Não se trata, portanto, de um padrão reservado a sistemas militares, infraestruturas ultrassensíveis ou organizações submetidas a ataques excepcionalmente sofisticados. É o primeiro patamar de defesa cibernética. É isso que torna o resultado particularmente relevante. O problema encontrado pelo TCU não é que os órgãos federais tenham deixado de alcançar um nível avançado de segurança. Nenhuma das 239 organizações com respostas completas conseguiu implementar integralmente nem mesmo esse conjunto básico de proteção.

Os números, por outro lado, demonstram que houve progresso. Na auditoria anterior, apenas duas organizações tinham mais de 90% das 56 medidas implementadas e 14 superavam 70%. Agora, 12 passaram da faixa de 90% e 44 ultrapassaram 70%.

O avanço não foi suficiente para o TCU considerar atendida a recomendação feita em 2024. Para o Tribunal, o objetivo não é simplesmente aumentar a quantidade de controles implantados, mas reduzir a exposição aos ataques até um nível compatível com a continuidade dos serviços e das políticas públicas. Esse patamar ainda não foi alcançado. Acórdão e TC cibersegurança

Defesa básica

As deficiências encontradas ajudam a compreender o que significa não completar essa “higiene cibernética”. Não se está falando apenas de ferramentas sofisticadas destinadas a enfrentar grupos avançados de ransomware, operações patrocinadas por Estados ou ataques de alta complexidade. Entre os controles examinados estão providências elementares, como saber quais equipamentos estão conectados às redes, manter inventário dos programas utilizados, identificar softwares não autorizados, controlar o acesso aos dados, definir regras para retenção e descarte de informações e proteger dados críticos armazenados nos equipamentos dos usuários.

Apenas 43% das organizações alcançaram os níveis considerados completos ou aprimorados para inventário de ativos institucionais. No inventário de software, eram 42%. O percentual cai para 32% no tratamento de softwares não autorizados.

Na gestão de dados, os números são ainda menores. Somente 15% apresentavam nível completo ou aprimorado em processo de gestão de dados, 16% em inventário de dados, 22% nas regras de retenção, 11% no descarte seguro e 16% na criptografia de dados críticos nos dispositivos dos usuários.

Há, porém, uma ressalva no próprio trabalho do TCU que torna necessária ainda mais cautela na interpretação desses percentuais: a avaliação depende em grande medida daquilo que as próprias organizações declaram ter feito. O atual modelo do PPSI utiliza autoavaliações e a apresentação de evidências que demonstrem a efetiva implementação dos controles ainda não é obrigatória de forma generalizada.

Para o TCU, isso mantém o risco de uma organização informar um estágio de maturidade superior àquele que efetivamente possui e, com isso, formar uma falsa sensação de segurança.

A Secretaria de Governo Digital pretende endurecer o procedimento no ciclo de 2027. Para determinadas medidas que forem declaradas como implementadas, deverá passar a ser obrigatório registrar evidências. É um avanço, mas não elimina completamente a dependência da autodeclaração.

Isso acrescenta uma ressalva importante ao principal número da auditoria: nenhuma organização chegou aos 100% das medidas básicas e, mesmo nos percentuais declarados como implementados, o TCU ainda identifica dificuldades para comprovar documentalmente a efetividade de parte dos controles.

ANCiber

É nesse cenário que ganha peso a decisão política de não levar adiante a criação da Agência Nacional de Cibersegurança, a ANCiber, concebida pelo Gabinete de Segurança Institucional ainda no início do atual governo e que tem apoio para ser implementada no Congresso Nacional.

Em 2023, o GSI colocou em discussão uma arquitetura institucional bem mais robusta do que a existente hoje. A proposta incluía um Sistema Nacional de Cibersegurança, uma agência especializada, um Comitê Nacional de Cibersegurança, estrutura para gerenciamento de crises e um complexo nacional dedicado à área.

A ANCiber seria uma agência reguladora especializada. O primeiro desenho previa implantação gradual durante cinco anos e aproximadamente 800 servidores, sendo 550 especialistas em cibersegurança, 225 profissionais administrativos e 25 procuradores federais. Não se tratava de contratar todos imediatamente. A implantação começaria com 81 servidores e chegaria ao quadro completo somente no quinto ano.

Durante as discussões dentro do Executivo, a estrutura foi reduzida. O desenho posteriormente examinado pelo TCU apontava aproximadamente 687 cargos e custo anual próximo de R$ 540 milhões quando a agência estivesse completamente implantada. Mesmo reduzida, a proposta não prosperou.

