Provimentos CNJ nº 213/2026 e nº 243/2026: implementação tecnológica segura nos cartórios

Mais do que instalar antivírus, trocar computadores ou contratar armazenamento em nuvem, a nova disciplina do CNJ exige que serventias brasileiras saibam prevenir falhas, proteger o acervo, responder a incidentes e demonstrar, com provas, que seus controles funcionam.

O expediente ainda nem terminou quando o sistema deixa de responder. Um escrevente tenta acessar o ato que estava preparando; outro pergunta se a rede caiu. Na recepção, alguém precisa explicar a um cidadão por que seu atendimento terá de esperar. Não sabemos se foi uma oscilação elétrica, uma atualização malsucedida, uma falha do fornecedor ou um ataque. A cena é hipotética, mas a pergunta é muito concreta: se o cartório perde acesso aos próprios dados, por quanto tempo consegue continuar servindo à população?

Essa pergunta resume uma mudança importante na regulamentação extrajudicial. O problema da tecnologia não se limita ao preço dos equipamentos nem à conveniência de um software. Nos cartórios, um registro perdido, alterado indevidamente ou indisponível pode comprometer atos jurídicos, direitos, identidade, patrimônio e confiança pública.

Eu partiria de um princípio simples: modernizar uma serventia não é comprar uma aparência de segurança; é construir uma capacidade demonstrável de proteção e continuidade. É nesse contexto que devem ser lidos o Provimento CNJ nº 213, de 20 de fevereiro de 2026, e o Provimento nº 243, de 21 de julho do mesmo ano. [1] [2]

1. Por que segurança tecnológica virou assunto central no extrajudicial?

Um cartório de notas, um registro civil, um registro de imóveis ou uma serventia de atribuições acumuladas não é uma empresa comum que pode simplesmente fechar o computador e retomar os negócios quando quiser. São serviços públicos exercidos em caráter privado por delegação, sujeitos à fiscalização do Poder Judiciário. A confiabilidade de seus arquivos integra o próprio valor social do serviço.

A Lei nº 8.935/1994, em seu artigo 46, estabelece a guarda e a responsabilidade do titular em relação a livros, fichas, documentos, papéis, microfilmes e sistemas de computação. Essa obrigação não começou com a inteligência artificial, com o armazenamento em nuvem ou com os ataques de ransomware. A tecnologia transformou os riscos e os meios necessários para enfrentá-los. [3]

É por isso que uma falha aparentemente pequena merece atenção. A senha compartilhada entre funcionários não é apenas uma prática inconveniente: dificulta a identificação de quem executou determinada operação. O backup que nunca foi restaurado não é garantia suficiente de continuidade. E um contrato que impede a exportação do acervo pode transformar a troca de fornecedor em risco institucional.

O CNJ trata o tema como um problema de governança, não como uma lista de compras. Sua comunicação institucional ressalta a proteção dos acervos, a prevenção de incidentes e a continuidade dos serviços. [4]

“Segurança é um processo, não um produto.”

Bruce Schneier, The Process of Security (2000) · tradução livre [5]

A frase de Schneier é especialmente adequada aos cartórios: nenhuma licença, firewall ou empresa terceirizada resolve, sozinha, o problema de uma rotina mal definida. Segurança precisa de gente, procedimentos, verificação e melhoria contínua.

2. O que o Provimento nº 213/2026 realmente estabeleceu?

O Provimento nº 213/2026 substituiu o antigo Provimento nº 74/2018 e passou a estabelecer padrões mínimos nacionais de tecnologia da informação e comunicação. Entre seus objetivos estão segurança, integridade, disponibilidade, autenticidade, rastreabilidade e continuidade operacional dos serviços notariais e de registro. [1]

Para entender isso sem juridiquês desnecessário, pense nas perguntas que uma serventia deve conseguir responder:

• Segurança e confidencialidade: quem pode consultar cada informação, dentro dos limites legais de publicidade e sigilo?
• Integridade: como detectar alteração indevida de um arquivo ou registro?
• Disponibilidade: o que acontece se um sistema ou conexão sair do ar?
• Autenticidade: como verificar a identidade de quem praticou determinada operação?
• Rastreabilidade: quais registros permitem reconstruir o que aconteceu e quando?
• Continuidade: existe procedimento testado para retomar as atividades após uma ocorrência grave?

