Het Rekenkamer van de Unie (TCU) heeft de maatregelen geëvalueerd die door federale overheidsinstanties zijn genomen voorCybersecurity- en informatiebeveiligingscontrolesDe monitoring volgt op de aanbevelingen van de TCU na auditie uit 2024. Het doel is om te controleren of de organisaties binnen het Sisp (Systemen voor het beheer van IT-bronnen) aan de beste praktijken in het vakgebied voldoen. De rapporteur van de zaak is minister Augusto Nardes.
Het onderzoek heeft vooruitgang aangetoond, maar ook problemen geïdentificeerd die nog steeds de informatiebeveiliging in gevaar brengen.Geen van de 239 organisaties die hebben deelgenomen aan de zelfevaluatie heeft alle 56 basismaatregelen voor cyberbeveiliging geïmplementeerd.De organisaties die meer dan 90% van deze maatregelen hebben geïmplementeerd, zijn er nu 12, in plaats van eerder twee. Aan de andere kant zijn de aantallen organisaties die minder dan 40% van deze maatregelen hebben geïmplementeerd gedaald van 166 naar 123. Dit alles wordt ook wel IG1 genoemd. De acties zijn gericht op bescherming tegen de meest voorkomende aanvallen.
Een deel van de verbeteringen is gerelateerd aan veranderingen in het Programma voor Privacy en Informatiebeveiliging (PPSI), gecoördineerd door het Secretariaat voor Digitale Overheid van het Ministerie van Bestuur en Publieke Diensten (SGD/MGI).De versie 2.0 van het programma omvat indicatoren en doelstellingen, verbeterde criteria voor de beoordeling van de implementatie van de controles en het online hulpmiddel SisPPSI.De vervanging van de monitoring door spreadsheets, hebben ook de verantwoordelijkheden van het hogere management duidelijker gemaakt en de beoordelingsladder van de veiligheidsmaatregelen verbeterd. Door deze maatregelen zijn zes eerder geïdentificeerde risico's als verminderd beschouwd.
Hoewel het hof echter van mening is dat er nog steeds uitdagingen zijn om de veiligheidsmaatregelen in de praktijk te brengen. Een van de problemen isTekort aan professionalsinformatietechnologie, zowel binnen de SGD/MGI als in de organisaties van het Sisp.Hoge personeelsverloopDeze professionals dragen ook bij aan onderbrekingen in de activiteiten en het onderhoud van de controles. Volgens de monitoring was de instroom van nieuwe professionals onvoldoende om de vraag te dekken. De TCU wijst op de noodzaak van maatregelen om de carrière van IT-analist aantrekkelijker te maken en uit te breiden. Bovendien hadden 15 organisaties nog geen officiële informatiebeveiligingsmanager aangewezen om de acties in dit gebied te coördineren.
De mogelijkheid om te controleren of de maatregelen daadwerkelijk zijn genomen, vormt ook een uitdaging. De TCU heeft vastgesteldMoeilijkheden bij het aantonen van de implementatie van de door de instanties aangekondigde controles.Omdat de beoordeling gebaseerd is op zelfaangiften, zijn er niet altijd documenten of andere bewijzen die de verstrekte informatie bevestigen. De SGD/MGI plant vanaf het jaar 2027 documentair bewijs te eisen voor geselecteerde maatregelen.
Het Hof wijst ook opbeperkingen in de mechanismen om de naleving van de maatregelen in het PPSI te garanderen.het ontbreken van formele criteria om organisaties met vergelijkbare kenmerken te groeperen en de onvoldoende financiële middelen. Deze factoren bemoeilijken het toezicht op de controles en het bepalen van passende acties voor de behoeften van elk orgaan.
Een ander punt betreftde manier waarop de orgaan cyberrisico's beoordelen.Het toezicht heeft vastgesteld dat het bestaan van een risicobeheersproces niet garandeert dat de organisaties hebben gecontroleerd of het risiconiveau aanvaardbaar is in het licht van de diensten en openbare beleidsmaatregelen die zij aanbieden. Daarom raadde de TCU de SGD/MGI aan om in de vragenlijsten voor de volgende cycli van zelfevaluatievragen over de aanvaardbaarheid van deze risico's op te nemen.De maatregel heeft tot doel niet alleen het bestaan van formele procedures te controleren, maar ook of de instanties de mogelijke gevolgen van aanvallen op hun activiteiten beoordelen.
Het gebrek aan informatie om de implementatie van de maatregelen te volgen, is ook een zorg. Van de verwachte 743 diagnoses en actieplannen in de beoordeelde cycli, zijn er 45 niet geleverd.Het ontbreken van documenten belemmert het volgen van de beveiligingsrijpheid van informatie en maakt het moeilijk om behoeften te evalueren en middelen te richten.
De resultaten van het toezicht wijzen erop dat, hoewel het federale programma vooruitgang heeft geboekt, er nog steeds maatregelen nodig zijn om de adoptie van controles uit te breiden, het risicomanagement te verbeteren en de beveiligingsstructuur van de instanties te versterken.De maatregelen zijn belangrijk omdat overheidsinstanties persoonlijke gegevens opslaan en diensten bieden die door de bevolking worden gebruikt.Cyberaanvallen kunnen informatie blootleggen, diensten onderbreken en de levering van diensten belemmeren.
Deze maatregelen zijn essentieel omdat overheidsinstanties persoonlijke gegevens opslaan en diensten bieden die door de bevolking worden gebruikt.Cyberaanvallen kunnen leiden tot blootstelling van informatie, onderbreking van diensten en verstoring van de dienstverlening.Het monitoring benadrukt de noodzaak om de implementatie van beveiligingscontroles uit te breiden, de risico-evaluatie te verbeteren en de rol van de verantwoordelijken voor de bescherming van openbare informatie te versterken.
DIENST
Lees de volledige uitspraak:Arrest 2829/2026
Proces: TC 005.618/2025-8
Regelmatige zitting: 14/10/2026
Secom - CB/va
Persondersteuning - e-mail:pers (of) de pers (van) tcu.gov.br
Burgerondersteuning - e-mail:klachtenbureau@tcu.gov.br