CD nº 13/2025

Página 1

ANPD

Autoridade Nacional de Proteção de Dados

Conselho Diretor

Diretor Arthur Sabbat

VOTO Nº 15/2025/DIR-AS/CD

PROCESSO Nº 00261.006906/2024-42

INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD)

DIRETOR RELATOR

Arthur Pereira Sabbat

ASSUNTO

Resoluções que instituem o Comitê de Segurança da Informação (CSIN) e a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) no âmbito da Autoridade Nacional de Proteção de Dados

EMENTA

RESOLUÇÕES. INSTITUIÇÃO DO COMITÊ DE SEGURANÇA DA INFORMAÇÃO E DA EQUIPE DE PREVENÇÃO, TRATAMENTO E RESPOSTA A INCIDENTES CIBERNÉTICOS. APROVAÇÃO DAS MINUTAS, COM SUGESTÕES DE ALTERAÇÕES.

1. RELATÓRIO

1.1. Trata-se de minutas de Resoluções que instituem o Comitê de Segurança da Informação (CSIN) e a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) no âmbito da Autoridade Nacional de Proteção de Dados.

1.2. A minuta (0157563), juntamente com a Nota Técnica nº 207/2024/CIS/CGTI/ANPD (0157567), foi submetida à PFE para análise.

1.3. Na sequência, a PFE opinou pela viabilidade jurídico-formal da minuta apresentada, com recomendações de ajustes, conforme o exposto no PARECER n. 00001/2025/GAB/PFE/ANPD/PGF/AGU (0164778).

Voto 15 (0185012)

SEI 00261.006906/2024-42 / pg. 1

Página 2

1.4. Por meio do Despacho CIS/CGTI (0164969), foram endereçadas as recomendações feitas pela PFE, juntando-se aos autos minuta atualizada (0165322).

1.5. O processo foi distribuído a este Gabinete após sorteio realizado em 21 de janeiro de 2025, conforme certificado nos autos (0165756).

1.6. Por meio do Despacho DIR-AS/CD (0168441), baixei os autos à área técnica competente para realização de diligências quanto à adequação do objeto.

1.7. A nova minuta (0176407), juntamente com a Nota Técnica nº 6/2025/CIS/CGTI/ANPD (0169161), foi submetida à PFE para análise.

1.8. A PFE opinou pela viabilidade jurídico-formal da nova minuta apresentada, com recomendações de ajustes, inclusive quanto ao formato de resolução única, conforme o exposto no PARECER n. 00019/2025/GAB/PFE/ANPD/PGF/AGU (0180079).

1.9. A área técnica juntou aos autos a Nota Técnica nº 1/2025/CIS/CGTI/ANPD (0182404), bem como a Minuta de Resolução - CSIN (0182408) e a Minuta de Resolução - ETIR (0182424), na forma recomendada pela PFE.

1.10. Os autos voltaram a este gabinete no dia 25/04/2025.

1.11. É o relato do necessário.

2. ANÁLISE

2.1. Trata-se de minutas de Resolução que instituem o Comitê de Segurança da Informação - CSIN e a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos - ETIR no âmbito da Autoridade Nacional de Proteção de Dados.

2.2. A edição dos atos normativos em análise decorre de determinação constante do art. 15 do Decreto nº 9.637/2018 e art. 15 da INSTRUÇÃO NORMATIVA Nº 1, DE 27 DE MAIO DE 2020 do GSI. Vejamos:

Art. 15. Aos órgãos e às entidades da administração pública federal, em seu âmbito de atuação, compete:(…)

IV - instituir comitê de segurança da informação ou estrutura equivalente, para deliberar sobre os assuntos relativos à PNSI;

(…)

Voto 15 (0185012) SEI 00261.006906/2024-42 / pg. 2

Página 3

VII - instituir e implementar equipe de prevenção, tratamento e resposta a incidentes cibernéticos, que comporá a rede de equipes dos órgãos e das entidades da administração pública federal, coordenada pelo Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo do Departamento de Segurança da Informação do Gabinete de Segurança Institucional da Presidência da República;

Art. 15. Além das obrigações já dispostas nesta Instrução Normativa, compete aos órgãos e às entidades da administração pública federal, direta e indireta, em seu âmbito de atuação:

(…)

II - instituir Comitê de Segurança da Informação ou estrutura equivalente, para deliberar sobre os assuntos relativos à Política Nacional de Segurança da Informação;

(…)

IV - instituir e implementar Equipe de Tratamento e Resposta a Incidentes Cibernéticos - ETIR que constituirá a rede de equipes, integrada pelos órgãos e pelas entidades da administração pública federal, coordenada pelo Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo do Gabinete de Segurança Institucional da Presidência da República;

2.3. No que diz respeito às formalidades processuais, avalio que a instauração do processo obedeceu às disposições regimentais aplicáveis, havendo a necessária motivação para a edição dos atos normativos propostos, observados os princípios aplicáveis, em particular os que constam da Constituição Federal e da Lei nº 9.784/99.

2.4. Cabe salientar que a PFE se manifestou por meio do Parecer n. 00019/2025/GAB/PFE/ANPD/PGF/AGU (0180079), oportunidade em que sinalizou a viabilidade jurídica jurídico-formal da minuta apresentada, com as cautelas assinaladas na peça enunciativa, as quais foram endereçadas pela área técnica, conforme depreende-se da leitura da Nota Técnica 1 (0182404)

2.5. Neste sentido, verifica-se que a instituição do Comitê de Segurança da Informação - CSIN e da Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos – ETIR é medida que se impõe. Não obstante,

Voto 15 (0185012)

SEI 00261.006906/2024-42 / pg. 3

Página 4

vislumbro a necessidade de alguns ajustes nas minutas de Resoluções, com vistas a aprimorar a redação dos atos normativos, conforme identificado a seguir e nas versões com marcas de revisão (0185993 e 0185996) juntadas ao processo.

Minuta de Resolução que institui o Comitê de Segurança da Informação - CSIN

2.6. No art. 2º, alterei o inciso IV para manter a coerência com o inciso IV do art. 5º da Resolução que institui a ETIR, que determina que compete à ETIR/ANP “propor e implementar planos de resposta a incidentes, a serem aprovados pelo Comitê de Segurança da Informação (CSIN).”

2.7. Neste mesmo inciso, suprimi a palavra “supervisionar”. Segundo o art. 19, inciso VIII, da INSTRUÇÃO NORMATIVA Nº 1, DE 27 DE MAIO DE 2020, que dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e nas entidades da Administração Pública Federal, compete ao gestor de segurança da informação “acompanhar os trabalhos da Equipe de Tratamento e Resposta a Incidentes Cibernéticos”. Neste sentido, a competência para acompanhar ou supervisionar a atuação da ETIR/ANPD cabe ao gestor de segurança da informação e não ao comitê.

2.8. Vale ressaltar que a referida competência foi devidamente espelhada no então artigo 4º (novo artigo 6º) da Resolução que institui a ETIR/ANPD.

2.9. No artigo 2º, também inseri o inciso VI, a partir do deslocamento do art. 7º, para manter a coerência com o art. 15, parágrafo terceiro do Decreto nº 9.637/2018.

2.10. InserI ainda o inciso VII, a fim de deixar a clara a competência do CSIN para deliberar, juntamente com a ETIR/ANPD, sobre os procedimentos a serem executados ou as medidas de recuperação durante a identificação de um incidente de segurança. Isto porque a autonomia da ETIR/ANPD é compartilhada. Sendo assim, a equipe participa do processo decisório sobre os incidentes de segurança junto ao CSIN/ANPD, o que justifica a inserção do dispositivo.

2.11. Ainda no artigo 2º incluí dispositivo indicando a obrigação de propositura, pelo CSIN, da Política de Segurança da Informação da ANPD - POSIN/ANPD, no prazo de 120 (cento e vinte dias), considerando a essencialidade do documento em questão. Vejamos:

Alteração sugerida

Seção I

Das Competências

Art. 2º

Voto 15 (0185012)　SEI 00261.006906/2024-42 / pg. 4

Página 5

(…)

IV - aprovar os planos de resposta a incidentes propostos pela Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos da ANPD (ETIR/ANPD);

(…)

VI - instituir grupos de trabalho temporários para tratar de temas específicos sobre segurança da informação; e

VII - deliberar, juntamente com a ETIR/ANPD, sobre os procedimentos a serem executados ou as medidas de recuperação durante a identificação de um incidente de segurança.

