Legislação Correlata - Portaria 10 de 04/04/2017
Legislação correlata - Portaria 11 de 20/02/2018
PORTARIA Nº 09, DE 10 DE OUTUBRO DE 2016(*)
Dispõe sobre os procedimentos do credenciamento de segurança para o tratamento de informação classificada do Núcleo de Segurança e Credenciamento - NSC, dos Órgãos no âmbito do Poder Executivo Distrital e das Entidades Privadas e dá outras providências.
O SECRETÁRIO DE ESTADO CHEFE DA CASA MILITAR DA GOVERNADORIA DO DISTRITO FEDERAL, no uso das atribuições regimentais e tendo em vista o disposto no artigo 7º, inciso I e IV, do Decreto n.º 35.382, de 29 de abril de 2014, RESOLVE:
Art. 1° Dispor sobre os procedimentos do credenciamento de segurança para o tratamento de informação classificada do NSC e dos Órgãos e entidades no âmbito do Poder Executivo Distrital, em conformidade com a Lei nº 4.990/2012, Decreto nº 34.276/2013, Decreto nº 35.382/2014, Decreto nº 36.690/2015 e Portaria nº 05, de 29 de fevereiro de 2016 da Casa Militar da Governadoria do Distrito Federal.
DO CREDENCIAMENTO DE SEGURANÇA DE PESSOAS NATURAIS
Art. 2º O credenciamento de segurança de pessoas naturais é um processo realizado pelo NSC e pelos órgãos de registro.
Art. 3º A credencial de segurança está associada à informação classificada que a pessoa natural tem necessidade de conhecer em qualquer grau de sigilo, conforme estabelecido em normatização interna do órgão ao qual a pessoa a ser credenciada estiver vinculada.
Parágrafo Único. O prazo de validade da credencial de segurança deve ser preestabelecido e não superior a 2 anos.
Art. 4º A credencial de segurança pode ser concedida mediante o atendimento dos seguintes requisitos:
I - Solicitação formal por qualquer autoridade competente ao Gestor de Segurança e Credenciamento - GSC do órgão de registro solicitante;
a) O GSC poderá também dar início ao processo de credenciamento das pessoas naturais vinculadas ao seu respectivo órgão de registro, uma vez detectada a necessidade de conhecer;
b) Quando a pessoa natural for de entidade privada, a solicitação formal deverá ser realizada pelo diretor estatutário ou Gestor de Segurança e Credenciamento da mesma, ao GSC do Órgão de Registro Nível 1 com o qual mantenha vínculo de qualquer natureza.
II - Preenchimento do Formulário Individual de Dados para Credenciamento - FIDC, conforme modelo constante do Anexo "A" desta Portaria; e
III - Aprovação da investigação para credenciamento pelo órgão de registro com o qual mantenha vínculo.
Art. 5º O processo de credenciamento de pessoas naturais deve seguir as seguintes fases:
II - Fase da investigação de segurança; e
Art. 6º A fase de indicação inicia-se com a solicitação formal citada no inciso I do art. 4º desta Portaria, com a identificação por parte da autoridade indicadora da pessoa que tem necessidade de conhecer.
Art. 7º A solicitação formal, feita por meio de documento de indicação, deve conter:
I - o grau de acesso à informação classificada pretendido;
II - o Formulário Individual de Dados para Credenciamento - FIDC, devidamente preenchido;
III - as atividades e funções a serem desenvolvidas pelo indicado que demandem o acesso à informação classificada; e
IV - o prazo de validade da credencial, bem como a justificativa da autoridade indicadora para a necessidade de conhecer informação classificada por parte da pessoa a ser credenciada e outras informações julgadas pertinentes.
Parágrafo Único. O documento de indicação passa a compor o processo de credenciamento de segurança e considerado informação pessoal.
Art. 8º O órgão de registro, de posse da demanda de credenciamento, é responsável pela verificação da conformidade e pertinência do processo, podendo dar início a fase de investigação de segurança.
Art. 9º A fase de investigação de segurança tem como objetivo identificar o nível do risco potencial de quebra de segurança ao permitir que a pessoa indicada acesse informação classificada no grau de sigilo indicado.
