Provimento 213 Classe 2: checklist das Etapas 1 e 2 (prazos novos do Provimento 243)

Atualizado em 27/07/2026, por mudança da norma. Este artigo foi publicado quando o prazo da Classe 2 vencia em 22/07/2026. O Provimento 243/2026 da Corregedoria Nacional de Justiça, assinado em 21/07 e publicado no DJe/CNJ em 23/07/2026, alterou o Provimento 213: reiniciou a contagem dos prazos e mudou as faixas de receita de cada classe. O checklist técnico abaixo continua integralmente válido — os Anexos I a V não foram alterados —, mas os prazos e o enquadramento mudaram, e é isso que você lê primeiro.

Para as serventias enquadradas na Classe 2 do Provimento 213/2026 do CNJ, o prazo das Etapas 1 e 2 passou a ser de 240 dias contados de 22/08/2026 — data em que o Provimento 243 entrou em vigor, 30 dias após sua publicação no DJe. Na prática, isso empurra o vencimento para meados de abril de 2027.

Duas mudanças importam antes de qualquer checklist:

Você pode ter mudado de classe. As faixas de receita triplicaram (art. 16). Quem faturava R$ 250 mil por semestre era Classe 2 e agora é Classe 1; quem faturava R$ 800 mil era Classe 3 e agora é Classe 2. Confira o enquadramento antes de seguir.
A base de cálculo mudou. O enquadramento passou a usar a média das receitas brutas semestrais do exercício anterior (art. 16, §1º), não mais a arrecadação de um único semestre. Um semestre atípico deixou de distorcer a classificação.

Este artigo é um checklist objetivo: item a item das Etapas 1 e 2, as evidências que a Corregedoria espera encontrar, e um plano de priorização honesto. Se você ainda não sabe em qual classe sua serventia se enquadra, comece pelo nosso guia sobre a classe do seu cartório e o prazo que você tem.

Os prazos novos e a quem se aplicam

O Provimento 213 escalonou a implementação em etapas, com prazos proporcionais ao porte da serventia (art. 20). Com a redação dada pelo Provimento 243, a contagem recomeça na vigência da norma nova:

Classe	Receita bruta semestral (art. 16)	Prazo das Etapas 1–2 (art. 20)
Classe 3	acima de R$ 1,5 milhão	180 dias de 22/08/2026 — ~meados de fev/2027
Classe 2	acima de R$ 300 mil até R$ 1,5 milhão	240 dias de 22/08/2026 — ~meados de abr/2027
Classe 1	até R$ 300 mil	300 dias de 22/08/2026 — ~meados de jun/2027

Repare que a numeração é contraintuitiva: Classe 3 é a de maior receita e menor prazo; Classe 1 é a de menor receita e maior prazo.

Sobre as datas: a norma fixa prazos em dias, não datas de calendário. Nem o CNJ nem as entidades de classe publicaram tabela oficial de vencimentos, e a contagem exata depende da regra do art. 132 do Código Civil (exclui-se o dia do começo, inclui-se o do vencimento) — o que desloca o resultado em um dia conforme a leitura. Por isso trabalhamos com “meados de”. Para uma data com efeito jurídico, confirme com a Corregedoria do seu estado e sua assessoria.

O cronograma global também foi recontado: os prazos de implementação integral (24 meses para a Classe 3, 30 para a Classe 2, 36 para a Classe 1, art. 23) mantiveram a duração, mas passaram a correr de 22/08/2026 — mais seis meses no prazo final.

As Etapas 1 e 2 do Anexo IV cobrem governança, conformidade legal, infraestrutura e continuidade operacional — a fundação sobre a qual as etapas seguintes serão construídas.

O que a prorrogação de prazo não muda: os requisitos técnicos continuam idênticos. Os Anexos I a V não sofreram uma única alteração, e há inclusive uma exigência nova para se atentar — o art. 4º, §3º passou a proibir expressamente tecnologia em fim de vida (EOL), com dever de manter evidência documental do suporte vigente. Serventia rodando servidor ou sistema operacional sem suporte do fabricante tem um problema novo, não um prazo maior.

