PORTARIA Nº 2.499, de 21 DE JULHO DE 2026.

PORTARIA Nº 2.499, de 21 DE JULHO DE 2026. Dispõe sobre a Estratégia de uso de software e de serviços de computação em nuvem no âmbito da Fundação Nacional de Saúde - Funasa. O PRESIDENTE DA FUNDAÇÃO NACIONAL DE SAÚDE, no uso das atribuições que lhe foram conferidas pelo inciso XII, do art. 14, Anexo I, do Estatuto aprovado pelo Decreto nº 8.867, de 3 de outubro de 2016, resolve: Art. 1º A Estratégia de uso de software e de serviços de computação em nuvem tem como finalidade estabelecer diretrizes para as contratações desses serviços, que deverão observar o processo de contratação de soluções de tecnologia da informação e comunicação - TIC, bem como seu uso seguro, conforme disposto na Instrução Normativa SGD/ME nº 94, de 23 de dezembro de 2022, e na Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023. Parágrafo único. As disposições desta Portaria aplicam-se às contratações realizadas no âmbito da Funasa. CAPÍTULO I DAS DISPOSIÇÕES GERAIS Art.2º A Funasa deverá observar as seguintes orientações: I - avaliar a viabilidade de utilização de modelos já adotados na Administração Pública, com o objetivo de aumentar o nível de padronização nas contratações no âmbito do Sistema de Administração dos Recursos de Tecnologia da Informação - SISP; II - não utilizar métricas de remuneração cuja medição não seja passível de verificação, nos termos da Súmula do Tribunal de Contas da União - TCU nº 269; III - avaliar a economicidade dos preços estimados e contratados, por meio da análise crítica da composição dos preços unitários e do custo total estimado da contratação; e IV - abster-se de criar unidades de medida de forma unilateral, sem prévia avaliação técnica, econômica e de padronização. Art. 3º A Coordenação-Geral de Modernização e Tecnologia da Informação - CGMTI, do Departamento de Administração da Funasa - DEADM, deverá adotar, monitorar e garantir a aplicação das diretrizes estabelecidas na Estratégia de Uso de Software e de Serviços de Computação em Nuvem, visando garantir a qualidade e a conformidade na utilização dos recursos nas contratações de software e dos serviços de nuvem de acordo com as necessidades de negócio do órgão. 1º A Estratégia de uso de software e de serviços de computação em nuvem deverá estar alinhada com a Política de Segurança da Informação - PSI do órgão. 2º Para os fins desta Portaria, e conforme o Decreto nº 9.637/2018, a segurança da informação abrange: I - a defesa cibernética; II - a segurança física e a proteção de dados organizacionais; e III - as ações destinadas a assegurar a disponibilidade, a integridade, a confidencialidade e a autenticidade da informação. Art. 4º Esta estratégia deve ser aplicada às novas contratações de software e de serviços de computação em nuvem no âmbito da Funasa, tais como: I - software sob o modelo de licenciamento permanente de direitos de uso; II - software sob o modelo de cessão temporária de direitos de uso; III - software sob o modelo de subscrição ou como serviço, na modalidade Software as a Service - SaaS; IV - infraestrutura como serviço, na modalidade Infrastructure as a Service - IaaS; V - plataforma como serviço, na modalidade Platform as a Service - PaaS; VI - suporte técnico para software e serviços de computação em nuvem; VII - serviços de operação e gerenciamento de recursos em nuvem; VIII - serviços de migração de recursos para ambiente de nuvem; IX - integração de serviços de computação em nuvem; X - consultoria especializada em software; e XI - serviços de computação em nuvem. CAPÍTULO II DAS REFERÊNCIAS Art. 5º Para o desenvolvimento da estratégia de uso de software e de serviços de computação em nuvem, cabe à Funasa observar, sem prejuízo das demais normas em vigor: I - o Decreto nº 12.572, de 4 de agosto de 2025, que institui a Política Nacional de Segurança da Informação - PNSI e dispõe sobre a governança da segurança da informação no âmbito da administração pública federal; II - o Decreto nº 12.573, de 4 de agosto de 2025, que institui a Estratégia Nacional de Cibersegurança - ENC; III - a Portaria da Secretaria de Governo Digital - SGD do Ministério da Gestão e Inovação em Serviços Públicos - MGISP, nº 5.950, de 26 de outubro de 2023, que estabelece o modelo de contratação de software e de serviços de computação em nuvem no âmbito dos órgãos e entidades integrantes do SISP do Poder Executivo Federal; IV - a Portaria SGD/MGI nº 852, de 28 de março de 2023, que dispõe sobre o Programa de Privacidade e Segurança da Informação - PPSI; V - a Instrução Normativa Gabinete de Segurança Institucional da Presidência da República - GSI/PR nº 1, de 27 de maio de 2020, que dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e entidades da administração pública federal; VI - a Instrução Normativa GSI/PR nº 2, de 24 de julho de 2020, que dispõe sobre a Estrutura de Gestão da Segurança da Informação nos órgãos e entidades da administração pública federal; VII - a Instrução Normativa GSI/PR nº 3, de 28 de maio de 2021, que dispõe sobre os processos relacionados à gestão de