Texto completo
Ementa: Institui a Política de Segurança da Informação - PSI no Âmbito do Conselho Nacional de Técnicos em Radiologia - CONTER e dá outras providências.
Texto completo:
RESOLUÇÃO CONTER Nº 8, DE 24 DE JULHO DE 2026 (Aprovada ad referendum da Plenária, nos termos do art. 12 e seu § 2º do Regimento Interno) Institui a Política de Segurança da Informação - PSI no Âmbito do Conselho Nacional de Técnicos em Radiologia - CONTER e dá outras providências. A Diretoria Executiva do CONSELHO NACIONAL DE TÉCNICOS EM RADIOLOGIA - CONTER, autarquia federal criada pela Lei nº 7.394, de 29 de outubro de 1985, regulamentada pelo Decreto nº 92.790, de 17 de junho de 1986, no uso das atribuições que lhe confere o Regimento Interno, ad referendum do Plenário; CONSIDERANDO o disposto na Lei nº 13.709, de 14 de agosto de 2018 - Lei Geral de Proteção de Dados Pessoais ("LGPD"), em especial o Capítulo IV e os Artigos 46 a 51; CONSIDERANDO o Decreto nº 9.637, de 26 de dezembro de 2018, que institui a Política Nacional de Segurança da Informação ("PNSI") e determina aos órgãos e às entidades da administração pública federal a instituição de sua própria Política de Segurança da Informação ("PSI"); CONSIDERANDO o Decreto nº 10.222, de 5 de fevereiro de 2020, que aprova a Estratégia Nacional de Segurança Cibernética ("ENSC"); CONSIDERANDO a Lei nº 12.527, de 18 de novembro de 2011 - Lei de Acesso à Informação, a Lei nº 8.159, de 8 de janeiro de 1991, e a Lei nº 14.129, de 29 de março de 2021; CONSIDERANDO as Instruções Normativas do Gabinete de Segurança Institucional da Presidência da República, notadamente a IN GSI/PR nº 1, de 27 de maio de 2020, a IN GSI/PR nº 3, de 28 de maio de 2021, a IN GSI/PR nº 5, de 30 de agosto de 2021, e a IN GSI/PR nº 8, de 26 de agosto de 2020, adotadas por esta autarquia como referencial normativo de observância obrigatória; e as normas ABNT NBR ISO/IEC 27001 e ABNT NBR ISO/IEC 27002 como referencial técnico; CONSIDERANDO a necessidade de assegurar a confidencialidade, a integridade, a disponibilidade e a autenticidade das informações custodiadas pelo CONTER, bem como a proteção dos dados pessoais de seus profissionais registrados, empregados públicos, membros honoríficos e voluntários, funcionários terceirizados, cidadãos titulares dos dados pessoais por aquele controlados e de pessoas jurídicas prestadores de serviços; CONSIDERANDO a Portaria CONTER nº 60/2026, que empossou o atual Encarregado pelo Tratamento de Dados Pessoais ("DPO"), e a Portaria CONTER nº 61/2026, que reformulou a Comissão de Privacidade de Proteção de Dados, posteriormente denominada Comissão de Tratamento e Proteção de Dados ("CTPD") pela Portaria 0097/2026; CONSIDERANDO a decisão da Reunião de Diretoria Executiva do CONTER, AD-REFERENDUM da Plenária, realizada no dia 23 de julho de 2026, concernente à instituição da Política de Segurança da Informação (PSI) no âmbito do CONTER; resolve: instituir a Política de Segurança da Informação (PSI) no âmbito do CONTER. TÍTULO I DAS DISPOSIÇÕES PRELIMINARES CAPÍTULO I - DO OBJETO E DA FINALIDADE Art. 1º Fica instituída a Política de Segurança da Informação - PSI ("Política") do Conselho Nacional de Técnicos em Radiologia - CONTER ("Autarquia", "Conselho" ou "Controlador"), com o objetivo de estabelecer princípios, diretrizes, responsabilidades e estrutura de governança destinados à proteção das informações e dos ativos de informação sob custódia da autarquia. Art. 2º São finalidades da PSI: I) assegurar a confidencialidade, a integridade, a disponibilidade e a autenticidade das informações institucionais, independentemente do meio ou suporte em que se encontrem; II) proteger os dados pessoais tratados pelo CONTER, em