Opinião e Análise

Luca Belli

Natália de Macedo Couto

Breno Pauli Medeiros

Nos últimos 15 anos, e em especial após a pandemia de Covid-19, o Brasil vem passando por um acelerado processo de digitalização. No entanto, como demonstram os relatos cotidianos de ataques e incidentes cibernéticos, essa digitalização ocorreu em descompasso com a adoção de medidas de cibersegurança, repetindo um padrão comum na <a href="https://sunypress.edu/Books/C/Cybersecurity-Governance-in-Latin-America">América Latina</a>: o ímpeto pela adoção rápida de tecnologias digitais comumente ocorre sem considerações práticas acerca da cibersegurança.
Como destacamos em nossa nova publicação sobre <a href="https://cyberbrics.info/cartilha-governanca-e-regulacao-da-ciberseguranca-no-brasil/">Governança e Regulação da Cibersegurança no Brasil</a><a href="#_ftn1" name="_ftnref1">[1]</a>, o contexto atual é extremamente preocupante, pois a digitalização de serviços públicos e privados, a proliferação de novos dispositivos e a ampliação da base de usuários <a href="https://www.crowdstrike.com/en-us/resources/reports/latam-threat-landscape-report/">expandem enormemente a superfície de ataque</a> dos países, enquanto a cibersegurança não é tratada como prioridade. Desse modo, os setores público e privado acabam recorrendo a medidas e iniciativas próprias, em função das respectivas necessidades para se protegerem e, apesar das boas intenções, <a href="https://portal.tcu.gov.br/imprensa/noticias/organizacoes-publicas-de-tecnologia-da-informacao-nao-estao-protegidas-contra-ataques-ciberneticos">os resultados permanecem desanimadores</a>.
<h3><a href="https://www.jota.info/produtos/poder?utm_source=cta-site&amp;utm_medium=site&amp;utm_campaign=campanha_poder_q2&amp;utm_id=cta_texto_poder_q2_2023&amp;utm_term=cta_texto_poder&amp;utm_term=cta_texto_poder_meio_materias">Conheça o JOTA PRO Poder, plataforma de monitoramento que oferece transparência e previsibilidade para empresas</a></h3>
Essa realidade se torna mais preeminente ao passo que a digitalização interconecta o setor produtivo, as infraestruturas críticas e os serviços essenciais do país, sujeitando a manutenção das atividades econômicas, sociais e até democráticas a ameaças cibernéticas, que, por sua vez, são cada vez mais numerosas e sofisticadas.
O Brasil parece começar a reduzir esse descompasso. Iniciativas como a o estabelecimento do <a href="https://www.gov.br/gsi/pt-br/colegiados-do-gsi/comite-nacional-de-ciberseguranca-cnciber">Comitê Nacional de Cibersegurança</a> (CNCiber), que atualizou a <a href="https://www.in.gov.br/en/web/dou/-/decreto-n-12.573-de-4-de-agosto-de-2025-646200784">Estratégia Nacional de Cibersegurança</a>, demonstram que o País está tentando tratar o tema com a devida seriedade. O <a href="https://www.in.gov.br/en/web/dou/-/decreto-n-11.856-de-26-de-dezembro-de-2023-533845289">Comitê Nacional de Cibersegurança</a> (CNCiber) é um órgão multissetorial, composto por 15 membros da Administração Pública Federal, 1 membro do Comitê Gestor da Internet no Brasil e 9 outros destinados à sociedade, distribuídos entre sociedade civil, instituições científicas e tecnológicas, e setor empresarial.
Ao longo do último ano, o <a href="https://www.gov.br/gsi/pt-br/colegiados-do-gsi/comite-nacional-de-ciberseguranca-cnciber/atas/ata-ro-001-24.pdf">CNCiber elaborou</a>, por meio de seus grupos de trabalho<a href="#_ftn2" name="_ftnref2">[2]</a>, proposta de anteprojeto para instituição de uma Lei Geral sobre Cibersegurança, com a proposta de criação de uma Agência Nacional de Cibersegurança, que foi apresentada na <a href="https://www.gov.br/gsi/pt-br/colegiados-do-gsi/comite-nacional-de-ciberseguranca-cnciber/atas/ata-da-5a-reuniao-ordinaria-do-cnciber-09-de-abril-de-2025/view">Reunião Ordinária de abril de 2025</a>. Esses dois elementos são essenciais para construir a cibersegurança e a soberania digital do país, conforme já destacamos em <a href="https://repositorio.fgv.br/items/4814c750-6b42-4d48-b8bb-302ce467b4ea">trabalho produzido anteriormente</a>.
