Decreto 12.975/2026: o que muda na guarda de log de CGNAT do provedor

O que o Decreto 12.975/2026 mudou para provedores

Em 21 de maio de 2026, o Decreto nº 12.975/2026 alterou uma regra que todo provedor que roda CGNAT precisa entender. Ele inseriu o Art. 15-A no Decreto 8.771/2016 e deixou explícito que a guarda de registro de conexão passa a abranger a porta lógica de origem — e não apenas o endereço IP.

Na prática: quando vários assinantes dividem o mesmo IP público (é o que o CGNAT faz), só o IP não identifica ninguém. O que identifica de forma inequívoca o assinante é a combinação IP + porta lógica + horário. O decreto torna a guarda desse dado um dever autônomo do provedor: você registra por conta própria, sem depender de um pedido judicial ou administrativo prévio.

O que mudou, em uma frase

Antes, muita gente guardava só o IP público e a data. Agora a leitura oficial é que isso não basta no CGNAT: sem a porta lógica de origem, o registro não cumpre a função de identificar o terminal.

E a decisão do STJ de julho de 2026?

Em 09/07/2026, o STJ decidiu que o provedor não é obrigado a identificar um usuário sem a porta lógica. Ou seja, o próprio Judiciário passou a raciocinar em cima de "IP + porta lógica" como a unidade que identifica alguém.

Vale a leitura honesta: essa decisão não significa "quem não guardar vai ser multado amanhã". Mas ela consolida no setor a ideia de que a porta lógica é o dado que importa. Quem já guarda certo responde um ofício em minutos; quem só tem o IP descobre o problema tarde, quando o ofício chega.

O que o provedor precisa registrar

Para cada tradução de CGNAT, o registro útil guarda:

• IP público de origem (o compartilhado);
• Porta lógica de origem (a faixa de portas alocada àquela sessão);
• IP privado do assinante (o interno);
• Data e hora com fuso;
• Retenção conforme o Marco Civil (registros de conexão: 1 ano).

Com esses campos, quando chega um ofício pedindo "quem estava com o IP X, na porta Y, às Z horas", você cruza e devolve o assinante. Sem a porta, você tem dezenas de assinantes atrás do mesmo IP e nenhuma resposta.

Como se preparar (checklist rápido)

1. Confirme se o seu BNG/concentrador (MikroTik, Huawei, Cisco…) está exportando o log de tradução CGNAT — muitos rodam CGNAT mas não guardam a tradução em lugar nenhum.
2. Garanta que o registro inclui a porta lógica, e não só o IP.
3. Verifique a retenção (1 ano) e se o armazenamento aguenta o volume — log de CGNAT cresce rápido.
4. Teste na prática: pegue um IP + porta + horário e veja se você chega no assinante. Se não chegar, o registro não está cumprindo a função.

Onde o NATVault entra

O NATVault guarda exatamente isso — IP, porta e horário de cada tradução de CGNAT, de forma consultável — e funciona com MikroTik, Huawei e Cisco. Quando chega o ofício, você informa o IP, a porta e o horário, e ele devolve o assinante, com o registro pronto para anexar à resposta. Dá para testar com dado de exemplo antes de apontar qualquer syslog, e a assinatura é self-service, sem reunião de vendas.

Se quiser ver como fica a resposta de um ofício antes de conectar a sua rede, basta criar a conta e olhar o exemplo.

Cesar Silva, CTO — Ceritell. Este conteúdo é informativo e não substitui orientação jurídica; consulte seu jurídico para o enquadramento do seu caso.