conformidade com a Lei nº 13.709/2018; III) garantir a continuidade das atividades finalísticas e administrativas da Autarquia; IV) assegurar a conformidade com o ordenamento jurídico aplicável e com as determinações dos órgãos de controle; V) promover a cultura de segurança da informação entre todos os que se relacionam com a Autarquia; VI) subsidiar a tomada de decisão institucional mediante gestão estruturada de riscos de segurança da informação. CAPÍTULO II - DA ABRANGÊNCIA Art. 3º A PSI se aplica, no que couber e observadas as respectivas vinculações jurídicas, a: I) conselheiros federais efetivos e suplentes; II) empregados públicos do quadro do CONTER, ativos, cedidos ou em exercício provisório; III) ocupantes de cargos e funções de confiança; IV) estagiários e aprendizes; V) fiscais e demais agentes investidos em atribuição fiscalizatória; VI) conselheiros e empregados de Conselhos Regionais de Técnicos em Radiologia - CRTRs, quando acessarem sistemas, bases de dados ou informações sob custódia do CONTER; VII) membros das comissões permanentes e transitórias do CONTER; VIII) prestadores de serviços, empresas contratadas, consultores, e seus prepostos e empregados, quando do acesso a informações ou ativos do CONTER; IX) quaisquer outras pessoas, físicas ou jurídicas, que, a qualquer título, acessem informações ou ativos de informação da autarquia. Parágrafo único. A vinculação às disposições desta Política será formalizada mediante assinatura do Termo de Ciência e Responsabilidade constante do Anexo III, no caso dos incisos I a VII, e mediante cláusula contratual específica, no caso dos incisos VII e VIII. Art. 4º Esta Política abrange todas as informações produzidas, recebidas, armazenadas, transmitidas ou descartadas pelo CONTER, em qualquer suporte, formato ou meio, inclusive as processadas por terceiros em nome da autarquia. CAPÍTULO III - DAS DEFINIÇÕES Art. 5º Para os efeitos desta Política, adotam-se as definições constantes do Art. 5º da LGPD, da norma ABNT NBR ISO/IEC 27000 e, complementarmente, as seguintes: I) ativo de informação: qualquer elemento que produza, processe, transmita, armazene ou descarte informação, incluindo sistemas, equipamentos, mídias, instalações, documentos e pessoas; II) custodiante da informação: unidade ou agente responsável pela guarda e pela aplicação dos controles de proteção definidos pelo gestor da informação; III) gestor da informação: titular da unidade organizacional responsável pela informação, a quem compete classificá-la e definir seus requisitos de proteção; IV) usuário: toda pessoa abrangida pelo Art. 3º desta Política; V) incidente de segurança da informação: evento ou série de eventos, desejados ou não, que possam comprometer a confidencialidade, a integridade, a disponibilidade ou a autenticidade da informação; VI) recursos corporativos: equipamentos, sistemas, redes, contas, licenças e demais meios disponibilizados pelo CONTER para o exercício das atividades institucionais; VII) norma complementar: ato normativo derivado desta Política, destinado a detalhar tecnicamente eixo específico de segurança da informação. TÍTULO II DOS PRINCÍPIOS E DAS DIRETRIZES GERAIS CAPÍTULO I - DOS PRINCÍPIOS Art. 6º A segurança da informação no CONTER rege-se pelos seguintes princípios: I) confidencialidade: a informação deve ser acessível apenas a quem esteja autorizado; II) integridade: a informação deve ser mantida exata e completa, preservando-se seus atributos originais; III) disponibilidade: a informação deve estar acessível quando necessária aos agentes autorizados; IV) autenticidade: deve ser assegurada a fidedignidade da origem e da autoria da informação; V) legalidade: o tratamento da informação deve