A Casa Civil, na gestão Rui Costa, não encaminhou ao Congresso a estrutura legislativa necessária para criar a agência. Em dezembro de 2023, o governo instituiu pelo Decreto 11.856 a Política Nacional de Cibersegurança e criou o Comitê Nacional de Cibersegurança, o CNCiber, mas deixou a ANCiber de fora. A diferença é relevante, pois o CNCiber funciona como espaço de articulação e formulação de políticas. Já a ANCiber havia sido concebida como instituição permanente, dotada de corpo técnico próprio e capacidade regulatória, fiscalizatória e operacional.

As restrições fiscais acabaram pesando contra a agência. Posteriormente, o próprio GSI reconheceu a dificuldade de propor a criação de centenas de cargos e de assumir uma nova despesa permanente. O governo passou então a estudar um desenho menos oneroso, aproveitando instituições já existentes.

A discussão evoluiu para a criação de uma Autoridade Nacional de Cibersegurança, sem que isso necessariamente implique constituir uma nova agência. Entre as alternativas consideradas está entregar as atribuições a uma estrutura regulatória já existente. O governo, portanto, desistiu da instituição originalmente desenhada, mas não conseguiu eliminar a necessidade das funções que ela deveria desempenhar.

O novo monitoramento do TCU acrescenta um dado especialmente relevante a essa discussão. A estrutura atualmente encarregada de conduzir o PPSI (Programa de Privacidade e Segurança da Informação) enfrenta limitações para obrigar outras organizações federais a cumprir suas determinações. A própria SGD informou não possuir competência legal para aplicar sanções orçamentárias, funcionais ou de desempenho às altas administrações dos demais órgãos. O problema, portanto, não é apenas saber quem coordena a política.

É saber quem tem poder para fazê-la ser cumprida.

Entre os riscos que o TCU considera ainda existentes estão justamente a insuficiência dos mecanismos de enforcement, a falta de recursos financeiros para implantar medidas priorizadas e a inexistência de uma metodologia formal que diferencie organizações com tamanhos, funções e características muito distintas.

Isso não significa que a criação da ANCiber resolveria automaticamente essas deficiências, nem o TCU faz essa associação no acórdão. Mas a constatação recoloca a decisão política em perspectiva: o governo abriu mão de uma agência especializada alegando restrições financeiras enquanto a estrutura existente continua enfrentando falta de recursos e limitações de poder para fazer cumprir a política de segurança.

O contraste se torna ainda maior porque o próprio TCU já havia apontado, em fiscalização anterior, falta de prioridade nacional para a cibersegurança e questionado a paralisação da proposta institucional preparada pelo GSI.

A conta, portanto, não pode ser feita apenas sobre os aproximadamente R$ 540 milhões anuais que custaria a ANCiber plenamente implantada. Há também um custo potencial na manutenção de uma estrutura fragmentada e com capacidade limitada para impor padrões mínimos a uma administração cada vez mais dependente de sistemas digitais.

Falta pessoal

O dinheiro não é a única carência, segundo o TCU. Há um problema estrutural de pessoal especializado, limitações quantitativas e de qualificação tanto na Secretaria de Governo Digital quanto nas organizações integrantes do Sisp. A própria SGD reconheceu que a chegada de novos servidores não foi suficiente para suprir a demanda e apontou a necessidade de novos concursos e de ampliação da estrutura da carreira de Analista em Tecnologia da Informação.

Mesmo quando consegue contratar profissionais, o governo enfrenta dificuldade para mantê-los. O TCU registra elevada rotatividade nas equipes de tecnologia e considera que as medidas tomadas até agora não foram suficientes para reverter a evasão. O problema está associado, entre outros fatores, à capacidade de retenção e à atratividade da carreira. O tema já havia provocado outra manifestação do Tribunal: o Acórdão 1.475/2026 recomendou ao MGI medidas específicas para enfrentar os problemas da carreira de ATI.

A fragilidade chega ao comando da segurança da informação dentro de algumas instituições. Entre as 239 organizações que responderam ao levantamento, 15 ainda não possuíam gestor de segurança da informação formalmente designado. Houve uma melhora significativa, porque o problema atingia 21% das organizações na fiscalização anterior e caiu para cerca de 6%.

Mas as 15 organizações remanescentes estão em desacordo com as normas que exigem a designação. O TCU considera que a ausência dessa figura fragiliza a governança, pode produzir ações descoordenadas e controles inconsistentes e aumentar a exposição a incidentes. É mais um indicador de que parte dos problemas não está apenas na tecnologia disponível, mas na capacidade administrativa de organizar a própria defesa.