Não basta que essas perguntas tenham respostas verbais. A norma adota uma lógica de evidências, etapas sucessivas e responsabilidade formal.

O Provimento nº 214/2026 também atualizou o Código Nacional de Normas do foro extrajudicial para refletir a nova referência ao Provimento nº 213. Isso ajuda a compreender o conjunto normativo, sem confundir os diferentes atos. [6]

3. O que mudou com o Provimento nº 243/2026?

A primeira informação que merece destaque é que o nº 243 não revogou o nº 213. Ele modificou sua disciplina, principalmente nos critérios de enquadramento econômico das serventias, nos prazos de implementação e em mecanismos de proporcionalidade e transição. Por isso, ler apenas uma versão antiga ou um resumo feito antes de julho de 2026 pode levar a conclusões erradas. [2]

O enquadramento passou a considerar a receita bruta semestral da serventia, com a composição e as deduções específicas previstas no art. 2º, XXIV a XXVI, na redação modificada. Em termos simples, trata-se de receita da delegação apurada segundo a norma, e não de lucro líquido nem do saldo da conta bancária.

A norma inclui, por exemplo, receitas relacionadas a emolumentos, ressarcimento por atos gratuitos e complementação de renda mínima, e prevê a dedução de valores arrecadados por conta de terceiros e repasses legais obrigatórios. Não autoriza descontar desse indicador as despesas de pessoal, custeio, investimentos ou os tributos devidos pelo delegatário. O enquadramento exige apuração documental, não estimativa informal.

4. Classes atuais: o porte econômico altera o cronograma, não o dever de proteção

Os prazos foram recalculados a partir da entrada em vigor do Provimento nº 243/2026, publicada a norma em 23 de julho e com vigência trinta dias depois. As datas acima também são apresentadas na explicação institucional da Corregedoria Nacional. [4]

Atenção a uma inversão que pode confundir o leitor: no enquadramento vigente, Classe 1 significa menor faixa de receita; Classe 3, maior faixa. Não se pode tomar uma antiga classificação por volume arrecadado, nem transpor critérios empregados em outros contextos para presumir a classe de um cartório.

Os valores monetários estão sujeitos ao regime de atualização anual previsto no ato; a classificação deve ser reavaliada segundo a metodologia normativa. As subclasses A a J detalham faixas e critérios complementares, mas não alteram a necessidade de verificar a receita efetivamente apurada.

5. O caminho da adequação: cinco etapas cumulativas

O Anexo IV organiza a implantação em cinco etapas. Os marcos são sucessivos e cumulativos: não é possível declarar formalmente concluída uma etapa posterior deixando incompleta a anterior. A implementação antecipada de um controle avançado é possível; a declaração de conformidade, porém, deve respeitar a ordem normativa. [1]

Essa tabela é uma síntese didática, não substitui as condições e subitens completos do Anexo IV. Em particular, os requisitos de etapas posteriores precisam ser conferidos na redação vigente, inclusive quanto às medidas mínimas imediatas previstas fora do cronograma final.

6. Etapa 1: começo pela responsabilidade, não pelo antivírus

A fase de governança exige designações, políticas, inventários e controles. Ela inclui a designação de responsável técnico interno pela implementação, a identificação do responsável pela serventia na qualidade de controlador de dados pessoais, e do encarregado quando aplicável.

É preciso instituir e comunicar internamente a Política de Segurança da Informação (PSI), organizar os registros de atividades de tratamento de dados, manter inventário de ativos e integrações, regularizar licenças de software e revisar contratos com terceiros. A autenticação individualizada e a autenticação multifator para acessos administrativos aparecem nessa etapa, assim como a proibição de credenciais compartilhadas. [1]

Pense em uma pergunta simples: se um colaborador se desligar da serventia hoje, quem revoga seus acessos ao sistema principal, ao e-mail, às plataformas digitais e aos serviços externos? Em quanto tempo? Onde isso fica documentado?