observar o ordenamento jurídico vigente; VI) necessidade e menor privilégio: o acesso à informação deve limitar-se ao mínimo necessário ao desempenho das atribuições do agente; VII) transparência ativa: as informações de interesse público serão disponibilizadas nos termos da Lei nº 12.527/2011, ressalvadas as hipóteses legais de sigilo; VIII) responsabilização e prestação de contas: o CONTER deve ser capaz de demonstrar, mediante evidência documental, a adoção de medidas eficazes de segurança da informação e de proteção de dados pessoais, nos termos do Art. 6º, Inciso X, da LGPD; IX) melhoria contínua: os controles de segurança devem ser periodicamente avaliados e aprimorados; X) proporcionalidade: os controles adotados devem ser proporcionais ao risco e ao valor da informação protegida. CAPÍTULO II - DAS DIRETRIZES GERAIS Art. 7º A informação produzida, custodiada ou processada pelo CONTER constitui ativo institucional, sendo vedado seu uso para finalidade estranha ao interesse público e às atribuições legais da autarquia. Art. 8º Os recursos corporativos são disponibilizados para fins institucionais, admitido o uso pessoal eventual, desde que não comprometa a segurança da informação, o desempenho dos recursos ou a produtividade, e não configure ilícito. § 1º O CONTER poderá monitorar o uso dos recursos corporativos para fins de segurança da informação, auditoria e apuração de irregularidades. § 2º O monitoramento previsto no § 1º observará os princípios da legalidade, da finalidade, da necessidade, da proporcionalidade e da prévia cientificação dos usuários, e terá suas hipóteses, seus limites e seu procedimento disciplinados em norma complementar, vedado o acesso ao conteúdo de comunicações de natureza estritamente pessoal fora das hipóteses e do procedimento ali previstos. Art. 9º Toda informação sob custódia do CONTER será classificada quanto ao grau de sigilo e à criticidade, na forma de norma complementar, observadas a Lei nº 12.527/2011 e a Lei nº 13.709/2018. Art. 10. A segurança da informação será considerada desde a concepção de processos, sistemas, contratações e projetos, e ao longo de todo o seu ciclo de vida. Art. 11. Nenhum usuário poderá alegar desconhecimento desta Política ou de suas normas complementares como justificativa para seu descumprimento. TÍTULO III DA ESTRUTURA DE GOVERNANÇA CAPÍTULO I - DA COMPOSIÇÃO DA ESTRUTURA Art. 12. A estrutura de governança de segurança da informação do CONTER é composta por: I) a Plenária; II) a Diretoria Executiva; III) a Presidência; IV) a Comissão de Tratamento e Proteção de Dados - CTPD; V) o Encarregado pelo Tratamento de Dados Pessoais ("DPO"); VI) o Gestor de Segurança da Informação - GSI; VII) a Equipe de Tratamento e Resposta a Incidentes Cibernéticos - ETIR; VIII) os gestores e custodiantes da informação; IX) os usuários. CAPÍTULO II - DO PLENÁRIO, DA DIRETORIA EXECUTIVA E DA PRESIDÊNCIA Art. 13. Compete à Plenária aprovar e revisar esta Política, apreciar o relatório anual de segurança da informação e deliberar sobre matérias de segurança da informação que lhe sejam submetidas. Art. 14. Compete à Presidência, ouvida a Diretoria Executiva: I) designar os integrantes da Comissão de Tratamento e Proteção de Dados Pessoais, o Encarregado e o Gestor de Segurança da Informação indicado pelo Encarregado; II) assegurar os recursos orçamentários, humanos e tecnológicos necessários à implementação desta Política; III) editar as normas complementares derivadas desta Política, mediante proposta da CTPD; IV) determinar a apuração de descumprimentos, na forma do Título VII. CAPÍTULO III - DA COMISSÃO DE TRATAMENTO E PROTEÇÃO DE DADOS - CTPD Art. 15. Fica instituída Comissão de Tratamento e Proteção de