Segurança e Dados
Computação em nuvem no governo: contratação e estratégia federal
Computação em nuvem no governo: Portaria SGD/MGI 5.950/2023, Nuvem 3.0 com broker multinuvem, Nuvem de Governo do Serpro e Dataprev e o alerta do TCU.
O gasto federal com contratação centralizada de computação em nuvem passou de R$ 60 milhões em 2018 para R$ 181 milhões em 2020 e chegou a R$ 530 milhões em 2023, distribuídos entre 79 órgãos, segundo dados analisados pelo Tribunal de Contas da União (TCU) no Acórdão 292/2025-Plenário. Hoje, a estratégia federal combina três peças: a Portaria SGD/MGI nº 5.950/2023, que padroniza a contratação; a Nuvem 3.0, compra centralizada no modelo de broker multinuvem; e a Nuvem de Governo, operada por Serpro e Dataprev em território nacional para dados sigilosos. Para o gestor, a pergunta deixou de ser "se" migrar e passou a ser "qual dado vai para qual nuvem, por qual via de contratação".
A regra de contratação: Portaria SGD/MGI nº 5.950/2023
Publicada em 26 de outubro de 2023, a Portaria SGD/MGI nº 5.950 estabelece o modelo de contratação de software e de serviços de computação em nuvem para os órgãos e entidades do Sistema de Administração dos Recursos de Tecnologia da Informação (Sisp), já alinhado à Lei nº 14.133/2021. O uso é obrigatório nos processos de contratação iniciados após 30 de abril de 2024.
O modelo cobre três objetos distintos:
- software;
- serviços de computação em nuvem, entendidos como conjuntos escaláveis e elásticos de recursos físicos ou virtuais acessados pela rede;
- serviços de operação e gestão de nuvem, que abrangem gerenciamento, monitoramento, interoperabilidade, portabilidade, continuidade e apoio à gestão de custos.
A separação é relevante: consumo de recursos do provedor e serviços profissionais de migração e operação têm lógicas de preço diferentes e, tratados em itens distintos, permitem medir custo e desempenho de cada um. A portaria também estabelece diretrizes sobre segurança, proteção da privacidade, integridade dos dados e governança, desde o planejamento até a gestão do contrato. Ela convive com a Instrução Normativa SGD/ME nº 94/2022, que rege o processo geral de contratação de soluções de TIC.
Os modelos de serviço e implantação
A escolha do modelo define quanto da operação fica com o órgão e quanto fica com o fornecedor.
| Modelo | O que o provedor entrega | O que fica com o órgão | Exemplo típico |
|---|---|---|---|
| IaaS (infraestrutura como serviço) | Máquinas virtuais, armazenamento, rede | Sistema operacional, aplicações, dados | Hospedar sistema legado migrado |
| PaaS (plataforma como serviço) | Banco de dados gerenciado, contêineres, filas | Aplicação e dados | Novo sistema desenvolvido pelo órgão |
| SaaS (software como serviço) | Aplicação completa | Configuração e dados | E-mail, colaboração, atendimento |
Quanto à implantação, a estratégia federal usa hoje três ambientes: nuvem pública de provedores comerciais, contratada pela via da Nuvem 3.0; nuvem de governo, instalada nos data centers de Serpro e Dataprev; e infraestrutura própria dos órgãos, que tende a diminuir.
Nuvem 3.0: compra centralizada com broker multinuvem
A Central de Compras do Ministério da Gestão e da Inovação em Serviços Públicos (MGI) conduz a Nuvem 3.0, terceira geração da compra centralizada de nuvem. Em abril de 2025, o ministério abriu a Intenção de Registro de Preços (IRP) nº 10/2025 para que órgãos manifestassem interesse na contratação conjunta, com prazo até 22 de maio de 2025 pelo Compras.gov.br.
O modelo é o de cloud broker (integrador) multinuvem, com três ou mais provedores de nuvem pública. O escopo do integrador inclui concepção, projeto, provisionamento, configuração, migração, suporte, manutenção e gestão de serviços em dois ou mais provedores. A contratação ocorre por Sistema de Registro de Preços, e os catálogos recebidos pela Central de Compras ficam abertos para consulta.
A principal mudança em relação à Nuvem 2.0 é que o órgão passa a escolher o provedor. Na geração anterior, os órgãos ficavam vinculados aos provedores vencedores (AWS, Google e Huawei). Na Nuvem 3.0, qualquer provedor pode participar da disputa.
O que o TCU apontou
No Acórdão 292/2025-Plenário, de 12 de fevereiro de 2025, o TCU avaliou a contratação centralizada conduzida pelo MGI. O tribunal identificou fragilidades como divergências orçamentárias, cláusulas insuficientes para assegurar disponibilidade e proteção dos serviços e a ausência de uma estratégia nacional para a contratação dessa tecnologia, e pediu plano de ação em 180 dias. Para órgãos que aderem a atas, o recado prático é conferir se o próprio contrato prevê níveis de serviço, portabilidade e saída.
Nuvem de Governo: Serpro e Dataprev
Em novembro de 2024, o MGI assinou acordos com Serpro e Dataprev para criar a Nuvem de Governo, infraestrutura sob responsabilidade direta da administração pública federal. O lançamento dos serviços ocorreu em 2025, e desde junho daquele ano mais de 250 órgãos do Executivo federal podem acessar os catálogos das duas empresas.