Uma política que existe somente para preencher uma pasta não resolve a questão. Ela precisa orientar o trabalho de quem abre o cartório, de quem presta atendimento, de quem administra o sistema e de quem contrata os fornecedores.

7. Etapa 2: continuidade operacional tem que sair do papel

Na segunda etapa, entra em foco a base física e lógica do serviço: energia, conectividade, infraestrutura, arquitetura, redundância quando pertinente e planos formais de continuidade. O Plano de Continuidade de Negócios (PCN) e o Plano de Recuperação de Desastres (PRD) são formalizados nessa fase, com critérios de risco e metas de recuperação RTO e RPO, conforme os requisitos aplicáveis.

• RTO (Recovery Time Objective) é a meta de tempo para restabelecer uma atividade ou recurso após interrupção.
• RPO (Recovery Point Objective) é a tolerância definida para perda temporal de dados: até qual ponto anterior se admite ter de reconstruir informações.

Esses conceitos são diferentes. Conseguir ligar o servidor em duas horas não garante que todas as transações recentes tenham sido preservadas.

8. Backups: copiar arquivos não é o mesmo que conseguir recuperar o serviço

Backup não é sinônimo de segurança. Uma cópia mantida permanentemente conectada ao mesmo ambiente comprometido pode ser inutilizada pelo mesmo incidente. Uma cópia que ninguém testou pode falhar justamente quando for necessária.

O Provimento nº 213/2026 trata de rotinas, armazenamento externo ao ambiente de origem quando previsto, proteção do acervo, criptografia, testes e documentação. A implementação deve observar a classe da serventia, o Anexo IV e as medidas mínimas imediatamente aplicáveis. [1]

Uma rotina robusta deve permitir identificar a origem das cópias, conferir seu estado, prevenir acessos indevidos, controlar alterações e executar restaurações documentadas. O teste precisa demonstrar o retorno utilizável de informações críticas, não apenas a presença de um arquivo compactado.

Perguntaria à equipe: quem recebe o alerta se o backup falhar? Quem sabe restaurá-lo? Existe cópia protegida das credenciais necessárias? A serventia consegue demonstrar a última restauração bem-sucedida?

“Engenharia de segurança consiste em construir sistemas que permaneçam confiáveis diante de ataques, erros ou acidentes.”

Ross Anderson, apresentação de Security Engineering, Universidade de Cambridge · tradução livre [7]

A ideia de Anderson é útil porque amplia nosso olhar: não basta proteger a máquina contra invasores. Também precisamos lidar com falhas humanas, falta de energia, fornecedores e acontecimentos inesperados.

9. Identidade digital, acesso e trilha de auditoria

Há uma diferença enorme entre saber que “alguém acessou o sistema” e identificar qual pessoa, em qual perfil, executou determinada ação. Por isso, permissões devem corresponder às atribuições efetivas do operador, com identificação individual e rastreabilidade.

A senha do administrador não pode circular no grupo da equipe. O fornecedor não precisa manter acesso remoto permanente sem necessidade e controle. Contas de pessoas desligadas não devem continuar ativas. Operações relevantes precisam produzir registros auditáveis, protegidos contra adulteração e com prazos de retenção compatíveis com as regras aplicáveis.

A autenticação multifator, prevista para acessos administrativos, oferece uma camada adicional. Ela não elimina golpes e erros, mas reduz a dependência exclusiva de uma senha.

A melhor política de acesso é aquela que continua funcionando no cotidiano do balcão: perfis claros, procedimentos objetivos e tratamento disciplinado de exceções.

