O que é o Provimento CNJ 213/2026
O Provimento CNJ 213/2026 estabelece os padrões mínimos de tecnologia da informação e segurança para todos os cartórios do Brasil e revoga o Provimento 74/2018. A norma foi editada pela Corregedoria Nacional de Justiça em 20 de fevereiro de 2026 e alcança todos os serviços notariais e de registro do país.
O objetivo declarado no texto oficial é garantir a segurança, a integridade, a disponibilidade, a autenticidade e a rastreabilidade das informações, e assegurar a continuidade das atividades das serventias. O provimento também aproxima a rotina dos cartórios da LGPD (Lei nº 13.709/2018): registro de operações de tratamento, resposta a incidentes e proteção de dados pessoais entram no mesmo arcabouço de conformidade.
Em 21 de julho de 2026, o Provimento CNJ nº 243 alterou o texto original. A mudança alcançou o critério de enquadramento das serventias, os limites de cada classe, os prazos de implementação e o tratamento das exceções. As alterações entraram em vigor em 22 de agosto de 2026, e essa data passou a ser o marco de contagem de todos os prazos do Provimento 213.
Classes de serventia e prazos de adequação ao Provimento 213
O Provimento 213 adota o princípio da proporcionalidade regulatória: as exigências e os prazos variam conforme o porte econômico da serventia. Desde o Provimento 243, o critério é a receita bruta semestral (art. 2º, XXIV), definida como o somatório dos emolumentos e demais receitas do semestre, incluídos o ressarcimento por atos gratuitos e a complementação de renda mínima.
Desse total deduzem-se apenas os valores arrecadados por conta de terceiros e os repasses legais obrigatórios. As despesas de custeio, a folha de pessoal, os investimentos e os tributos do delegatário não entram nessa dedução.
| Classe | Receita bruta semestral (art. 16) | Etapas 1 e 2 (art. 20) | Prazo global (art. 23) |
|---|---|---|---|
| Classe 3 | Acima de R$ 1,5 milhão | 180 dias, até 18/02/2027 | 24 meses, até 22/08/2028 |
| Classe 2 | Acima de R$ 300 mil até R$ 1,5 milhão | 240 dias, até 19/04/2027 | 30 meses, até 22/02/2029 |
| Classe 1 | Até R$ 300 mil | 300 dias, até 18/06/2027 | 36 meses, até 22/08/2029 |
Os prazos correm da entrada em vigor do Provimento 243, em 22 de agosto de 2026. A implementação inicial obrigatória corresponde às Etapas 1 e 2 do Anexo IV, que concentram governança, conformidade legal, infraestrutura e continuidade operacional.
As etapas posteriores obedecem ao cronograma global e podem adotar regime progressivo de maturidade (art. 22). Os limites monetários das classes são atualizados a cada ano de vigência da norma, e cabe à Corregedoria Nacional de Justiça divulgar os valores vigentes (art. 16, § 2º).
Subclasses: o enquadramento fino dentro de cada classe
O Provimento 243 dividiu cada classe em subclasses identificadas pelas letras A a J (art. 16, I a III). A subclasse mantém o prazo da classe e calibra o nível de exigência técnica e a proporcionalidade aplicada a metas como tempo de recuperação ou profundidade de monitoramento.
Subclasse A até R$ 100 mil; Subclasse B acima de R$ 100 mil até R$ 200 mil; e Subclasse C acima de R$ 200 mil até R$ 300 mil.
Subclasse D acima de R$ 300 mil até R$ 500 mil; Subclasse E acima de R$ 500 mil até R$ 1 milhão; e Subclasse F acima de R$ 1 milhão até R$ 1,5 milhão.
Subclasse G acima de R$ 1,5 milhão até R$ 4,5 milhões; Subclasse H acima de R$ 4,5 milhões até R$ 9 milhões; Subclasse I acima de R$ 9 milhões até R$ 18 milhões; e Subclasse J acima de R$ 18 milhões.
O enquadramento é reavaliado a cada ano pela média das receitas brutas semestrais do exercício anterior (art. 16, § 1º). Uma variação pequena não desloca a serventia de imediato: quando a diferença não ultrapassa dez por cento do limite superior da faixa anterior, a norma exige consolidação por dois ciclos consecutivos antes da mudança de enquadramento, tanto na migração ascendente quanto na descendente (art. 16, § 3º).
As serventias da Classe 1, em especial as da Subclasse A, são destinatárias prioritárias dos programas de apoio técnico da Corregedoria Nacional de Justiça (art. 16, § 4º).