Art. 10. O órgão encarregado da investigação para credenciamento inicia esta fase após conferência da documentação recebida, devendo constar a expressa autorização do indicado;
Art. 11. A investigação deve avaliar, no mínimo, os seguintes aspectos pessoais do indicado:
I - envolvimento com pessoas ou organizações associadas ao crime, terrorismo, tráfico, sabotagem e espionagem;
III - dados relacionados à situação criminal, cível e administrativa; e
IV - situação eleitoral e do serviço militar.
Art. 12. A investigação deve ser realizada por servidor público ocupante de cargo efetivo, com competência profissional comprovada para atuar na área de inteligência, por policial ou por perito criminal, ou ainda, por profissionais de saúde, no caso de pareceres técnicos específicos, a critério do responsável pelo relatório da investigação.
Parágrafo Único. A investigação de segurança deve ser realizada por órgão ou entidade pública competente, integrante ou não da própria estrutura organizacional do órgão de registro solicitante.
Art. 13. O Relatório de Investigação deve ser anexado ao processo de credenciamento de segurança e encaminhado ao órgão de registro demandante, sendo tratado como informação pessoal, indicando, em função do nível do risco potencial de quebra de segurança constatado, se o indicado está apto ou não para o credenciamento de segurança no grau solicitado.
Parágrafo Único. Os autos da investigação devem ser arquivados no órgão encarregado pela investigação e tratados como informação pessoal.
Art. 14. A fase de credenciamento consiste na expedição da credencial solicitada mediante análise do Relatório de Inteligência e em outras informações que se fizerem úteis pelo órgão de registro.
§ 1º O ato do credenciamento é a homologação da permissão para o tratamento da informação classificada no grau solicitado, contudo, não exime o credenciado das responsabilidades administrativas, cíveis e penais quanto à manutenção da segurança dos ativos de informação classificada tratados conforme legislação pertinente.
§ 2º A credencial de segurança é concedida pelo titular do órgão de registro, podendo ser delegado o ato de concessão, a critério da mesma, em ato público, para o GSC do órgão de registro, sendo vedada a subdelegação.
Art. 15. A credencial de segurança pode ser concedida por meio de ato administrativo expedido pela autoridade competente do órgão ou entidade, ou ainda, se necessária à sua materialização, expedida na forma impressa ou eletrônica, sendo neste caso considerada como material de acesso restrito.
§ 1º A credencial de segurança deve ser numerada em sequência anual, no âmbito do órgão de registro emissor.
§ 2º O órgão de registro deve informar a concessão da credencial de segurança à autoridade solicitante;
§ 3º A credencial de segurança deve conter no mínimo os seguintes dados:
II - nome completo, número de registro ou de identidade e número de inscrição no Cadastro de Pessoas Físicas do Ministério da Fazenda (CPF) do credenciado;
III - órgão ou entidade com o qual o credenciado mantém vínculo;
IV - cargo ou função do credenciado;
V - grau de acesso à informação classificada (Reservado, Secreto ou Ultrassecreto);
VI - finalidade da credencial;
VII - data prevista para o término de validade da credencial;
VIII - data de expedição da credencial; e
IX - identificação da autoridade que emitiu a credencial.
§ 4º A credencial de segurança pode ser renovada ao término de sua validade, sendo vedada a sua prorrogação.
§ 5º É admitida a antecipação do processo de renovação da credencial de segurança, a critério do órgão de registro, para evitar a descontinuidade do credenciamento com o término de sua validade.
Art. 16. Os postos de controle devem manter os registros atualizados de todas as credenciais de segurança emitidas, juntamente com o seu respectivo processo para as pessoas naturais sob sua responsabilidade.
Art. 17. Deve ser expedido o Certificado de Credencial de Segurança - CCS, conforme modelo constante do Anexo "B" desta Portaria, quando a atividade do credenciado for externa ao órgão ou entidade ao qual pertence e caso haja exigência de comprovação do credenciamento.
DA HABILITAÇÃO DE SEGURANÇA DE ÓRGÃO DE REGISTRO NÍVEL 1 - ORN1
Art. 18. O dirigente máximo das secretarias ou dos órgãos públicos de nível equivalente, requisitante da habilitação de segurança, deve formalizar sua intenção à Casa Militar da Governadoria do Distrito Federal, incluindo a designação do GSC, bem como seu suplente.
Parágrafo Único. A designação do GSC, e respectivo suplente, é considerada como documento de indicação para o credenciamento de segurança, no grau de acesso solicitado.