10. Fornecedor de tecnologia: contratar não significa transferir toda a responsabilidade

É comum que uma serventia dependa de um sistema de terceiros para executar atos, consultar informações e manter bases de dados. Isso pode ser legítimo e eficiente. Mas o responsável pela serventia precisa conhecer as condições do serviço contratado e supervisioná-lo.

O Provimento nº 243/2026 reforçou expressamente a responsabilidade do delegatário, interino ou interventor pela seleção, contratação e supervisão de fornecedores, plataformas e assessorias de TIC. [2]

A norma veda, para cumprimento dos requisitos, tecnologias cujo suporte oficial tenha sido encerrado, observada a disciplina de transição legalmente prevista. O essencial é evitar dependência técnica irrecuperável e documentar a situação de suporte e segurança dos componentes relevantes.

11. LGPD, publicidade registral e proteção de dados: como conciliar?

Há uma simplificação perigosa em dizer que “com a LGPD ninguém mais pode acessar dados do cartório”. Os serviços extrajudiciais convivem com deveres legais de publicidade, finalidades próprias e limites específicos para o tratamento de informações. Proteção de dados não equivale a sigilo universal; publicidade também não equivale a disponibilização irrestrita.

É preciso identificar a finalidade do tratamento, os fundamentos jurídicos aplicáveis, os destinatários dos dados, os prazos pertinentes, os limites de acesso e as medidas de segurança. A Lei nº 13.709/2018 integra essa análise, em conjunto com as normas registrais e notariais. [8]

Assim, minha orientação editorial seria não reduzir a LGPD a um aviso genérico de privacidade. A adequação deve refletir a operação efetiva: coleta, finalidade, compartilhamento, controle de acesso, armazenamento, atendimento aos titulares nas hipóteses cabíveis e resposta a incidentes.

12. Incidentes: quando a serventia sofre uma falha grave, quem faz o quê?

Imagine que, às 9h15, arquivos passam a apresentar extensões desconhecidas e o sistema exibe uma mensagem exigindo pagamento. É uma situação hipotética de possível ransomware. A pior decisão seria permitir que todos continuassem tentando abrir os arquivos, usar contas privilegiadas sem coordenação ou apagar registros antes de preservar evidências.

Um plano de resposta deve prever identificação, contenção, preservação de evidências, avaliação do impacto, comunicação às autoridades competentes quando exigida, recuperação e revisão das causas. A comunicação precisa observar os regimes distintos do CNJ e da legislação de dados pessoais.

No Anexo IV, a comunicação à Corregedoria de incidentes críticos segue as regras e prazos normativos pertinentes; a meta de até 24 horas, sempre que possível, é apresentada como padrão reforçado de diligência em circunstâncias relevantes, sem substituir as condições específicas do ato. Paralelamente, a Resolução CD/ANPD nº 15/2024 estabelece, em regra, comunicação à ANPD e aos titulares em três dias úteis para incidentes que possam acarretar risco ou dano relevante, ressalvadas disposições legais específicas. Essas obrigações não devem ser tratadas como se fossem um único prazo. [9]

Um bom procedimento deve ser lido e compreendido por toda a equipe, não apenas pelo técnico. Quem identifica o problema precisa saber a quem comunicar, quais medidas iniciais são autorizadas e o que não deve fazer sem orientação.

13. Dossiê de evidências: cumprir e conseguir demonstrar são coisas diferentes

Uma frase merece ser repetida: não basta declarar que existe controle. É preciso demonstrar como ele foi implementado, por quem, quando e com qual resultado.

O Anexo IV organiza a conclusão dos requisitos, inclusive as informações a registrar no Sistema Justiça Aberta. Para as Classes 2 e 3, a comprovação utiliza mecanismos de integridade, como listagem de hashes e assinatura digital, ou formatos admitidos na norma. Para a Classe 1, existe a possibilidade de relatório simplificado e declaração de conformidade, preservando evidências adequadas e a responsabilidade por seu conteúdo. A guarda documental mínima prevista para tais evidências é de cinco anos, observadas as regras específicas aplicáveis a cada documento. [1]

Esta tabela apresenta exemplos de documentação, não a lista exaustiva de itens exigidos pela norma. A coleta de evidências deve evitar exposição desnecessária de dados pessoais e segredos de segurança: relatórios podem ser mascarados ou protegidos de maneira apropriada.

