Provimento 213 do CNJ: o que os cartórios precisam fazer em segurança

Cartórios guardam livros, matrículas, procurações e dados pessoais de milhões de pessoas. O Provimento 213/2026 do CNJ transformou a segurança dessas serventias em obrigação com prazo. Este texto resume o que a norma diz, com base nos textos oficiais, e aponta por onde começar. Não é parecer jurídico: confirme o enquadramento e os prazos com a Corregedoria do seu Tribunal.

O que é o Provimento 213

Editado em 20/02/2026 pela Corregedoria Nacional de Justiça, ele define padrões mínimos de tecnologia da informação e comunicação para os serviços notariais e de registro e revoga o Provimento 74/2018. Os objetivos são segurança, integridade, disponibilidade, autenticidade, rastreabilidade e continuidade do serviço.

Em 21/07/2026, o Provimento 243 alterou o enquadramento das serventias e os prazos. Ele entra em vigor 30 dias após a publicação no DJe (23/07/2026), o que, pela contagem, leva a 22/08/2026. Os prazos abaixo correm dessa vigência.

Classes e prazos

Desde o Provimento 243, a classe depende da receita bruta semestral da serventia, e não mais de uma base fiscal. Entram emolumentos e outras receitas da delegação; saem somente os valores arrecadados por conta de terceiros e os repasses legais obrigatórios. Despesas, pessoal e tributos não são deduzidos.

Classe	Receita bruta semestral	Etapas 1 e 2	Adequação integral
1	até R$ 300 mil	300 dias	até 36 meses
2	de R$ 300 mil a R$ 1,5 milhão	240 dias	até 30 meses
3	acima de R$ 1,5 milhão	180 dias	até 24 meses

Cada classe se divide em subclasses (A a J), que calibram o nível técnico exigido. O enquadramento é revisto todo ano, pela média do exercício anterior, e os limites em reais são atualizados anualmente pela Corregedoria Nacional. As serventias de Classe 1, em especial as da Subclasse A, são prioridade para apoio técnico e programas de adequação.

O que a norma exige do ambiente

Os requisitos variam por classe e constam dos Anexos. Os principais:

Acesso: autenticação individual e MFA obrigatório em acessos administrativos; contas genéricas e credenciais compartilhadas são vedadas.
Criptografia: dados em trânsito (TLS 1.2 ou superior) e dados críticos em repouso (equivalente a AES-256 ou superior), inclusive nos backups.
Backup: rotina automatizada e monitorada, em pelo menos dois ambientes independentes, com ao menos uma cópia protegida contra criptografia maliciosa e exclusão indevida, e testes de restauração documentados (anuais nas Classes 1 e 2; semestrais na Classe 3).
Metas de recuperação: RPO máximo de 4 horas (Classe 3), 12 horas (Classe 2) e 24 horas (Classe 1); RTO máximo de 8 horas na Classe 3 e 24 horas nas demais.
Endpoint e rede: proteção de endpoint (antivírus, antimalware ou equivalente) em todas as estações e servidores, firewall com IPS/IDS ou equivalente e segmentação mínima de rede.
Vulnerabilidades: correção de falhas críticas em até 30 dias; havendo exploração ativa, contenção imediata e correção emergencial, preferencialmente em até 72 horas.
Incidentes: procedimento documentado de resposta e comunicação de incidente crítico à Corregedoria em até 72 horas.
Pentest: na Classe 3, a cada 2 anos e quando houver mudança relevante de infraestrutura, com regras específicas para quem usa solução centralizada ou SaaS.
Tecnologia fora de suporte: não pode ser usada para cumprir os requisitos (art. 4º, § 3º). Sistemas sem atualizações de segurança do fabricante saem do jogo, e o cartório precisa manter a evidência do suporte vigente.

Exceções e prorrogação

O art. 20-A permite, de forma excepcional, cumprir uma exigência em nível técnico diferente, mediante pedido à Corregedoria, três orçamentos e laudo técnico. A autorização vale por no máximo um ano e não alcança backup, integridade e autenticidade dos atos, controle de acesso e registro de auditoria.

O art. 21 permite que a Corregedoria do Tribunal prorrogue os prazos, com plano formal de adequação e medidas compensatórias, até o limite total de 180 dias.