(…)

§2º A Política de Segurança da Informação (POSIN) da ANPD, de que trata o inciso I deste artigo, deverá ser proposta pelo CSIN no prazo máximo de 120 (cento e vinte) dias da publicação desta Resolução.

2.12. A partir do disposto no Regimento Interno da ANPD, excluí do artigo 3º da minuta a participação de representante da CGA e da CGRII para manter coerência com o disposto no art. 15, parágrafo primeiro do Decreto nº 9.637/2018.

2.13. Com relação ao Encarregado pelo tratamento de dados pessoais da ANPD, nos termos do art. 16, inciso XI, da RESOLUÇÃO CD/ANPD Nº 18, DE 16 DE JULHO DE 2024, seu papel é de assistência e orientação ao agente de tratamento no que diz respeito ao tratamento de dados pessoais. Vejamos:

Art. 16. Cabe, ainda, ao encarregado, nos termos do

art. 10, inciso II, deste Regulamento, prestar assistência e orientação ao agente de tratamento na elaboração, definição e implementação, conforme o caso, de:

(…)

XI - outras atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais.

2.14. No mais, o agente de tratamento deverá, segundo RESOLUÇÃO CD/ANPD Nº 18, DE 16 DE JULHO DE 2024:

II - solicitar assistência e orientação do encarregado quando da realização de atividades e tomada de decisões estratégicas referentes ao tratamento de dados pessoais;

Voto 15 (0185012) SEI 00261.006906/2024-42 / pg. 5

Página 6

III - garantir ao encarregado a autonomia técnica necessária para cumprir suas atividades, livre de interferências indevidas, especialmente na orientação a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;

2.15. Neste sentido, não obstante o Encarregado possa e deva prestar assistência e orientação ao CSIN, sua atuação deve ser externa ao Comitê, a fim de que possa resguardar sua autonomia técnica necessária para cumprir suas atividades.

2.16. Considerando que a assistência do encarregado nas atividades do Comitê de Segurança da Informação é essencial quando a situação envolver tratamento de dados pessoais, inseri dispositivo no texto, na Seção III – Do funcionamento, a fim de endereçar o tema.

2.17. Por fim, inseri dispositivo nesta Seção, a fim de dispor acerca da forma pela qual os membros do CSIN, ressalvado o Gestor de Segurança da Informação, serão indicados.

2.18. A redação proposta é a seguinte:

Alteração sugerida

Seção II

Da Estrutura

Art. 3º O CSIN/ANPD é composto:

I - pelo Gestor de Segurança da Informação da ANPD, que o coordenará;

II - por um representante da Secretaria-Geral;

III - por um representante da Coordenação-Geral de Fiscalização;

IV - por um representante da Coordenação-Geral de Normatização;

V - por um representante da Coordenação-Geral de Tecnologia e Pesquisa; e

VI - por um representante da Coordenação-Geral de Tecnologia da Informação.

Art. 4º Ato do Diretor-Presidente da ANPD designará os membros titulares e suplentes de que tratam os incisos II a VI do caput do

art. 3º em até 30 (trinta dias) após a publicação desta Resolução.

2.19. No art. 6º, alterei a redação para prever que as reuniões do CSIN/ANPD sejam realizadas com maior periodicidade, considerando, inclusive a necessidade de propositura da POSIN/ANPD e demais atribuições previstas

Voto 15 (0185012)　SEI 00261.006906/2024-42 / pg. 6

Página 7

no art. 2º. Além disso, também alterei a sistemática para convocação extraordinária do CSIN para tornar o processo mais ágil.

2.20. No parágrafo segundo do art. 6º, alterei a redação para adequar a previsão quanto à realização das reuniões do CSIN ao regime de trabalho adotado pela ANPD em virtude da RESOLUÇÃO CD/ANPD Nº 6, DE 3 DE ABRIL DE 2023, que instituiu o Programa de Gestão e Desempenho no âmbito da Autoridade Nacional de Proteção de Dados – ANPD.

2.21. Excluí o então parágrafo terceiro por entender que não há motivação para distinção de quórum para deliberações do CSIN/ANPD.

