Resposta rápida: O Provimento CNJ 213/2026 obriga todos os cartórios do Brasil a adotar padrões mínimos de TI: política de segurança documentada, criptografia AES-256 e TLS 1.2+, backup com cópia imutável, autenticação multifator e trilhas de auditoria. Os prazos são escalonados por classe de serventia e o descumprimento pode gerar processo administrativo disciplinar.
O Provimento nº 213/2026 da Corregedoria Nacional de Justiça exige que toda serventia extrajudicial — do pequeno registro civil do interior ao grande tabelionato de capital — comprove, com documentos e evidências técnicas, que protege seu acervo digital. Na prática, o titular precisa formalizar uma Política de Segurança da Informação, implantar backup com cópia imutável, criptografar dados, controlar acessos com MFA e manter registros de auditoria por, no mínimo, 5 anos.
Atenção: este guia já incorpora as alterações do Provimento CN nº 243, de 21/07/2026, que mudou as faixas de classificação e os prazos originais. Muitos conteúdos publicados antes dessa data estão desatualizados.
O que é o Provimento 213/2026?
O Provimento nº 213/2026 é a norma da Corregedoria Nacional de Justiça do CNJ, publicada em 20 de fevereiro de 2026, que estabelece padrões mínimos obrigatórios de tecnologia da informação e comunicação para todas as serventias extrajudiciais do país, abrangendo governança, criptografia, backup, controle de acesso, gestão de incidentes e alinhamento à LGPD, com prazos escalonados conforme o porte da serventia.
A norma revogou o Provimento 74/2018, que era genérico e pouco fiscalizável, e o substituiu por requisitos objetivos e verificáveis em correição. O texto oficial consolidado está no portal de atos do CNJ e deve ser a sua referência primária.
A lógica central mudou: segurança da informação deixou de ser boa prática recomendada e passou a ser dever funcional do delegatário, com responsabilidade pessoal e indelegável — mesmo quando a TI é terceirizada (arts. 13 e 14).
Quem precisa cumprir e quais são os prazos
Todas as serventias extrajudiciais brasileiras — notas, registro de imóveis, registro civil, títulos e documentos e protesto — estão obrigadas ao Provimento 213/2026, sem exceção de porte, sendo que a intensidade das exigências e os prazos de implementação variam conforme a classe da serventia, definida pela receita bruta semestral de emolumentos.
Com a redação dada pelo Provimento 243/2026, o enquadramento e os prazos ficaram assim (contagem a partir de 21/07/2026):
| Classe | Receita bruta semestral | Etapas iniciais (governança + infraestrutura) | Implementação integral |
|---|---|---|---|
| Classe 1 | Até R$ 300 mil | 300 dias | Até 36 meses |
| Classe 2 | De R$ 300 mil a R$ 1,5 milhão | 240 dias | Até 30 meses |
| Classe 3 | Acima de R$ 1,5 milhão | 180 dias | Até 24 meses |
Dois detalhes importantes. Primeiro: receita bruta é o somatório dos emolumentos, deduzindo apenas repasses legais e valores de terceiros — não se deduzem despesas operacionais (art. 2º). Segundo: quanto maior a classe, mais curto o prazo e mais rígidos os requisitos.
Prorrogações existem, mas são excepcionais: dependem de decisão fundamentada da Corregedoria, plano formal de adequação com cronograma e medidas compensatórias imediatas, limitadas a 180 dias cumulativos (art. 21). Ou seja: esperar não é estratégia.
As exigências técnicas traduzidas do juridiquês
O Provimento 213/2026 organiza as obrigações técnicas em etapas e anexos que cobrem cinco grandes frentes — governança documentada, criptografia, backup e continuidade, controle de acesso com rastreabilidade e proteção de dados pessoais — e é nelas que a correição vai concentrar a verificação de conformidade da serventia. Abaixo, o que cada frente significa na prática.