segurança da informação nos órgãos e entidades da administração pública federal; VIII - a Instrução Normativa GSI/PR nº 4, de 26 de março de 2020, que dispõe sobre requisitos mínimos de segurança cibernética; IX - a Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021, que dispõe sobre os requisitos mínimos de segurança da informação para utilização de soluções de computação em nuvem pelos órgãos e entidades da administração pública federal; X - o Glossário de Segurança da Informação, disponível em https://www.gov.br/gsi/pt-br/seguranca-da-informacao-e-cibernetica/glossario-de-seguranca-da-informacao-1; XI - demais leis, decretos, resoluções, portarias e instruções normativas relacionadas à segurança da informação, publicadas pelo GSI/PR, disponível em https://www.gov.br/gsi/pt-br/seguranca-da-informacao-e-cibernetica/legislacao. CAPÍTULO III DOS PRINCÍPIOS Art. 6° Esta estratégia segue os seguintes princípios: I - respeito aos princípios e diretrizes constitucionais, legais e regulamentares que regem a administração pública federal; II - garantia da integridade, autenticidade e disponibilidade da informação sob a custódia da Funasa, com observância ao princípio da transparência e atribuição de confidencialidade apenas nos casos expressamente previstos na legislação; III - alinhamento estratégico da Política de Segurança da Informação com os demais planos institucionais; IV - responsabilidade pelo cumprimento das normas vigentes pertinentes à segurança da informação; e V - conscientização, educação e comunicação como alicerces fundamentais para o fortalecimento da cultura de segurança da informação. VI - a otimização do uso dos recursos disponíveis no datacenter, com foco na perenidade e na padronização das soluções; VII - a utilização da nuvem como solução complementar ao uso do datacenter local da Funasa; VIII - a priorização das contratações de softwares por meio de licenças como serviço, evitando a aquisição de soluções com licenciamento perpétuo; e IX - a adoção do modelo lift-and-shift apenas como último recurso, devendo ser evitada a migração de aplicativos do datacenter para a nuvem sem a devida adaptação ao ambiente de nuvem. DAS DIRETRIZES E NORMAS INTERNAS DE SEGURANÇA DA INFORMAÇÃO Seção I Da identificação das necessidades do negócio Art. 7º A Funasa deverá identificar e avaliar as necessidades de negócio antes da contratação de software e de serviços de computação em nuvem. 1º Compete à Funasa determinar quais sistemas, aplicações, dados e serviços precisam ser migrados para a nuvem, como serão acessados e quais recursos computacionais e de armazenamento serão requeridos. 2º Na concepção de novos serviços e sistemas, a Funasa deverá avaliar a viabilidade do seu desenvolvimento para a utilização em ambientes de nuvem. Seção II Da seleção dos modelos adequados Art. 8º A Funasa deverá avaliar quais modelos de serviço e de implementação de nuvem pública, privada ou híbrida, que melhor se adequam aos requisitos de negócio. 1º A Funasa dará preferência à adoção de uma abordagem estratégica de nuvem híbrida. 2º Quando houver estudos que indiquem que a demanda prevista pode ser melhor atendida integralmente por meio de serviços em nuvem, a instituição deverá adotar uma abordagem completa, incluindo as demandas de migração do ambiente on-premises para a nuvem. 3º Quando houver a previsão de implementação de soluções totalmente em nuvem, deverá ser incluído no processo de aquisição um plano de recuperação dos serviços, a ser acionado em caso de descontinuidade do instrumento contratual por fatores externos ao controle da Funasa. 4º Compete à área de Tecnologia da Informação - TI da Funasa: I - emitir o parecer técnico vinculante quanto ao modelo de serviço IaaS, PaaS ou SaaS; e II - emitir o parecer técnico quanto ao modelo de implementação de nuvem pública, privada ou híbrida, com base nos requisitos de negócio fornecidos pela área requisitante. 5º Os pareceres técnicos mencionados no §4º deste artigo integrarão o Estudo Técnico Preliminar - ETP e serão submetidos ao Comitê de Governança Digital e Segurança da Informação - CGDSI, no âmbito do Plano Diretor de Tecnologia da Informação e Comunicação - PDTIC, para ciência e alinhamento às diretrizes institucionais. Seção III Da avaliação dos possíveis fornecedores e dos requisitos de segurança Art. 9º Os ETPs deverão abranger o levantamento dos possíveis fornecedores aptos a atender aos requisitos de negócio, de forma a garantir: I - a existência de uma quantidade mínima de fornecedores com experiência e capacidade técnica compatível com a demanda; e II - fatores de segurança, conformidade, disponibilidade e suporte técnico. Art. 10. Deverão ser determinados os requisitos de segurança considerados importantes e mandatórios para o negócio. Parágrafo único. Será avaliado pela equipe responsável, quando for o caso, cada fabricante ou fornecedor, a fim de analisar se os requisitos de segurança atendem à necessidade da Funasa. Seção IV Do uso seguro de software e de serviços de computação em nuvem e condições mínimas de infraestrutura de TIC