A NR-28 foi reescrita: cada falha de SST com terceirizados agora tem código próprio

Uma norma de segurança do trabalho só pesa de verdade quando o auditor-fiscal consegue transformá-la em auto de infração. Durante anos, parte do que a NR-1 exige da relação entre contratante e contratada viveu numa zona confortável: obrigação existente, mas enquadramento genérico. Essa zona encolheu.

Em 30 de setembro de 2026, o Ministério do Trabalho e Emprego publicou a Portaria MTE nº 1.758, de 29 de setembro de 2026, que reescreve o Anexo II da NR-28 — Fiscalização e Penalidades. É a tabela que liga cada item das Normas Regulamentadoras a um código de ementa, a um grau de infração (de 1 a 4) e a um tipo (segurança ou medicina do trabalho). A portaria entrou em vigor na data da publicação, sem período de adaptação.

Não há obrigação nova. Há algo que, para quem administra centenas de terceirizados, pode importar mais: a fiscalização passou a ter um código específico para quase cada linha do que a contratante deveria estar fazendo.

O fato

A Portaria MTE nº 1.758/2026 foi publicada no Diário Oficial da União de 30/09/2026 (Seção 1, edição extra) e disponibilizada pelo MTE na página de portarias de SST de 2026. O texto tem oito artigos:

• Art. 1º traz tabelas novas ou reescritas no Anexo II da NR-28 para a NR-1 (e seu Anexo II), NR-8, NR-9 (e Anexo III), NR-16 (e Anexos V e VI), NR-22 (e Anexos I, II, III e V), NR-32, NR-34, NR-35 (e Anexos I, II e III), NR-36 (e Anexo II) e NR-38.
• Arts. 2º a 6º fazem ajustes pontuais em códigos da NR-10, NR-12, NR-13, NR-30 e NR-34.
• Art. 7º revoga os códigos de ementa anteriores da NR-1, do Anexo II da NR-1, da NR-8, da NR-16, da NR-22 e de seus Anexos I, II e III, da NR-35 e de seus Anexos I e II, da NR-36 e de seu Anexo II, e da NR-38.
• Art. 8º determina vigência na data da publicação.

A dimensão do ajuste aparece quando se contam as linhas da tabela publicada. Pela nossa leitura do texto oficial:

Norma	Códigos na nova tabela	Destaque
NR-1 (Disposições gerais e GRO)	147	79 em grau 3 e 12 em grau 4
NR-1, Anexo II (EaD e semipresencial)	20	treinamentos a distância
NR-22 (Mineração) e anexos	800	649 em grau 4
NR-35 (Trabalho em altura) e anexos	207	acesso por cordas, ancoragem, escadas
NR-36 (Frigoríficos) e Anexo II	373	máquinas de abate e processamento
NR-32 (Serviços de saúde)	329	107 em grau 4
NR-38 (Limpeza urbana e resíduos)	134	setor intensivo em terceirização

A tabela não fixa valores em reais. Ela fixa o peso da infração. O valor sai do cruzamento com o Anexo I da NR-28, que gradua a multa pelo número de empregados e pelo grau (I1 a I4), separando segurança e medicina do trabalho. O item 28.3.1 da NR-28 amarra as duas peças, e o item 28.3.3 — inserido pela Portaria MTE nº 104/2026 — prevê o reajuste anual dos valores na forma do art. 634, § 2º, da CLT. Reincidência, embaraço à fiscalização ou artifício para fraudar a lei levam a multa ao patamar do art. 201, parágrafo único, da CLT (item 28.3.1.1).

Por que isso importa

Segundo o próprio MTE, cada código remete a uma ementa, isto é, à descrição da conduta irregular, e a classificação de gravidade considera a relação da obrigação com a prevenção de acidentes e adoecimentos. Quanto mais granular a tabela, mais precisa a autuação — e menor o espaço para a defesa genérica de que "o programa existe".

O caso da NR-1 é o mais ilustrativo, porque é ela que organiza o Gerenciamento de Riscos Ocupacionais (GRO) e o Programa de Gerenciamento de Riscos (PGR) de toda organização. Na nova tabela:

• O PGR deve conter inventário de riscos e plano de ação (item 1.5.7.1). Cada um tem código próprio, em grau 3.
• O inventário de riscos deve trazer, no mínimo, nove informações (item 1.5.7.3.2): caracterização dos processos, das atividades, descrição dos perigos, possíveis lesões, grupos expostos, medidas de prevenção, caracterização da exposição, dados de monitoramento e avaliação de riscos. Cada uma das alíneas "a" a "i" ganhou um código separado, em grau 2.
• E — o ponto que interessa a quem contrata — cada subitem do capítulo 1.5.8, "GRO nas relações de prestação de serviços a terceiros", tem código próprio, todos em grau 3, tipo segurança.