Governança e políticas documentadas
A serventia precisa de uma Política de Segurança da Informação (PSI) formalizada, com responsabilidades definidas, regras de uso aceitável e diretrizes de acesso. Também são exigidos Plano de Continuidade de Negócios (PCN) e Plano de Recuperação de Desastres, com riscos mapeados e RTO/RPO definidos.
Complementam o pacote: inventário completo de ativos (sistemas, bancos de dados, certificados, contratos), gestão de vulnerabilidades — as críticas devem ser corrigidas em até 30 dias — e processo de gestão de incidentes com comunicação à Corregedoria em até 72 horas nos casos críticos.
O ponto que mais surpreende titulares: a ausência desses documentos, por si só, já pode caracterizar negligência. Não basta "ter TI funcionando"; é preciso provar por escrito como ela é gerida.
Criptografia
Dados em trânsito devem trafegar com TLS 1.2 ou superior; dados em repouso — servidores, estações, dispositivos móveis e nuvem — exigem robustez mínima equivalente a AES-256 (art. 9º e Anexo II). Protocolos obsoletos precisam ser identificados e substituídos periodicamente.
Backups armazenados fora da serventia ou em infraestrutura de terceiros devem ser criptografados, e a gestão das chaves exige controle de acesso restrito, segregação de funções e registro de utilização. Em bom português: quem guarda a chave não pode ser a mesma pessoa que administra tudo, e cada uso precisa ficar registrado.
Backup e recuperação de desastres
Esta é a frente mais objetiva da norma — e a mais fiscalizável. A periodicidade do backup completo, o RPO (perda máxima de dados tolerada) e o RTO (tempo máximo para voltar a operar) são definidos por classe:
| Classe | Backup completo | RPO máximo | RTO máximo |
|---|---|---|---|
| Classe 1 | A cada 72h | 24 horas | 24 horas |
| Classe 2 | A cada 48h | 12 horas | 24 horas |
| Classe 3 | A cada 24h | 4 horas | 8 horas, com alta disponibilidade |
Além da frequência, a norma exige múltiplos ambientes tecnicamente independentes, com redundância geográfica ou lógica, e ao menos uma cópia protegida contra criptografia maliciosa — imutabilidade do tipo WORM ou bloqueio de retenção contra exclusão administrativa. É a resposta direta ao ransomware, que hoje ataca primeiro o backup, como explicamos em nosso guia sobre ransomware no Brasil.
Testes de restauração são obrigatórios — semestrais na Classe 3, anuais nas Classes 1 e 2 — com registros guardados por no mínimo 5 anos. Backup que nunca foi testado, para o CNJ, é backup que não existe.
Controle de acesso e rastreabilidade
Credenciais compartilhadas e contas genéricas ficam vedadas: cada colaborador precisa de identificação individual, e acessos a sistemas e bases críticas exigem autenticação multifator (MFA) (art. 5º). Fator único só se admite em perfis de menor risco, com justificativa técnica documentada.
Toda operação relevante deve gerar trilha de auditoria: quem fez, o quê, quando (com precisão de segundos) e com qual resultado — protegida contra alteração e retida por no mínimo 5 anos (art. 10). A infraestrutura de rede também entra na conta, com firewall, prevenção de intrusão, segmentação de rede e proteção de endpoints, conforme detalhado nos anexos por classe.
Alinhamento com a LGPD
O Provimento reforça o que a Lei 13.709/2018 já determinava: o delegatário responde pelo tratamento de dados pessoais da serventia (art. 7º). A PSI deve prever registro das operações de tratamento, atendimento aos direitos dos titulares de dados e comunicação de incidentes à ANPD nos prazos legais.
Na prática, um vazamento passa a acionar duas frentes simultâneas: a Corregedoria (em até 72 horas) e a ANPD. Conformidade com o 213 e com a LGPD deixam de ser projetos separados — são o mesmo projeto.