Art. 19. O NSC deve realizar o primeiro credenciamento de segurança do GSC, e seu suplente.
§ 1º Os servidores designados para GSC e suplente devem encaminhar ao NSC o Formulário Individual de Dados para Credenciamento - FIDC, constante do Anexo "A" desta Portaria, devidamente preenchido e assinado.
§ 2º Após a habilitação de segurança do ORN1, os Gestores de Segurança e Credenciamento e suplentes subsequentes devem ser credenciados pelo próprio órgão de registro, conforme estabelecido por normatização interna do órgão, observando a legislação específica em vigor.
§ 3º A substituição do GSC dos órgãos de registro nível 1 e seu suplente, por qualquer motivo, deve ser informada ao NSC, identificando o substituto e seus respectivos dados de contato.
§ 4º O NSC deve informar ao órgão demandante a homologação da credencial de segurança do GSC e seu suplente.
Art. 20. O GSC credenciado deve dar prosseguimento à habilitação de segurança do seu ORN1 solicitando a habilitação do Posto de Controle - PC.
§ 1º A habilitação de segurança do ORN1 dar-se-á por concluída após a homologação do primeiro PC. (Parágrafo renumerado pelo(a) Portaria 11 de 17/05/2017)
§ 2º O Chefe da Casa Militar homologará todos os atos de habilitação concedidos pelo Núcleo de Segurança e Credenciamento mediante despacho a ser publicado em Diário Oficial do Distrito Federal. (Parágrafo acrescido pelo(a) Portaria 11 de 17/05/2017)
DA HABILITAÇÃO DE SEGURANÇA DE ÓRGÃO DE REGISTRO NÍVEL 2 - ORN2
Art. 21. O dirigente máximo do órgão ou entidade pública vinculada ao ORN1, requisitante da habilitação de segurança, deve formalizar sua intenção para o titular do ORN1, incluindo a designação do respectivo GSC e seu suplente.
Parágrafo Único. A designação do GSC, e respectivo suplente é considerada como documento de indicação para o credenciamento de segurança dos indicados, no grau de acesso solicitado.
Art. 22. O ORN1 deve realizar o primeiro credenciamento de segurança do GSC, e seu suplente.
§ 1º Os servidores designados para GSC e suplente, deve encaminhar ao ORN1 o FIDC, constante do Anexo "A" desta Portaria, devidamente preenchido e assinado.
§ 2º Após a habilitação de segurança do ORN2, os Gestores de Segurança e Credenciamento e suplentes subsequentes devem ser credenciados pelo próprio ORN2, conforme estabelecido por normatização interna do órgão, observando a legislação específica em vigor.
§ 3º A substituição do GSC do ORN2, por qualquer motivo, deve ser informada imediatamente ao ORN1, identificando o substituto e seus respectivos dados de contato.
§ 4º O ORN1 deve informar ao ORN2 a homologação da credencial de segurança do GSC e seu suplente.
Art. 23. O GSC credenciado deve dar prosseguimento à habilitação de segurança do ORN2 solicitando a habilitação do PC.
Parágrafo Único. A habilitação de segurança do ORN2 dar-se-á por concluída após a homologação do PC.
DA HABILITAÇÃO DE SEGURANÇA DE POSTO DE CONTROLE DE ÓRGÃO OU ENTIDADE PÚBLICA
Art. 24. A habilitação de segurança de PC deve ser concedida, a critério dos órgãos de registro e em sua área de atuação, para os órgãos e entidades públicas que com eles mantenham vínculo de qualquer natureza e que tratarem informações classificadas em qualquer grau de sigilo.
§ 1º Cada órgão de registro deve possuir pelo menos um PC.
§ 2º O primeiro PC de cada ORN1 deve ser habilitado pelo NSC, e os postos de controle subsequentes, quando necessários, serão habilitados pelos próprios ORN1.
§ 3º Os Postos de Controle de ORN2 serão sempre habilitados por um ORN1 com o qual mantenha vínculo de qualquer natureza.