Dois pontos que titulares costumam descobrir tarde demais:

As etapas são sequenciais. A declaração de cumprimento da Etapa 2 pressupõe a Etapa 1 concluída e registrada. Não dá para “pular” a governança e ir direto para a infraestrutura.
O cumprimento é declarado no Sistema Justiça Aberta (art. 17), com renovação anual acompanhada de síntese do dossiê técnico e evidências mínimas. Declaração falsa sujeita o responsável às penalidades legais — ou seja, declarar sem ter implementado é pior do que atrasar.

Checklist da Etapa 1: governança e conformidade legal

A Etapa 1 institui a base organizacional e documental. Para a reta final, trate cada item como uma pergunta de auditoria — se a resposta não estiver documentada, o item não está pronto:

Responsáveis designados formalmente — responsável técnico interno, controlador de dados e encarregado (DPO), com ato de designação por escrito.
Política de Segurança da Informação aprovada — e divulgada aos colaboradores, com registro de ciência.
Autenticação individualizada + MFA — cada colaborador com credencial própria (nada de senha compartilhada) e múltiplo fator de autenticação nos acessos administrativos e críticos.
Registro das operações de tratamento de dados pessoais — o inventário de tratamento exigido pela LGPD, adaptado à rotina da serventia.
Procedimento formal de comunicação de incidentes — quem aciona quem, em qual prazo, com qual registro. A norma trabalha com comunicação de incidentes críticos à Corregedoria em até 72 horas.
Inventário completo de ativos — hardware, softwares, certificados digitais: o que existe, onde está, quem usa.
Licenças regularizadas e contratos revisados — softwares licenciados e contratos com fornecedores de TI aditados para refletir as exigências da norma (confidencialidade, portabilidade, LGPD).

A boa notícia: a Etapa 1 é majoritariamente organizacional. Com método, boa parte dela se resolve em dias, não meses — e sem investimento pesado.

Checklist da Etapa 2: infraestrutura e continuidade

A Etapa 2 é onde a exigência sai do papel e encontra a infraestrutura física e lógica da serventia:

Energia estável e protegida — infraestrutura elétrica adequada, aterramento documentado e nobreak dimensionado para desligamento seguro (verifique os parâmetros do Anexo II com seu responsável técnico).
Plano de contingência energética formalizado — o que acontece quando falta luz por horas, por escrito.
Ambiente físico controlado — servidores e equipamentos críticos em área de acesso restrito, com proteção contra incêndio, inundação e temperatura inadequada.
Conectividade compatível com a classe — banda mínima conforme o Anexo II, com roteamento adequado; redundância de link é o que evita que uma queda da operadora vire indisponibilidade do serviço.
PCN e PRD formalizados — Plano de Continuidade de Negócios e Plano de Recuperação de Desastres com avaliação de riscos e RTO e RPO definidos. Para a Classe 2, os tetos são RPO de 12 horas e RTO de 24 horas — entenda o que esses números significam na prática em RTO e RPO para cartórios.
Backup automatizado em dois ambientes independentes — a norma exige cópias em no mínimo dois ambientes tecnicamente independentes, com redundância geográfica (ou lógica equivalente), e admite nuvem, mídia em local distinto ou solução híbrida.
Testes de restauração documentados — backup que nunca foi restaurado é uma aposta, não um controle. O registro do teste é a evidência.
Antivírus/antimalware em todos os equipamentos — com atualização automática ativa.
Documento de arquitetura tecnológica — topologia da rede, ambientes, fluxos de dados, backups e integrações, desenhados e descritos.

Se a sua serventia já mantém backup gerenciado com replicação entre sites, boa parte da Etapa 2 é questão de formalizar e evidenciar o que já existe. Se o backup ainda é um HD externo na gaveta, este é o item mais urgente da lista — um RPO de 12 horas não se cumpre com rotina manual.

Documentação e evidências: o que a correição vai pedir

Cumprir sem conseguir comprovar é quase o mesmo que não cumprir. Para a Classe 2, a norma exige um dossiê técnico estruturado, com mecanismo idôneo de verificação de integridade — na prática, documentação consolidada com hash assinado digitalmente (o relatório simplificado é benefício restrito à Classe 1). O dossiê deve amarrar:

Atos de designação dos responsáveis e a Política de Segurança da Informação;
Inventário de ativos e registro de tratamento de dados;
Contratos com fornecedores (com as cláusulas de confidencialidade, portabilidade e LGPD que a norma exige de soluções contratadas);
PCN e PRD com RPO/RTO da classe;
Evidências de execução: logs de backup, relatórios de teste de restauração, registros de treinamento.