Checklist de conformidade: por onde começar
Antes de contratar qualquer solução, faça uma autoavaliação honesta da serventia: os quinze itens abaixo cobrem os pontos que a correição tende a verificar primeiro e permitem identificar, em menos de uma hora, onde estão as lacunas mais graves entre a sua realidade atual e o que o Provimento 213/2026 exige.
Copie e responda com sim/não/parcial:
- Sabemos nossa classe (receita bruta semestral) e os prazos que se aplicam a nós?
- Existe uma Política de Segurança da Informação escrita, aprovada e divulgada à equipe?
- Existe Plano de Continuidade de Negócios e de Recuperação de Desastres documentado?
- Temos inventário atualizado de sistemas, equipamentos, bancos de dados e certificados?
- O backup roda na frequência exigida pela nossa classe (72h/48h/24h)?
- Existe cópia de backup imutável (protegida contra exclusão e ransomware) fora da serventia?
- Os backups são criptografados e já fizemos teste de restauração documentado?
- Dados em repouso usam criptografia equivalente a AES-256? E o tráfego usa TLS 1.2+?
- Cada colaborador tem login individual, sem senhas compartilhadas?
- Há MFA nos sistemas críticos, e-mail e acessos administrativos?
- Os sistemas geram logs de quem fez o quê, com retenção mínima de 5 anos?
- Temos firewall gerenciado, rede segmentada e antivírus corporativo em todas as máquinas?
- Existe procedimento escrito para responder a incidentes e comunicar a Corregedoria em 72h?
- Vulnerabilidades críticas são corrigidas em até 30 dias?
- O tratamento de dados pessoais está mapeado e alinhado à LGPD, com encarregado definido?
Menos de dez "sim"? Priorize, nesta ordem: backup imutável, MFA e a documentação de governança — são os itens de maior risco e de verificação mais fácil pela correição.
Quanto custa se adequar
O custo de adequação ao Provimento 213/2026 varia principalmente com a classe da serventia, o estado atual do parque tecnológico e a escolha entre comprar ou locar equipamentos, mas é possível trabalhar com faixas de referência de mercado para planejar o orçamento sem surpresas — lembrando que os valores abaixo são estimativas gerais, não proposta comercial.
| Componente | Modelo típico | Faixa de referência* |
|---|---|---|
| Firewall de próxima geração (ex.: Fortinet, Sophos) | Aquisição + licenças anuais | R$ 5 mil a R$ 30 mil (equipamento), conforme porte |
| Firewall em locação gerenciada | Mensalidade com licenças e gestão incluídas | R$ 1.400 e R$ 5 mil+/mês |
| Backup gerenciado com cópia imutável | Mensalidade por volume de dados | R$ 200 a R$ 2 mil+/mês |
| Infraestrutura (servidor, virtualização, nobreak, rede segmentada) | Investimento pontual | R$ 10 mil a R$ 60 mil+ |
| Gestão contínua de TI e segurança + documentação (PSI, PCN, logs) | Contrato mensal | R$ 1,5 mil a R$ 6 mil+/mês |
*Faixas de mercado observadas em 2026 para serventias de pequeno e médio porte; solicite sempre orçamento formal.
Dois caminhos reduzem o impacto no caixa. A locação de firewall transforma o investimento em segurança de perímetro em despesa mensal previsível, já com licenças, gestão e suporte inclusos. E a contratação de serviços gerenciados dilui o custo de especialistas que uma serventia dificilmente conseguiria manter internamente — modelo que a Novatera aplica em projetos de infraestrutura combinados com segurança e documentação.
O erro mais caro é comprar equipamento sem projeto: hardware sem PSI, sem logs e sem testes de restauração não gera conformidade — gera despesa.
O risco de não cumprir
Descumprir o Provimento 213/2026 expõe o titular a um encadeamento de consequências que começa na correição ordinária e pode terminar em processo administrativo disciplinar, responsabilização civil e penal e sanções da LGPD — tudo isso somado ao risco operacional de um ransomware paralisar a serventia sem backup restaurável.
