Provimento 74 do CNJ: backup e trilha de auditoria

O que é o Provimento 74 do CNJ

O Provimento 74 do CNJ, de 31 de julho de 2018, fixou os padrões mínimos de tecnologia da informação para a segurança, a integridade e a disponibilidade dos dados dos serviços notariais e de registro. Ele exigia backup a cada 24 horas em mídia física e em nuvem, login individual para cada pessoa que usa o sistema e trilha de auditoria dos atos. Está revogado: o art. 26 do Provimento 213/2026 revogou o Provimento 74. O que vale hoje para a TI do cartório é o 213; o 74 interessa para entender de onde as regras vieram e por que a maioria dos sistemas de cartório já trabalha com elas.

Em resumo:

• Backup: cópia a cada 24 horas no máximo, em mídia eletrônica e em nuvem, com recuperação até 30 minutos antes da falha (art. 3º).
• Acesso: certificado digital ou biometria, mais usuário e senha pessoais; usuário genérico proibido (art. 4º).
• Auditoria: trilha que mostra quem fez ou alterou cada ato, com data e hora, preservada em backup (art. 5º).
• Situação: revogado pelo Provimento 213/2026. Os demais atos de TI e de segurança estão no acervo de provimentos.

O que o Provimento 74 pedia de backup?

O art. 3º começava pelo princípio: todos os livros e atos eletrônicos deviam ser arquivados de forma a garantir a segurança e a integridade do conteúdo. Daí vinham as regras práticas:

• Cópia a cada 24 horas. Os livros e atos eletrônicos do acervo entravam em cópia de segurança em intervalos não superiores a 24 horas (§ 1º).
• Cópias incrementais no dia. Ao longo das 24 horas, o sistema devia gerar imagens ou cópias incrementais que permitissem recuperar os atos praticados desde a última cópia até pelo menos 30 minutos antes do evento que comprometesse a base de dados (§ 2º).
• Duas vias. A cópia devia ser feita tanto em mídia eletrônica de segurança quanto em serviço de backup na internet, o chamado backup em nuvem (§ 3º).
• Mídia fora da serventia. A mídia eletrônica ficava em local distinto da instalação do cartório, com a segurança física e lógica necessária (§ 4º).
• Tolerância a falhas. Os meios de armazenamento dos livros e atos eletrônicos precisavam de recursos de tolerância a falhas (§ 5º).

O art. 2º ainda mandava ter política de segurança da informação e um plano de continuidade de negócios para ocorrências que prejudiquem o funcionamento do serviço. E o art. 7º pedia uma rotina capaz de transmitir todo o acervo eletrônico (banco de dados, softwares, atualizações, senhas e dados de acesso) em caso de sucessão, sem interromper o atendimento.

Autenticação individual (art. 4º)

O art. 4º tratava de quem entra no sistema. O titular, o interino ou interventor, os escreventes, os prepostos e os colaboradores precisavam de autenticação por certificação digital própria ou por biometria, além de usuário e senha ligados a perfis pessoais, com permissões distintas conforme a função. A norma dizia, sem rodeio, que não era permitido usar "usuários genéricos".

Na prática, um login como "cartorio01" ou "admin" compartilhado pela equipe descumpria o artigo, porque impedia saber quem fez o quê. Esse é o elo com a trilha de auditoria: sem login pessoal, o registro de quem praticou o ato perde o valor.

Trilha de auditoria (art. 5º)

O art. 5º exigia que o sistema informatizado tivesse trilha de auditoria própria, capaz de identificar o responsável pela confecção ou por eventual modificação dos atos, bem como a data e a hora da efetivação. Havia duas regras extras:

• a plataforma de banco de dados também precisava ter o recurso de trilha de auditoria ativado (§ 1º);
• as trilhas do sistema e do banco de dados deviam ser preservadas em backup, para eventuais auditorias (§ 2º).

Classes, anexo e sanções

O art. 6º mandava adotar os padrões mínimos do anexo, de acordo com a classe da serventia: Classe 1, com arrecadação de até R$ 100 mil por semestre; Classe 2, entre R$ 100 mil e R$ 500 mil; e Classe 3, acima de R$ 500 mil. O anexo listava energia estável, link mínimo de 2, 4 ou 10 megabits conforme a classe, local técnico isolado, nobreak com autonomia de pelo menos 30 minutos, servidor de alta disponibilidade capaz de retomar o atendimento em até 15 minutos, antivírus, firewall e serviço de backup em nuvem. O parágrafo único do art. 6º exigia software licenciado para uso comercial, admitindo código aberto ou de livre distribuição.

O descumprimento podia gerar procedimento administrativo disciplinar, sem prejuízo da responsabilidade cível e criminal (art. 9º). O provimento entrou em vigor 180 dias depois da publicação (art. 11). O COGETISE, comitê presidido pela Corregedoria Nacional, devia atualizar os padrões do anexo todo ano (art. 8º).

O que mudou com o Provimento 213/2026?

O Provimento 213/2026 substituiu o 74 e manteve a lógica, com exigências mais detalhadas. Pelo texto consolidado no CNJ:

• Autenticação (art. 5º): continua individualizada e proíbe credenciais compartilhadas ou genéricas; como regra, passa a pedir autenticação multifator nos acessos a sistemas, bases de dados e funcionalidades críticas.
• Trilhas de auditoria (art. 10): devem identificar usuário, data, hora, minuto e segundo, a natureza da ação e o resultado, e ficar protegidas contra alteração e exclusão não autorizada. O anexo fixa retenção mínima de 5 anos.
• Backup (art. 12): política formal, automatizada e monitorada, com RPO (o quanto de dado se aceita perder) por classe. Nas etapas do anexo, a cópia completa tem intervalo máximo de 24 horas na Classe 3, 48 horas na Classe 2 e 72 horas na Classe 1, em pelo menos dois ambientes tecnicamente independentes, com testes de restauração documentados.

Ou seja: o backup em nuvem e a trilha de auditoria seguem como obrigação, mas o 213 troca a regra única de 24 horas por parâmetros que variam com a classe. Confira os prazos de implantação e a versão atual no texto oficial do Provimento 213 e o texto revogado em atos.cnj.jus.br.

O Provimento 74 ainda vale?

Não. O ato consta como revogado no portal do CNJ, e o revogador é o Provimento 213/2026 (art. 26). Quem ainda segue o 74 como lista de conferência não erra no básico (backup duplo, login pessoal, trilha preservada), mas precisa olhar o 213 para os prazos, o multifator e a retenção dos logs. Em caso de dúvida sobre prazo, a corregedoria do seu estado é quem responde.

Como comprovar backup e trilha na fiscalização

A fiscalização pede evidência, e o provimento deixa claro que a responsabilidade é do titular, mesmo quando a TI é terceirizada. Guarde o contrato do fornecedor de backup, o relatório das últimas cópias e o registro do teste de restauração. O art. 5º, § 1º, do 213 diz que essas obrigações são cumpridas sob a responsabilidade pessoal do titular, ainda que executadas por colaboradores, prepostos, terceiros ou fornecedores contratados, e o art. 24 prevê que o descumprimento injustificado, com negligência, imprudência ou omissão relevante, pode levar a procedimento administrativo disciplinar. Por isso vale ter o papel que prova o que o fornecedor promete. Lance a mensalidade do serviço no livro-caixa do cartório no mês em que sai, para o resultado do período refletir o gasto com TI.