Prontuário Eletrônico e CFM: Requisitos de Segurança e Certificação

O prontuário eletrônico tem validade legal no Brasil quando atende aos requisitos da Resolução CFM nº 1.821/2007 e ao Manual de Certificação para Sistemas de Registro Eletrônico em Saúde, publicado em conjunto pelo Conselho Federal de Medicina (CFM) e pela Sociedade Brasileira de Informática em Saúde (SBIS). Os dois documentos definem os critérios técnicos de segurança, os níveis de certificação e as condições sob as quais o registro digital substitui o papel — com ou sem assinatura digital ICP-Brasil.

Prontuário eletrônico CFM-conforme é o sistema de registro digital de saúde que segue os requisitos técnicos estabelecidos pelo Conselho Federal de Medicina, incluindo controle de acesso por profissional, log de auditoria imutável, criptografia de dados e, dependendo do nível de certificação SBIS, assinatura digital com certificado ICP-Brasil. Sem atender a esses critérios, o prontuário digital não substitui legalmente o papel.

A maioria das clínicas que adotaram sistemas digitais nos últimos anos o fez sem verificar o nível de certificação — o que cria um risco jurídico real: o prontuário em papel ainda é tecnicamente obrigatório quando o sistema não alcança o nível NGS2. Para entender quais softwares já possuem essa certificação, veja os sistemas de prontuário eletrônico certificados pelo CFM.

O que diz a Resolução CFM nº 1.821/2007 sobre segurança?

A Resolução CFM nº 1.821/2007 é o documento que tornou legal a eliminação do prontuário em papel no Brasil — mas com condições específicas. Ela não proíbe o uso de sistemas digitais simples; estabelece que apenas os sistemas que atendam aos requisitos técnicos do Manual de Certificação SBIS/CFM podem prescindir do registro físico.

Os requisitos de segurança listados na resolução e no manual técnico são claros. O sistema precisa garantir: autenticação individual de cada profissional que acessa o prontuário, registro imutável de todas as ações (quem acessou, quando, o que alterou), criptografia dos dados durante o armazenamento e a transmissão, e backup automático com redundância geográfica. Para o nível mais alto de certificação, a assinatura digital com certificado emitido pela Infraestrutura de Chaves Públicas Brasileira (ICP-Brasil) é obrigatória.

O ponto que muitas clínicas ignoram: a resolução exige que o sistema seja capaz de recuperar e imprimir o prontuário em formato legível a qualquer momento, mesmo que o software original não esteja mais disponível. Isso significa que os dados precisam estar em formato aberto ou exportável — não pode haver aprisionamento de dados que impeça a portabilidade.

O que é o Manual de Certificação SBIS/CFM?

O Manual de Certificação para Sistemas de Registro Eletrônico em Saúde é o documento técnico elaborado pela Sociedade Brasileira de Informática em Saúde (SBIS) em parceria com o CFM. Ele define os requisitos funcionais e de segurança que um sistema deve cumprir para cada nível de certificação (NGS1 e NGS2) e é a base para o processo de auditoria e aprovação dos softwares.

A SBIS conduz os testes e concede a certificação. O CFM reconhece a certificação SBIS como evidência de conformidade com a Resolução nº 1.821/2007. Sem esse processo formal, o fornecedor pode afirmar que seu sistema é "CFM-compatível", mas sem auditoria independente essa afirmação não tem valor jurídico.

Um sistema pode ser certificado em uma ou mais categorias, conforme o escopo: Prontuário Eletrônico do Paciente (PEP), Telessaúde, Prescrição Eletrônica, Serviço de Apoio Diagnóstico Terapêutico (SADT) ou Segurança da Informação. Os requisitos avaliados se dividem em três grupos: estrutura, conteúdo e funcionalidades (ECF); segurança da informação nível 1 (NGS1); e certificação digital nível 2 (NGS2).

Qual a diferença entre NGS1 e NGS2?

NGS1 é o nível básico de segurança da informação; NGS2 acrescenta a certificação digital ICP-Brasil e é o único que permite operar sem papel. Os níveis são cumulativos: o NGS2 contém todos os requisitos do NGS1 e adiciona a assinatura digital de cada documento.