Dados Pessoais, órgão colegiado de caráter permanente, deliberativo e consultivo, com a seguinte composição: I) o Encarregado pelo Tratamento de Dados Pessoais, que a presidirá, sendo preferencialmente um representante da unidade Jurídica; II) o Gestor de Segurança da Informação, da unidade de Tecnologia da Informação; III) um representante da unidade de Protocolo; IV) um representante da unidade de Compras, Licitações e Contratos; V) um representante da unidade de Arquivo; VI) um representante da unidade de Gestão de Pessoas; VII) um representante da unidade Administrativa. § 1º Os integrantes e respectivos suplentes serão designados por Portaria da Presidência, com mandato de 2 (dois) anos, permitida a recondução. § 2º A participação na CTPD é considerada serviço relevante e enseja remuneração adicional conforme as normas do CONTER. § 3º A CTPD reunir-se-á ordinariamente a cada 3 (três) meses e, extraordinariamente, sempre que convocado por sua coordenação ou pela Diretoria Executiva do Conselho. § 4º As reuniões da CTPD serão registradas em ata, que constituirá evidência de governança para fins de auditoria. Art. 16. Compete à Comissão de Tratamento e Proteção de Dados Pessoais: I) propor à Presidência as normas complementares desta Política e suas revisões; II) propor ao Plenário a revisão desta Política; III) deliberar sobre exceções às normas de segurança da informação, mediante análise de risco documentada; IV) acompanhar a implementação do plano de tratamento de riscos de segurança da informação; V) analisar os relatórios de incidentes de segurança e determinar medidas corretivas; VI) aprovar o plano anual de conscientização e capacitação; VII) elaborar o relatório anual de segurança da informação, a ser submetido ao Plenário; VIII) deliberar sobre casos omissos desta Política. CAPÍTULO IV - DO GESTOR DE SEGURANÇA DA INFORMAÇÃO Art. 17. O Gestor de Segurança da Informação - GSI será indicado pelo Encarregado e nomeado pela Presidência do CONTER, dentre os empregados públicos da Autarquia e será o responsável pela coordenação da execução desta Política no que tange à segurança da informação. Art. 18. Compete ao GSI: I) coordenar o processo de gestão de riscos de segurança da informação; II) coordenar a ETIR; III) propor e acompanhar indicadores de segurança da informação; IV) promover as ações de conscientização e capacitação; V) manter atualizado o inventário de ativos de informação; VI) reportar à Presidência e à CTPD as ocorrências relevantes de segurança da informação. CAPÍTULO V - DO ENCARREGADO PELO TRATAMENTO DE DADOS PESSOAIS ("DPO") Art. 19. O Encarregado pelo Tratamento de Dados Pessoais ("DPO") será designado por ato da Presidência, com publicidade de sua identidade e de seus contatos no sítio eletrônico institucional, nos termos do art. 41, § 1º, da Lei nº 13.709/2018. Art. 20. Compete ao Encarregado, nos termos do art. 41, § 2º, da Lei nº 13.709, de 2018: I) receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; II) receber comunicações da Autoridade Nacional de Proteção de Dados - ANPD e adotar providências; III) orientar os agentes e os empregados do CONTER a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; IV) executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares; V) supervisionar a elaboração e a manutenção do registro das operações de tratamento de dados pessoais de que trata o art. 37 da Lei nº 13.709/2018; VI) orientar a elaboração de Relatórios de Impacto à Proteção de Dados Pessoais - RIPD; VII) atuar como ponto focal do CONTER perante a ANPD; VIII) supervisionar as atividades do Gestor de Segurança da Informação; IX) coordenar as atividades da CTPD. Art. 21. Ao Encarregado são assegurados: I) autonomia