O art. 24 é direto: descumprimento injustificado, quando caracterizada negligência, imprudência ou omissão relevante, pode ensejar procedimento administrativo disciplinar. E a responsabilidade é pessoal e indelegável — contrato com empresa de TI não transfere o dever do delegatário (arts. 13 e 14).
Há ainda o efeito cascata: um incidente com dados pessoais aciona a ANPD, cujas sanções chegam a 2% do faturamento, limitadas a R$ 50 milhões por infração, além do dano reputacional perante o Judiciário e a comunidade local. Entidades como o IRTDPJ Brasil e o Recivil têm alertado: a fase de tolerância com TI improvisada em serventia acabou.
O outro lado é positivo: quem se adequa cedo transforma a exigência em vantagem — operação mais estável, menos risco de parada e argumento de confiança perante usuários e Corregedoria.
Perguntas frequentes
O Provimento 213/2026 já está em vigor?
Sim. Foi publicado em 20 de fevereiro de 2026 e está vigente, com redação alterada pelo Provimento 243/2026. Os prazos das etapas iniciais (180 a 300 dias, conforme a classe) contam a partir de 21 de julho de 2026, e a implementação integral escalona entre 24 e 36 meses.
Minha serventia é pequena. Também preciso cumprir?
Sim. A norma alcança todas as serventias extrajudiciais do país. O que muda por classe é a intensidade de alguns requisitos (frequência de backup, RPO/RTO, nível de log) e o prazo — a Classe 1 tem até 300 dias para as etapas iniciais e 36 meses para o conjunto.
Posso terceirizar a TI e transferir a responsabilidade?
Pode terceirizar a execução; não pode transferir a responsabilidade. O Provimento é explícito: o dever de conformidade é pessoal do delegatário, mesmo com fornecedores contratados. Por isso, exija do seu prestador documentação, relatórios e evidências — é isso que você apresentará em correição.
O que acontece se eu perder o prazo?
Prorrogações são excepcionais: exigem decisão fundamentada da Corregedoria, plano formal com cronograma e medidas compensatórias, limitadas a 180 dias cumulativos. Esgotadas, abrem-se prazo de regularização e medidas correicionais graduadas pela gravidade — podendo chegar ao processo disciplinar.
Backup no Google Drive ou OneDrive atende à norma?
Sozinho, não. A norma exige cópias em ambientes independentes, ao menos uma com imutabilidade contra exclusão administrativa, criptografia, RPO/RTO por classe e testes de restauração documentados. Sincronização de arquivos não cumpre esses requisitos — se o ransomware criptografa a máquina, a nuvem sincroniza o estrago.
Qual a diferença em relação ao Provimento 74/2018?
O 74/2018 trazia diretrizes genéricas e pouco verificáveis. O 213/2026 o revogou e trouxe requisitos objetivos — algoritmos mínimos de criptografia, métricas de backup, MFA, retenção de logs de 5 anos, prazos e sanções — transformando a segurança da informação em obrigação auditável.
Adeque sua serventia com quem já atende cartórios
A Novatera atua desde 2013 em cibersegurança gerenciada, infraestrutura e backup, é parceira oficial Fortinet, Sophos, Microsoft e Cisco Duo e já atende cartórios do Pará — entre eles o Cartório Magalhães, o Cartório Tapurah e o Cartório de Feliz Natal — com projetos que combinam infraestrutura, backup, segurança e a documentação exigida em correição.
O primeiro passo não é comprar equipamento: é avaliar a distância entre a sua serventia e a norma, item por item.
*Fontes: Provimento nº 213/2026 — texto oficial consolidado (CNJ) · Guia de Implementação do Provimento 213/2026 (ONR) · IRTDPJ Brasil · Recivil · Datasafer