Avanços

O diagnóstico do TCU, porém, não é de paralisia. O Programa de Privacidade e Segurança da Informação 2.0, implantado a partir de mudanças normativas feitas em 2025 e 2026, corrigiu parte das deficiências encontradas na auditoria anterior. Foram criados indicadores para acompanhar a maturidade do programa, as responsabilidades da alta administração ficaram mais explícitas, a escala utilizada para avaliar a implementação dos controles foi aperfeiçoada e o acompanhamento passou a contar com o SisPPSI. Também houve reforço das regras relacionadas à gestão de riscos de privacidade e segurança da informação. Acórdão e TC cibersegurança

Parte dos riscos encontrados em 2024 foi mitigada e é justamente por reconhecer esses avanços que o Tribunal não trata a situação atual como equivalente à encontrada dois anos atrás.

O problema é que as providências adotadas não foram suficientes para reduzir todos os riscos a níveis aceitáveis, razão pela qual a recomendação dirigida à SGD foi considerada apenas parcialmente implementada. Essa distinção é importante. A política avançou, mas o nível de proteção ainda não acompanhou integralmente essa evolução institucional.

Omissões

O monitoramento também revelou problemas no cumprimento das obrigações mais elementares do programa. Nos ciclos 4/2025, 5/2025 e 1/2026 deveriam ter sido realizadas 743 entregas de diagnósticos e planos de ação. Em 45 casos, os diagnósticos não foram apresentados.

Isso não significa necessariamente 45 organizações diferentes, porque uma mesma instituição pode ter deixado de cumprir a obrigação em mais de um ciclo.

Para o TCU, a falta dos documentos não é mera falha burocrática. Sem os diagnósticos, fica prejudicada a capacidade de conhecer a maturidade das organizações, identificar onde estão os principais problemas e decidir onde recursos e ações corretivas precisam ser concentrados.

Mas desta vez, o Tribunal resolveu avançar sobre a responsabilidade dos dirigentes. O Plenário determinou a abertura de processo separado para apurar individualmente a atuação da alta administração das organizações responsáveis pelas entregas ausentes. A medida não significa condenação antecipada. Cada situação deverá ser analisada individualmente, com direito ao contraditório e à ampla defesa.

O ponto é particularmente relevante porque o próprio PPSI 2.0 reforçou a responsabilidade dos dirigentes pela segurança. A gestão do risco cibernético não deve ser tratada apenas como atribuição da equipe técnica ou do setor de TI.

Risco real

Há uma última fragilidade que o TCU considera necessário corrigir. O governo consegue perguntar a uma organização se ela possui um processo formal de gestão de riscos. Isso, entretanto, não responde à questão fundamental: o risco de um ataque cibernético está ou não em um nível que aquela organização considera aceitável?

Para o Tribunal, são duas coisas diferentes. Uma instituição pode ter comitês, procedimentos, formulários e processos formalmente instituídos e, ainda assim, continuar excessivamente exposta. Por isso, o TCU determinou que a SGD passe a incluir nos próximos ciclos perguntas capazes de verificar se a exposição efetiva aos ataques está em nível compatível com a continuidade dos serviços e das políticas públicas. Acórdão e TC cibersegurança

Parte das informações que permitiriam conhecer com maior precisão as fragilidades de cada organização continuará fora do alcance público. O TCU classificou peças do processo como reservadas justamente porque revelar quais controles não foram implementados por determinada instituição poderia oferecer aos atacantes um roteiro de vulnerabilidades.

Essa restrição também exige cuidado na leitura do resultado. O Tribunal não afirma que as 239 organizações estejam igualmente vulneráveis nem que todas estejam prestes a sofrer ataques. Há instituições que já superam 90% das medidas do IG1.

O que o monitoramento demonstra é suficientemente grave sem necessidade de extrapolação: 1 – nenhuma das organizações avaliadas conseguiu implementar integralmente o patamar de higiene cibernética básica; 2 – parte dos controles informados ainda depende de autodeclaração sem comprovação obrigatória; 3 – faltam profissionais especializados; 4 – 15 organizações sequer haviam formalizado um gestor de segurança; 5 – faltam recursos para determinadas medidas; 6 – e a estrutura coordenadora possui limitações para impor o cumprimento das regras.

Nesse quadro, a decisão de não criar a ANCiber deixa de ser apenas uma discussão sobre economia administrativa ou criação de cargos. O governo pode considerar aproximadamente R$ 540 milhões anuais um preço elevado para manter a agência especializada que chegou a propor.

Mas o diagnóstico do TCU mostra que existe outra conta, muito mais difícil de estimar: quanto custa manter um Estado cada vez mais digital sem conseguir assegurar nem mesmo que toda a sua estrutura alcance o patamar básico de proteção contra os ataques cibernéticos mais comuns?

*Essa pergunta deveria ser feita pelo governo brasileiro ao governo da França, agora sob um suposto “ataque” russo.

Leia menos