Comunicação de incidente em 72 horas à Corregedoria: o que o Provimento 213 exige.

Um incidente crítico é comunicado à Corregedoria competente em até 72 horas, com meta de 24 horas. Crítico, para a norma, é o incidente que compromete a disponibilidade, a integridade, a autenticidade ou a rastreabilidade do acervo. Todo incidente, crítico ou não, entra no registro formal da serventia, com análise de causa. E quando há dado pessoal envolvido, a ANPD tem um prazo próprio, de três dias úteis.

O que conta como crítico

A norma define o incidente crítico pelo efeito sobre o acervo: perda de disponibilidade (o sistema ou o acervo fora do ar), de integridade (registro alterado ou corrompido), de autenticidade (ato que não se consegue atribuir a quem o praticou) ou de rastreabilidade (trilha que deixou de existir). Ransomware que cifra o acervo é o exemplo óbvio. Um servidor de arquivos que parou sem cópia íntegra também é.

A classificação por gravidade é dever da própria serventia (art. 11), e é uma decisão que o titular precisa saber tomar sob pressão, porque o prazo começa a correr quando o incidente é conhecido, e o critério para chamar de crítico está escrito. Classificar para baixo, para não comunicar, é o tipo de coisa que o art. 25 chama de "evidência externa de falha não reportada" quando aparece depois.

Os três relógios

Corregedoria, 72 horas. Para o incidente crítico, com meta de diligência reforçada de 24 horas. No Rio Grande do Sul, a Corregedoria competente é a Corregedoria-Geral da Justiça do TJRS.

ANPD, três dias úteis. Quando o incidente envolve dado pessoal e pode causar risco ou dano relevante aos titulares dos dados, a comunicação à ANPD e aos titulares afetados segue a Resolução CD/ANPD nº 15/2024, em três dias úteis, com informação complementar em até vinte dias úteis. Os dois relógios correm em paralelo e nenhum espera o outro.

O da própria serventia. Nas Classes 2 e 3, vulnerabilidade explorada ativamente é corrigida em 72 horas e vulnerabilidade crítica em 30 dias. Um incidente que revela uma vulnerabilidade liga esse relógio também.

O que o procedimento precisa ter

O art. 11 pede procedimento documentado com identificação, classificação por gravidade, contenção, erradicação, recuperação e registro. A análise de causa raiz é obrigatória para todos os incidentes, e é o que separa um registro que serve de um registro que só existe.

O que costuma faltar nos modelos: quem decide que é crítico (uma pessoa, nomeada); quem escreve e envia a comunicação; o que a comunicação diz (o que aconteceu, quando foi detectado, o que foi afetado, o que já foi feito, o que ainda está pendente, quem responde); e quem avisa o fornecedor de sistema, porque em boa parte dos incidentes a contenção depende dele.

O registro de incidentes

Um registro formal, com data e hora de cada evento: detecção, classificação, comunicação, contenção, recuperação, causa. O guia da ON-RCPN traz um modelo (Apêndice E). Na correição, o registro é lido junto com a comunicação enviada e com os logs: as três coisas precisam contar a mesma história, com as mesmas datas.

Um incidente registrado e comunicado no prazo é evidência de que o procedimento funciona. Um incidente que aparece nos logs e não aparece no registro é o gatilho do art. 25.

Nesta série

• Etapa 1 do Provimento 213: o que entregar e o que a correição pede
• PCN e PRD para cartórios: o que o Provimento 213 exige

A Implantação com o módulo do Provimento 213 escreve o procedimento de incidentes da serventia com os prazos e os responsáveis nomeados, e deixa o registro pronto para entrar no dossiê.