Art. 25. O PC deverá possuir a seguinte qualificação técnica mínima:
I - estar localizado em área de acesso restrito, conforme previsão legal;
II - possuir meios de armazenamento de documentos físicos e eletrônicos com nível de segurança compatível com os graus de sigilo e volume;
III - possuir estrutura física adequada para o armazenamento e preservação dos documentos físicos e eletrônicos;
IV - possuir planos e procedimentos de contingência de forma a assegurar a continuidade dos processos essenciais no caso de falhas ou sinistros;
V - possuir meios de comunicação segura compatível com os graus de sigilo;
VI - possuir suas redes de dados e seus sistemas de tecnologia da informação adequadamente protegidos de ataques eletrônicos, sendo que os equipamentos que armazenem informações classificadas não devem estar conectados à rede corporativa do órgão;
VII - possuir sistemas alternativos de proteção da infraestrutura crítica relacionada com os ativos de informação e materiais de acesso restrito sob sua responsabilidade de armazenamento e controle;
VIII - atender aos princípios de disponibilidade, integridade, confidencialidade e autenticidade dos ativos de informação e materiais de acesso restrito sob sua responsabilidade;
IX - possuir protocolo exclusivo para documentos classificados, e quando necessário, de Documentos Controlados;
X - possuir restrição ao uso de máquinas fotográficas, gravadores de vídeo e áudio, ou similares, tais como câmeras de dispositivos móveis no interior das instalações do PC;
XI - possuir quadro de pessoal capacitado para o tratamento de informação classificada; e
XII - possuir recursos criptográficos para armazenamento e transmissão de informação classificada em conformidade com as normas estabelecidas pela Casa Militar da Governadoria do Distrito Federal.
Art. 26. O processo de habilitação de segurança do primeiro PC do ORN1 é iniciado por solicitação do seu GSC, previamente credenciado, ao NSC.
Art. 27. O processo de habilitação de segurança do PC do ORN2 é iniciado por solicitação do seu GSC, previamente credenciado, ao ORN1 com o qual mantém vínculo de qualquer natureza.
Art. 28. O documento de solicitação deve indicar o endereço do PC, meios de contato, bem como, a declaração expressa da total aderência às qualificações técnicas necessárias à segurança da informação classificada e ainda, quando o PC estiver geograficamente afastado do órgão de registro, os dados do responsável pelo mesmo, previamente credenciado.
Art. 29. O GSC do órgão a ser habilitado é o responsável pela verificação da qualificação técnica sob pena de responsabilidade.
Art. 30. O NSC e os ORN1 prestarão o apoio técnico necessário para a implementação e funcionamento dos postos de controle vinculados, incluindo visitas técnicas mediante solicitação do órgão interessado.
Art. 31. O NSC e órgãos de registro poderão, a seu critério, realizar inspeções para a verificação da qualificação técnica, a qualquer tempo, nos Postos de Controle por eles habilitados.
Art. 32. O documento de solicitação citado no art. 28 desta Portaria deve compor o processo de habilitação de segurança do PC.
Art. 33. O NSC ou o ORN1, com base na análise do processo de habilitação de segurança e outras informações julgadas pertinentes, pode homologar a habilitação de segurança dos Postos de Controle a eles vinculados, ou diligenciar para a adequação do processo.
Art. 34. O NSC ou o ORN1, conforme o caso, deve informar a habilitação de segurança do PC ao órgão solicitante.
Art. 35. O processo de habilitação de segurança deve ser arquivado no PC do órgão de registro que homologou a habilitação.
DA HABILITAÇÃO DE SEGURANÇA DE ENTIDADE PRIVADA
Art. 36. O ORN1 deve conceder a habilitação de segurança para entidade privada com a qual mantenha vínculo de qualquer natureza e que necessite tratar informação classificada em qualquer grau de sigilo, bem como, possua expectativa de assinatura de contrato sigiloso, convênio, acordo, ajuste, termo de cooperação, protocolo de intenção firmada com órgãos ou entidades públicas em sua área de atuação.
Art. 37. A direção estatutária da entidade privada deve designar o GSC e suplente da empresa, providenciando o credenciamento de segurança junto ao ORN1 que mantém vínculo.
Parágrafo Único. A substituição do GSC titular ou suplente da empresa, por qualquer motivo, deve ser informada imediatamente ao ORN1, para fins de credenciamento de segurança do substituto.
