Notificação ao CTIR Gov em 72 horas

Publicado em 13 de novembro de 2026 · Revisão editorial e de conformidade

Resposta direta: órgãos e entidades da administração pública federal abrangidos pelo SISP devem notificar incidentes de segurança da informação ao CTIR Gov em até 72 horas a partir da confirmação do incidente. A notificação não substitui contenção, preservação de evidências nem comunicação à ANPD quando houver dados pessoais. Estados, municípios e empresas privadas têm obrigações próprias e devem verificar seu regime jurídico.

1. Quem precisa notificar

2. O que notificar

• Ransomware e indisponibilidade de serviços essenciais ao cidadão.
• Comprometimento de e-mail corporativo (BEC), fraude eletrônica e desvio de pagamento.
• Vazamento de dados pessoais ou de informação classificada.
• Ataque à cadeia de suprimentos com impacto no órgão ou em seus serviços.
• Acesso não autorizado a sistemas, contas privilegiadas ou infraestrutura crítica.

Não espere o incidente estar “totalmente entendido” para iniciar o fluxo. A primeira notificação pode ser preliminar, com atualizações posteriores — desde que o canal oficial e o protocolo sejam registrados.

3. Passo a passo

1. Confirme e classifique o incidente. Registre severidade, serviços afetados, dados envolvidos, impacto ao cidadão e horário da confirmação. Esse horário é o marco do prazo.
2. Contenha sem destruir evidências. Isole segmentos, bloqueie acessos comprometidos e preserve logs, imagens e artefatos. Não formate máquinas antes da coleta forense.
3. Acione jurídico, comunicação e autoridade competente. Defina quem assina a notificação, quem fala com o CTIR Gov e quem responde à imprensa e aos titulares de dados.
4. Preencha a notificação oficial. Use o canal vigente do CTIR Gov. Descreva o ocorrido, o impacto, as medidas adotadas, os dados afetados e os contatos responsáveis.
5. Registre protocolo e evidências. Guarde número de protocolo, versão enviada, anexos, hashes e a linha do tempo das decisões.
6. Acompanhe, atualize e corrija. Envie atualizações quando houver mudança relevante, conclua a análise de causa raiz e execute o plano de ação.

4. Prazo: o que conta como início

O relógio começa na confirmação do incidente, não no primeiro alerta nem na primeira suspeita. Na prática, muitas organizações perdem tempo tentando descobrir “tudo” antes de notificar. O correto é notificar o que se sabe, com honestidade, e atualizar depois.

Se o incidente envolver dados pessoais com risco relevante, avalie também a comunicação à ANPD e aos titulares, nos termos da LGPD e da regulamentação aplicável. Os dois fluxos são independentes.

5. Checklist mínimo antes da crise

• Contatos nominais e suplentes do CTIR Gov, jurídico, TI, comunicação e alta direção.
• Modelo de notificação pré-preenchido e validado pelo jurídico.
• Inventário de serviços essenciais e dependências entre sistemas.
• Backups imutáveis com teste de restauração documentado.
• Trilha de auditoria com retenção definida e relógio sincronizado.
• Critérios de severidade e de acionamento da crise.
• Plano de comunicação com cidadãos, imprensa e órgãos de controle.

Para uma versão completa, com responsáveis, registro mínimo e revisão trimestral, use o checklist CTIR Gov. Para os demais requisitos da norma — governança, inventário, acesso, continuidade e fornecedores — veja o guia de aplicação da IN GSI/PR 7/2022.

6. Erros comuns

• Tratar a IN GSI como lei geral: isso gera notificação desnecessária ou omissão em obrigações corretas.
• “Limpar” o ambiente antes da forense: destrói a evidência que sustenta a notificação e a investigação.
• Notificar sem protocolo: sem registro, não há como demonstrar diligência.
• Esquecer a ANPD: o incidente pode ter duas obrigações de comunicação simultâneas.
• Prometer prazo de recuperação: comunicação pública deve ser factual e coordenada com o jurídico.

Perguntas frequentes

Fontes

• IN GSI/PR 7/2022 — Gabinete de Segurança Institucional da Presidência da República.
• CTIR Gov — canal oficial de notificação de incidentes.
• Lei 13.709/2018 (LGPD) e regulamentação da ANPD sobre comunicação de incidentes.
• Decreto 11.856/2023 — Política Nacional de Cibersegurança (PNCiber).