O problema para as empresas

O capítulo 1.5.8 da NR-1, na redação da Portaria MTE nº 1.419/2024 (vigente desde 26 de maio de 2025), é curto e muito concreto:

• 1.5.8.1 — O PGR da contratante deve incluir as medidas de prevenção para as contratadas que atuem em suas dependências ou em local previamente convencionado em contrato, ou utilizar os programas das contratadas. (código 101222-3, grau 3)
• 1.5.8.1.1 — Se usar os programas das contratadas, estas devem fornecer à contratante o inventário de riscos e o plano de ação referentes às atividades contratadas. (101223-1, grau 3)
• 1.5.8.1.2 — Se a contratada presta o serviço só com titular ou sócios, a contratante deve estender suas medidas de prevenção aos riscos dessas atividades. (101224-0, grau 3)
• 1.5.8.2 — A contratante deve informar às contratadas os riscos sob sua responsabilidade que possam impactar as atividades delas. (101225-8, grau 3)
• 1.5.8.3 — A contratada deve informar à contratante os riscos sob sua responsabilidade que possam impactar a contratante. (101226-6, grau 3)
• 1.5.8.4 — Quando os riscos resultarem da interação entre as atividades, as medidas de prevenção devem ser definidas em conjunto, sob coordenação da contratante. (101227-4, grau 3)

Some a isso o item 1.5.3.5 — quando várias organizações atuam simultaneamente no mesmo local, devem executar ações integradas de prevenção — também com código próprio (101149-9, grau 3).

Lido com a tabela nova ao lado, o capítulo deixa de ser uma diretriz de boa convivência e vira um roteiro de autuação. Seis perguntas objetivas que o auditor pode fazer à contratante, cada uma com sua ementa:

1. Seu PGR inclui as medidas para as contratadas que atuam aqui — ou você usa os programas delas?
2. Se usa os programas delas, onde estão o inventário e o plano de ação que elas lhe entregaram?
3. E o MEI ou a empresa de um sócio só que trabalha na sua planta: suas medidas cobrem esse risco?
4. Como você comunicou às contratadas os riscos do seu estabelecimento?
5. Como a contratada comunicou os riscos dela a você?
6. Onde está a evidência de que as medidas para riscos de interação foram definidas em conjunto, sob sua coordenação?

A maioria das empresas tem resposta para a primeira. Poucas têm evidência organizada, datada e atualizada para as seis.

O caso dos terceirizados

A NR-1 não inventou a responsabilidade da contratante pela segurança dos terceirizados — ela operacionalizou o que a lei já dizia. A Lei nº 6.019/1974, com as alterações das Leis 13.429/2017 e 13.467/2017, estabelece:

• art. 5º-A, § 3º: é responsabilidade da contratante garantir as condições de segurança, higiene e salubridade dos trabalhadores quando o trabalho for realizado em suas dependências ou em local previamente convencionado em contrato;
• art. 4º-C, II: aos empregados da prestadora, enquanto os serviços forem executados nas dependências da tomadora, são asseguradas as mesmas condições sanitárias, de proteção à saúde e de segurança no trabalho e de instalações adequadas;
• art. 5º-A, § 5º: a contratante é subsidiariamente responsável pelas obrigações trabalhistas referentes ao período da prestação de serviços.

A NR-1, por sua vez, define "organização contratada" justamente como a pessoa jurídica prestadora de serviços nos termos da Lei 6.019/1974. Ou seja: o capítulo 1.5.8 é a tradução técnica, em linguagem de PGR, de uma obrigação legal que a contratante já carregava. A Portaria 1.758 completa o circuito, dando a cada pedaço dessa tradução um código de autuação.

Três realidades de campo tornam isso especialmente sensível.

A rotatividade da cadeia. Contratos de manutenção, limpeza, logística, vigilância e obras trocam de equipe, de subcontratada e às vezes de escopo ao longo do ano. O inventário de riscos que a contratada entregou em março pode não descrever a atividade de outubro. O item 1.5.8.1.1 pede o inventário e o plano de ação "referentes às atividades objeto de sua contratação" — não referentes ao que era o contrato no dia da assinatura.

O prestador sem empregados. O item 1.5.8.1.2 cobre titulares e sócios que prestam o serviço pessoalmente. É exatamente o perfil que costuma ficar fora do radar documental: não tem PGR próprio, não tem SESMT, não tem CIPA. A norma diz que, nesse caso, a cobertura é da contratante.

Setores de alta densidade de terceiros. Mineração (NR-22), trabalho em altura (NR-35), frigoríficos (NR-36), serviços de saúde (NR-32) e limpeza urbana (NR-38) concentram as tabelas mais extensas da portaria. Na NR-22, dos 800 códigos publicados, 649 estão em grau 4, o mais alto. São atividades em que a contratada raramente trabalha sozinha: opera dentro do perímetro da contratante, com riscos de interação que o item 1.5.8.4 manda coordenar.

O que as empresas deveriam fazer

Não é necessário reescrever o PGR por causa da Portaria 1.758 — as obrigações não mudaram. É necessário testar se o PGR, e a gestão de contratadas que o alimenta, aguentam uma fiscalização com a tabela nova na mão.