A recente instauração de uma <a href="https://www12.senado.leg.br/radio/1/noticia/2025/03/25/instalada-frente-parlamentar-de-apoio-a-ciberseguranca-e-defesa-cibernetica">Frente Parlamentar de Apoio à Cibersegurança e Defesa Cibernética</a>, levou a proposição do <a href="https://www25.senado.leg.br/web/atividade/materias/-/materia/170613">PL 4752/2025</a>  com objetivos e conteúdo muito semelhantes: a criação de um Marco Legal da Cibersegurança, juntamente com a proposta de um Programa Nacional de Segurança e Resiliência Digital<a href="#_ftn3" name="_ftnref3">[3]</a>. Para os autores, o mais importante não é que um ou outro projeto seja aprovado, mas que – finalmente! – seja formado um quadro normativo no qual a cibersegurança se consolide normativa e institucionalmente.
Mas o que essas iniciativas possuem em comum? E quais são as expectativas para a cibersegurança no Brasil? Essas questões são fundamentais para compreender o atual movimento político e institucional sobre o tema.
<h3>A demanda por cibersegurança no Brasil</h3>
Essas iniciativas compartilham a preocupação de conferir maior segurança aos sistemas digitais brasileiros, preenchendo uma lacuna decorrente de anos de inércia institucional e regulatória. Como nossa recente pesquisa demonstra, o Brasil está vivenciando uma situação paradoxal: ao adotar vários atos normativos setoriais sobre cibersegurança, conseguiu chegar ao topo dos rankings internacionais de cibersegurança, enquanto, simultaneamente, os ciberataques e incidentes de segurança aumentam exponencialmente.
<a href="https://cyberbrics.info/governanca-e-regulacao-da-ciberseguranca-no-brasil-protecao-da-infraestrutura-critica-seguranca-da-informacao-e-construcao-da-soberania-digital/">Nosso diagnóstico</a> indica que a cibersegurança está sendo normatizada, mas surge como prioridade somente para atores técnicos envolvidos diretamente na resposta a incidentes em empresas e agências setoriais. Neste contexto, as mudanças recentes surgem como resposta a um cenário cada vez mais complexo e dinâmico, no qual é preciso estabelecer regras claras e coordenadas para lidar com ameaças cibernéticas que evoluem em sofisticação e escala, atingindo não apenas usuários individuais, mas também infraestruturas críticas nacionais.
Os riscos cibernéticos podem gerar efeitos sociais e econômicos devastadores, comprometendo o acesso a serviços essenciais e a operação de infraestruturas críticas. O restabelecimento dessas infraestruturas envolve custos financeiros e sociais consideráveis, redução da competitividade, danos reputacionais, paralisação de operações e serviços, além de riscos à privacidade e à proteção de dados. Nessa perspectiva, o “custo” da cibersegurança, constitui, na verdade, um <a href="https://www.jota.info/opiniao-e-analise/colunas/gestao-politica-sociedade/a-nova-e-potencialmente-trilionaria-estrategia-nacional-de-ciberseguranca">investimento reduzido</a> quando comparado aos benefícios de prevenção.
A gravidade desses incidentes reside justamente em seu efeito cascata, isto é, um ataque inicial pode provocar consequências sucessivas em outros sistemas conectados ou dependentes, ampliando significativamente os danos. Considerando a intensificação da digitalização mencionada anteriormente, torna-se imprescindível que a digitalização brasileira seja acompanhada também por medidas de cibersegurança.
Diversas iniciativas foram pensadas para estruturar um marco legal de cibersegurança. Um exemplo foi a ação liderada pelo Gabinete Institucional de Cibersegurança (GSI), em 2023, na qual propôs <a href="https://www.gov.br/gsi/pt-br/seguranca-da-informacao-e-cibernetica/audiencia-publica/01-2023">audiência pública</a> para debater um projeto de lei que visava instituir um sistema nacional de cibersegurança e uma agência reguladora. Embora a iniciativa não tenha avançado, ela fomentou o debate e culminou na promulgação do <a href="https://www.planalto.gov.br/ccivil_03/_ato2023-2026/2023/decreto/D11856.htm">Decreto 11.856/2023</a>, que instituiu Política Nacional de Cibersegurança e o Comitê Nacional de Cibersegurança.
