Criptografia: contrato de R$ 224 milhões da rede privativa federal é alvo de disputa no TCU

O Tribunal de Contas da União (TCU) abriu oitiva prévia para apurar possíveis ilegalidades na RFP 25/059, conduzida pela Entidade Administradora da Faixa de 3,5 GHz (EAF), para contratação de soluções de criptografia da Rede Fixa Privativa do Governo Federal. O procedimento tem valor estimado em R$ 224,01 milhões e envolve o fornecimento de encriptadores de enlace para a infraestrutura vinculada aos compromissos do edital do 5G.

Foto: TCU/Divulgação

O relator do processo no TCU, ministro Antonio Anastasia, determinou na última sexta, 29 de maio, que o Ministério das Comunicações, a Anatel, o Gaispi e a EAF se manifestem em cinco dias úteis sobre os pontos levantados na denúncia. O tribunal de contas também decidiu ouvir a Sitehop Technologies Ltd., e a NCT Informática Ltda., apontada no processo como representante da empresa britânica no Brasil, declaradas vencedores, segundo a denúncia recebida, que solicita uma medida cautelar para impedir que o certame seja concluído.

A apuração ainda está em fase preliminar. O pedido de cautelar será analisado apenas após as manifestações. O Tribunal alertou, porém, que poderá determinar a paralisação da RFP 25/059 e impedir a assinatura do contrato entre a EAF e a empresa vencedora. Também apontou a possibilidade de determinar o retorno de fase do certame, caso as irregularidades sejam confirmadas.

Segundo a EAF, no entanto, a disputa já havia sido suspensa devido a alterações neste ano das exigências técnicas trazidas pelo governo federal. “A EAF deliberou pela suspensão do andamento do certame, após a fase de adjudicação, antes mesmo de qualquer manifestação do Tribunal de Contas da União (TCU), em razão da necessidade de revisão técnica e atualização de seu escopo. Dessa forma, não houve a formalização de contrato nem a contratação de qualquer empresa no âmbito desse processo. Atualmente, a EAF está avaliando, em conjunto com os entes envolvidos, as novas demandas e requisitos técnicos relacionados ao projeto, a fim de definir se o processo será retomado nos moldes originalmente previstos ou se será necessária a abertura de uma nova RFP, alinhada às diretrizes e necessidades atualizadas”, afirma a EAF, em nota ao Tele.Síntese.

A entidade afirma ainda que “a RFP em questão foi aberta em 12 de junho de 2025, com a participação de cinco empresas. O procedimento mencionado pelo Tribunal de Contas da União (TCU) configura uma apuração preliminar decorrente de denúncia apresentada ao órgão, etapa rotineira e necessária para análise de qualquer manifestação recebida. Desde janeiro de 2026, a entidade vem promovendo a revisão de seus processos internos, com foco no fortalecimento da transparência, da conformidade e das boas práticas de gestão”.

Denúncia envolve Rede Privativa do Governo Federal

A contratação questionada integra o conjunto de compromissos assumidos pelas vencedoras do leilão do 5G. A EAF é a entidade privada criada pelas operadoras vencedoras dos lotes nacionais da faixa de 3,5 GHz — Claro, TIM e Vivo — para executar obrigações previstas no edital, incluindo a limpeza da faixa, projetos do Norte Conectado e a estruturação da Rede Privativa da Administração Pública Federal.

A rede privativa é de propriedade da União, conforme a Portaria MCom nº 1.924/2021, e deverá atender atividades de segurança pública, defesa, socorro, emergência, resposta a desastres, outras atribuições críticas de Estado e órgãos públicos federais.

Na análise técnica, a Unidade de Auditoria Especializada em Comunicações do TCU destacou que a matéria envolve segurança de Estado, pois trata de equipamentos de criptografia destinados a uma rede que poderá transportar comunicações sensíveis de órgãos de segurança pública e das Forças Armadas.

Transparência e motivação da escolha

Segundo a denúncia relatada no despacho, a disputa teria sido vencida pela Sitehop Technologies Ltd., empresa fundada no Reino Unido, sem razão social nem filial no Brasil. A companhia seria representada pela NCT Informática Ltda., sediada em Brasília.

A área técnica do TCU afirma que a contratação tem alta materialidade e que os indícios relatados pelo denunciante envolvem riscos à transparência, à competitividade e à segurança nacional. A instrução aponta que o valor total a ser fiscalizado pode alcançar R$ 6,3 bilhões caso questões semelhantes sejam identificadas em outras contratações da EAF, montante correspondente aos aportes previstos no edital do 5G e realizados pelas vencedoras nacionais da faixa de 3,5 GHz.

Um dos pontos centrais da denúncia é a suposta ausência de transparência nos procedimentos de contratação da EAF. O denunciante, mantida em anonimato nos autos, afirma que a entidade não teria permitido aos concorrentes acesso integral a documentos como planilhas de julgamento, pareceres técnicos, atas, motivações e registros decisórios.

No caso específico da RFP 25/059, a denúncia aponta que não foram disponibilizados a matriz de avaliação, a identificação formal da proposta vencedora nem os critérios usados para a escolha. Também afirma que a EAF teria informado apenas que a proposta do denunciante não foi selecionada, sem esclarecer se a decisão decorreu de preço, técnica ou conformidade.

A unidade técnica do TCU considerou que, se confirmadas, as falhas podem comprometer o procedimento competitivo, por impedir o controle dos próprios concorrentes sobre a legalidade da seleção e sobre a efetiva escolha da melhor proposta. Para a auditoria, a LGPD e eventuais segredos industriais não afastam o dever de informar, ao menos, quem venceu a disputa e qual será o valor do contrato.