O primeiro passo prático de qualquer plano de adequação é identificar a classe e a subclasse da serventia. Elas determinam o prazo, o nível de exigência técnica e o formato de comprovação: dossiê técnico completo ou, para a Classe 1, relatório simplificado.
O que muda em relação ao Provimento 74/2018
O Provimento 213/2026 amplia o escopo regulatório: passa de requisitos pontuais de TI, como o backup obrigatório do Provimento 74/2018, para um modelo de governança documentada, com políticas formais, evidências auditáveis e requisitos técnicos detalhados por classe.
Na prática, a serventia precisa constituir e manter:
- Política de segurança da informação formalizada, que designe os responsáveis.
- Registro de quem fez o quê e quando em cada operação do sistema, guardado por, no mínimo, cinco anos (art. 10 e Anexo II).
- Mais de uma prova de identidade (autenticação multifator) nos acessos administrativos, vedadas as senhas compartilhadas.
- Criptografia dos dados nos padrões técnicos definidos pela norma, tanto no envio quanto no armazenamento.
- Planos de continuidade e de recuperação de desastres, com limites de perda de dados e de tempo de parada definidos por classe (Anexo II).
- Contratos de tecnologia que garantam ao cartório a recuperação integral de seus dados, em formatos abertos, em caso de troca de fornecedor.
- Tecnologia dentro do ciclo de suporte do fabricante, com evidência documental atualizada de que o suporte técnico e as atualizações de segurança seguem vigentes (art. 4º, § 3º).
A comprovação também mudou de natureza. O cumprimento de cada etapa deve ser declarado no Sistema Justiça Aberta, com renovação anual acompanhada de síntese do dossiê técnico (art. 17), e as evidências permanecem sujeitas à fiscalização das Corregedorias. A execução técnica desses itens pode ser contratada; a responsabilidade pela declaração permanece com a serventia.
Tecnologia fora de suporte: a vedação ao End of Life
O art. 4º, § 3º, veda o uso de tecnologias cujo ciclo de suporte oficial pelo fabricante já se tenha encerrado, condição conhecida como End of Life. A serventia precisa manter evidência documental atualizada da vigência do suporte técnico e das atualizações de segurança de cada solução em uso.
Sistema operacional sem correção, equipamento de rede descontinuado e versão de banco de dados fora de manutenção não são aceitos como prova de cumprimento do requisito.
O Provimento 243 abriu, no art. 20-A, um regime de transição para esses casos, que permite programar a substituição dentro do cronograma de adequação. Para o titular, a consequência prática é objetiva: o inventário de ativos precisa registrar a data de fim de suporte ao lado de cada item, e o plano de investimento passa a acompanhar essas datas.
Quando a Corregedoria pode aceitar um nível técnico diferente
O art. 20-A trata as metas da norma como exigíveis de todas as serventias e presume, para a classe e a subclasse de enquadramento, a viabilidade técnica e a proporcionalidade econômica do cumprimento.
A serventia que não conseguir atender a determinada exigência pode requerer à Corregedoria competente autorização para cumpri-la em nível técnico diverso. O pedido deve ser instruído com, no mínimo, três orçamentos e com laudo técnico, firmado por profissional habilitado, que demonstre a indisponibilidade da solução no mercado ou o custo desproporcional à receita bruta semestral.
A autorização não é automática e não produz efeito antes da decisão: até lá, a exigência permanece integralmente aplicável. Deferido o pedido, a decisão fixa prazo certo de, no máximo, um ciclo anual, renovável mediante nova demonstração; define o nível de serviço exigível no período; determina medidas compensatórias; e exige plano de convergência ao padrão da norma.
Cópias de segurança, integridade e autenticidade dos atos, controle de acesso e registro de auditoria ficam fora dessa ressalva (art. 20-A, § 4º).
Em paralelo, o art. 21 mantém a prorrogação de prazo pelas Corregedorias dos Tribunais de Justiça, mediante plano formal de adequação, com cronograma e responsáveis definidos, e adoção imediata de medidas compensatórias de redução de risco. A soma das prorrogações não pode ultrapassar 180 dias, e o deferimento sujeita a serventia a regime especial de acompanhamento pela Corregedoria.
As cinco etapas de implementação
O Anexo IV do Provimento 213 organiza a adequação em cinco etapas sucessivas e cumulativas, e a conclusão de cada etapa deve ser declarada no Sistema Justiça Aberta.
Responsáveis designados, políticas de segurança, autenticação multifator, inventário de ativos e alinhamento à LGPD.
Energia, conectividade, planos de continuidade e de recuperação, e proteção das estações e servidores.
Criptografia em trânsito e em repouso; backup automatizado com redundância geográfica; e armazenamento em ambientes independentes.
