IN GSI/PR 7/2022: Guia de Aplicação

Publicado em 13 de novembro de 2026 · Guia de aplicação · Revisão editorial e de conformidade

Resposta direta: a IN GSI/PR 7/2022 é uma instrução normativa federal que organiza requisitos de segurança da informação e o fluxo de notificação de incidentes para os órgãos e entidades da administração pública federal abrangidos pelo SISP. Ela não é uma lei geral de cibersegurança, não alcança automaticamente estados, municípios ou empresas privadas e não substitui a LGPD. O prazo de 72 horas ao CTIR Gov é apenas a parte mais visível de um conjunto maior de obrigações de governança, controle e evidência.

1. O que a norma é e o que ela não é

A confusão mais comum é tratar a IN GSI/PR 7/2022 como se fosse o "marco legal da cibersegurança brasileira". Ela não é. É uma norma administrativa, com destinatário definido, inserida em um arcabouço maior.

Três consequências práticas dessa distinção:

• Não é lei: o descumprimento é tratado no âmbito administrativo e de controle, não como infração legal autônoma como na LGPD.
• Não é certificação: aderir à norma não gera selo. O que existe é evidência de execução.
• Não é suficiente: cumprir a IN não dispensa LGPD, regulação setorial, contratos ou normas internas.

Se o seu caso é o prazo e o conteúdo da notificação, o passo a passo está em Notificação ao CTIR Gov em 72 horas.

2. Quem está dentro do escopo

A pergunta correta não é "minha empresa é grande?", mas "meu órgão está no SISP ou presta serviço a um órgão que está?". Para municípios, o caminho é outro — veja Cibersegurança para prefeituras.

3. Os blocos de requisito, traduzidos em evidência

A norma e o arcabouço federal de segurança da informação organizam obrigações em temas. A tabela abaixo traduz cada tema em duas perguntas: o que costuma ser exigido e o que uma verificação consegue enxergar.

O ponto central é que política sem execução não sustenta verificação. Um documento bonito que descreve MFA em toda a organização, quando metade das contas usa apenas senha, é pior do que um documento modesto e verdadeiro — porque cria uma expectativa que a evidência desmente.

4. Quem responde por quê

Normas federais de segurança da informação não atribuem tudo à equipe de TI. A responsabilidade é distribuída, e a falta de clareza sobre papéis aparece justamente na crise.

A designação formal importa mais do que parece. Sem um responsável nomeado, o programa fica órfão: todos reconhecem a obrigação, ninguém responde por ela. Confirme no texto vigente e nas normas internas do seu órgão qual é o cargo ou função previsto para essa atribuição.

5. Notificação em 72 horas: o recorte essencial

• Destinatário: CTIR Gov, pelo canal oficial vigente.
• Prazo: até 72 horas, contadas da confirmação do incidente — não do primeiro alerta.
• Conteúdo: o que se sabe, impacto conhecido, medidas adotadas, dados envolvidos e contatos.
• Forma: a primeira notificação pode ser preliminar e atualizada depois.
• Registro: protocolo, versão enviada, anexos e linha do tempo das decisões.

A notificação não substitui contenção, preservação de evidências nem comunicação à ANPD quando houver dados pessoais com risco relevante. Os fluxos são independentes e podem correr em paralelo.

Para o passo a passo completo, use o guia de notificação e o checklist operacional.

6. Como estruturar aderência em 90 dias

Ao final, o órgão deve conseguir responder a quatro perguntas sem improvisar: quais ativos sustentam serviços essenciais, quem tem acesso privilegiado, como um incidente seria detectado e quem decide o que nas primeiras horas.

7. O que uma verificação costuma pedir

• Política de segurança da informação aprovada e vigente, com data e autoridade.
• Designação formal do responsável pela segurança da informação.
• Inventário de ativos com owner, criticidade e localização.
• Análise de risco com plano de tratamento e aceite de risco residual.
• Lista de contas privilegiadas e registro de revisão periódica.
• Evidência de backup testado, com data, escopo e resultado.
• Trilha de auditoria com retenção definida e relógio sincronizado.
• Plano de resposta a incidentes com papéis, critérios e contatos.
• Registro de incidentes tratados e de notificações enviadas com protocolo.
• Contratos de fornecedores críticos com cláusulas de segurança e notificação.
• Trilha de treinamento e conscientização, com evidência de participação.
• Registro de exercícios, simulações e lições aprendidas implementadas.

8. Erros comuns

• Tratar a norma como lei geral: gera notificação desnecessária em alguns casos e omissão em outros.
• Reduzir tudo ao prazo de 72h: o prazo é consequência; sem detecção, contenção e registro, a notificação vira formalidade.
• Confundir política com operação: a verificação olha a execução, não a intenção declarada.
• Deixar o programa sem dono: responsabilidade difusa é responsabilidade inexistente.
• Ignorar fornecedores: o acesso de terceiros é uma das portas de entrada mais exploradas.
• Não testar a recuperação: backup sem restauração comprovada não é continuidade.
• Achar que aderir resolve a LGPD: são regimes distintos, com destinatários e critérios próprios.

Perguntas frequentes

Fontes

• IN GSI/PR 7/2022 — Gabinete de Segurança Institucional da Presidência da República. Consulte o texto vigente no portal do GSI/PR.
• CTIR Gov — canal oficial de notificação de incidentes cibernéticos.
• Lei 13.709/2018 (LGPD) e regulamentação da ANPD sobre segurança e comunicação de incidentes.
• Decreto 9.637/2018 — Política Nacional de Segurança da Informação (PNSI).
• Decreto 11.856/2023 — Política Nacional de Cibersegurança (PNCiber).
• Lei 14.133/2021 — Lei de Licitações e Contratos Administrativos, para contratações de segurança.
• NIST CSF 2.0 e NIST SP 800-53 — referências técnicas de controle.