Na prática, a diferença define se a sua clínica ainda precisa arquivar folhas assinadas. Com NGS1, o registro é eletrônico, mas a guarda física do papel continua obrigatória. Com NGS2, cada documento é assinado com certificado digital ICP-Brasil e o arquivo em papel pode ser descartado após a digitalização certificada. Quem quer entender a mecânica da assinatura pode ver o que a lei exige do prontuário eletrônico com assinatura digital.

Para prescrições digitais com validade legal, o requisito de assinatura ICP-Brasil também se aplica — o documento precisa ser assinado pelo médico com certificado digital emitido por uma Autoridade Certificadora credenciada pelo Instituto Nacional de Tecnologia da Informação (ITI).

Existe certificação NGS3? Desfazendo a confusão

Não existe NGS3. A certificação SBIS tem apenas dois níveis de garantia de segurança — NGS1 e NGS2. Muito material no mercado cita um suposto "NGS3", mas isso é impreciso: nenhum certificado emitido pela SBIS traz esse rótulo.

A confusão vem da existência de dois eixos diferentes na certificação, que costumam ser misturados:

1. Níveis de Garantia de Segurança (NGS): medem a segurança e a validade jurídica. São dois: NGS1 e NGS2.
2. Estágios de Maturidade (1, 2 e 3): medem a completude funcional do software, e não a segurança. São três estágios cumulativos.

Um sistema pode estar no Estágio 1 de maturidade e, ainda assim, ser NGS2 — como mostra a própria lista de certificados da SBIS, em que a combinação "Estágio 1 / NGS2" é a mais comum. Quem lê "NGS3" em um material de venda está diante de um erro conceitual, não de um nível superior de segurança.

O que são os estágios de maturidade 1, 2 e 3?

Os estágios de maturidade classificam o quanto o software cobre de funcionalidades, do registro mínimo ao uso avançado da informação clínica. São cumulativos: o Estágio 2 inclui tudo do Estágio 1, e o Estágio 3 inclui tudo dos anteriores. Já o Estágio 1 garante a aderência às regras necessárias para eliminar o papel.

Para o dia a dia de um consultório ou clínica de pequeno porte, o Estágio 1 com NGS2 já resolve a necessidade central: registro seguro, assinado e sem papel. Os estágios superiores fazem mais diferença em hospitais e redes com fluxos complexos.

A certificação SBIS/CFM é obrigatória?

Não. Nenhuma lei brasileira obriga clínicas ou consultórios a usar um software certificado pela SBIS. O que a legislação exige é que o prontuário — em papel ou eletrônico — cumpra a Resolução CFM nº 1.821/2007, garantindo autenticidade, integridade e rastreabilidade, e respeite a guarda mínima de 20 anos da Lei nº 13.787/2018 (art. 6º).

A certificação importa quando o objetivo é abandonar o papel de vez. Sem um sistema NGS2 e sem a assinatura ICP-Brasil, a clínica é obrigada a manter a guarda física dos registros. Com eles, o descarte legal do arquivo físico passa a ser possível.

Há ainda o lado do custo: a SBIS publica uma tabela de preços oficial da certificação, e o processo envolve auditoria e renovação a cada dois anos. Por isso, muitos fornecedores optam por seguir os mesmos requisitos técnicos sem passar pelo selo formal.

Como verificar se um software é certificado pela SBIS?

Consulte a lista pública de sistemas certificados da SBIS, que registra pouco mais de 60 certificados de S-RES ativos em 2026, e confira quatro dados antes de fechar contrato. A certificação tem validade e pode expirar sem aviso ao cliente, então a checagem na fonte é o que garante a informação correta.

1. Nome e versão exatos do produto — a certificação vale para uma versão específica, não para a marca inteira.
2. Categoria (PEP, Telessaúde, Segurança da Informação) — precisa cobrir o uso que você fará.
3. Nível NGS — confirme se é NGS2, caso queira operar sem papel.
4. Data de validade — o certificado expira a cada dois anos; peça o número ao fornecedor e confira na lista.

A ausência de um software na lista não significa que ele seja inseguro; significa apenas que ele não passou pelo processo formal de certificação.

O ByDoctor tem certificação SBIS/CFM?

Sendo direto: o ByDoctor não consta na lista de sistemas certificados pela SBIS. A certificação é voluntária, e a plataforma segue os requisitos de segurança da Resolução CFM nº 1.821/2007 sem carregar o selo formal — é a mesma escolha que outros sistemas em nuvem fazem.