técnica no exercício de suas atribuições, vedada ingerência sobre suas manifestações técnicas; II) acesso irrestrito às informações, aos dados, sistemas e às unidades da autarquia necessários ao exercício de suas competências; III) canal de reporte direto à Presidência e à Plenária; IV) recursos materiais e de pessoal para o desempenho das suas atividades no âmbito da CTPD, bem como para capacitação compatível com a sua função; V) recursos materiais e de pessoal para capacitação dos membros da CTPD e dos CONTER. § 1º A função de Encarregado não poderá ser acumulada com a de responsável pela unidade de Tecnologia da Informação, nem com atribuições que configurem conflito de interesses com o exercício das competências previstas no art. 20. § 2º O Encarregado não poderá ser responsabilizado por manifestação técnica emitida no regular exercício de suas atribuições. CAPÍTULO VI - DA EQUIPE DE TRATAMENTO E RESPOSTA A INCIDENTES Art. 22. Fica instituída a Equipe de Tratamento e Resposta a Incidentes Cibernéticos - ETIR, com atribuições de prevenção, detecção, análise, contenção, erradicação, recuperação e registro de incidentes de segurança da informação. § 1º A ETIR será coordenada pelo GSI e composta por, no mínimo, 2 (dois) integrantes indicados pelo Encarregado e aprovados por Portaria da Presidência, admitida a acumulação com outras atribuições. § 2º A ETIR atuará em articulação com o Encarregado sempre que o incidente envolver dados pessoais. § 3º O CONTER poderá firmar instrumento de cooperação com equipe de resposta a incidentes de outro órgão ou entidade, ou contratar serviço especializado, para suprir capacidade técnica da ETIR. CAPÍTULO VII - DOS GESTORES, CUSTODIANTES E USUÁRIOS Art. 23. Compete aos gestores da informação classificar as informações sob sua responsabilidade, definir os perfis de acesso e revisá-los periodicamente. Art. 24. Compete aos custodiantes aplicar os controles de proteção definidos pelo gestor da informação e comunicar imediatamente qualquer suspeita de incidente. Art. 25. Compete aos usuários: I) utilizar as informações e os recursos corporativos exclusivamente para fins institucionais, ressalvado o disposto no art. 8º; II) proteger suas credenciais de acesso, vedado o compartilhamento; III) comunicar imediatamente ao GSI qualquer incidente ou suspeita de incidente de segurança da informação; IV) manter sigilo sobre as informações classificadas a que tiver acesso, inclusive após o encerramento do vínculo; V) participar das ações de conscientização e capacitação; VI) devolver, ao término do vínculo, todos os ativos de informação sob sua posse. TÍTULO IV DAS DIRETRIZES ESPECÍFICAS E DAS NORMAS COMPLEMENTARES Art. 26. As diretrizes específicas de segurança da informação serão detalhadas nas seguintes normas complementares: I) NC-01 - Classificação e Tratamento da Informação: critérios de classificação quanto ao sigilo e à criticidade, rotulagem, regras de manuseio, transporte, armazenamento e descarte seguro; II) NC-02 - Gestão de Ativos de Informação: identificação, inventário, atribuição de responsabilidade e ciclo de vida dos ativos; III) NC-03 - Controle de Acesso e Gestão de Identidades: concessão, alteração, revisão periódica e revogação de acessos, política de senhas, autenticação multifator e gestão de contas privilegiadas; IV) NC-04 - Gestão de Incidentes de Segurança da Informação: classificação, registro, escalonamento, tratamento, comunicação e lições aprendidas, incluindo o procedimento de comunicação à ANPD e aos titulares nos termos do art. 48 da Lei nº 13.709, de 2018, e da regulamentação da autoridade; V) NC-05 - Uso Aceitável de Recursos Corporativos: regras de uso de estações de trabalho, dispositivos