2.22. Alterei o então art. 4º (novo §3º do art. 6º) para indicar, de forma mais simples, a forma de deliberação do CSIN, facilitando o procedimento de deliberação do Comitê.

2.23. Inserir dispositivo sobre o encarregado pelo tratamento de dados pessoais, a fim de explicitar sua participação nas reuniões do CSIN quando a matéria em pauta envolver o tratamento de dados pessoais.

2.24. Por fim, renumerei os parágrafos, a fim de adequá-los aos textos propostos.

2.25. A redação proposta é a seguinte:

Alteração sugerida

Seção III

Do Funcionamento

(…)

Art. 6º O CSIN/ANPD se reunirá em caráter ordinário, quadrimestralmente e, em caráter extraordinário, por convocação do seu coordenador ou por solicitação fundamentada de um dos seus membros.

(…)

§ 2º As reuniões do CSIN/ANPD serão realizadas presencialmente ou por videoconferência.

§ 3º As deliberações do CSIN/ANPD serão tomadas por votos da maioria simples de seus membros titulares, ou suplentes, quando em substituição, cabendo ao Coordenador do CSIN/ANPD o voto de qualidade nos casos de empate.

(…)

§ 7º O encarregado pelo tratamento de dados pessoais será convidado para participar das reuniões do CSIN sempre que a matéria em pauta envolver o tratamento de dados pessoais, devendo prestar assistência e orientação ao Comitê,

Voto 15 (0185012)　 SEI 00261.006906/2024-42 / pg. 7

Página 8

na forma da RESOLUÇÃO CD/ANPD Nº 18, DE 16 DE JULHO DE 2024.

2.26. Com relação aos dispositivos da Seção IV, entendi conveniente e oportuno excluí-los. Isto porque a convocação do CSIN/ANPD pode ser realizada, extraordinariamente, inclusive quando de casos de urgência, por convocação do próprio Coordenador. Neste sentido, não há necessidade de prever a possibilidade de o coordenador decidir ad referendum. A sistemática proposta confere demasiados poderes e responsabilidades ao Coordenador do CSIN/ANPD e me parece não se compatibilizar com o modelo de decisões colegiadas adotado pela ANPD.

Minuta da Resolução que institui a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR)

2.27. Inicialmente, modifiquei o teor da Seção II para tratar da temática do público-alvo e da forma de comunicação deste público com a ETIR/ANPD, a fim de atender ao disposto no item 2, ANEXO A – DOCUMENTO DE CONSTITUIÇÃO DA ETIR, da 05/IN01/DSIC/GSIPR de 14/08/2009.

2.28. A redação proposta é a seguinte:

Alteração sugerida

Seção II

Público-alvo

Art. 3º A ETIR/ANPD terá como público-alvo os usuários da rede corporativa de computadores, dos sistemas e dos serviços disponibilizados pela ANPD.

Art. 4º O registro e notificação de incidentes serão feitos por meio de plataforma de comunicação interna e/ou externa, mantida pela ETIR/ANPD, garantindo o fluxo eficiente de informações entre a equipe e os gestores responsáveis.

Parágrafo único. Os canais oficiais de comunicação para realização de notificações de incidentes de segurança deverão ser amplamente divulgados no sítio eletrônico e na intranet da ANPD.

2.29. Na Seção III, então art. 4º (novo art. 6º), alterei a redação do inciso I para indicar a competência do Gestor de Segurança da Informação como Agente responsável na forma da Norma Complementar nº 05/IN01/DSIC/GSIPR, de 14 de agosto de 2009.

2.30. Também realizei inserção dos incisos IV e V, a fim de dispor sobre outras competências do agente responsável, que também é o Gestor de Segurança da Informação, na forma do item 7 da 05/IN01/DSIC/GSIPR de

Voto 15 (0185012) SEI 00261.006906/2024-42 / pg. 8

Página 9

14/08/2009.