Entretanto, como essas iniciativas ocorreram em nível federal, <a href="https://www.jota.info/opiniao-e-analise/artigos/governanca-e-ciberseguranca-desafios-da-fragmentacao-regulatoria">o problema da fragmentação regulatória</a> persiste, e lacunas no tratamento da cibersegurança no país ainda permanecem. O racional que sustenta a demanda por um marco legal é claro: a relevância estratégica da cibersegurança exige que todos os entes da federação, os poderes da República, o setor privado e a sociedade civil sejam abrangidos por um arcabouço normativo capaz de estabelecer princípios, direitos e deveres voltados à promoção da resiliência digital. Tal arcabouço deve ter abrangência nacional para ser implementado de maneira efetiva, bem como deve possuir um órgão regulador com recursos econômicos e humanos, bem como estrutura organizacional sólida.
<h3>O que precisa ser feito?</h3>
Além de estabelecer um marco capaz de regular direitos e obrigações, é necessário criar um mecanismo de governança que possa interconectar e organizar os atores da cibersegurança no Brasil. Para implementar essa visão, é necessário criar um arranjo institucional dotado de competências técnicas e recursos adequados. A cibersegurança envolve múltiplos atores e setores que desenvolvem, operam e regulam diversos ativos digitais. Essa multiplicidade gera fragmentação e complexidade, tornando essencial a comunicação, a coordenação e a cooperação entre todos os participantes do ecossistema.
Nossa pesquisa indica que um arranjo de governança eficiente deve, portanto: (i) desenvolver competências regulatórias, incluindo normatização, fiscalização e aplicação de sanções; (ii) estabelecer padrões mínimos de cibersegurança para todos os setores; (iii) garantir coordenação e comunicação entre órgãos reguladores, atores operacionais e entidades privadas; (iv) articular mecanismos de resposta a incidentes e prevenção de riscos, em conjunto com CSIRTs e ISACs; (v) fomentar capacitação, educação e cultura de cibersegurança, fortalecendo a formação de profissionais; (vi) facilitar a integração entre setores, promovendo harmonização normativa e colaboração interinstitucional.
A criação de um Sistema Nacional de Cibersegurança, coordenado por uma Agência Nacional de Cibersegurança, <a href="https://www.jota.info/opiniao-e-analise/colunas/gestao-politica-sociedade/a-nova-e-potencialmente-trilionaria-estrategia-nacional-de-ciberseguranca">surge como solução estratégica</a>. Nesse sistema, a agência teria o papel de coordenar atores públicos e privados, promover harmonização regulatória, viabilizar canais de comunicação seguros e incentivar a inovação e a capacitação. A implementação desse sistema garantiria uma governança participativa, inclusiva e efetiva, capaz de reduzir a fragmentação, otimizar a resposta a incidentes e fortalecer a soberania digital do país.
Diante desse contexto, a pergunta que permanece é: mesmo que um novo marco de cibersegurança seja adotado, quanto tempo e recurso público precisarão ser investidos para que a futura agência consiga desempenhar adequadamente suas funções regulatórias? Em nossa opinião, o ideal não deve se sobrepor ao bom.
No atual momento de reformas, em que a Autoridade Nacional de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/anpd">ANPD</a>) está sendo <a href="https://www.gov.br/gestao/pt-br/assuntos/noticias/2025/se/governo-sanciona-eca-digital-e-anuncia-transformacao-da-anpd-em-agencia-reguladora">reestruturada para fortalecer sua estrutura institucional e regulatória</a>, com a criação de novos cargos de servidores públicos efetivos por meio da <a href="https://www.in.gov.br/en/web/dou/-/medida-provisoria-n-1.317-de-17-de-setembro-de-2025-656784314">MP 1317/25</a>, que transforma a ANPD em agência reguladora, há outra autarquia especial que poderia se beneficiar de um upgrade e acelerar a implementação de uma Lei Geral sobre Cibersegurança: a Agência Nacional de Telecomunicações (<a href="https://www.jota.info/tudo-sobre/anatel">Anatel</a>).