móveis, correio eletrônico, internet, mídias sociais e trabalho remoto, bem como as hipóteses, os limites e o procedimento de monitoramento de que trata o art. 8º; VI) NC-06 - Cópias de Segurança, Continuidade e Recuperação: política de backup, testes de restauração, plano de continuidade de negócios e plano de recuperação de desastres; VII) NC-07 - Segurança da Informação em Contratações e Relações com Terceiros: requisitos de segurança em editais e contratos, cláusulas de confidencialidade, cláusulas de proteção de dados pessoais, avaliação e monitoramento de fornecedores; VIII) NC-08 - Segurança em Computação em Nuvem: requisitos mínimos aplicáveis à contratação e ao uso de soluções em nuvem, observada a IN GSI/PR nº 3, de 2021; IX) NC-09 - Segurança Física e do Ambiente: controle de acesso a instalações, proteção de áreas críticas e segurança de equipamentos; X) NC-10 - Desenvolvimento Seguro e Gestão de Mudanças: requisitos de segurança no desenvolvimento e na manutenção de sistemas e no controle de mudanças; XI) NC-11 - Conscientização e Capacitação em Segurança da Informação: programa anual, público-alvo, conteúdo mínimo, periodicidade e registro de participação. § 1º As normas complementares serão editadas por Portaria da Presidência, mediante proposta da CTPD. § 2º A CTPD poderá propor a edição de normas complementares não previstas neste artigo. TÍTULO V DA PROTEÇÃO DE DADOS PESSOAIS Art. 27. O tratamento de dados pessoais no âmbito do CONTER observará os princípios do art. 6º da Lei nº 13.709/2018, e as hipóteses legais de tratamento dos arts. 7º, 11 e 23 da mesma Lei, em especial a execução de políticas públicas e o cumprimento de obrigação legal ou regulatória inerentes às competências da autarquia. Art. 28. O CONTER manterá registro atualizado das operações de tratamento de dados pessoais que realizar, nos termos do art. 37 da LGPD, sob supervisão do Encarregado. Parágrafo único. O registro de que trata o caput será revisado, no mínimo, anualmente, e sempre que houver alteração relevante em processo, sistema ou contrato. Art. 29. Será elaborado Relatório de Impacto à Proteção de Dados Pessoais - RIPD para as operações de tratamento que apresentem alto risco aos direitos e às liberdades dos titulares, especialmente quando envolverem: I) dados pessoais sensíveis, notadamente dados referentes à saúde e dados biométricos; II) tratamento em larga escala; III) monitoramento sistemático de titulares; IV) decisões automatizadas com efeitos jurídicos; V) uso de sistemas de inteligência artificial; VI) novas tecnologias ou usos inovadores de dados pessoais. Parágrafo único. Considerando a natureza das atividades do CONTER, receberão atenção prioritária os tratamentos relativos a processos ético-disciplinares, dados de saúde coletados em razão de exigências de exercício profissional ou de acessibilidade, dados biométricos utilizados para controle de acesso, controle de frequência ou identificação em processos seletivos, e dados constantes dos registros profissionais. Art. 30. A proteção de dados pessoais será considerada desde a concepção e por padrão em todos os processos, sistemas e contratações do CONTER. Art. 31. Os incidentes de segurança que possam acarretar risco ou dano relevante aos titulares serão comunicados à ANPD e aos titulares afetados, na forma e nos prazos da regulamentação vigente, mediante procedimento estabelecido na NC-04. Art. 32. Os direitos dos titulares previstos no art. 18 da Lei nº 13.709/2018, serão atendidos por canal específico, divulgado no sítio eletrônico institucional, sob responsabilidade do Encarregado. Art. 33. A disciplina detalhada do tratamento de dados pessoais no CONTER constará de Política de Privacidade e Proteção