Contratação pública de cibersegurança: da PoC ao edital

Um órgão compra uma plataforma de inteligência de ameaças, homologa o contrato, instala a licença — e seis meses depois ninguém abre a ferramenta. Não faltou orçamento nem boa vontade; faltou entender o problema antes de escrever o edital e faltou provar, com o próprio dado da instituição, que aquilo resolvia algo. A contratação pública de cibersegurança falha com frequência nesse ponto: o processo compra um produto quando precisava contratar uma capacidade.

As armadilhas que começam antes do pregão

A primeira armadilha é especificar por marca. O edital que descreve o objeto copiando a ficha técnica de um fabricante — recurso por recurso, com termos que só uma plataforma usa — direciona a licitação e, pior, amarra o órgão a uma escolha que ninguém validou tecnicamente. A Lei nº 14.133/2021, a Nova Lei de Licitações, empurra na direção oposta: o objeto deve ser definido por requisitos de desempenho e resultado, não pela marca que o pregoeiro já conhece. Especificar por problema, e não por produto, é o que preserva a competição e protege quem compra.

A segunda armadilha é o edital genérico. Na tentativa de não direcionar, o setor público às vezes escreve um termo de referência tão vago que qualquer coisa cabe — e então vence o menor preço de um objeto mal definido. O resultado é a ferramenta errada comprada corretamente: tudo conforme o rito, e nada que atenda a necessidade real. Cibersegurança é um campo onde a diferença entre duas soluções aparentemente equivalentes está no detalhe operacional — cobertura de fontes, idioma, integração com o que já existe, capacidade de resposta. Um edital que não sabe descrever esse detalhe compra a embalagem.

A terceira, e a mais cara, é o abismo entre licenciar e operar. Contratar a licença de uma plataforma de perícia digital, de cyber range ou de inteligência de ameaças é a parte fácil. Operá-la — extrair evidência que sustente um inquérito, treinar a equipe que vai usar o cyber range, transformar um alerta de CTI em decisão — é outro projeto inteiro, que raramente cabe na mesma linha de empenho. Quando o edital ignora essa distinção, o órgão paga por uma capacidade que nunca entra em produção.

Entender o problema antes de qualquer objeto

Nenhuma contratação pública de cibersegurança deveria começar pela pergunta "qual ferramenta comprar". Ela começa pela pergunta "qual problema precisamos resolver, e como saberemos que foi resolvido". Uma delegacia especializada que precisa acelerar a extração de dados de celulares apreendidos tem um problema mensurável: tempo de fila, backlog de aparelhos, taxa de sucesso na aquisição. Um centro de operações que quer antecipar vazamento de credenciais de servidores tem outro: quanto tempo leva entre a exposição de um dado e a resposta.

Descrever o problema nesses termos — situação atual, resultado esperado, como medir — é o que dá ao edital uma espinha dorsal técnica. A partir daí, o termo de referência descreve requisitos funcionais que qualquer fornecedor sério consegue atender, e a disputa acontece onde deve: na qualidade da entrega e no preço, não na sorte de ter adivinhado a marca certa. Esse é também o trabalho que mais depende de conhecimento de domínio, porque quem nunca operou uma tecnologia de perícia ou de inteligência não sabe quais requisitos separam o que funciona do que impressiona na demonstração comercial.

A prova de conceito antes de contratar

A PoC — prova de conceito — é o instrumento que fecha o abismo entre a promessa do fornecedor e a realidade da instituição. Em vez de acreditar na apresentação de slides, o órgão testa a tecnologia com o próprio caso de uso, o próprio dado (respeitados sigilo e base legal) e a própria equipe. É a diferença entre comprar um carro pela ficha técnica e dirigi-lo antes de assinar.

A Lei nº 14.133/2021 dá abrigo a esse tipo de verificação: a fase de planejamento da contratação prevê estudos técnicos preliminares e prova de conceito como parte da definição do objeto e da avaliação de amostras e soluções. Uma PoC bem conduzida responde perguntas que nenhum edital responde sozinho — a plataforma de CTI cobre as fontes em português e os atores que ameaçam aquele órgão? A ferramenta de perícia lê os modelos de aparelho que a delegacia realmente apreende? O cyber range simula os cenários que a equipe precisa treinar? Quando a resposta a essas perguntas vem de um teste, e não de um folheto, o termo de referência que nasce dali é preciso, defensável e difícil de fraudar.

Vale um cuidado: a PoC precisa ser desenhada para não direcionar a futura licitação. Ela informa o requisito, não escolhe o vencedor. Bem estruturada, ela protege o órgão dos dois lados — evita comprar o que não serve e evita o questionamento de que o processo já tinha dono.

Documentação técnica: o que o processo exige

Todo o rito da contratação pública de cibersegurança se sustenta em papel. Estudo técnico preliminar que justifique a necessidade e a solução escolhida. Termo de referência com requisitos claros e critérios de aceitação. Pesquisa de mercado que demonstre a viabilidade e a competição. Matriz de risco. Critérios de habilitação técnica que separem quem sabe operar de quem só sabe vender. Nada disso é burocracia decorativa: é o que sustenta o processo diante do controle interno, do Tribunal de Contas e de eventual impugnação.

O problema é que produzir essa documentação exige, ao mesmo tempo, domínio jurídico do procedimento e domínio técnico do objeto — e essa combinação é rara dentro da máquina pública. É comum o setor jurídico saber a forma e não o conteúdo, e a área técnica saber o conteúdo e não a forma. O resultado aparece nos editais que descrevem mal o que compram. Fechar essa lacuna é onde um parceiro técnico agrega mais valor: traduzir a capacidade que a instituição precisa em requisitos que o edital consiga expressar e o controle consiga auditar.

Quem entrega licença e quem opera e treina

Aqui mora a distinção que decide se o contrato vira capacidade ou vira prateleira. Há quem entregue a licença, emita a nota e desapareça até a renovação. E há quem entre com a tecnologia, faça a implantação com engenharia local, treine a equipe no idioma dela e acompanhe a operação até o resultado aparecer. No setor público, onde a rotatividade de pessoal e a curva de aprendizado são reais, a segunda postura é o que separa o investimento que se paga do que se perde.

Essa é a lógica com que a Certus atua. Não como revenda que licencia e some, mas como parceira que opera as tecnologias com engenharia local e suporte em português — e que apoia a aquisição do setor público com a documentação técnica e a prova de conceito que o processo exige. Nas frentes em que trabalhamos, isso significa conduzir a inteligência de ameaças da KELA, a perícia digital da Detego Global e o cyber range da CyCube com quem vai usá-las no dia a dia, não apenas colocá-las no empenho. Conheça as tecnologias que a Certus opera e os parceiros estratégicos por trás desse trabalho.

Comprar cibersegurança no setor público não precisa ser uma aposta. Com o problema bem descrito, uma PoC honesta antes do edital e a documentação técnica no padrão que o controle exige, o órgão contrata capacidade — e não só licença. Se a sua instituição está estruturando uma aquisição e quer chegar ao edital com o objeto certo, fale com um especialista da Certus. Este artigo não é aconselhamento jurídico; a condução formal do certame cabe à sua área jurídica e de licitações.