O arranjo é híbrido. As empresas públicas compraram equipamentos e tecnologia de grandes provedores globais e os instalaram nos próprios centros de processamento. A Dataprev contratou AWS, Huawei e Oracle. O Serpro contratou essas três e o Google. A nuvem é gerida exclusivamente pelas duas estatais, e os dados permanecem em território nacional, sob jurisdição brasileira. Os catálogos incluem preços máximos de contratação.
O uso é direcionado aos dados mais sensíveis. Segundo o MGI, os órgãos devem usar a Nuvem de Governo especialmente para armazenar dados com sigilo fiscal, bancário, comercial, empresarial, contábil, de segredo industrial e de direito autoral, além de informações classificadas em grau de sigilo. A meta, prevista na Ação 27 do Plano Brasileiro de Inteligência Artificial (PBIA), é concluir a migração desses dados até 2027.
Como decidir: critérios para o gestor
A decisão começa pela classificação dos dados, e não pelo provedor. O quadro abaixo resume a lógica da estratégia federal.
| Tipo de dado ou sistema | Destino preferencial | Via de contratação |
|---|---|---|
| Dados com sigilo legal (fiscal, bancário etc.) ou classificados | Nuvem de Governo | Catálogos de Serpro e Dataprev |
| Sistemas com dados pessoais sem sigilo específico | Nuvem pública ou de governo, conforme análise de risco | Nuvem 3.0 ou Nuvem de Governo |
| Portais, dados abertos, ambientes de teste | Nuvem pública | Nuvem 3.0 |
| Sistemas legados sem viabilidade de migração | Infraestrutura própria, com plano de desativação | Contratos existentes |
Passo a passo para migrar
- Inventariar sistemas e bases, com responsável, volume, dependências e classificação de sigilo.
- Aplicar a Portaria SGD/MGI nº 5.950/2023 desde o estudo técnico preliminar, separando consumo de nuvem e serviços de operação.
- Verificar se há ata disponível (Nuvem 3.0) ou catálogo da Nuvem de Governo compatível antes de licitar isoladamente.
- Estimar custo total de propriedade em 36 a 60 meses, incluindo tráfego de saída de dados, suporte e capacitação, e não apenas o preço por hora de máquina virtual.
- Exigir no contrato níveis de serviço, cópia de segurança, registro de logs, portabilidade dos dados em formato aberto e plano de saída.
- Montar uma célula de FinOps (gestão financeira de nuvem) com painéis de consumo por sistema, alertas de orçamento e revisão mensal de recursos ociosos.
- Migrar primeiro um sistema de baixo risco para validar processos, e só depois os críticos.
Erros comuns
O mais caro é migrar máquinas virtuais sem redimensionar ("lift and shift" puro) e manter tudo ligado 24 horas. A nuvem cobra pelo uso, e servidores superdimensionados custam mais do que no data center próprio.
Outro erro é não prever a saída. Contratos sem cláusula de portabilidade e sem formato de exportação definido criam dependência de fornecedor, justamente um dos riscos que motivaram o modelo multinuvem da Nuvem 3.0.
Um terceiro é ignorar a gestão do contrato. Nuvem exige acompanhamento contínuo do consumo, e o fiscal técnico precisa de acesso a painéis de custo, e não só às faturas mensais.
Estados e municípios
A Portaria nº 5.950/2023 e a Nuvem de Governo se dirigem ao Executivo federal. Estados e municípios podem, contudo, usar a portaria como referência técnica para seus editais e acompanhar as atas da Central de Compras, cuja possibilidade de adesão depende das regras de cada ata e da Lei nº 14.133/2021. Os mesmos critérios de classificação de dados, custo total e plano de saída se aplicam em qualquer esfera.
O que monitorar
Os próximos marcos são a conclusão da contratação da Nuvem 3.0 e a divulgação dos provedores efetivamente disponíveis, a resposta do MGI ao plano de ação pedido pelo TCU e o avanço da migração de dados sigilosos para a Nuvem de Governo, com prazo em 2027. A expansão dos catálogos de Serpro e Dataprev e seus preços máximos também devem ser acompanhados, porque definem a comparação econômica com a nuvem pública.
Fontes
- Portaria SGD/MGI nº 5.950, de 26 de outubro de 2023, Governo Digital, 2023
- Portaria SGD/MGI estabelece modelo de contratação de software e de serviços de computação em nuvem, Observatório da Nova Lei de Licitações, 2023
- Gestão abre prazo para contratação conjunta de serviços de computação em nuvem 3.0, MGI, 2025
- Compra da nuvem 3.0 será centralizada, mas escolha de provedor será do órgão público, Convergência Digital, 2025
- TCU avalia contratação de serviços em nuvem do Governo Federal, Mattos Filho, 2025
- TCU vê riscos em contratação de nuvem do governo e quer plano de ação em 180 dias, Convergência Digital, 2025
- Gestão, Serpro e Dataprev lançam serviços de nuvem de governo para órgãos federais, MGI, 2025
- Ministério da Gestão fortalece soberania digital com Nuvem de Governo gerida por Serpro e Dataprev, MGI, 2025
- Gestão fecha com Serpro e Dataprev para criar e gerir a Nuvem de Governo, Agência Gov, 2024