2.31. A partir de tais considerações, a redação proposta é a seguinte:

Alteração sugerida

Seção III

Das Competências

(…)

Art. 6º Compete ao Gestor de Segurança da Informação:

I - coordenar e supervisionar as atividades da ETIR/ANPD, atuando como Agente Responsável, na forma da Norma Complementar nº 05/IN01/DSIC/GSIPR, de 14 de agosto de 2009;

(…)

IV - promover a interface com o Centro de Tratamento e Resposta a Incidentes de Segurança em Redes de Computadores da Administração Pública Federa

l – CTIR GOV; e

V - criar os procedimentos internos, gerenciar as atividades e distribuir tarefas para a Equipe ou Equipes que compõem a ETIR.

2.32. Na Seção IV, modifiquei seu teor para melhor especificar as disposições sobre o modelo de implementação, conforme dispõe o item 3, ANEXO A – DOCUMENTO DE CONSTITUIÇÃO DA ETIR, da 05/IN01/DSIC/GSIPR de 14/08/2009, que informa que a entidade deve estabelecer o modelo que melhor se adequar às suas necessidades e limitações, dentre os apresentados item 7 da norma complementar.

2.33. De acordo com a minuta, foi escolhido o modelo descrito no item 7.1. Senão vejamos:

7 MODELO DE IMPLEMENTAÇÃO

Cada órgão ou entidade deverá estabelecer, dentre os modelos apresentados abaixo, aquele que melhor se adequar às suas necessidades e limitações, ressalvado que, independentemente do modelo escolhido, deverão ser observadas as diretrizes desta Norma Complementar. Nada obstante, em quaisquer dos modelos estabelecidos deverá ser designado formalmente o Agente Responsável, que terá, dentre outras atribuições, a de ser a interface

Voto 15 (0185012)　SEI 00261.006906/2024-42 / pg. 9

Página 10

com o Centro de Tratamento e Resposta a Incidentes de Segurança em Redes de Computadores da Administração Pública Federal – CTIR GOV. Este Agente será o responsável por criar os procedimentos internos, gerenciar as atividades e distribuir tarefas para a Equipe ou Equipes que compõem a ETIR.

7.1 Modelo 1 – Utilizando a equipe de Tecnologia da Informação – TI

7.1.1 Neste modelo não existirá um grupo dedicado exclusivamente às funções de tratamento e resposta a incidentes de Rede. A Equipe será formada a partir dos membros das equipes de TI do próprio órgão ou entidade, que além de suas funções regulares passarão a desempenhar as atividades relacionadas ao tratamento e resposta a incidentes em redes computacionais. Neste modelo as funções e serviços de tratamento de incidente deverão ser realizadas, preferencialmente, por administradores de rede ou de sistema ou, ainda, por peritos em segurança.

7.1.2 A Equipe que utilizar este modelo desempenhará suas atividades, via de regra, de forma reativa, sendo desejável, porém que o Agente Responsável pela ETIR atribua responsabilidades para que os seus membros exerçam atividades pró-ativas.

2.34. A partir de tais considerações, a redação proposta é a seguinte:

Alteração sugerida

Seção IV

Do Modelo de Implementação

Art. 8º O modelo de implementação adotado pela ETIR/ANPD será o descrito no item 7.1 da Norma Complementar nº 05/IN01/DSIC/GSIPR, de 14 de agosto de 2009, qual seja, “Modelo 1 - Utilizando a equipe de Tecnologia da Informação – TI”.

Parágrafo único. Os membros da ETIR/ANPD desempenharão suas funções regulares, concomitantemente, com as atividades relacionadas ao tratamento e resposta a incidentes em redes computacionais.

Art. 9º A ETIR/ANPD desempenhará suas atividades:

I - de forma reativa, via de regra; e

Voto 15 (0185012)　　SEI 00261.006906/2024-42 / pg. 10

Página 11

II - de forma proativa, por meio da atribuição de responsabilidades a seus membros pelo Agente Responsável.

2.35. Na então Seção IV, renumerada para Seção V – Da Estrutura Organizacional, ajustei a redação dos dispositivos para que fiquem mais claros. No que concerne à composição da ETIR, disposta no art. 10, reformulei o dispositivo, de forma a abarcar o disposto no então art. 8º, considerando que o item 8.4 da 05/IN01/DSIC/GSIPR de 14/08/2009 informa que:

A Equipe poderá ser estendida com a inclusão dos seguintes membros: representantes legais de áreas específicas da organização, advogados, estatísticos, recursos humanos, relações públicas, gestão de riscos, controle interno e grupo de investigação, ou outro que a organização entenda ser adequado.