14. A norma exige produtos, marcas ou soluções específicas?

Não se deve confundir objetivo de segurança com marca de tecnologia. A redação do Provimento nº 213 admite soluções tecnicamente equivalentes ou superiores, com demonstração funcional, observando proporcionalidade, necessidade, utilidade e custo-benefício. A Classe 1 conta com formas simplificadas de comprovação. [1]

Isso não significa liberdade para ignorar requisitos essenciais, nem autorização automática para substituir controles por opções mais baratas. A equivalência deve ser demonstrável.

O Provimento nº 243 também incluiu regime específico para situações excepcionais de inviabilidade ou desproporcionalidade, mediante requerimento, documentação técnica, pelo menos três orçamentos e laudo técnico de profissional habilitado, sujeito a decisão fundamentada da Corregedoria competente. O pedido, por si só, não suspende o dever de cumprir a exigência; e requisitos mínimos indispensáveis de proteção do acervo e dos dados pessoais não são dispensados por essa via. [2]

Há, ainda, hipótese própria de prorrogação excepcional dos prazos iniciais por decisão fundamentada, com plano formal e medidas compensatórias, cujo somatório não pode superar 180 dias. Não se trata de adiamento unilateral escolhido pela serventia.

15. Pequenas serventias: proteção compatível com recursos disponíveis

Uma unidade de baixa receita pode operar com poucos colaboradores, espaço limitado e forte dependência de fornecedores externos. Ignorar essas condições produziria exigências descoladas da realidade. Ignorar a necessidade de proteger o acervo seria igualmente grave.

A proporcionalidade busca enfrentar as duas situações. Para uma serventia da Classe 1, o caminho pode envolver organização de políticas objetivas, autenticação individual, cópias protegidas, soluções compartilhadas ou em nuvem quando adequadas ao requisito aplicável, treinamento e relatório simplificado. Mas não existe uma licença para improvisar permanentemente.

O investimento mais caro nem sempre é o mais seguro. A ordem correta é definir riscos e requisitos, comparar propostas, confirmar equivalência e manter evidências. Comprar primeiro e descobrir depois quais exigências precisavam ser atendidas é uma forma cara de planejar.

16. Um roteiro de implantação para os próximos 90 dias

O cronograma abaixo é uma proposta de organização gerencial, não substitui os prazos nem a sequência oficial do Anexo IV.

O principal resultado esperado desses três meses não é um selo improvisado de “100% adequado”. É um diagnóstico sério, ações de redução de risco e uma trilha de execução com responsabilidades verificáveis.

17. O que eu cobraria de uma plataforma de implementação normativa?

Existem soluções capazes de apoiar esse trabalho, desde que não confundam gerenciamento de documentos com cumprimento jurídico automático. Eu procuraria uma ferramenta que permita relacionar cada requisito da norma ao responsável, ao procedimento, à evidência, ao prazo e ao resultado da verificação.

Um ambiente de acompanhamento pode oferecer inventário de ativos, cadastro de fornecedores, biblioteca de políticas, controle de revisões, dossiês por etapa, trilha de auditoria, registro de treinamento, testes de restauração e painéis de pendências.

A possibilidade de gerar formulários e relatórios é útil. Mas documentos preenchidos automaticamente não comprovam que o controle foi realmente executado. A plataforma deve distinguir informação declarada, evidência anexada, validação técnica e etapa formalmente concluída.

Também considero importante evitar divulgação excessiva do dossiê. Logs, diagramas de rede, credenciais, certificados e outros materiais podem exigir proteção específica; disponibilizá-los sem controle seria contradizer a própria finalidade de segurança.

