário.
3. Modelo de escopo e entregáveis
ESCOPO
Incluído:
- Levantamento de [N] ativos e [N] unidades.
- Análise de arquitetura de rede e fluxos entre [NÍVEIS/SEGMENTOS].
- Avaliação de controles de acesso, segmentação, backup, detecção e resposta.
- Entrevistas com [ÁREAS] e revisão documental.
- [TESTES/COLETA PASSIVA/ANÁLISE DE LOGS], conforme autorização formal.
Excluído:
- Obras civis, cabeamento e aquisição de equipamentos.
- Licenciamento de ferramentas de terceiros.
- Operação contínua fora do regime de plantão contratado.
- [OUTRAS EXCLUSÕES EXPLÍCITAS].
ENTREGÁVEIS
1. Relatório executivo com riscos priorizados e plano de ação.
2. Inventário técnico e mapa de arquitetura.
3. Matriz de lacunas com referência a [IEC 62443 | NIST CSF | ANEEL | ONS].
4. Plano de tratamento com esforço, dependências e responsáveis.
5. Apresentação para a alta direção.
6. [ENTREGÁVEL ESPECÍFICO DO SERVIÇO].
4. Modelo de qualificação técnica
QUALIFICAÇÃO TÉCNICA
A contratada deverá comprovar:
1. Experiência mínima de [N] anos em [OT/ICS | setor elétrico | setor público].
2. Execução de [N] projetos semelhantes, com descrição de escopo e resultado.
3. Equipe técnica com [CERTIFICAÇÕES] e vínculo comprovável.
4. Referências verificáveis de [N] clientes, com autorização de contato.
5. Metodologia documentada para [DIAGNÓSTICO | SEGMENTAÇÃO | RESPOSTA].
6. Capacidade de atendimento remoto e presencial em [PRAZO/LOCAL].
7. Declaração de independência em relação a fornecedores de produtos avaliados, quando aplicável.
Não serão aceitas comprovações genéricas, sem escopo, data e contraparte verificável.
5. SLA e evidências
| Obrigação | Métrica | Evidência |
|---|---|---|
| Acionamento de incidente | Resposta inicial em [N] minutos/horas | Registro de chamado, horário e responsável |
| Contenção | Plano de contenção em [N] horas | Documento com ações, riscos e aprovação |
| Relatório de diagnóstico | Entrega em [N] dias após coleta | Relatório versionado e aceite formal |
| Monitoramento | Disponibilidade de [N]% e alertas em [N] minutos | Dashboard, logs e registro de alertas |
| Retenção de dados | [N] dias/meses, conforme contrato | Política, configuração e registro de descarte |
| Confidencialidade | NDA assinado antes do acesso | Instrumento vigente e lista de acessos |
6. Modelo de obrigações de LGPD e segurança
PROTEÇÃO DE DADOS E SEGURANÇA DA INFORMAÇÃO
1. A contratada atuará como [OPERADORA | CONTROLADORA CONJUNTA | FORNECEDORA SEM TRATAMENTO DE DADOS PESSOAIS], conforme a natureza do serviço, nos termos da Lei 13.709/2018.
2. O tratamento observará finalidade, necessidade, segurança e prestação de contas.
3. O acesso a dados e ambientes será nominal, mínimo e revogável.
4. A contratada notificará o órgão sobre incidente que afete dados ou ambientes do contrato em até [PRAZO], sem prejuízo das obrigações legais.
5. Subcontratação depende de autorização prévia e de fluxo de aprovação documentado.
6. Ao término, os dados serão devolvidos ou eliminados, com declaração formal, ressalvadas obrigações de retenção.
7. A contratada manterá [SEGURANÇA DA CADEIA | CONTROLES MÍNIMOS | CERTIFICAÇÕES] compatíveis com o risco do serviço.
7. Critérios de medição e pagamento
- Marco 1: mobilização e plano de trabalho aprovados.
- Marco 2: coleta e inventário validados.
- Marco 3: relatório entregue e apresentado.
- Marco 4: plano de ação aceito e encerramento formal.
Cada pagamento deve estar vinculado a entregável verificável e aceite registrado. Para serviços contínuos, defina medição mensal, relatório de nível de serviço e glosa proporcional por descumprimento.
8. Erros comuns
- Escopo sem exclusões: gera disputa sobre o que está incluído.
- Qualificação desproporcional: restringe a competição sem ganho real de qualidade.
- SLA sem métrica: “prioritário” não é compromisso verificável.
- Aceite subjetivo: permite pagamento sem entrega efetiva.
- LGPD genérica: não define papel, retenção, incidente e devolução.
- Ausência de independência: fornecedor de produto avalia o próprio produto.
Perguntas frequentes
Este modelo pode ser usado em dispensa ou inexigibilidade?
A estrutura de escopo, entregáveis, qualificação e aceite ajuda em qualquer modalidade, mas o enquadramento e os requisitos formais devem ser definidos pelo jurídico do órgão conforme a Lei 14.133/2021 e as normas internas.
Preciso exigir certificação específica?
Só se ela for proporcional e relevante para o objeto. Exigir certificação sem relação com o serviço restringe a competição. Prefira combinar experiência comprovada, metodologia e capacidade da equipe.
Como medir um serviço de resposta a incidentes?
Defina tempo de resposta inicial, tempo para plano de contenção, disponibilidade do canal, frequência de atualizações e evidências de cada etapa. O contrato deve deixar claro o que conta como acionamento e quem pode acionar.
O termo de referência precisa incluir cláusulas de LGPD?
Sim, quando houver tratamento de dados pessoais. O documento deve definir o papel das partes, a finalidade, o acesso, a retenção, a subcontratação, a notificação de incidentes e a devolução ou eliminação ao final.
Como evitar dependência de um único fornecedor?
Exija documentação, transferência de conhecimento, formatos abertos, inventário e plano de ação que a equipe própria consiga executar. A dependência não está só no contrato, mas na ausência de documentação.
O modelo serve para monitoramento contínuo (SOC)?
Sim, mas acrescente cobertura de turnos, onboarding, regras de detecção, tempo de triagem, escalonamento, relatórios e revisão periódica de escopo. Para OT, inclua coleta passiva e autorização para testes.
Fontes
- Lei 14.133/2021 — Lei de Licitações e Contratos Administrativos.
- Lei 13.709/2018 (LGPD) e orientações da ANPD.
- IN GSI/PR 7/2022 — referência para contratações no âmbito federal abrangido pelo SISP.
- IEC 62443 — requisitos de segurança para sistemas de automação e controle industrial.
- NIST CSF 2.0 e NIST SP 800-53 — controles de segurança e privacidade.
Modelo informativo, não é minuta jurídica nem aconselhamento legal. A versão final deve ser elaborada e validada pelo jurídico, pelo controle interno e pela autoridade competente do seu órgão, com aderência ao objeto e ao regime de contratação aplicável.
Como citar esta página
SeniorFlow. Modelo de Termo de Referência para Cibersegurança. Atualizado em 13/11/2026. Disponível em: https://seniorflow.com.br/governo/modelo-termo-referencia
Ao citar, preserve a data de atualização e não trate projetos de lei como normas vigentes.