Homologação da Anatel e Empresa Estratégica de Defesa

Outro ponto questionado por quem fez a denúncia envolve os requisitos de habilitação técnica previstos na própria RFP. O documento de abertura exigiria documentação de homologação por órgão de segurança nacional atestando a proponente como Empresa Estratégica de Defesa (EED). A denúncia sustenta que Sitehop e NCT Informática não constariam na lista de empresas credenciadas como EED pelo Ministério da Defesa.

A instrução técnica também registra que os equipamentos ofertados deveriam estar em conformidade com o Regulamento de Avaliação da Conformidade e de Homologação de Produtos para Telecomunicações da Anatel e com o Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações.

O denunciante afirma que nenhuma das empresas vencedoras ou demais participantes teria encriptadores homologados pela Anatel. A área técnica do TCU afirma que, se os fatos forem confirmados, os requisitos expressos na RFP não teriam sido atendidos pela Sitehop e pela NCT Informática, o que indicaria violação ao instrumento convocatório.

A denúncia também afirma que requisitos técnicos eliminatórios da RFP 25/059 teriam sido transcritos, com pouca alteração, de material comercial da Sitehop. O denunciante sustenta que não haveria no mercado outro produto comercial ativo com a arquitetura descrita na RFP: blade modular hot-swappable simultânea de CPU, fonte de alimentação e placa de interface no formato 1U.

A área técnica do TCU registrou que a alegação, se confirmada, indicaria restrição indevida e intencional da competitividade, ainda que a EAF não esteja sujeita à Lei Geral de Licitações. Por isso, o Tribunal pediu que Anatel, MCom e Gaispi esclareçam se existem concorrentes capazes de atender à especificação técnica descrita na RFP e, em caso positivo, encaminhem documentos comprobatórios.

Exigência de FPGA e impacto na proposta

Outro ponto da denúncia trata de suposta alteração de exigência técnica durante o processo. Segundo o denunciante, a RFP não previa exigência direta ou indireta de arquitetura FPGA. Ainda assim, a EAF teria pedido que uma das concorrentes alterasse sua proposta para usar obrigatoriamente equipamentos com FPGA.

A mudança teria elevado a proposta dessa concorrente em R$ 16,6 milhões. A denúncia aponta que a Sitehop oferece produtos com tecnologia FPGA-powered.

Para a unidade técnica do TCU, a exigência individual de requisitos mínimos divergentes daqueles expressos na RFP pode representar ilegalidade, pois a competição deve ocorrer com base nas mesmas regras para todos os participantes, e essas regras devem ser públicas antes do envio das propostas.

Segurança nacional e Wassenaar

A denúncia também sustenta que a contratação de uma empresa britânica para fornecer criptografia à Rede Privativa Federal poderia gerar risco à segurança nacional. O argumento apresentado ao TCU é que encriptadores de enlace usados em rede governamental crítica deveriam observar exigências relacionadas a algoritmos de Estado e a produtos estratégicos de defesa.

O denunciante afirma que o Reino Unido é signatário do Wassenaar Arrangement, regime internacional de controle de exportação de tecnologias de uso civil e militar, incluindo itens de criptografia avançada. Também sustenta que empresas sediadas em países signatários estariam sujeitas a autorizações de exportação e a controles de seus governos.

A instrução técnica do TCU considerou essas preocupações pertinentes e solicitou esclarecimentos sobre se os requisitos de segurança definidos para a rede privativa permitem a contratação de empresas internacionais ou transnacionais para fornecimento de encriptadores de enlace.

O Tribunal também quer saber se Anatel, MCom ou Gaispi fizeram análise prévia ou posterior sobre os aspectos de segurança nacional do certame. O despacho ainda questiona se o Ministério da Defesa e o Ministério das Relações Exteriores foram consultados sobre a contratação e suas implicações para a operação da rede privativa.

Algoritmo de Estado e nuvem pública

A RFP prevê que a solução deve permitir o embarque de suíte de algoritmos criptográficos proprietários definidos pela EAF, incluindo algoritmo de Estado brasileiro. Também prevê amostra mínima de equipamentos para que órgão de segurança do governo realize testes de homologação e embarque inicial do algoritmo.

Por isso, o TCU pediu esclarecimentos sobre eventual processo de homologação, incluindo testes de embarque do algoritmo de Estado durante a prova de conceito antes da adjudicação. Caso esses testes tenham ocorrido, os órgãos deverão informar qual órgão de segurança do governo os realizou.

A denúncia também aponta possível violação à vedação de uso de componentes de nuvem pública para tratamento de informações sigilosas. O argumento é que dados referentes à gestão e operação da rede, tráfego e chaves criptográficas poderiam ser classificados como sensíveis ou sigilosos. A área técnica destacou que, pela finalidade da rede privativa, é provável que informações reservadas, secretas e ultrassecretas trafeguem por essa infraestrutura.

Próximos passos no TCU

O TCU ainda não decidiu se concederá a cautelar pedida pelo denunciante. A área técnica reconheceu a presença de perigo da demora, pois o procedimento teria sido concluído em 1º de abril de 2026, o que a EAF nega, e o contrato poderia ser assinado a qualquer momento. Também identificou plausibilidade jurídica nos indícios relatados.

Mesmo assim, diante da complexidade técnica dos equipamentos e das lacunas de informação sobre o processo de contratação, a auditoria recomendou a oitiva prévia antes de eventual suspensão da RFP.

O relator acolheu a proposta. Além de ouvir Anatel, MCom, Gaispi e EAF, o TCU abriu espaço para manifestação da Sitehop e da NCT Informática. O denunciante, por sua vez, teve negado o pedido de ingresso como interessado nos autos.