Art. 38. A direção estatutária da entidade privada deve encaminhar ao ORN1 que mantém vínculo, os seguintes documentos probatórios da regularidade fiscal e expectativa de assinatura de contrato sigiloso:
I - Registro comercial, arquivado na Junta Comercial respectiva, no caso de empresa individual;
II - Ato constitutivo, estatuto ou contrato social em vigor, devidamente registrado, em se tratando de sociedades comerciais, e, no caso de sociedades por ações, acompanhado de documentos de eleição de seus administradores;
III - Inscrição do ato constitutivo, no caso de sociedades civis, acompanhada de prova de diretoria em exercício;
IV - Decreto de autorização, em se tratando de empresa ou sociedade estrangeira em funcionamento no País, e ato de registro ou autorização para funcionamento expedido pelo órgão competente, quando a atividade assim o exigir;
V - Registro no Cadastro Nacional de Pessoa Jurídica (CNPJ);
VI - Prova de inscrição no cadastro de contribuintes estadual, municipal ou do Distrito Federal, se houver, relativo ao domicílio ou sede da empresa;
VII - Prova de regularidade para com as Fazendas Estadual e Municipal ou Distrital, do domicílio ou sede da licitante;
VIII - Prova de regularidade com a Fazenda Federal por meio da Certidão Conjunta de Débitos relativos aos Tributos Federais e a Dívida Ativa da União, expedida pelo Ministério da Fazenda/Secretaria da Receita Federal do Brasil;
IX - Para as empresas com sede e/ou domicílio fora do Distrito Federal, Certidão Negativa de Débitos ou Certidão Positiva com Efeitos de Negativa, emitida pela Secretaria de Estado da Fazenda do Distrito Federal;
X - Certidão de regularidade de débitos relativos às Contribuições Previdenciárias e às de Terceiros, expedida pela Secretaria da Receita Federal do Brasil;
XI - Certificado de regularidade perante o FGTS, fornecido pela Caixa Econômica Federal;
XII - Certidão de regularidade relativa a débitos inadimplidos perante a Justiça do Trabalho, mediante a apresentação de certidão negativa;
XIII - Protocolo ou carta de intenções, contendo o objeto do contrato, duração e grau de sigilo envolvido; e
XIV - a natureza da informação classificada, bem como a necessidade do seu tratamento.
Art. 39. Após conferência, análise e aprovação dos documentos probatórios apresentados, o ORN1 deve propor à entidade privada um período para a realização da inspeção para habilitação de segurança na empresa.
§ 1º O ORN1 deve designar uma equipe de inspeção para habilitação de segurança da empresa que será acompanhada pelo GSC da empresa.
§ 2º A equipe de inspeção para habilitação de segurança deve verificar, in loco, as instalações destinadas para o PC da entidade privada quanto ao atendimento da qualificação técnica mínima necessária ao tratamento de informação classificada.
§ 3º A inspeção deve ser finalizada com relatório substanciado, anexado ao processo de habilitação de segurança, no qual deve conter parecer fundamentado na análise dos autos da inspeção, indicando, em função do nível do risco potencial de quebra de segurança constatado, se a empresa está aprovada ou não na habilitação de segurança.
§ 4º O relatório de inspeção deve ser exarado por servidor público ocupante de cargo efetivo credenciado e será anexado ao processo de habilitação de segurança.
§ 5º Com base no relatório de inspeção nos autos do processo e em outras informações que se fizerem úteis, o ORN1 pode expedir a habilitação de segurança solicitada, considerando o risco à segurança, o período de vigência do contrato e a necessidade de tratamento da informação classificada.
Art. 40. A habilitação de segurança de entidades privadas não deve ter validade superior a 2 anos.
Art. 41. O processo de habilitação de segurança deve ser arquivado no ORN1, com o qual a entidade privada mantém vínculo de qualquer natureza.
Art. 42. O ORN1, a seu critério, e em qualquer tempo, pode realizar visita de inspeção à entidade privada que recebeu a habilitação de segurança para a verificação do cumprimento da legislação de segurança da informação e comunicações em vigor.
Art. 43. A entidade privada que for desabilitada, por término de validade, fim do contrato ou a critério do ORN1 que a habilitou, é responsável pela transferência imediata para o órgão de registro de todos os ativos de informação classificada pertencentes aos órgãos ou entidade públicas armazenadas no seu PC, observando a legislação e as normas de segurança da informação classificada em vigor, sob pena da Lei.