2.36. Também incluí dispositivo (parágrafo segundo) para prever que ato do Diretor-Presidente designará os membros titulares e suplentes da ETIR/ANPD. Também inseri dispositivo (parágrafo quinto) para prevê a possibilidade de a ETIR/ANPD solicitar apoio de TI de empresas(s) contratadas(s) pela ANPD para a realização de suas atividades, considerando que pode haver casos que demandam apoio especializado das empresas que prestam serviço à ANPD.

2.37. Por fim, inseri o parágrafo sexto para alinhar ao disposto no item 10.2 da 05/IN01/DSIC/GSIPR de 14/08/2009, que assim dispõe:

10.2 Preferencialmente a Equipe deve ser composta por servidores públicos ocupantes de cargo efetivo ou militares de carreira, conforme o caso, com perfil técnico compatível, lotados nos seus respectivos órgãos.

2.38. Os parágrafos §§7º a 8º são resultado do deslocamento de dispositivos da então Seção VI, que foi excluída.

2.39. A partir de tais considerações, a redação proposta é a seguinte:

Alteração sugerida

Seção V

Da Estrutura Organizacional

Art. 10. A ETIR/ANPD será composta pelos seguintes membros:

I - gestor de segurança da informação da ANPD, que coordenará a equipe;

Voto 15 (0185012)

SEI 00261.006906/2024-42 / pg. 11

Página 12

II - servidores lotados na Coordenação-Geral de Tecnologia da Informação – CGTI, cujas capacidades técnicas sejam compatíveis com as atividades da equipe; e

III - servidores de outras áreas da ANPD, desde que possuam perfil compatível com as atividades da ETIR/ANPD.

(…)

§ 2º Ato do Diretor-Presidente da ANPD designará os membros titulares e suplentes da ETIR/ANPD, em até trinta dias após a publicação desta Resolução.

(…)

§ 5º Sempre que necessário, a ETIR/ANPD poderá solicitar o apoio de profissionais de TI de empresas(

s) contratadas(

s) pela ANPD para a realização de suas atividades.

§ 6º A Equipe deve deverá ser composta, preferencialmente, por servidores públicos ocupantes de cargo efetivo ou militares de carreira com perfil técnico compatível.

§ 7º O Comitê de Segurança da Informação da ANPD poderá indicar representantes para acompanhar as atividades da ETIR/ANPD.

§ 8º A ETIR/ANPD poderá propor a instituição de grupos de trabalho temporários para tratar de temas específicos e para propor soluções sobre sua área de atuação.

§ 9º A atuação reativa da ETIR/ANPD que estiver diretamente relacionada ao tratamento de incidentes terá prioridade sobre aquela de caráter proativo.

2.40. Com relação à então Seção V – Da Autonomia da ETIR (renumerada para Seção VI), promovi alterações, a fim de melhor especificar a modalidade da autonomia da ETIR/ANPD, bem como para tratar da sua participação no processo decisório, considerando o disposto no item 9.2 da Norma Complementar nº 05/IN01/DSIC/GSIPR, de 14 de agosto de 2009. Vejamos:

9.2 Autonomia Compartilhada

9.2.1 Se a ETIR possui a autonomia compartilhada, ela trabalhará em acordo com os outros setores da organização a fim de participar do processo de tomada de decisão sobre quais medidas devam ser adotadas.

9.2.2 A ETIR participará no resultado da decisão, sendo, no entanto, apenas um membro no processo decisório. Neste caso, a Equipe poderá recomendar os procedimentos a serem executados ou as medidas de

Voto 15 (0185012) SEI 00261.006906/2024-42 / pg. 12

Página 13

recuperação durante um ataque e discutirá as ações a serem tomadas (ou as repercussões se as recomendações não forem seguidas) com os outros membros da organização.

9.2.3 A indicação dos membros do processo decisório deverá ser definida explicitamente no documento de constituição da ETIR.

2.41. A partir de tais considerações, a redação proposta é a seguinte:

Alteração sugerida

Seção VI

Da Autonomia da ETIR

Art. 11. A ETIR/ANPD possui autonomia compartilhada para realizar as ações ou as medidas necessárias para reforçar a resposta ou a postura da organização na recuperação de incidentes de segurança.