A Anatel é a única agência reguladora que já fiscaliza cibersegurança com sucesso há anos. Conta com mais de 1.300 funcionários e uma estrutura robusta, capaz de construir uma governança e regulação efetivas, contando com vários escritórios estaduais. Tal estrutura parece comportar mais atribuições do que as competências atualmente listadas pela sua <a href="https://www.planalto.gov.br/ccivil_03/leis/l9472.htm">lei de regência</a>. Nesse sentido, a própria agência buscou novas oportunidades para se reposicionar como regulador de <a href="https://www.gov.br/anatel/pt-br/assuntos/noticias/presidente-da-anatel-defende-agencia-como-orgao-regulador-das-plataformas-digitais">plataformas</a> ou até de <a href="https://www.estadao.com.br/economia/coluna-do-broad/anatel-quer-se-tornar-a-agencia-reguladora-de-ia/#:~:text=A%20Ag%C3%AAncia%20Nacional%20de%20Telecomunica%C3%A7%C3%B5es,e%20em%20tramita%C3%A7%C3%A3o%20na%20C%C3%A2mara.">inteligência artificial</a>.
Dessa forma, a melhor maneira de aproveitar os ativos da Anatel e conferir à agência maior utilidade estratégica seria transformá-la em uma Agência Nacional de Telecomunicações e Cibersegurança. A realidade orçamentária e administrativa se impõe:  reestruturar a Anatel surge como uma solução que potencializa o arcabouço político-institucional existente, reduz custos e pode ser implementada quase imediatamente. Simplesmente, não há alternativa que ofereça igual eficiência, economia e agilidade.
Por fim, essa reestruturação parece uma oportunidade de ouro não somente para aprimorar as funções da Anatel, mas também para <a href="https://www.gov.br/participamaisbrasil/consulta-publica-estrategia-nacional-de-boas-praticas-regulatorias">implementar</a> <a href="https://www.conjur.com.br/2025-ago-05/entre-a-teoria-e-a-pratica-a-integracao-dos-tres-pilares-da-melhoria-regulatoria/">boas práticas</a> de <a href="https://www.conjur.com.br/2025-ago-05/entre-a-teoria-e-a-pratica-a-integracao-dos-tres-pilares-da-melhoria-regulatoria/">melhoria regulatória</a> que, na opinião dos autores, poderiam ser extremamente saudáveis para fortalecer e legitimar ainda mais a atuação do regulador.
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> BELLI, Luca; MEDEIROS, Breno; COUTO, Natália; BAKONYI, Erica; GASPAR, Walter; LAGE, Daniel. Governança e Regulação da Cibersegurança no Brasil: proteção da infraestrtura crítica, segurança da informação e construção da soberania digital. Rio de Janeiro: Lumen Juris, 2025.  O estudo será lançado no seguinte evento <a href="https://direitorio.fgv.br/eventos/webinar-lancamento-do-livro-governanca-e-regulacao-da-ciberseguranca-no-brasil-protecao-da">https://direitorio.fgv.br/eventos/webinar-lancamento-do-livro-governanca-e-regulacao-da-ciberseguranca-no-brasil-protecao-da</a>
<a href="#_ftnref2" name="_ftn2">[2]</a> Foram três os grupos de trabalhos: (i) atualizar a Estratégia Nacional de Cibersegurança (E-Ciber); (ii) elaborar proposta de criação de órgão de governança da atividade de cibersegurança no Brasil; e, (iii) definir parâmetros para a atuação internacional do Brasil em segurança cibernética.
<a href="#_ftnref3" name="_ftn3">[3]</a> O texto do projeto, em nossa opinião, ainda precisa ser aprimorado. Apesar de estar alinhado com as ideias principais estabelecidas pela PNCiber (Decreto 11.856/2023) e E-Ciber (Decreto 12.573/2025), o referido projeto apresenta algumas incongruências. A título de exemplo, parece desconsiderar a existência do CNCiber como parte importante da governança atual em cibersegurança e não esclarece a função do Programa Nacional de Segurança e Resiliência Digital. Tais questões, contudo, ainda serão objeto de debates no Parlamento e podem ser devidamente ajustadas.

ciberataque

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Criação do Comitê Nacional de Cibersegurança eleva seriedade do tema e reforça avanço na soberania digital do país

O momento da cibersegurança no Brasil chegou

Criação do Comitê Nacional de Cibersegurança eleva seriedade do tema e reforça avanço na soberania digital do país