Art. 44. Quando a entidade privada mantiver vínculo de qualquer natureza com a Casa Militar da Governadoria do Distrito Federal, os procedimentos previstos desta Portaria para ORN1, pode ser realizado pelo NSC.
DO DESCREDENCIAMENTO
Art. 45. O descredenciamento da pessoa natural pode ocorrer, em virtude de um dos seguintes motivos:
I - término de validade da credencial de segurança;
III - cessar a necessidade de conhecer;
IV - transferência de órgão ou entidade;
V - aposentadoria, passagem para a reserva ou inatividade;
VII - suspeita ou quebra de segurança; ou
VIII - a critério do órgão de registro ao qual estiver vinculada.
Art. 46. O descredenciamento de órgão ou entidade pública pode ocorrer, em qualquer tempo, em virtude de um dos seguintes motivos:
II - extinção, fusão, secção ou mudança de subordinação;
III - cessar a necessidade de tratar informação classificada;
IV - suspeita ou quebra de segurança; ou
V - a critério do órgão de registro que homologou a habilitação.
Art. 47. O descredenciamento de entidade privada pode ocorrer, em qualquer tempo, em virtude de um dos seguintes motivos:
II - falência, fusão, aquisição ou secção;
III - cessar a necessidade de tratar informação classificada;
IV - suspeita ou quebra de segurança; ou
V - a critério do órgão de registro que a habilitou.
Art. 48. A solicitação de descredenciamento de pessoa natural, órgão ou entidade pública ou privada, quando se fizer necessária, deve ser encaminhada pela autoridade que solicitou o credenciamento de segurança ao órgão de registro com o qual mantenha vínculo de qualquer natureza.
Art. 49. O descredenciamento por término da validade ocorre de forma automática, independente de solicitação ou processo, devendo ser homologado pelo órgão de registro com o qual a pessoa natural ou entidade privada mantenha vínculo de qualquer natureza.
Art. 50. O órgão de registro deve informar a homologação do descredenciamento da pessoa natural ao órgão ou entidade pública ou privada, a que estiver vinculada.
Art. 51. O NSC ou o ORN1 deve informar a homologação do descredenciamento ao órgão ou entidade pública ou privada, desabilitado.
Art. 52. Nos casos de extinção, falência, fusão, divisão ou aquisição da entidade privada, sua direção estatutária deve comunicar formalmente e imediatamente tal fato ao órgão de registro que a habilitou, para fins de descredenciamento.
DAS RESPONSABILIDADES
Art. 53. Cabe ao titular dos órgãos e entidades do Poder Executivo Distrital, habilitados como órgão de registro:
I - Aprovar as diretrizes gerais e o processo de credenciamento de segurança no âmbito de sua atuação; e
II - Prever os recursos orçamentários necessários para a implementação e manutenção do processo de credenciamento de segurança no âmbito de sua atuação.
Art. 54. O GSC de órgão ou entidade pública, no exercício de suas atividades, é responsável por promover a gestão da segurança e do credenciamento dos órgãos de registros, dos postos de controle e das pessoas naturais sob sua responsabilidade no que se refere às informações classificadas, bem como, por gerir, acompanhar e avaliar as atividades previstas na competência do seu órgão ou entidade.
Art. 55. O GSC da entidade privada, no exercício de suas atividades, é responsável por promover a gestão da segurança de todos os ativos de informação classificada da empresa, bem como, por gerir, acompanhar, e avaliar as atividades previstas na competência de sua empresa, conforme disposto em normatização do órgão que mantiver vinculo.
Art. 56. Esta Portaria entra em vigor na data de sua publicação.
CLAUDIO RIBAS DE SOUSA
_____________________
(*) Republicado por ter sido encaminhado com incorreções no original, publicado no DODF nº 193, de 11 de outubro de 2016, páginas 3 a 7.
FORMULÁRIO INDIVIDUAL DE DADOS PARA CREDENCIAMENTO - FIDC
ÓRGÃO DE REGISTRO NÍVEL X
INSTRUÇÕES PARA O PREENCHIMENTO:
Este texto não substitui o publicado no DODF nº 193, seção 1 de 11/10/2016 p. 3, col. 2 Este texto não substitui o publicado no DODF nº 194, seção 1 de 13/10/2016 p. 5, col. 2