de Dados Pessoais ("PPDP"), a ser editada como norma complementar a esta Política. Art. 34. As operações de tratamento de dados pessoais realizadas por operadores contratados serão regidas por instrumento contratual que estabeleça a finalidade, a duração, as medidas de segurança exigidas e as obrigações de reporte de incidentes. TÍTULO VI DA GESTÃO DE RISCOS DE SEGURANÇA DA INFORMAÇÃO Art. 35. O CONTER manterá processo contínuo de gestão de riscos de segurança da informação, compreendendo as etapas de identificação, análise, avaliação, tratamento, monitoramento, análise crítica e comunicação dos riscos. Art. 36. O processo de gestão de riscos observará a IN GSI/PR nº 5, de 2021, e as normas ABNT NBR ISO/IEC 27005 e ABNT NBR ISO 31000, no que couber. Art. 37. Será elaborado, no mínimo anualmente, plano de tratamento de riscos de segurança da informação, contendo as ações, os responsáveis e os prazos, submetido à aprovação da CTPD. Art. 38. Os riscos residuais serão formalmente aceitos pela Presidência, mediante manifestação prévia da CTPD. TÍTULO VII DA CONFORMIDADE, DA AUDITORIA E DAS PENALIDADES CAPÍTULO I - DA CONFORMIDADE E DA AUDITORIA Art. 39. O cumprimento desta Política e de suas normas complementares será objeto de verificação periódica, no mínimo anual, coordenada pelo GSI. Art. 40. O CTPD definirá indicadores de segurança da informação, cujos resultados integrarão o relatório anual submetido ao Plenário. Art. 41. O CONTER manterá evidência documental das medidas adotadas em cumprimento a esta Política, para fins de prestação de contas aos órgãos de controle e à ANPD. CAPÍTULO II - DAS PENALIDADES Art. 42. O descumprimento desta Política ou de suas normas complementares sujeitará o infrator às sanções previstas no regime jurídico a que estiver submetido, apuradas mediante procedimento próprio, assegurados o contraditório e a ampla defesa, a saber: I) aos empregados públicos, as penalidades previstas na Consolidação das Leis do Trabalho e nas normas internas de pessoal do CONTER; II) aos conselheiros, as penalidades previstas na legislação de regência da autarquia, no Regimento Interno e no Código de Ética aplicável; III) aos estagiários e aprendizes, as medidas previstas no respectivo termo de compromisso e na legislação específica; IV) aos prestadores de serviços e contratados, as sanções previstas no instrumento contratual e na Lei nº 14.133, de 1º de abril de 2021; V) aos demais, as medidas administrativas cabíveis, incluída a suspensão ou revogação do acesso. § 1º - Esta Política não cria sanções novas, limitando-se a remeter aos regimes sancionatórios previamente estabelecidos em lei, contrato ou norma interna. § 2º - A apuração administrativa não prejudica a responsabilização civil e penal cabível, nem o dever de reparação do dano. Art. 43. A suspensão cautelar de acesso a sistemas e informações deverá ser feita pelo GSI e imediatamente comunicada ao Encarregado, que recomendará a sua manutenção ou revogação à Presidência, visando a contenção de incidente. TÍTULO VIII DAS DISPOSIÇÕES FINAIS E TRANSITÓRIAS Art. 44. Observada as indicações do Encarregado, a Presidência designará, no prazo de 30 (trinta) dias contados da publicação desta Resolução, o Gestor de Segurança da Informação e os integrantes da ETIR. Art. 45. As normas complementares previstas no art. 26 serão editadas nos seguintes prazos, contados da publicação desta Resolução: I) 90 (noventa) dias - NC-01, NC-02, NC-03 e NC-04; II) 180 (cento e oitenta) dias - NC-05, NC-06, NC-07 e NC-11; III) 270 (duzentos e setenta) dias - NC-08, NC-09 e NC-10. § 1º No prazo de 90 (noventa) dias, será editada a Política de Privacidade e Proteção de Dados Pessoais ("PPDP") de que trata o art. 