18. Inteligência artificial e automação: apoio importante, mas com limites

Ferramentas de automação podem ajudar a organizar prazos, identificar documentos ausentes, gerar modelos iniciais e orientar o preenchimento. Sistemas com inteligência artificial também podem resumir normas e sugerir relações entre exigências.

Entretanto, um modelo não substitui uma auditoria técnica, uma leitura jurídica atualizada ou uma restauração de backup. Tampouco deve receber dados pessoais ou documentos sigilosos sem avaliação de finalidade, segurança, acesso, retenção e base jurídica apropriada.

Eu desconfiaria de qualquer plataforma que prometa conformidade integral apenas porque um questionário foi respondido. Uma atividade pública delegada merece mais do que uma sequência de caixas marcadas.

19. O que a gestão pode aprender com os estudos de qualidade e segurança?

A engenharia de segurança ensina que o ambiente muda continuamente. Um controle que era razoável quando foi implantado pode se tornar insuficiente depois de uma atualização, troca de fornecedor, mudança de equipe ou descoberta de vulnerabilidade.

O NIST Cybersecurity Framework 2.0 organiza a gestão de riscos em seis funções complementares: governar, identificar, proteger, detectar, responder e recuperar. Ele não substitui o Provimento do CNJ, mas oferece uma estrutura conceitual internacional útil para entender por que segurança não se resume à prevenção. [10]

“É um mito custoso supor que aquilo que não conseguimos medir não pode ser administrado.”

W. Edwards Deming, The New Economics · tradução livre; contextualização pelo Instituto Deming [11]

Essa citação ajuda a evitar o outro extremo: medir quantidade de checklists e esquecer a qualidade real do trabalho. Um indicador mostra quantos testes ocorreram; ele não dispensa examinar se os testes foram bem feitos. A ausência de incidentes conhecidos tampouco prova ausência de vulnerabilidades.

20. Perguntas frequentes que merecem respostas claras

O Provimento nº 243/2026 substituiu integralmente o nº 213/2026?

Não. O nº 243 alterou dispositivos do nº 213, com destaque para enquadramento econômico, prazos e regimes excepcionais. A leitura correta é a da redação atualizada do ato principal.

A Classe 3 representa o cartório menor?

Não. Na classificação econômica atual do Provimento nº 213 com as alterações do nº 243, a Classe 3 corresponde às serventias de receita bruta semestral superior a R$ 1,5 milhão, segundo o critério da norma.

Contratar empresa de TI encerra a responsabilidade do delegatário?

Não. A terceirização pode auxiliar na implementação, mas não elimina a responsabilidade de seleção, contratação e supervisão, nem as obrigações de conformidade.

Usar armazenamento em nuvem é proibido?

Não existe proibição geral. A adequação depende da arquitetura, da proteção, dos contratos, da segregação dos dados, da recuperação e da correspondência com os requisitos normativos.

Um backup não testado basta?

Não é uma demonstração satisfatória de recuperabilidade. O planejamento e as evidências devem considerar os testes aplicáveis e os resultados reais.

Posso declarar a Etapa 3 concluída antes da Etapa 2?

Não, para efeitos formais de conformidade cumulativa. É possível antecipar tecnicamente medidas avançadas, mas não pular a ordem de declaração do Anexo IV.

Os prazos prorrogados autorizam o cartório a esperar?

Não. A norma mantém exigências mínimas e medidas de prevenção de riscos desde a vigência, ainda que determinados marcos sejam progressivos.

Conclusão — O cartório precisa de segurança verificável, não de uma pasta bonita

Volto à cena do começo: o sistema cai, o atendimento para, a equipe procura respostas. Naquele momento, a qualidade da segurança não será medida pelo número de documentos coloridos ou pela promessa publicitária de um fornecedor. Ela aparecerá na capacidade de identificar o problema, proteger as informações, manter serviços essenciais e recuperar o ambiente com responsabilidade.

Os Provimentos CNJ nº 213/2026 e nº 243/2026 representam uma mudança de perspectiva. Eles reconhecem que as serventias possuem capacidades econômicas distintas, mas exigem que todas avancem na proteção de seus dados e na continuidade dos serviços, respeitados os requisitos e prazos de cada classe.

