Resumo

  • Na leitura de 19 de outubro de 2026, o CERT-MU se descreve como um departamento subordinado ao Ministry of Information Technology, Communication and Innovation e organiza documentos datados por referência e por classe, nunca por autor.
  • O Cybercrime and Cybersecurity Act 2021 não pôde ser obtido como texto utilizável na data da apuração: nenhuma cláusula de atribuições, de nomeação ou de direção ministerial pode ser citada.
  • Nenhum documento consultado nomeia Kaleem Ahmed Usmani à frente do CERT-MU, assina um aviso em seu nome ou lhe atribui uma decisão específica; esse vínculo de cargo é uma menção do diretório do BTW.

O catálogo que se ordena por data e classe

A página inicial do próprio órgão, lida em 19 de outubro de 2026, define-se em uma frase como "A Department under the Ministry of Information Technology, Communication and Innovation" e, logo abaixo, exibe uma lista de itens datados (CERT-MU). As três entradas visíveis nessa leitura eram uma nota de vulnerabilidade, VN-2026-10, datada de 17 de setembro de 2026 e dedicada ao Docker Sandboxes; um aviso, AD-2026-03, datado de 30 de junho de 2026 e dedicado ao Cisco Identity Services Engine; e um alerta de segurança, SA-2026-05, datado de 1º de outubro de 2026, sobre anúncios imobiliários fraudulentos no TikTok.

Trata-se de uma forma editorial precisa. A numeração separa três classes — nota de vulnerabilidade, aviso, alerta — e as datas se distribuem por quatro meses, o que indica um padrão recorrente e não uma campanha isolada. Um leitor consegue reconstruir a cadência de publicação apenas pela página inicial: aproximadamente um documento por classe por ciclo, cada um datado, cada um com uma referência que codifica ano e ordem.

O que essa mesma leitura não fornece é igualmente concreto. Não há dirigente, diretor ou oficial de plantão nomeado. Não há assinatura, bloco de emissor, linha de "publicado por", nem pessoa a quem atribuir um documento nos títulos. Também não há número de incidentes, contagem de casos, prazo de resposta ou relatório anual no material consultado. A ausência não é um buraco numa página: é a forma constante da superfície publicada.

O instrumento que ficou fora de alcance

O Cybercrime and Cybersecurity Act 2021, hospedado pela Assembleia Nacional, é o texto que normalmente se consultaria para saber o que um centro nacional de resposta a incidentes pode fazer, como seu responsável é designado e até onde vai a direção ministerial. Em 19 de outubro de 2026 esse documento não se resolveu em texto legível: nenhum número de artigo, nenhuma lista de atribuições, nenhuma cláusula de nomeação e nenhuma cláusula de direção ministerial foi obtida dele (Cybercrime and Cybersecurity Act 2021).

Isso importa porque retira a camada que normalmente ancora uma conclusão sobre uma pessoa. Sem o texto, uma nota não pode afirmar que o responsável pelo órgão ocupa um cargo estatutário, nem que a nomeação segue critérios enunciados, nem que o ministro pode ou não orientar os julgamentos técnicos do órgão. Qualquer dessas frases seria uma inferência extraída da existência do órgão, não uma leitura do instrumento. A ausência fica registrada aqui como propriedade do acervo numa data determinada, não como juízo sobre o legislador, o ministério ou o órgão.

Uma busca adicional no site do órgão, voltada a um índice de arquivo, relatório anual ou página de estatísticas de incidentes, também não produziu texto utilizável (CERT-MU archive). O acervo disponível para esta apuração reduz-se, portanto, a uma autodescrição departamental e três documentos datados — base estreita para qualquer afirmação sobre desempenho institucional, e base igualmente estreita para qualquer afirmação sobre o controle exercido por uma pessoa.

Onde o vínculo de cargo realmente reside

O diretório do BTW registra Kaleem Ahmed Usmani como titular do cargo de Head of CERT-MU. Essa menção é a origem do vínculo aqui examinado, e é uma afirmação de diretório, não a citação de um ato de nomeação de primeira mão. A apuração se propôs a verificá-la e não a confirmou.

O que a apuração encontrou é mais estreito. Nenhum documento consultado o nomeia à frente do CERT-MU. Nenhum aviso da série publicada está assinado por ele ou lhe é atribuído. Nada liga uma decisão técnica concreta — a escolha de publicar uma nota sobre uma falha de isolamento de contêineres, o momento de um aviso sobre um produto de identidade corporativa, a redação de um alerta de fraude para o público geral — a um responsável identificável do órgão.

Esse resultado não deve ser lido ao contrário. Não demonstra que ele não ocupe o cargo. Não demonstra que o órgão esconda sua direção. Demonstra que o registro publicado, tal como lido, separa por completo a produção do órgão da pessoa: a instituição fala em datas e números de referência, e a pergunta sobre quem decide fica remetida a outro tipo de documento — um ato de nomeação, um anúncio em diário oficial, uma lista de pessoal, um relatório anual —, nenhum dos quais foi obtido aqui.

Por que é uma questão de responsabilização, não uma biografia

O interesse do silêncio documental não é que um homem se torne invisível. É que um leitor disposto a cobrar responsabilidade por uma função nacional de resposta cibernética não tem, sobre esta base, nada a que se agarrar. Os avisos têm data e são citáveis; o órgão tem nome; a pessoa responsável não é identificada em ponto algum da cadeia.

Essa assimetria tem consequências para o modo de ler a produção do órgão. Não se atribui o mérito de um aviso oportuno, nem a culpa de um aviso ausente. Uma nota que elogiasse a cadência do órgão estaria descrevendo um calendário de publicação. Uma nota que criticasse uma lacuna estaria descrevendo uma ausência numa página, não a falha de um decisor nomeado. Ambos os movimentos converteriam uma superfície institucional em julgamento pessoal, e nenhum deles tem respaldo.

A formulação honesta é em camadas. O registro diz: três documentos datados, três classes de referência, uma autodescrição departamental, nos quatro meses anteriores a 1º de outubro de 2026. O registro não diz: quem dirige o órgão, quem aprova um aviso, o que a lei atribui, nem quantos incidentes foram atendidos. A narrativa institucional afirma, pela linha "Department under", uma subordinação ministerial que o próprio instrumento não foi lido para confirmar. E o que não se pode estabelecer com esta base é se a premissa do cargo, a competência estatutária e a atribuição pessoal resistiriam, as três, a uma leitura documental completa.

O passo que mudaria o quadro é documental, não analítico: um texto legível da lei, ou qualquer documento de primeira mão nomeando um responsável, converteria o vínculo de menção de diretório em fato verificado. Até então, o achado permanece datado e delimitado, e o tema desta nota segue, no acervo examinado, um nome sem assinatura.