Quando uma nova exigência relacionada à tecnologia chega ao extrajudicial, é natural que a primeira preocupação recaia sobre equipamentos, sistemas, servidores, backups e segurança da informação.
Com o Provimento CNJ nº 213/2026, porém, limitar a adequação à infraestrutura tecnológica pode deixar de lado uma parte essencial da norma: a organização interna da serventia.
Publicado em fevereiro de 2026 e posteriormente alterado pelo Provimento CN nº 243/2026, o Provimento 213 estabeleceu padrões mínimos de tecnologia da informação e comunicação destinados a assegurar segurança, integridade, disponibilidade, autenticidade, rastreabilidade e continuidade dos serviços notariais e registrais.
Isso significa que a adequação não acontece apenas quando uma nova ferramenta é instalada. Ela precisa aparecer também na forma como a serventia distribui responsabilidades, controla acessos, documenta procedimentos, prepara sua equipe e mantém evidências do que está sendo realizado.
Um dos aspectos mais relevantes do Provimento 213 está justamente na estrutura progressiva prevista para sua implementação.
A Etapa 1 é dedicada à governança, estruturação organizacional e conformidade legal. Entre as medidas previstas estão a designação formal de responsáveis, a elaboração da Política de Segurança da Informação, o controle de acessos e o inventário dos ativos tecnológicos.
Somente esse recorte já demonstra uma mudança importante de perspectiva.
Antes de perguntar apenas “qual tecnologia precisamos contratar?”, a serventia precisa responder outras perguntas:
Quem é responsável por acompanhar a adequação?
Quem administra os acessos?
Quais equipamentos, sistemas e ativos tecnológicos estão em uso?
Quais procedimentos estão formalizados?
Onde estão armazenadas as evidências desses controles?
A equipe sabe como agir diante de um incidente?
São questões organizacionais, mas que interferem diretamente na segurança tecnológica da unidade.
O próprio Provimento determina que os responsáveis pelas serventias adotem, formalizem e mantenham políticas de gestão alinhadas à proteção de dados, à regularidade dos atos, à transferência organizada dos acervos e à continuidade dos serviços. A implementação dessas políticas deve ocorrer progressivamente, seguindo as etapas previstas na norma.
Em uma rotina intensa, determinados controles podem acabar dependendo do conhecimento de uma única pessoa.
É comum que alguém saiba quais acessos determinado colaborador possui, outro profissional conheça a rotina de backup e uma terceira pessoa seja responsável pelos contatos com fornecedores de tecnologia.
Enquanto tudo funciona, essa estrutura informal pode parecer suficiente.
O problema aparece quando ocorre uma ausência, mudança de equipe, falha de infraestrutura ou incidente de segurança.
A lógica trazida pelo Provimento 213 busca reduzir justamente essa dependência. A Etapa 1 prevê, entre outras providências, a definição formal de responsáveis pela implementação das medidas de segurança.
Isso não significa criar burocracia por criar. Significa retirar determinados controles do campo do conhecimento informal e transformá-los em processos conhecidos, documentados e verificáveis.
No extrajudicial, essa diferença é especialmente relevante porque não basta apenas fazer. Em diversos contextos, é necessário também conseguir demonstrar o que foi feito.
Outro ponto importante é a Política de Segurança da Informação.
Ela não deve ser vista apenas como um documento elaborado para cumprir uma exigência normativa. Sua função é organizar as regras que orientarão o comportamento da serventia diante da tecnologia e da informação.
É nela que começam a ser definidos aspectos como responsabilidades, critérios de acesso, proteção de dados, utilização dos recursos tecnológicos e diretrizes para continuidade da operação.
O CNJ destaca que a segurança da informação envolve não apenas equipamentos ou sistemas, mas também procedimentos documentados, controles individuais de acesso, backups recuperáveis, planos testados e avaliação dos fornecedores envolvidos na operação.
Por isso, uma política que existe apenas em um arquivo, mas não é conhecida pela equipe, tem pouco valor operacional.
A adequação exige que essas regras sejam incorporadas ao cotidiano.
A organização dos acessos é outro exemplo de como gestão interna e tecnologia passam a caminhar juntas.
Credenciais compartilhadas, acessos mantidos após mudança de função e permissões superiores às necessárias representam fragilidades que muitas vezes surgem menos por falha tecnológica e mais por ausência de processo.
A pergunta deixa de ser apenas se o sistema possui controle de usuários.
É preciso verificar também como a serventia administra esses usuários.
Quem autoriza novos acessos?
Quando as permissões são revisadas?
O que acontece quando um colaborador muda de função ou deixa a equipe?
Existem registros suficientes para identificar quem realizou determinada operação?
O Provimento reforça essa preocupação ao exigir mecanismos de autenticação e trilhas de auditoria capazes de identificar usuário, data, horário, natureza da operação e resultado obtido.
Assim, tecnologia e governança precisam funcionar de forma coordenada.
A Etapa 2 avança para infraestrutura e continuidade operacional.
Entre as exigências está a formalização do Plano de Continuidade de Negócios, o PCN, e do Plano de Recuperação de Desastres, o PRD.