Na prática, isso significa controle de acesso individual por profissional, trilha de auditoria imutável (cada registro fica marcado com data, hora e autor, sem edição silenciosa) e criptografia dos dados em trânsito e em repouso. A prescrição sai assinada digitalmente via integração com a Memed, que usa certificado ICP-Brasil.

A limitação honesta: para descartar legalmente o arquivo físico com validade jurídica plena, a rota formal continua sendo um sistema com certificado NGS2 somado à sua assinatura ICP-Brasil pessoal. Se a certificação SBIS formal é um requisito inegociável para o seu caso, vale checar a lista da SBIS antes de decidir.

Como a LGPD se aplica ao prontuário eletrônico da clínica?

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) trata dados de saúde como dados pessoais sensíveis — a categoria com maior nível de proteção na legislação brasileira. Isso impõe obrigações que vão além do que o CFM exige em termos técnicos de segurança: agora há regras sobre coleta, uso, compartilhamento e descarte dos dados clínicos dos pacientes.

Para o prontuário eletrônico, as principais exigências da LGPD se traduzem em quatro práticas concretas. Primeiro, o tratamento dos dados precisa se apoiar em uma das hipóteses do artigo 11: o consentimento específico e destacado do paciente ou, sem consentimento, hipóteses como a tutela da saúde em procedimento realizado por profissionais de saúde ou serviços de saúde. Documentar qual é a base ajuda a demonstrar a conformidade. Segundo, o acesso ao prontuário deve ser restrito por perfil: o recepcionista não precisa ver o histórico clínico completo, só os dados de agendamento. Terceiro, o incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser comunicado pela clínica, como controladora, à Agência Nacional de Proteção de Dados (ANPD) e ao paciente (art. 48), no prazo de três dias úteis contados do conhecimento de que o incidente afetou dados pessoais (Resolução CD/ANPD nº 15/2024, arts. 6º e 9º); o prazo conta em dobro para agentes de pequeno porte que não realizem tratamento de alto risco. Quarto, o paciente tem o direito de solicitar a exclusão ou portabilidade dos seus dados — e o sistema precisa ser capaz de atender a essa solicitação.

O ponto de interseção entre LGPD e CFM é o log de auditoria: ambas as normas exigem rastreabilidade total de quem acessou o quê e quando. Um sistema sem log de acesso estruturado está em desconformidade com as duas regulamentações simultaneamente. Para um guia mais detalhado sobre o tema, veja como a LGPD impacta o software da sua clínica.

Checklist de segurança: o que o prontuário eletrônico da sua clínica deve ter

Antes de assumir que o sistema atual está em conformidade, vale revisar item a item. A maioria dos contratos com fornecedores de software médico não especifica o nível de certificação SBIS — e "atende ao CFM" sem mais detalhes não é uma garantia verificável.

• Autenticação individual por profissional: cada médico, enfermeiro ou secretária deve ter login próprio. Senhas compartilhadas invalidam o log de auditoria.

• Log de auditoria imutável: o sistema deve registrar automaticamente cada acesso, alteração e exportação de dados do prontuário, com data, hora e identificação do usuário. Esse registro não pode ser editado nem excluído.

• Criptografia em repouso e em trânsito: os dados armazenados no servidor devem ser criptografados (padrão AES-256 ou equivalente), assim como a comunicação entre o dispositivo do usuário e o servidor (protocolo TLS 1.2 ou superior).

• Backup automático com redundância: o sistema deve fazer cópias de segurança automáticas em intervalos definidos, com pelo menos uma cópia em localização geográfica diferente do servidor principal.

• Controle de acesso por perfil: cada cargo ou especialidade deve ter permissões específicas. O sistema deve impedir que um usuário acesse prontuários de pacientes que não são seus, salvo em situações de emergência documentadas.

• Localização dos servidores: data centers em território nacional ou com contratos que garantem soberania de dados conforme a LGPD.

• Recuperação e disponibilidade em contrato: frequência do backup, prazo de retenção, tempo de recuperação garantido (RTO e RPO documentados) e SLA de disponibilidade.

• Suporte em português: com horário de atendimento compatível com o funcionamento da clínica e canal de emergência para falhas que impeçam o atendimento.

• Exportação dos dados em formato aberto: o prontuário deve poder ser exportado em PDF ou XML a qualquer momento, sem dependência do fornecedor para leitura futura dos registros.