Acompanhamento contínuo do ambiente, logs centralizados, gestão de vulnerabilidades e teste de intrusão.
Integração com as plataformas de fiscalização, padrões abertos e reversibilidade.
A ordem importa. A norma veda a declaração de conclusão de uma etapa sem o cumprimento integral da anterior. Um plano de adequação bem construído distribui os investimentos ao longo do cronograma em vez de concentrá-los no fim do prazo.
Antivírus, backup e firewall: o que a norma exige do ambiente do cartório
Três controles técnicos definem o dia a dia da adequação: a proteção das estações de trabalho, o backup do acervo e a defesa perimetral da rede. O titular pode delegar a tecnologia de cada um; a obrigação de mantê-los implantados, em funcionamento e documentados permanece com a serventia, e é isso que a Corregedoria verifica.
Proteção das estações e servidores
A Etapa 2 exige proteção em cada computador e servidor do cartório. O antivírus tradicional identifica ameaças já conhecidas. As soluções de nova geração vão além: detectam comportamentos suspeitos, respondem ao ataque em andamento e registram o que aconteceu, e esse registro é a evidência que o dossiê técnico exige.
A Prolinx opera esse controle como serviço: o antivírus de nova geração gerenciado (NGAV/EDR/XDR), com cobrança por uso e gestão contínua por equipe própria, sem exigir especialista dentro do cartório.
Backup em nuvem
A norma define, por classe, quantos dados a serventia pode perder em um incidente e em quanto tempo precisa voltar a operar: os limites vão de 4 a 24 horas para perda de dados e de 8 a 24 horas para retomada da operação.
Cumprir esses limites exige backup automatizado, uma cópia guardada fora do cartório e testes periódicos que comprovem o funcionamento da restauração. O Probackup, serviço de backup em nuvem da Prolinx, inclui arquivo morto e verificação diária por equipe própria.
Firewall gerenciado
A proteção perimetral controla o tráfego entre a rede do cartório e a internet. O Anexo I exige firewall stateful na borda da rede, e o art. 8º acrescenta segmentação lógica e detecção de intrusão.
O Next Generation Firewall da Prolinx opera como serviço gerenciado, com VPN, anti-spam, sandboxing e balanceamento de links, sob configuração e monitoramento a cargo da equipe da Prolinx.
As exigências variam com a classe da serventia. Um cartório de Classe 1 cumpre os requisitos com menos camadas do que uma serventia de Classe 3. A Prolinx dimensiona esses controles conforme o porte de cada cartório e combina diagnóstico, antivírus gerenciado, backup em nuvem e firewall gerenciado de acordo com a classe e a maturidade do ambiente.
Vulnerabilidades, incidentes e pentest: as obrigações de rotina contínua
Parte das obrigações do Provimento 213 exige rotina permanente de segurança, em prazos que a serventia só sustenta com apoio técnico continuado.
- Correção de vulnerabilidades críticas em até 30 dias quando não há exploração ativa.
- Correção emergencial em até 72 horas quando o ataque está em curso.
- Comunicação de incidentes críticos à Corregedoria em até 72 horas.
- Meta de diligência de 24 horas contadas da ciência do fato (Anexo II).
Para as serventias de Classe 3, a norma exige ainda teste de intrusão (pentest), no mínimo, a cada dois anos: uma simulação controlada de ataque, conduzida por especialistas, que avalia a resistência das defesas e gera o relatório exigido pela fiscalização.
Cumprir prazos dessa natureza exige monitoramento contínuo, método de priorização e equipe especializada. A Prolinx mantém essa operação com base no CVSS para severidade, no MITRE ATT&CK para mapeamento de técnicas de ataque e nos referenciais do NIST para resposta a incidentes, e é certificada na ISO/IEC 27001, norma internacional de gestão de segurança da informação cujos requisitos têm a mesma natureza dos exigidos pelo provimento.
Como estruturar a adequação sem transformar o cartório em empresa de TI
O caminho seguro é tratar a adequação como um programa com método: identificar a classe e a subclasse da serventia, medir a distância entre o ambiente atual e cada exigência aplicável, corrigir primeiro o que expõe o acervo e guardar a evidência de cada item concluído.
Serventias que conduzem esse programa com um parceiro certificado na ISO/IEC 27001 partem de processos já alinhados ao nível de evidência exigido pelas Corregedorias.
Na escolha de fornecedores, a norma recomenda atenção a pontos que o titular consegue verificar em contrato: suporte ativo do fabricante, separação dos dados de cada serventia em infraestrutura compartilhada e cláusulas que garantam a devolução integral do acervo em caso de troca de prestador.