Art. 11. A Funasa deverá observar os normativos que tratam da segurança da informação e do tratamento de dados em ambiente de nuvem. Parágrafo único. Compete à instituição identificar quais sistemas e workloads podem ser migrados, como também as medidas de gerenciamento de riscos a serem adotadas para resguardar as informações sigilosas eventualmente tratadas em nuvem. Art. 12. A instituição deverá avaliar as condições mínimas da infraestrutura de TIC para utilização de serviços de computação em nuvem, considerando, no mínimo, os seguintes aspectos: I - existência de conexão estável com a internet; e II - suficiência da largura de banda para atendimento das necessidades institucionais. Parágrafo único. Compete à área de TIC avaliar e atestar as condições mínimas de infraestrutura como conectividade, largura de banda, segurança, interoperabilidade e demais requisitos, condicionando o prosseguimento do ETP e da contratação ao respectivo atendimento dessas condições. A área demandante proverá as premissas de negócio e a priorização. Seção V Das diretrizes de governança para o uso da nuvem Art. 13. A Funasa deverá garantir que as contratações apresentem as diretrizes, os papéis e as responsabilidades dos atores organizacionais, de forma clara, das seguintes áreas: I - da área de tecnologia da informação; II - das áreas de negócio; e III - dos provedores de nuvem. Art. 14. Deverão ser observados as práticas e orientações fornecidas pela SGD por meio de seus manuais e normativos relacionados às contratações de softwares e serviços em nuvem. Seção VI Do alinhamento com outros planos estratégicos Art. 15. Esta estratégia deverá observar e manter alinhamento com os seguintes planos estratégicos da instituição: I - o Planejamento Estratégico Institucional - PEI; II - o Plano Diretor de Tecnologia da Informação e Comunicação - PDTIC; III - o Plano Anual de Contratações - PAC; IV - o Plano de Dados Abertos - PDA; V - os Planos de Transformação Digital - PTD; VI - a Política de Segurança da Informação - PSI; e VII - a Política de Privacidade de Dados - PPD. Seção VII Do estabelecimento de linhas de base, metas de benefícios e resultados esperados Art. 16. A Funasa deverá definir, no PDTIC, as seguintes medidas para subsidiar esta estratégia e promover maior agilidade, redução de custos, resiliência e segurança: I - as linhas de base da estratégia definida por esta Portaria; II - as metas de benefícios; III - os resultados esperados; e IV - as ações relacionadas ao cumprimento desta estratégia. Seção VIII Da capacitação da equipe que gerenciará as ações desta estratégia Art. 17. A Funasa deverá manter equipes capacitadas para gerenciar, operar ou utilizar os recursos de software e de serviços de computação em nuvem. Parágrafo único. Compete à instituição identificar previamente as capacidades e habilidades necessárias para a atuação das equipes. Seção IX Da portabilidade e interoperabilidade entre sistemas, dados e serviços Art. 18. A Funasa deverá considerar a viabilidade de adoção de medidas para mitigar a dependência tecnológica e o risco de aprisionamento a um único provedor. Seção X Dos requisitos regulatórios e de conformidade Art. 19. A instituição deverá considerar os requisitos regulatórios e de conformidade aplicáveis ao uso seguro de software e de serviços de computação em nuvem no âmbito da administração pública federal. 1º. Deverá ser incluído, nos instrumentos contratuais firmados com os provedores de nuvem, cláusulas e mecanismos que garantam, no mínimo: I - o sigilo dos dados, tanto em repouso quanto em trânsito; II - a vedação à transferência de dados a terceiros; III - a remoção incondicional dos dados após o término do contrato; e IV - a proibição de uso dos dados, para quaisquer fins, pelo provedor ou por terceiros. 2º. Todos os agentes públicos e fornecedores envolvidos deverão observar, de forma integral, a Lei Geral de Proteção de Dados Pessoais - LGPD, nº 13.709/2018, e as normas complementares expedidas pela Autoridade Nacional de Proteção de Dados - ANPD, especialmente quanto à privacidade, à segurança da informação e à proteção de dados pessoais. Seção XI Da estratégia de saída Art. 20. A Funasa deverá considerar a análise de dependências e aspectos de portabilidade, tais como: I - backup; II - redundância; III - contratos de apoio; IV - retorno para a infraestrutura local; e V - demais características relevantes para a instituição. CAPÍTULO V DEFINIÇÃO DOS REQUISITOS PARA O USO SEGURO DE COMPUTAÇÃO EM NUVEM Seção I Da análise de riscos Art. 21. A Funasa deverá considerar as diretrizes de gerenciamento de riscos constantes no modelo de contratação, conforme: I - o estabelecido na Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023; II - a Instrução Normativa GSI/PR nº 5, de 30 de agosto de 2021; e III - os documentos equivalentes que venham a ser publicados posteriormente pela SGD/MGI e GSI/PR. Art. 22. A Funasa deverá tratar os requisitos para o uso seguro de computação em nuvem por meio de norma interna de segurança da informação, a ser aprovada por comitê específico.