33. § 2º No prazo de 120 (cento e vinte) dias, será realizado o inventário de ativos de informação e o registro das operações de tratamento de dados pessoais serão elaborados. § 3º No prazo de 180 (cento e oitenta) dias, os contratos vigentes serão revisados, para adequação às disposições desta Política, especialmente quanto às cláusulas de confidencialidade, de segurança da informação e de proteção de dados pessoais. Art. 46. O CONTER poderá contratar serviços especializados em LGPD, Segurança da Informação e outras matérias correlatas para atender ao escopo desta Política, sempre que entender pertinente para suprir quantitativo de pessoal ou capacidade técnica do seu quadro funcional. Art. 47. Esta Política será revisada a cada 3 (três) anos ou, extraordinariamente, sempre que: I) houver alteração legislativa ou regulamentar que a afete; II) ocorrer incidente de segurança de impacto relevante que justifique o seu ajuste; III) houver reestruturação organizacional significativa; IV) for recomendado por órgão de controle. Art. 48. Os casos omissos serão dirimidos pela CTPD, com recurso à Presidência. Art. 49. Integram esta Resolução os seguintes anexos: I) Anexo I - Matriz de Papéis e Responsabilidades; II) Anexo II - Cronograma de Edição das Normas Complementares; III) Anexo III - Termo de Ciência e Responsabilidade. Art. 50. Esta Resolução entra em vigor na data de sua publicação CARLOS DA SILVA Diretor-Presidente JOSÉ CARLOS DE JESUS JÚNIOR Diretor-Tesoureiro ANEXO I MATRIZ DE PAPÉIS E RESPONSABILIDADES (a que se refere o art. 49, inciso I, da Resolução CONTER nº 008/2026) Atividade Plen. Pres. CTPD GSI Enc. ETIR Gestor Usuário Aprovar a PSI R C A A C I I I Editar normas complementares I R A A C C C I Classificar a informação I I C A C I R I Conceder e revisar acessos I I C A I I R I Manter inventário de ativos I I C R I A A I Manter registro de tratamento (art. 37) I I C A R I A I Elaborar RIPD I I C A R I A I Tratar incidente de segurança I I A A C R A I Comunicar incidente à ANPD I A C C R A I I Gerir riscos de segurança da informação I A A R C C A I Executar capacitação e conscientização I I A R A I C A Comunicar suspeita de incidente - - - - - - A R Legenda: R = Responsável pela execução; A = Apoia ou executa em conjunto; C = Consultado; I = Informado ANEXO IICRONOGRAMA DE EDIÇÃO DAS NORMAS COMPLEMENTARES (a que se refere o art. 49, inciso II, da Resolução CONTER nº 008/2026) Prazo Entregável Responsável pela proposta 30 dias Designação do CTPD, do GSI e da ETIR Presidência 90 dias NC-01 - Classificação e Tratamento da Informação CTPD 90 dias NC-02 - Gestão de Ativos de Informação CTPD / TI 90 dias NC-03 - Controle de Acesso e Gestão de Identidades CTPD / TI 90 dias NC-04 - Gestão de Incidentes CTPD / ETIR / Encarregado 90 dias Política de Privacidade e Proteção de Dados Pessoais Encarregado 120 dias Inventário de ativos de informação GSI 120 dias Registro das operações de tratamento (art. 37) Encarregado 180 dias NC-05 - Uso Aceitável de Recursos Corporativos CTPD / Jurídico / Gestão de Pessoas 180 dias NC-06 - Cópias de Segurança, Continuidade e Recuperação CTPD / TI 180 dias NC-07 - SI em Contratações e Relações com Terceiros CTPD / Jurídico / Administrativo 180 dias NC-11 - Conscientização e Capacitação CTPD / Gestão de Pessoas 180 dias Revisão dos contratos vigentes Jurídico / Administrativo 270 dias NC-08 - Segurança em Computação em Nuvem CTPD / TI 270 dias NC-09 - Segurança Física e do Ambiente CTPD / Administrativo 270 dias NC-10 - Desenvolvimento Seguro e Gestão de Mudanças CTPD / TI Os prazos são contados da data de publicação da Resolução. Este conteúdo não substitui o publicado na versão certificada. Borda do rodapé Logo da Imprensa