A implantação não deve ser tratada como uma corrida para imprimir declarações. É uma oportunidade de organizar responsabilidades, corrigir fragilidades antigas, capacitar equipes, exigir mais transparência dos fornecedores e construir uma cultura de cuidado com aquilo que o cartório guarda em nome da sociedade.

“Segurança de verdade não é dizer que o acervo está protegido. É conseguir demonstrar que ele permanece íntegro, acessível e recuperável quando alguma coisa dá errado.”Minha síntese é simples: a tecnologia deve servir à confiança pública, nunca apenas à aparência de modernização.

Um cartório preparado não é aquele que acredita nunca falhar. É aquele que trabalha para reduzir as falhas, conhece seus riscos e sabe como responder quando a realidade exige.

Referências e fontes consultadas

1. CONSELHO NACIONAL DE JUSTIÇA — CNJ. Provimento CN nº 213, de 20 de fevereiro de 2026. Dispõe sobre padrões mínimos de tecnologia da informação e comunicação dos serviços notariais e de registro. Texto com alterações. Norma oficial.
2. CONSELHO NACIONAL DE JUSTIÇA — CNJ. Provimento CN nº 243, de 21 de julho de 2026. Altera o Provimento nº 213/2026. DJe/CNJ nº 172/2026, de 23 jul. 2026. Norma oficial.
3. BRASIL. Lei nº 8.935, de 18 de novembro de 1994. Regulamenta o artigo 236 da Constituição Federal, especialmente art. 46. Texto legal.
4. CONSELHO NACIONAL DE JUSTIÇA — CNJ. Provimento CN 213/2026: Segurança Digital é Segurança para Todos. Orientações institucionais sobre transição, prazos e medidas de segurança. Explicação oficial.
5. SCHNEIER, Bruce. The Process of Security. Schneier on Security, abr. 2000. Ensaio original.
6. CONSELHO NACIONAL DE JUSTIÇA — CNJ. Provimento CN nº 214, de 26 de fevereiro de 2026. Atualização do Código Nacional de Normas sobre o Provimento nº 213. Norma oficial.
7. ANDERSON, Ross. Security Engineering. Apresentação da obra e materiais acadêmicos pela Universidade de Cambridge. Página do autor.
8. BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais — LGPD. Texto compilado.
9. AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS — ANPD. Comunicação de Incidente de Segurança. Orientações sobre Resolução CD/ANPD nº 15/2024. Orientação oficial.
10. NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY — NIST. NIST Releases Version 2.0 of Landmark Cybersecurity Framework. 26 fev. 2024. Documento institucional.
11. DEMING, W. Edwards. The New Economics for Industry, Government, Education. Explicação contextualizada pelo Deming Institute, Myth: If You Can't Measure It, You Can't Manage It, 2015. Contextualização.
12. CONSELHO NACIONAL DE JUSTIÇA — CNJ. Com novo provimento, cartórios entram em nova fase de modernização tecnológica. Agência CNJ de Notícias, 4 mar. 2026. Notícia institucional.
13. BRASIL. Lei nº 6.015, de 31 de dezembro de 1973. Lei de Registros Públicos. Texto compilado.
14. CONSELHO NACIONAL DE JUSTIÇA — CNJ. Normativos de Segurança da Informação. Portal institucional de normas de TIC e segurança. Repositório.

Nota editorial — 11 de outubro de 2026. Esta reportagem é análise informativa e não substitui o texto normativo atualizado, a análise da Corregedoria competente nem a avaliação jurídica e técnica do caso concreto. Datas e valores refletem o quadro regulatório apurado nesta data, sujeito a atos posteriores. As cenas narrativas são hipotéticas e as fotografias foram produzidas digitalmente; não representam servidores, autoridades ou cartórios identificáveis. As citações de estudiosos foram traduzidas livremente e possuem referência identificada.