Sobre o Decreto 10.748/2021

TODOS os órgãos e entidades da APF direta, autárquica e fundacional; importante salientar que a adesão não é automática e sim obrigatória, portanto TODOS os órgãos e entidades deverão encaminhar o Termo de Adesão disponibilizado para download no site do CTIR (https://www.gov.br/ctir/pt-br/centrais-de-conteudo/termo-de-adesao-regic).

O referido Termo, deverá ser encaminhado via ofício ao GSI, assinado pelo dirigente máximo do órgão partícipe ou do dirigente máximo do órgão ao qual a entidade partícipe estiver vinculada.

Empresas públicas, sociedades de economia mista federais e suas subsidiárias poderão, desde que cumpridos todos os requisitos estabelecidos no Art.7° do Decreto, solicitar a adesão.

Mesmo cumprindo todos os requisitos e solicitando a adesão, a mesma dependerá de análise e aprovação formal do GSI.

Outras pessoas jurídicas de direito privado e pessoas jurídicas de direito público interno de outros Poderes e entes federativos poderão ser convidadas a aderirem, mesmo sendo convidadas, deverão cumprir os mesmos requisitos e serem aprovadas formalmente.

Sim, todos os órgãos ou entidades, mesmo àqueles de adesão obrigatória, deverão possuir uma ETIR formalmente instituída.

1º) Após verificar o cumprimento dos requisitos estabelecidos no Artigo 7º, o solicitante deverá realizar o preenchimento do "Termo de Adesão", disponibilizado por meio do endereço: https://www.gov.br/ctir/pt-br/centrais-de-conteudo/termo-de-adesao-regic

2º) Encaminhar, via Ofício, ao GSI, assinado pelo dirigente máximo do Órgão. No caso de Órgão vinculado a algum outro Órgão superior, então o "Termo de Adesão" também deve ser assinado pelo dirigente máximo daquele Órgão superior.

3º) Aguardar a aprovação formal do GSI e as devidas comunicações.

Aprimorar e manter a coordenação entre os participantes da REGIC para a prevenção, tratamento e resposta a incidentes cibernéticos, de modo a elevar o nível de resiliência em segurança cibernética de seus ativos de informação.

Sim, o Decreto veio como um avanço normativo no sentido de formalizar o CTIR Gov como coordenador da REGIC e estabelecer, requisitos mínimos para participação dos órgãos e entidades, bem como a definição no fluxo das informações trafegadas na REGIC.

Não, o CTIR Gov como coordenador da REGIC, tem suas competências bem estabelecidas no Art. 11 incisos I ao VII, a responsabilidade pelos incidentes e vulnerabilidades dos ativos de informação do órgão, continua sendo da Equipe de Prevenção, Tratamento e Resposta de Incidente - ETIR do órgão ou entidade.

A primeira diz respeito a uma formalização normativa, referente a uma rede que, em certa medida, já está em funcionamento.

A segunda novidade podemos apontar a criação do conceito de ETIR Setorial.

A ETIR Setorial é uma ETIR específica relacionada aos setores de Infraestruturas Críticas (Energia, Transporte, Água, Nuclear, Financeiro e Telecomunicações). 

Sua inclusão na REGIC visa atender as ações estratégicas estabelecidas no item 2.3.5 do Anexo ao Decreto 10.222, de 5 de fevereiro de 2020, que aprova a Estratégia Nacional de Segurança Cibernética.

A ETIR Setorial terá um papel muito semelhante ao papel que o CTIR Gov realiza em relação aos Órgãos da APF e a própria ETIR Setorial, ou seja, dentro do seu setor, a ETIR Setorial terá um papel de coordenação, identificando e divulgando as melhores práticas e orientações internamente e comunicando-se diretamente com o CTIR Gov.

Estes órgãos e entidades nominados no Decreto, foram definidos como ETIR Setorial, por possuírem caráter normativo em relação aos seus setores, porém, caso verifiquem em seus setores algum Órgão/Entidade que possua maior maturidade e expertise em relação aos incidentes cibernéticos e vulnerabilidades, poderão atribuir a estes o papel da ETIR Setorial.

A definição do fluxo da informação interna de cada setor, deverá estar contido no Plano Setorial de Gestão de Incidentes Cibernéticos que deverá ser elaborado pela ETIR Setorial. 

Importante saber que a comunicação e coordenação do CTIR Gov com os setores de infraestruturas críticas e vice-versa, se dará, prioritariamente, por meio da ETIR Setorial.

Sim, mesmo que os integrantes da ETIR sejam os mesmos, estes órgãos e entidades deverão encaminhar um Termo para cada papel exercido, um Termo para cadastro como ETIR interna do órgão ligado à APF e outro Termo para cadastro como ETIR responsável por determinado setor.

Demais dúvidas e esclarecimentos envie um e-mail para contato@ctir.gov.br