• Assinatura digital ICP-Brasil (para NGS2): necessária para que o prontuário digital substitua completamente o papel e para prescrições com validade jurídica plena.

Verificar esses itens com o fornecedor — por escrito, no contrato — é o caminho mais direto para saber em qual nível de certificação o sistema opera. Se o fornecedor não souber responder sobre o nível NGS, esse dado já é relevante.

Nuvem pública, privada ou híbrida: qual a diferença para clínicas?

A maioria dos sistemas médicos SaaS usa nuvem pública — servidores compartilhados em provedores como AWS, Azure ou Google Cloud, com isolamento lógico entre clientes. Para consultórios e clínicas, esse modelo dispensa equipe de TI interna.

Nuvem privada significa servidores dedicados exclusivamente a uma organização — comum em hospitais e redes de saúde com requisitos regulatórios específicos ou volumes de dados muito acima da média. Custa mais que a nuvem pública, mas oferece controle total sobre a infraestrutura.

Nuvem híbrida combina os dois: dados altamente sensíveis (prontuários completos, imagens de exames) ficam em ambiente dedicado, enquanto funcionalidades menos críticas (agendamento online, lembretes por WhatsApp) rodam em nuvem pública. Em qualquer dos três modelos, os requisitos de segurança deste artigo — log de auditoria, criptografia, backup e controle de acesso — continuam valendo.

Por quanto tempo a clínica deve guardar o prontuário eletrônico?

A Lei nº 13.787/2018 (art. 6º) define o prazo mínimo de guarda em 20 anos a partir do último registro, para prontuários em papel, digitalizados ou criados em meio eletrônico. Na prática, muitas clínicas guardam prontuários por mais tempo — especialmente em especialidades como oncologia, cardiologia e psiquiatria, onde o histórico longitudinal tem valor clínico direto.

O prontuário eletrônico resolve esse problema sem custo adicional de espaço físico. Um sistema bem configurado arquiva automaticamente registros fora do período ativo e os mantém acessíveis para consulta futura sem ocupar a interface principal do sistema. A diferença em relação ao papel é concreta: um arquivo com 15 anos de prontuários de uma clínica de médio porte ocupa centenas de metros quadrados; no sistema digital, o mesmo histórico está em alguns gigabytes de armazenamento em nuvem.

Um detalhe que passa despercebido: se a clínica trocar de sistema, ela tem obrigação legal de manter o acesso aos prontuários antigos. Isso significa que, ao migrar de software, é necessário exportar todos os dados em formato legível e garantir que o novo sistema os importe corretamente — ou que o sistema anterior continue acessível para consulta, mesmo sem uso ativo. Para clínicas que estão nesse processo, veja o guia de migração de sistema de consultório médico.

Para entender a norma que originou esses requisitos, leia o guia da Resolução CFM nº 1.821/2007.

Perguntas frequentes sobre prontuário eletrônico e CFM

O prontuário eletrônico precisa de assinatura digital ICP-Brasil?

Sim, para substituir legalmente o papel. A Resolução CFM nº 1.821/2007 exige assinatura digital com certificado ICP-Brasil para sistemas que operam em nível NGS2 — o único nível que elimina completamente o prontuário físico. Sistemas NGS1 podem operar sem assinatura ICP-Brasil, mas o papel ainda é necessário. A certificação pode ser obtida por meio de Autoridades Certificadoras credenciadas pelo ITI, com custo que varia entre R$ 150 e R$ 400 por certificado anual.

Qual a diferença entre NGS1 e NGS2?

NGS1 (Nível de Garantia de Segurança 1) reúne os requisitos mínimos de segurança da informação, mas mantém a guarda do papel. NGS2 inclui todos os requisitos do NGS1 e acrescenta a assinatura digital ICP-Brasil, permitindo operar sem papel. O NGS2 é o nível que dá validade jurídica plena ao prontuário digital. Para comparar opções, veja os softwares com prontuário eletrônico certificado pelo CFM.

Existe certificação NGS3?

Não existe NGS3. A certificação SBIS tem apenas dois níveis de segurança: NGS1 e NGS2. A confusão vem dos estágios de maturidade (1, 2 e 3), que medem a completude funcional do sistema — não o nível de segurança. Um software pode estar no Estágio 1 e já ser NGS2.

A certificação SBIS/CFM é obrigatória para clínicas e consultórios?