Parágrafo único. A ETIR/ANPD, representada pelo Gestor da Segurança da Informação, participará dos processos decisórios junto ao CSIN/ANPD, relativos aos procedimentos e às medidas definidas no caput, e debaterá as ações a serem tomadas, seus impactos e a repercussão caso as recomendações não forem seguidas.

2.42. No que se trata da então Seção VI – Do funcionamento, promovi a exclusão de parte desta Seção (arts. 11 a 13 e parágrafos §1º a 4º), deslocando os demais artigos para Seção V, considerando que a ETIR não possui natureza de colegiado, na forma do Decreto nº 12.2002/2024. Segundo o item 4.5 da 05/IN01/DSIC/GSIPR de 14/08/2009:

Equipe de Tratamento e Resposta a Incidentes em Redes Computacionais – ETIR: Grupo de pessoas com a responsabilidade de receber, analisar e responder às notificações e atividades relacionadas a incidentes de segurança em redes de computadores;

2.43. O art. 2º, por sua vez, da minuta de Resolução informa que a ETIR tem por missão:

Art. 2º A ETIR/ANPD tem por missão coordenar as ações de prevenção, tratamento e resposta a incidentes de segurança cibernética nos ativos de informações da ANPD,

Voto 15 (0185012) SEI 00261.006906/2024-42 / pg. 13

Página 14

com o objetivo de minimizar vulnerabilidades e ameaças que possam comprometer a missão da ANPD.

2.44. A autonomia da ETIR, conforme assinalado acima, será compartilhada com o CSIN. Neste sentido, verifica-se que a ETIR não toma decisões de forma autônoma, participando do processo de tomada de decisão junto a este Comitê, que é um órgão colegiado responsável, dentre outras atribuições, por “…deliberar sobre assuntos relativos à Política Nacional de Segurança da Informação (PNSI) e as práticas de segurança da informação aplicáveis à Autoridade.”

2.45. A ETIR, portanto, participará no resultado da decisão, sendo, no entanto, apenas um membro no processo decisório. Neste caso, a Equipe poderá recomendar os procedimentos a serem executados ou as medidas de recuperação durante um ataque e discutirá as ações a serem tomadas (ou as repercussões se as recomendações não forem seguidas) com os outros membros da organização.

2.46. Dessa forma, considerando o contexto e atribuições do CSIN e da ETIR, não seria coerente a propositura de dois colegiados. O contexto apresentado requer a estrutura de um colegiado (CSIN) e uma equipe (ETIR), que integrará o processo decisório no que diz respeito aos incidentes de segurança. Por este motivo, excluí as disposições que tratavam da matéria, na forma do art. 38 do Decreto nº 12.2002/2024.

2.47. Sendo essas as principais alterações a serem incorporadas às minutas de ato normativo, acompanhadas das correspondentes justificativas técnicas e jurídicas, entendo pertinente a continuidade do procedimento de deliberação, com a consequente submissão do presente voto e das Minutas que instituem o Comitê de Segurança da Informação (CSIN) e a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) no âmbito da Autoridade Nacional de Proteção de Dados e suas versões revistas e consolidadas à apreciação dos demais membros do colegiado.

3. VOTO

3.1. Diante de todo o exposto, voto pela aprovação das Minutas que instituem o Comitê de Segurança da Informação (CSIN) e a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) no âmbito da Autoridade Nacional de Proteção de Dados, conforme minutas revistas e consolidadas anexadas aos autos (0185998 e 0186000).

3.2. Por fim, considerando a relevância da matéria, proponho a votação por meio de circuito deliberativo, nos termos do § 1º do art. 40, do Regimento Interno.

Voto 15 (0185012)　　SEI 00261.006906/2024-42 / pg. 14

Página 15

3.3. É como voto.