Um provedor sério não entrega só a infraestrutura — entrega a evidência da infraestrutura: relatórios de backup, testes de restauração assinados e documentação pronta para anexar ao dossiê. É esse o modelo do nosso serviço de adequação ao Provimento 213.

Ganhou seis meses? O que priorizar com eles

O Provimento 243 comprou tempo, não dispensa. Quem tratar os seis meses extras como folga vai chegar em abril de 2027 na mesma situação de julho de 2026 — com a diferença de que a Corregedoria já terá visto o setor inteiro se adequar. Em ordem de prioridade:

Feche a Etapa 1 primeiro. É sequencial, é barata e é rápida: designações, política, MFA, inventário. Uma semana de trabalho focado resolve a maior parte.
Ative o backup em dois ambientes já. Contratar backup gerenciado com replicação geográfica é implantável em dias — e é o controle que reduz o risco real (ransomware, sinistro físico) enquanto o resto da papelada avança.
Formalize PCN e PRD na sequência — com RPO/RTO da Classe 2 escritos e um teste de restauração agendado e documentado.
Se ainda assim não for dar tempo, o art. 21 ficou mais generoso — e mais exigente. A prorrogação deixou de ser única de 90 dias e passou a admitir uma ou mais, com o somatório limitado a 180 dias (art. 21, §3º). Continua dependendo de decisão fundamentada da Corregedoria, com comprovação de inviabilidade temporária, plano formal com cronograma e medidas compensatórias imediatas. E vieram duas contrapartidas novas: toda prorrogação deferida obriga regime especial de acompanhamento (§4º) e, esgotados os 180 dias sem adequação, abre-se prazo de regularização com medidas correicionais graduadas (§5º). Repare que o pedido bem instruído já exige orçamentos, cronograma e medidas em curso — pedir prorrogação também pressupõe ter começado.

O que está em jogo no descumprimento: o art. 24 prevê que a inobservância injustificada, quando caracterizar negligência, imprudência ou omissão relevante do delegatário, pode ensejar procedimento administrativo disciplinar, sem prejuízo de responsabilidades civis e penais. Não é automático — mas é um risco que nenhum titular precisa correr por falta de plano.

Como validar se a infraestrutura atende

Na hora de avaliar a solução (própria ou contratada), as perguntas que separam conformidade real de promessa comercial:

Onde ficam as duas cópias — e elas são de fato independentes? Dois ambientes no mesmo prédio, ou duas contas na mesma infraestrutura, não entregam a independência que a norma pede.
A redundância geográfica é real? Réplicas em regiões distintas, com infraestrutura própria e verificável. A Saiph opera três datacenters próprios — Belo Horizonte, Contagem e Recife — e replica os dados entre regiões diferentes do país.
O RPO/RTO da Classe 2 está em contrato? SLA com 12h/24h escrito, não prometido verbalmente.
O contrato tem as cláusulas que a norma exige? Confidencialidade, portabilidade integral em formato não proprietário e conformidade com a LGPD — a norma permite expressamente contratar IaaS/PaaS/SaaS, como detalhamos em como se adequar sem montar um datacenter, desde que o contrato esteja em conformidade.
Quem opera responde quando você precisa? Suporte 24x7 de equipe própria, em português, faz diferença no dia do incidente.

Um esclarecimento importante, porque circula muita informação imprecisa: o Provimento 213 não obriga que os dados fiquem em solo brasileiro — a norma admite soluções de nuvem, inclusive internacionais, desde que os requisitos técnicos e contratuais sejam cumpridos. Hospedar no Brasil é um diferencial prático, não uma obrigação legal: latência menor no dia a dia, possibilidade de visitar fisicamente o datacenter que guarda o acervo da serventia, contrato e fatura em reais e simplificação do enquadramento LGPD. É uma escolha de gestão de risco — e é a que recomendamos —, mas quem afirmar que “a lei exige datacenter no Brasil” está vendendo medo, não conformidade.