Não. A certificação SBIS/CFM é voluntária — nenhuma lei obriga a clínica a usar software certificado. Ela é, porém, o referencial técnico reconhecido pelo CFM e o caminho formal para eliminar o arquivo em papel com validade jurídica. Para a maioria dos consultórios, atender à Resolução CFM nº 1.821/2007 já garante conformidade.

Como sei se um software de prontuário é certificado pela SBIS?

Consulte a lista pública de sistemas certificados no site da SBIS. Ela traz o nome do produto, a versão, a categoria (PEP, Telessaúde), o nível NGS e a validade do certificado. A certificação expira a cada dois anos, então confirme a data e peça o número do certificado ao fornecedor.

Prontuário sem certificação SBIS tem validade jurídica?

Sim. Um prontuário eletrônico sem selo SBIS pode ter validade jurídica se cumprir a Resolução CFM nº 1.821/2007: autenticidade, integridade e rastreabilidade. Sem um sistema que atenda ao NGS2, com assinatura digital, porém, a clínica não pode descartar o papel — precisa manter a guarda física por, no mínimo, 20 anos.

Sistema médico na nuvem é seguro para dados de pacientes?

Sim, quando usa criptografia em trânsito e em repouso, controle de acesso por perfil e backup automático em servidores redundantes. O principal risco não é a arquitetura cloud — é o uso de senhas fracas ou compartilhadas entre profissionais. A responsabilidade pela configuração correta do software é do fornecedor do sistema médico.

O que o CFM exige em termos de segurança para o prontuário eletrônico?

O CFM, por meio da Resolução nº 1.821/2007 e do Manual de Certificação SBIS, exige: autenticação individual por profissional, log de auditoria imutável, criptografia dos dados armazenados e transmitidos, backup automático com redundância e controle de acesso por perfil. Para nível NGS2, assinatura digital ICP-Brasil é obrigatória. Sistemas que não cumprem esses requisitos não têm o prontuário digital reconhecido como substituto legal do papel.

Como a LGPD afeta o prontuário eletrônico das clínicas?

A Lei nº 13.709/2018 classifica dados de saúde como sensíveis, com proteção reforçada. O artigo 11 permite tratá-los com consentimento específico e destacado do titular ou, sem consentimento, quando o tratamento for indispensável para uma das hipóteses do inciso II, entre elas a tutela da saúde em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Para prontuários eletrônicos, isso exige: tratamento apoiado em uma dessas hipóteses, política de retenção com prazos definidos, comunicação à ANPD em três dias úteis em caso de incidente que possa acarretar risco ou dano relevante (Resolução CD/ANPD nº 15/2024, prazo em dobro para agentes de pequeno porte que não realizem tratamento de alto risco), e possibilidade de exportar ou excluir os dados do paciente mediante solicitação. O log de auditoria exigido pelo CFM também atende a parte dos requisitos de rastreabilidade da LGPD.

Por quanto tempo a clínica deve guardar o prontuário eletrônico?

Segundo a Lei nº 13.787/2018 (art. 6º), o prazo mínimo é de 20 anos a partir do último registro, para prontuários em papel, digitalizados ou criados em meio eletrônico. Sistemas de prontuário eletrônico bem configurados arquivam registros automaticamente sem intervenção manual, mantendo o histórico acessível dentro do prazo legal sem ocupar a interface ativa do sistema.

Resumo

O prontuário eletrônico tem validade legal no Brasil quando atende à Resolução CFM nº 1.821/2007 e ao Manual de Certificação SBIS, com requisitos de segurança que incluem log de auditoria, criptografia, backup automático e controle de acesso por perfil. Para eliminar completamente o papel, o sistema precisa operar em nível NGS2 com assinatura digital ICP-Brasil. A LGPD adiciona exigências sobre bases legais de tratamento, portabilidade e comunicação de incidentes que complementam as normas do CFM.

Para colocar isso em prática, o primeiro passo é confirmar com o fornecedor atual qual o nível de certificação SBIS do sistema — e obter essa informação por escrito. O ByDoctor integra os requisitos de segurança exigidos pelo CFM com controle de acesso por perfil, log de auditoria automático e armazenamento criptografado em nuvem. Para verificar se o sistema da sua clínica atende aos requisitos de conformidade, conheça as funcionalidades do ByDoctor ou acesse nossa área de ferramentas gratuitas para profissionais de saúde.