ARTHUR PEREIRA SABBAT

Diretor

Documento assinado eletronicamente por Arthur Pereira Sabbat, Diretor(a), em 19/05/2025, às 10:00, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no site https://anpd-super.mj.gov.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0185012 e o código CRC 247EF838.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900

Telefone: (61) 2025-8161 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.006906/2024-42　　　　　　　　　　　　　　　　　SEI nº 0185012

Voto 15 (0185012)　　SEI 00261.006906/2024-42 / pg. 15

Página 16

ANPD

Autoridade Nacional de Proteção de Dados

Conselho Diretor

Diretora Miriam Wimmer

VOTO Nº 14/2025/DIR-MW/CD

PROCESSO Nº 00261.006906/2024-42

INTERESSADO: Autoridade Nacional de Proteção de Dados

ASSUNTO: Resoluções que instituem o Comitê de Segurança da Informação (CSIN) e a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) no âmbito da Autoridade Nacional de Proteção de Dados

VOTO EM CIRCUITO DELIBERATIVO

DIRETORA MIRIAM WIMMER

VOTO

Voto 14 (0186347) SEI 00261.006906/2024-42 / pg. 16

Página 17

Documento assinado eletronicamente por Miriam Wimmer, Diretor(a), em 22/05/2025, às 15:05, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no site https://anpd-super.mj.gov.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0186347 e o código CRC 906DF2E6.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900

Telefone: (61) 2025-8166 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.006906/2024-42

SEI nº 0186347

Voto 14 (0186347) SEI 00261.006906/2024-42 / pg. 17

Página 18

ANPD

Autoridade Nacional de Proteção de Dados

Conselho Diretor

Diretor Iagê Miola

VOTO Nº 14/2025/DIR-IM/CD

PROCESSO Nº 00261.007344/2024-54

INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD)

ASSUNTO: Resoluções que instituem o Comitê de Segurança da Informação (CSIN) e a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) no âmbito da Autoridade Nacional de Proteção de Dados

CIRCUITO DELIBERATIVO (0186174)

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno:

Voto no Circuito Deliberativo:

IAGÊ ZENDRON MIOLA

Diretor

Documento assinado eletronicamente por Iagê Zendron Miola, Diretor(a), em 21/05/2025, às 17:51, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no site https://anpd-super.mj.gov.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0186375 e o código CRC 897B2E34.

Voto 14 (0186375) SEI 00261.006906/2024-42 / pg. 18

Página 19

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900

Telefone: - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.006906/2024-42 SEI nº 0186375

Voto 14 (0186375) SEI 00261.006906/2024-42 / pg. 19

Página 20

ANPD

Autoridade Nacional de Proteção de Dados

Gabinete do Diretor-Presidente

VOTO Nº 8/2025/GABPR

PROCESSO Nº 00261.006906/2024-42

INTERESSADO: Autoridade Nacional de Proteção de Dados (ANPD)

ASSUNTO: Resoluções que instituem o Comitê de Segurança da Informação (CSIN) e a Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) no âmbito da Autoridade Nacional de Proteção de Dados

VOTO EM CIRCUITO DELIBERATIVO

Caso o prazo do Circuito Deliberativo seja inferior a 7 dias, nos termos do § 1º do art. 41 do Regimento Interno:

Voto no Circuito Deliberativo:

Voto 8 (0187677) SEI 00261.006906/2024-42 / pg. 20

Página 21

(SEI 0185012)

Não acompanho a Relatoria, nos seguintes termos:

WALDEMAR GONÇALVES ORTUNHO JÚNIOR

Diretor-Presidente

Documento assinado eletronicamente por Waldemar Gonçalves Ortunho Junior, Diretor(a) Presidente, em 27/05/2025, às 18:26, conforme horário oficial de Brasília, com fundamento no art. 6º, § 1º, do Decreto nº 8.539, de 8 de outubro de 2015.

A autenticidade deste documento pode ser conferida no site https://anpd-super.mj.gov.br/sei/controlador_externo.php?acao=documento_conferir&id_orgao_acesso_externo=0, informando o código verificador 0187677 e o código CRC 636C6B64.

SCN Quadra 06, Conjunto A, Ed. Venâncio 3000, Bloco A, 9º andar, - Bairro Asa Norte, Brasília/DF, CEP 70716-900

Telefone: (61) 2025-8171 - https://www.gov.br/anpd/pt-br

Referência: Caso responda a este documento, indicar expressamente o Processo nº 00261.006906/2024-42

SEI nº 0187677

Voto 8 (0187677)

SEI 00261.006906/2024-42 / pg. 21