Quem responde

A responsabilidade é pessoal e indelegável do titular, interino ou interventor, mesmo com fornecedor contratado ou solução coletiva (art. 14). Isso inclui escolher e supervisionar quem presta o serviço. O descumprimento injustificado, havendo negligência, imprudência ou omissão relevante, pode gerar processo administrativo disciplinar (art. 24), sem prejuízo da responsabilidade civil e penal.

O cumprimento de cada etapa é declarado no Sistema Justiça Aberta, com renovação anual e síntese do dossiê técnico. A fiscalização é orientada por risco: inconsistências entre o declarado e as evidências chamam atenção.

Por onde começar

Descobrir a classe. Some a receita bruta semestral e confira a faixa, com a contabilidade.
Inventariar. Liste computadores, servidores, sistemas, contratos de TI e o que está sem suporte do fabricante.
Cobrir o básico das etapas 1 e 2. Política de segurança com responsáveis, MFA nos acessos administrativos, proteção de endpoint em todas as máquinas, backup com restauração testada e plano de continuidade.
Revisar os contratos de TI. Confidencialidade, reversibilidade, portabilidade dos dados e gestão de incidentes precisam estar escritas.
Guardar evidências. Logs, testes de restauração e decisões entram no dossiê técnico, e é ele que sustenta a declaração.

Onde a Codlinx entra

A Codlinx é parceira oficial Bitdefender. Na proteção de endpoint, o GravityZone cobre estações e servidores, e o EDR (versão Enterprise) ajuda a detectar, investigar e comprovar o que aconteceu num incidente, o que facilita a comunicação à Corregedoria e à ANPD. A norma não exige EDR pelo nome: exige proteção de endpoint, registro e resposta a incidentes, e a escolha da solução é do titular.

Backup, firewall, pentest e consultoria jurídica ficam fora do portfólio atual da Codlinx; indicamos parceiros quando necessário. Nenhuma ferramenta, sozinha, garante a conformidade: ela depende de política, processo e evidência.

Se quiser entender o ponto de partida do seu cartório, o diagnóstico de segurança é gratuito e leva cerca de 2 minutos.

Perguntas frequentes

Qual é o prazo para o cartório se adequar ao Provimento 213?

Depende da classe. As etapas 1 e 2 (governança, infraestrutura e continuidade) devem estar concluídas em 180 dias (Classe 3), 240 dias (Classe 2) ou 300 dias (Classe 1), contados da entrada em vigor do Provimento 243. A adequação integral tem prazo máximo de 24, 30 e 36 meses, respectivamente.

Como o cartório descobre a sua classe?

Pela receita bruta semestral: Classe 1 até R$ 300 mil, Classe 2 de R$ 300 mil a R$ 1,5 milhão e Classe 3 acima disso. Entram emolumentos e outras receitas da delegação; saem apenas valores de terceiros e repasses legais obrigatórios. O enquadramento é reavaliado todo ano.

A norma obriga o cartório a ter EDR?

Não pelo nome. A norma exige proteção de endpoint (antivírus, antimalware ou solução equivalente) em todas as estações e servidores, além de registro de auditoria, gestão de incidentes e de vulnerabilidades. Um EDR ajuda a detectar, investigar e comprovar o que ocorreu, mas a escolha da ferramenta é do titular.

Contratar uma empresa de TI transfere a responsabilidade?

Não. O art. 14 diz que a solução própria, contratada, compartilhada ou coletiva não afasta a responsabilidade do delegatário, que inclui selecionar, contratar e supervisionar os fornecedores. O contrato deve prever confidencialidade, reversibilidade, portabilidade dos dados e gestão de incidentes.

O cartório pode pedir para cumprir uma exigência em nível menor?

Só excepcionalmente (art. 20-A): com pedido à Corregedoria, orçamentos de no mínimo três fornecedores e laudo técnico. A autorização não é automática, vale por no máximo um ano e não alcança backup, integridade, controle de acesso e registro de auditoria.

Quanto tempo o cartório tem para comunicar um incidente grave?

O Anexo II fixa o máximo de 72 horas para comunicar incidente crítico à Corregedoria. Pelo Anexo IV, a meta de diligência é comunicar em até 24 horas, sempre que possível. Se houver risco relevante a titulares, a LGPD e a ANPD têm regras próprias.