O que é o Provimento 213/2026?
O Provimento n. 213, de 20 de fevereiro de 2026, da Corregedoria Nacional de Justiça do Conselho Nacional de Justiça (CNJ), estabelece os padrões mínimos obrigatórios de Tecnologia da Informação e Comunicação (TIC) e segurança da informação para todas as serventias extrajudiciais brasileiras — cartórios de notas, registro de imóveis, registro civil, registro de títulos e documentos e registro de pessoas jurídicas.
O normativo é o resultado de anos de diagnóstico da situação de TIC nas mais de 12.000 serventias extrajudiciais do país e busca garantir a proteção do acervo histórico digital, a continuidade dos serviços públicos delegados e a conformidade com a Lei Geral de Proteção de Dados (Lei 13.709/2018 — LGPD).
Estrutura do Provimento: 5 Etapas cumulativas
O Provimento organiza as exigências em 5 Etapas sequenciais e cumulativas. Cada etapa deve ser concluída antes do início da próxima, e a conclusão é declarada pelo delegatário no Sistema Justiça Aberta do CNJ. Veja o resumo:
| Etapa | Foco | Principais exigências |
|---|---|---|
| Etapa 1 | Governança e Conformidade Legal | PSI, MFA, inventário de ativos, revisão de contratos, designação de DPO e responsável técnico |
| Etapa 2 | Infraestrutura e Continuidade | SAI/UPS (30 min), aterramento certificado, conectividade mínima por classe, PCN e PRD, endpoint protection |
| Etapa 3 | Proteção do Acervo Digital | Criptografia TLS 1.2+/AES-256, backup automatizado offsite, firewall IPS/IDS, VLANs (Cl.2/3), trilhas de auditoria imutáveis |
| Etapa 4 | Monitoramento e Validação | Testes de restauração documentados, simulação de desastre, gestão de vulnerabilidades, pentest (Cl.3) |
| Etapa 5 | Interoperabilidade e Governança | Integração com plataformas CNJ, formatos abertos (PDF/A, XML), simulação de extração de acervo, revisão anual da PSI |
Prazos por classe de arrecadação
A proporcionalidade regulatória é o princípio central do Provimento 213. As exigências e os prazos variam conforme a arrecadação bruta semestral de cada serventia, dividida em subclasses (A a J) agrupadas em três classes:
| Classe | Arrecadação semestral | Etapas 1–2 | Prazo total (Etapa 5) |
|---|---|---|---|
| Classe 1 | Até R$ 100.000 (subclasses A, B, C) | 210 dias | 36 meses |
| Classe 2 | R$ 100K a R$ 500K (subclasses D, E, F) | 150 dias | 30 meses |
| Classe 3 | Acima de R$ 500K (subclasses G, H, I, J) | 90 dias | 24 meses |
Requisitos técnicos comparativos por classe
| Requisito | Classe 1 | Classe 2 | Classe 3 |
|---|---|---|---|
| Conectividade mínima | 2 Mbps | 10 Mbps | 50 Mbps |
| RPO (backup) | 24 horas | 12 horas | 4 horas |
| RTO (recuperação) | 24 horas | 24 horas | 8 horas |
| VLANs | Recomendado | Obrigatório | Obrigatório |
| Alta disponibilidade (HA) | Não | Não | Obrigatório |
| Trilhas de auditoria | Essencial | Essencial | Intermediário+ |
| Teste de restauração | Anual | Anual | Semestral |
| Pentest | Não | Não | Bienal |
| Simulação extração acervo | 36 meses | 30 meses | 24 meses |
Documentos obrigatórios
O Provimento 213/2026 exige a elaboração e manutenção dos seguintes documentos, que devem estar disponíveis para verificação em correições:
PSI — Política de Segurança da Informação (Anexo III): documento central de governança, com todos os controles e responsabilidades. Classe 1 aceita Relatório Simplificado; Classes 2 e 3 exigem documento completo. PCN — Plano de Continuidade de Negócios e PRD — Plano de Recuperação de Desastres (art. 3º): definem RTO, RPO e procedimentos de recuperação por cenário. Inventário de Ativos: hardware, software, licenças e certificados digitais com datas de validade e responsáveis. Registros de Trilhas de Auditoria (art. 10): imutáveis, com retenção mínima de 5 anos. Declarações de Conclusão de Etapa (art. 17): assinadas pelo delegatário e registradas no Sistema Justiça Aberta. Atas de testes de restauração de backup e simulações de desastre.
Penalidades pelo descumprimento
O art. 24 do Provimento 213/2026 prevê que o descumprimento injustificado dos requisitos técnicos pode ensejar a instauração de Procedimento Administrativo Disciplinar (PAD) pela Corregedoria estadual competente. A responsabilidade é pessoal e indelegável do delegatário, interino ou interventor — independentemente da contratação de fornecedores externos (art. 13, §3º e art. 14). Declarações falsas no Sistema Justiça Aberta sujeitam o responsável às penalidades previstas em lei (art. 17, §2º).