Na prática, a serventia precisa se preparar para uma pergunta que nenhuma organização gostaria de responder apenas depois do problema:
Se uma parte importante da estrutura deixar de funcionar hoje, como o serviço continuará?
O planejamento envolve avaliação de riscos, medidas de mitigação e definição de parâmetros para recuperação da operação.
Isso muda a lógica de atuação.
Em vez de pensar somente em como evitar falhas, passa-se também a estruturar como reagir quando elas ocorrerem.
A norma estabelece, inclusive, que as serventias mantenham procedimentos documentados para gerenciamento de incidentes, abrangendo identificação, classificação, contenção, erradicação, recuperação e registro das ocorrências.
Ou seja, improvisar diante de um incidente deixa de ser compatível com o nível de maturidade esperado.
Outro ponto que merece atenção é a relação com empresas responsáveis por sistemas, infraestrutura, nuvem, backup e outros serviços tecnológicos.
Ter bons fornecedores é fundamental. Mas isso não substitui a governança interna da serventia.
O Provimento 213 é expresso ao estabelecer que a adoção de solução própria, contratada, compartilhada ou coletiva não afasta a responsabilidade do delegatário, interino ou interventor quanto ao cumprimento das obrigações normativas.
Mesmo quando determinados controles são executados por terceiros, permanece o dever de supervisão, fiscalização interna e governança local.
Esse talvez seja um dos pontos mais importantes para a gestão.
Não basta perguntar ao fornecedor se determinada exigência está sendo atendida. A serventia precisa compreender como ela é atendida e quais evidências demonstram esse cumprimento.
O Provimento também traz um elemento que merece atenção especial: a capacidade de comprovação.
O cumprimento das etapas deverá ser declarado no Sistema Justiça Aberta, e as serventias poderão ser chamadas a prestar esclarecimentos e apresentar documentação pertinente.
Isso reforça uma ideia importante:
conformidade não é apenas possuir controles. É conseguir demonstrá-los.
Políticas internas, inventários, registros de acessos, relatórios, testes, documentos de fornecedores, registros de incidentes e demais evidências passam a compor uma estrutura documental que precisa estar organizada.
Deixar essa organização para o momento de uma fiscalização tende a tornar o processo mais difícil.
A lógica mais segura é construir as evidências ao mesmo tempo em que os controles são implementados.
Nenhuma política de segurança funciona adequadamente se ficar restrita ao titular, ao gestor ou ao profissional responsável pela tecnologia.
Boa parte dos riscos nasce justamente da rotina.
Um clique em uma mensagem maliciosa, o compartilhamento inadequado de uma senha, o uso incorreto de um equipamento ou uma credencial que permanece ativa após o desligamento de um colaborador podem comprometer controles tecnicamente bem estruturados.
Por isso, adequação também envolve orientação e capacitação da equipe.
Cada colaborador não precisa se tornar especialista em segurança da informação. Mas precisa compreender quais comportamentos são esperados, quais procedimentos devem ser seguidos e a quem recorrer diante de uma situação atípica.
Segurança deixa de ser responsabilidade exclusiva da TI e passa a fazer parte da cultura operacional da serventia.
Em julho de 2026, o Provimento CN nº 243 modificou os critérios de enquadramento e ampliou os prazos de implementação do Provimento 213. Para a conclusão das Etapas 1 e 2, foram estabelecidos prazos de 180 dias para serventias Classe 3, 240 dias para Classe 2 e 300 dias para Classe 1, contados da entrada em vigor da alteração.
A ampliação, contudo, não transforma esse período em uma espera até a proximidade do vencimento.
O próprio CNJ ressalta que o cronograma progressivo não representa período de inação. O tempo adicional deve ser utilizado para diagnóstico, planejamento, implementação, testes e aperfeiçoamento das soluções.
E isso faz sentido porque algumas das principais providências dependem justamente de organização.
Levantar ativos, revisar acessos, definir responsáveis, elaborar políticas, avaliar contratos, estruturar planos de continuidade e reunir evidências não são atividades que deveriam ser concentradas nas últimas semanas.
O Provimento 213 representa uma mudança importante na forma como a segurança tecnológica passa a ser tratada no extrajudicial.
Não se trata simplesmente de ter um servidor mais moderno, contratar uma solução de backup ou ativar novas ferramentas de proteção.
A exigência é mais ampla.
Ela envolve governança, pessoas, processos, tecnologia e documentação.
Uma serventia pode possuir bons recursos tecnológicos e ainda apresentar fragilidades se não souber quem responde por cada controle, se os acessos não forem administrados adequadamente, se os procedimentos não estiverem formalizados ou se não houver evidências organizadas.
Por outro lado, quando responsabilidades são claras, os processos estão documentados e a equipe compreende seu papel, a adequação deixa de ser uma corrida para atender uma norma.
Passa a fazer parte da própria gestão.
E talvez esteja aí uma das principais mensagens do Provimento 213: segurança da informação não deve ser um projeto realizado apenas diante de uma exigência. Deve ser uma rotina permanentemente organizada, acompanhada e aperfeiçoada dentro da serventia.