Resumo

  • A Seção 5 da Executive Order 14028 dá ao Cyber Safety Review Board os verbos "revisar e avaliar" e "apresentar recomendações ao Secretário". O único verbo de implementação da seção tem como sujeito o Secretário de Segurança Interna, e vem qualificado por "as appropriate".
  • O produto do conselho é, portanto, um registro probatório, não um remédio. O registro só vira obrigação quando alguém o converte — por lei, por cláusula de contratação ou de seguro, ou por uso como prova em litígio.

A ordem foi assinada em 12 de maio de 2021 e publicada no Federal Register cinco dias depois, como documento 2021-10460 (Executive Order 14028; publicação da Casa Branca). A Seção 5 cria o Cyber Safety Review Board: a subseção 5(a) determina ao Secretário de Segurança Interna que o estabeleça, e a 5(b) define a área de trabalho — atividade de ameaça, vulnerabilidades, atividades de mitigação e respostas de agências, em incidentes cibernéticos significativos que atinjam sistemas de informação do Poder Executivo Civil federal ou sistemas não federais.

A frase decisiva está em inglês, e é curta: "The Board shall review and assess". Revisar e avaliar. Não é julgar nem sancionar. As subseções 5(d) e 5(h) estreitam ainda mais o produto: recomendações, orientação e informação. A 5(d) diz "provide recommendations to the Secretary". Na 5(j) o verbo finalmente passa a ser de implementação, mas o sujeito é outro: "take steps to implement them as appropriate" — o Secretário examina as recomendações e adota as providências que julgar cabíveis.

Li a Seção 5 do texto do Federal Register, subseção por subseção, de 5(a) a 5(j). Nessa seção não há linguagem expressa que torne as conclusões ou recomendações do conselho vinculantes para as entidades revisadas, nem dever de reportar, nem prazo, nem consequência declarada para quem não adota o que foi recomendado. A afirmação vale até aí: ela diz que essa seção não contém a obrigação, não que a obrigação não exista. Ela pode vir de outro lugar, e é exatamente isso que este briefing investiga. O recorte é a Seção 5, sem alcançar leis posteriores, contratos ou a prática das agências.

A própria agência descreve o trabalho do conselho como consultivo e afirma que suas conclusões e recomendações não são vinculantes para entidades privadas ou órgãos públicos (página do conselho no CISA; página de recursos e ferramentas do CISA). A natureza desse material precisa ser dita com precisão: as duas páginas foram retidas em 12 de novembro de 2026 como resumos redigidos pelo provedor, não como corpo de texto legível da página. A descrição é, portanto, um indício secundário e não pode ser apresentada como palavra da agência. Para a redação das cláusulas, vale o texto do Federal Register.

Há ainda a cláusula de praxe que costuma ser trazida para essa conversa, a Seção 11(d): a ordem não cria direitos ou benefícios exigíveis (texto da ordem). Ela trata da criação de direitos em geral e não equivale a uma declaração expressa de que as recomendações do conselho não vinculam. Confundir as duas coisas é a troca de termos mais comum nesse debate. Sobre o alcance da prova, cabe um registro honesto: a própria página do Federal Register avisa que sua versão XML é recurso informativo não oficial e recomenda conferência contra a edição do govinfo. O que tenho são trechos verbatim curtos e síntese, não a reprodução integral da ordem.

Então o que esse documento é? Ao abrir a estrutura da Seção 5, o que aparece é uma separação entre administração e execução: a avaliação fica no conselho, a discricionariedade fica com o Secretário, e a parte revisada fica fora da cadeia de obrigações. Um achado investigativo que não pode vincular ninguém é um registro — ele guarda o que aconteceu, por que aconteceu e quem deveria mudar. Registros têm valor: transformam incidentes isolados em padrões legíveis. Mas registro não é remédio. O remédio começa quando alguém converte o registro em obrigação.

As rotas dessa conversão são concretas e nenhuma delas está na Seção 5. A lei transforma a recomendação em dever legal, com prazo e sanção. A cláusula de contratação a insere no contrato e retira o pedido de quem não cumpre. O questionário de seguro a converte em condição de cobertura, com prêmio e franquia respondendo à adesão. O litígio a usa como prova. Um arquivo de casos acumulado faz de uma falha isolada um padrão visível. Nenhuma dessas rotas é caminho que o conselho percorra sozinho, e nenhuma cabe dentro de uma única seção de uma ordem executiva.

Nada disso é desprezo pelo conselho. Conseguir reconstruir a cadeia causal de um incidente já é uma capacidade rara, e muitos reguladores não chegam a esse ponto. O problema é de escrituração: tratar "descobrir" como "resolver" e a publicação do relatório como encerramento do caso. A satisfação mais confortável depois de um incidente é um relatório bem escrito. A organização revisada, porém, segue operando do mesmo jeito até que alguém pegue esse relatório e faça outra coisa com ele.

No diretório do governo americano, a Cybersecurity and Infrastructure Security Agency é ao mesmo tempo detentora de recursos numéricos e central de segurança ((entrada do diretório)). O conselho está sob ela, e essa subordinação é fácil de ler como poder. Ter "security" no nome não significa ter instrumento de coerção.

Por fim, o limite da apuração. Este briefing não obteve o documento de atribuições do conselho nem o texto legível de qualquer relatório, e por isso não aparece aqui número de recomendações, lista de destinatários ou contagem de relatórios. Entre os cinco documentos que li — o texto da ordem no Federal Register, as duas páginas do CISA, a publicação da Casa Branca e a página inicial do dhs.gov — não apareceu declaração oficial sobre a composição do conselho ou sua situação atual. A afirmação para aí: não sustenta que tal declaração não exista.