1. Mapear o perímetro do 1.5.8. Liste todas as contratadas que atuam nas suas dependências ou em local convencionado em contrato. Inclua as que prestam serviço só com titular ou sócios.
2. Decidir, contrato a contrato, o modelo do 1.5.8.1. Ou as medidas da contratada estão no seu PGR, ou você usa o programa dela. Documente a escolha. O modelo "nenhum dos dois" é a falha mais simples de enquadrar.
3. Exigir inventário e plano de ação aderentes ao escopo atual. Se você usa o programa da contratada, o documento precisa refletir a atividade que ela executa hoje, com as nove informações mínimas do item 1.5.7.3.2 — cada uma, lembre-se, com código próprio.
4. Formalizar a troca de informações de risco nos dois sentidos (1.5.8.2 e 1.5.8.3). Integração de segurança, ordem de serviço, permissão de trabalho e atas são evidência, desde que datadas e vinculadas à contratada e ao local.
5. Registrar a coordenação dos riscos de interação (1.5.8.4 e 1.5.3.5). Paradas de manutenção, obras com várias frentes e operações simultâneas exigem medidas definidas em conjunto, sob coordenação da contratante — e prova de que isso aconteceu.
6. Revisar treinamentos a distância de terceiros. O Anexo II da NR-1, que regula EaD e semipresencial, ganhou 20 códigos. Se a integração de contratadas é feita online, ela precisa cumprir esses requisitos.
7. Priorizar pelo grau, não pelo volume. Cruze suas contratadas com as NRs setoriais aplicáveis (NR-22, NR-35, NR-36, NR-32, NR-38) e concentre a verificação onde a tabela concentra grau 4.
8. Definir gatilhos de revisão. Troca de equipe, nova subcontratada, mudança de escopo, acidente ou quase-acidente, mudança de frente de trabalho: cada evento deveria reabrir a pasta da contratada, não apenas a renovação anual.
9. Atualizar cláusulas contratuais. Obrigação de entregar e manter atualizados inventário e plano de ação, de comunicar riscos, de participar da coordenação conjunta e de informar subcontratações.
10. Fazer uma autoauditoria com a tabela da Portaria 1.758. Pegue os códigos do capítulo 1.5.8 e do item 1.5.7.3.2 e pergunte, para cada contratada crítica: onde está a evidência? O exercício leva horas; o auto de infração, minutos.

A perspectiva da Due Diligence Contínua

A Portaria 1.758 diz algo incômodo sobre a forma como muitas empresas gerenciam terceiros: o problema raramente é a ausência do documento, é a defasagem do documento. O inventário existe, mas descreve a equipe anterior. A integração foi feita, mas antes da nova frente de trabalho. A coordenação conjunta aconteceu, mas na parada do ano passado.

Uma tabela de infrações granular pune exatamente essa defasagem, porque permite ao auditor apontar a alínea que falta, e não o programa inteiro. A resposta coerente é tratar a conformidade de SST das contratadas como um estado que se monitora, e não como um pacote que se arquiva no credenciamento.

É esse o princípio da Due Diligence Contínua, e é para isso que plataformas como a Califix existem: manter documentação, vigência e evidência de cada contratada visíveis enquanto o contrato acontece. Nenhuma ferramenta substitui o PGR, o SESMT ou a coordenação no chão de fábrica. O que ela evita é descobrir na fiscalização que o documento certo ficou velho.

Ideia final

Normas de fiscalização costumam passar despercebidas porque "não criam obrigação nova". A Portaria MTE nº 1.758/2026 é um bom exemplo de por que essa leitura é perigosa. Ao dar código próprio a cada subitem do GRO com terceiros, o MTE não mudou o que a contratante deve fazer. Mudou a precisão com que pode provar que ela não fez.

Para quem contrata em escala, a pergunta deixou de ser "temos um programa de gestão de terceiros?". Passou a ser: para cada código, temos a evidência de hoje?

Fontes

1. Portaria MTE nº 1.758, de 29 de setembro de 2026 (DOU de 30/09/2026, Seção 1, edição extra) — altera a NR-28: gov.br/trabalho-e-emprego (PDF)
2. MTE. Portarias de SST publicadas em 2026: gov.br/trabalho-e-emprego
3. MTE. Norma Regulamentadora nº 28 (NR-28) — estrutura e critérios do Anexo II: gov.br/trabalho-e-emprego
4. NR-28 — Fiscalização e Penalidades, texto atualizado 2026 (itens 28.3.1, 28.3.1.1, 28.3.3 e Anexo I): gov.br/trabalho-e-emprego (PDF)
5. NR-1 — Disposições Gerais e Gerenciamento de Riscos Ocupacionais, texto atualizado (itens 1.5.3.5, 1.5.7 e 1.5.8): gov.br/trabalho-e-emprego (PDF)
6. Portaria MTE nº 1.419, de 27 de agosto de 2024 (nova redação do GRO na NR-1): gov.br/trabalho-e-emprego (PDF)
7. Lei nº 6.019, de 3 de janeiro de 1974 (arts. 4º-C, 5º-A, §§ 3º e 5º): planalto.gov.br
8. CNI / Conexão Trabalho. "MTE atualiza códigos de ementas e enquadramentos de infrações no Anexo II da NR-28": conexaotrabalho.portaldaindustria.com.br