Perguntas frequentes

O prazo de 22/07/2026 ainda vale?

Não. O Provimento 243/2026, publicado no DJe em 23/07/2026 e vigente desde 22/08/2026, reiniciou a contagem. Para a Classe 2, o prazo das Etapas 1 e 2 passou a ser de 240 dias contados de 22/08/2026 (art. 20, II), o que leva o vencimento para meados de abril de 2027.

Eu mudei de classe?

Talvez. As faixas do art. 16 triplicaram: Classe 1 vai até R$ 300 mil, Classe 2 até R$ 1,5 milhão e Classe 3 acima disso. Além do valor, mudou a base de aferição: agora é a média das receitas brutas semestrais do exercício anterior, não a arrecadação de um semestre. Vale recalcular — mudança de classe muda prazo, RPO/RTO e exigências de documentação.

O que exatamente vence para a Classe 2?

O prazo de implementação das Etapas 1 e 2 do Anexo IV (governança, conformidade legal, infraestrutura e continuidade). A conformidade integral com todas as etapas segue cronograma mais longo — até 30 meses para a Classe 2 (art. 23), também recontados de 22/08/2026.

Perdi o prazo antigo. Isso me prejudica?

O prazo antigo foi substituído, então não há vencimento pendente por causa dele. O que continua valendo é o art. 24: descumprimento injustificado, quando caracterizar negligência, imprudência ou omissão relevante, pode ensejar PAD. Quem demonstra plano em execução está em posição muito melhor do que quem ignora a norma — ou do que quem declara conformidade que não tem.

Como funciona a prorrogação agora?

O art. 21 deixou de admitir uma única prorrogação de 90 dias e passou a permitir uma ou mais, com o somatório limitado a 180 dias (§3º). Seguem exigidas decisão fundamentada da Corregedoria, comprovação de inviabilidade temporária, plano formal com cronograma e medidas compensatórias imediatas — e agora toda prorrogação deferida implica regime especial de acompanhamento (§4º). Confirme o rito com a Corregedoria do seu estado e sua assessoria jurídica.

Existe alguma dispensa por custo desproporcional?

Existe uma via, e ela é mais estreita do que parece. O art. 20-A, incluído pelo Provimento 243, presume no caput a viabilidade técnica e a proporcionalidade econômica para toda serventia. A exceção está no §1º e exige, cumulativamente, orçamentos de no mínimo três fornecedores e laudo técnico de profissional habilitado, nas hipóteses de solução indisponível no mercado ou custo manifestamente desproporcional à receita. Três travas que costumam ser ignoradas: a ressalva não é automática e a serventia segue integralmente obrigada até o deferimento (§2º); o deferimento fixa prazo certo, nível de serviço e plano de convergência (§3º); e backup, integridade e autenticidade, controle de acesso e trilhas de auditoria não podem ser flexibilizados por essa via (§4º).

Preciso tirar meus dados da nuvem que uso hoje?

Não necessariamente. A norma permite IaaS/PaaS/SaaS com contrato em conformidade (confidencialidade, portabilidade, LGPD) e exige dois ambientes independentes com redundância geográfica. O que precisa ser verificado é se a solução atual comprova esses requisitos e os RPO/RTO da sua classe — verifique com seu DPO ou assessoria técnica.

O que a Saiph entrega nesse cenário?

Backup gerenciado (Veeam/Acronis) replicado entre datacenters próprios em regiões distintas (BH/Contagem ↔ Recife), RPO/RTO da sua classe em contrato, PCN/PRD estruturados, testes de restauração documentados e as evidências prontas para o dossiê técnico — com suporte 24x7 de equipe própria, desde 2009.

Seis meses passam rápido — e a diferença entre correr risco e estar tranquilo é um diagnóstico. Fale com a Saiph pelo formulário de contato: avaliamos a situação da sua serventia frente ao checklist das Etapas 1 e 2, confirmamos o enquadramento pelas faixas novas do art. 16 e devolvemos um plano objetivo — implantação, documentação e evidências — dimensionado para a sua classe.