O art. 14, na redação do Provimento 243, delimita o alcance dessa escolha: a responsabilidade do delegatário compreende selecionar, contratar e supervisionar fornecedores, plataformas e assessorias de tecnologia; a adoção de solução compartilhada ou centralizada não transfere o dever de governança local.
Um ciclo contínuo de maturidade em segurança
Concluída a implementação inicial, o Provimento 213 mantém um ciclo permanente de reavaliações: o art. 22 prevê regime progressivo de maturidade para as Etapas 3 a 5, e os anexos determinam testes periódicos de restauração, simulações e revisão de políticas.
As serventias de Classe 3 que optarem pelo plano estruturado de evolução de maturidade passam pela primeira avaliação técnica em até 12 meses contados da entrada em vigor do Provimento 243, ou seja, até agosto de 2027.
Para os cartórios, o Provimento 213 consolida a segurança da informação como função de governança da serventia, no mesmo plano das rotinas registrais.
Na prática, esse trabalho começa pelo diagnóstico em face dos requisitos da própria classe. A partir dele, a Prolinx, certificada na ISO/IEC 27001, combina antivírus de nova geração gerenciado, backup em nuvem (Probackup) e firewall gerenciado conforme a classe e a maturidade de cada serventia.
Perguntas frequentes
O que é o Provimento 213/2026?
É a norma da Corregedoria Nacional de Justiça que define os padrões mínimos de tecnologia da informação e segurança para os serviços notariais e de registro do Brasil. Publicada em fevereiro de 2026 e alterada pelo Provimento 243/2026, revoga o Provimento 74/2018.
Quais são os prazos de adequação ao Provimento 213?
As Etapas 1 e 2 devem ser concluídas em 180 dias (Classe 3), 240 dias (Classe 2) ou 300 dias (Classe 1), contados de 22 de agosto de 2026, data de entrada em vigor do Provimento 243. O prazo global de implementação é de 24, 30 ou 36 meses, conforme a classe.
O que o Provimento 243/2026 mudou no Provimento 213?
Em vigor desde 22 de agosto de 2026, o Provimento 243 substituiu a arrecadação bruta pela receita bruta semestral como critério de enquadramento, elevou os limites das classes (Classe 1 até R$ 300 mil e Classe 2 até R$ 1,5 milhão), criou subclasses de A a J, ampliou os prazos das Etapas 1 e 2 e instituiu o regime de exceção fundamentada do art. 20-A.
Como o cartório descobre em qual classe está?
Pela receita bruta semestral apurada na forma do art. 2º, XXIV: emolumentos e demais receitas do semestre, incluídos ressarcimento por atos gratuitos e complementação de renda mínima, deduzidos apenas os valores arrecadados por conta de terceiros e os repasses legais obrigatórios. A Classe 1 vai até R$ 300 mil; a Classe 2, até R$ 1,5 milhão; a Classe 3 abrange os valores acima disso. O enquadramento é revisto a cada ano pela média das receitas semestrais do exercício anterior.
O Provimento 213 substitui o Provimento 74/2018?
Sim. O Provimento 213/2026 revoga expressamente o Provimento 74/2018 e amplia o escopo regulatório: de requisitos pontuais de TI para um modelo de governança documentada, com evidências auditáveis e requisitos por classe.
Pentest é obrigatório para cartórios?
Para as serventias de Classe 3, o teste de intrusão ou a metodologia equivalente é exigido, no mínimo, a cada dois anos e sempre que houver alteração relevante de infraestrutura ou de fornecedor crítico. A norma admite validação coletiva por meio do fornecedor de tecnologia em hipóteses específicas.
O que acontece se o cartório não cumprir os prazos?
O cumprimento é declarado no Sistema Justiça Aberta e fiscalizado pelas Corregedorias. O art. 21 admite prorrogação, limitada a 180 dias no total, por decisão fundamentada, mediante plano formal de adequação e medidas compensatórias imediatas. Vencido esse limite sem a adequação integral, a Corregedoria abre prazo de regularização e aplica as medidas correicionais cabíveis.
O cartório pode continuar com um sistema fora do suporte do fabricante?
Não. O art. 4º, § 3º, veda o uso de tecnologias em End of Life para fins de cumprimento dos requisitos e exige evidência documental atualizada da vigência do suporte técnico e das atualizações de segurança. O Provimento 243 criou, no art. 20-A, um regime de transição para a substituição desses ativos.
Adequação ao Provimento 213 com método, evidência e segurança operacional.
Fale com a equipe da Prolinx para estruturar o plano de adequação do seu cartório, dimensionar controles conforme a classe da serventia e organizar as evidências exigidas pelas Corregedorias.
