O contexto que tornou essa lei necessária

O Brasil registrou, em 2025, mais de 750 bilhões de tentativas de ataques cibernéticos. Setores como saúde, financeiro, energia e governo estão entre os mais visados. Apesar disso, até hoje o país não possui um marco legal unificado que estabeleça obrigações mínimas de cibersegurança para organizações públicas e privadas de forma integrada.

Esse vácuo regulatório cria um cenário paradoxal: empresas grandes investem em segurança por conta própria, enquanto pequenas organizações ficam expostas sem orientação ou exigência formal. O resultado é uma cadeia de suprimentos inteira vulnerável, onde o elo mais fraco abre a porta para ataques que comprometem toda a rede. A proposta elaborada pelo CNCiber busca exatamente resolver esse problema, criando um arcabouço legal que estabelece responsabilidades claras, requisitos mínimos de proteção e um sistema nacional integrado de governança cibernética.

O Sistema Nacional de Cibersegurança: a espinha dorsal da proposta

O coração da Lei Geral de Cibersegurança é a criação do Sistema Nacional de Cibersegurança (SNCiber), um arranjo integrado que reúne órgãos federais, estaduais, distritais e municipais em torno de objetivos comuns de proteção digital. O SNCiber não funciona como um órgão único centralizador. Ele opera como uma rede coordenada, onde cada participante tem papel definido: uma autoridade nacional de cibersegurança na coordenação geral, autoridades setoriais com competência regulatória em seus respectivos segmentos e o Centro Nacional de Cibersegurança (CENCiber) como hub operacional para monitoramento, alertas e resposta a incidentes.

Todavia, o que diferencia essa proposta de iniciativas anteriores é a criação da Rede Nacional de Cibersegurança (RENCiber), que permite o compartilhamento ágil de informações sobre ameaças, vulnerabilidades e incidentes entre todos os integrantes do sistema. Pense no modelo como uma rede de vigilância colaborativa: quando um membro identifica uma ameaça, todos os outros são alertados em tempo real.

Quem é obrigado a cumprir a lei

A proposta estabelece uma distinção clara entre agentes obrigados e voluntários. São considerados agentes de cibersegurança obrigados os operadores de infraestruturas críticas, que incluem setores como energia, saúde, telecomunicações, financeiro, transportes, saneamento, defesa e educação; os provedores de serviços essenciais, abrangendo desde centros de dados e serviços de nuvem até plataformas digitais públicas e prestadores de serviços de certificação digital; e a União, os Estados, o Distrito Federal e municípios com mais de 100 mil habitantes.

Apesar disso, a proposta vai além das organizações diretamente listadas. A lei se estende aos fornecedores diretos e indiretos que integram a cadeia de suprimentos dessas organizações. Isso significa que uma empresa de médio porte que fornece software para um hospital ou para uma empresa de energia também passa a ter obrigações regulatórias proporcionais ao seu porte e ao nível de risco que representa.

Da TI para a alta administração: a virada na governança

Um dos pontos mais relevantes da proposta é a exigência de que a cibersegurança deixe de ser tratada apenas como um problema técnico e passe a integrar a estrutura de governança das organizações. A lei exige que os agentes obrigados designem um responsável pela cibersegurança diretamente ligado à alta administração, além de manter uma equipe de ponto de contato permanente com a autoridade competente. Essa mudança reconhece o que organizações maduras já praticam: decisões de segurança que não chegam ao nível de diretoria ou conselho raramente recebem os recursos e a prioridade necessários.

Além disso, as medidas técnicas exigidas pela lei contemplam dez áreas estruturais de segurança que qualquer organização obrigada precisará cobrir, incluindo governança, gestão de riscos, controle de acesso com autenticação multifator, segurança da cadeia de suprimentos, resposta a incidentes, continuidade de negócios e conscientização e treinamento de colaboradores em todos os níveis.

As dez áreas obrigatórias de segurança

As dez áreas obrigatórias abrangem: governança com papéis e responsabilidades formalmente definidos; avaliação contínua e auditoria da eficácia das medidas adotadas; gestão e proteção de ativos digitais com uso de criptografia; controle de acesso com autenticação multifator e certificação digital; segurança no ciclo de vida de sistemas e softwares; gestão de riscos com fornecedores e prestadores de serviços; segurança física de instalações e pessoas; testes e monitoramento contínuo para detecção de anomalias; plano de resposta a incidentes testado e atualizado periodicamente; e conscientização e treinamento em cibersegurança em diferentes níveis organizacionais.

O que muda para micro e pequenas empresas

Um dos aspectos mais importantes da proposta é o tratamento diferenciado para micro e pequenas empresas. A lei adota expressamente o princípio da proporcionalidade: as exigências técnicas, operacionais e administrativas são ajustadas ao porte e ao grau de exposição ao risco de cada organização. Municípios com menos de 100 mil habitantes, por exemplo, observarão as disposições da lei dentro dos limites de suas condições orçamentárias.

Contudo, isso não significa que pequenas organizações estão isentas de qualquer responsabilidade. A proposta reconhece que pequenos negócios são frequentemente usados como porta de entrada para ataques a grandes cadeias de suprimentos. Porém, o ponto mais estratégico para pequenas empresas não é a obrigação em si. É a oportunidade. Organizações que demonstrarem maturidade em cibersegurança ganham um diferencial competitivo real ao participar de cadeias de suprimentos de agentes obrigados que precisarão auditar seus fornecedores.

Sanções: até R$ 50 milhões por infração

O regime sancionatório proposto é um dos mais rigorosos já apresentados para o setor digital no Brasil. As penalidades vão desde advertências com prazo para correção até multas que podem chegar a 2% do faturamento do último exercício, limitadas a R$ 50 milhões por infração. O arsenal de sanções inclui ainda multa diária, obrigação de fazer ou não fazer, suspensão de serviços por até seis meses, proibição de distribuição de produtos e serviços e, em casos mais graves, proibição de receber incentivos públicos por até cinco anos.

Apesar disso, a proposta não é punitiva por natureza. Ela estabelece critérios de gradação que levam em conta a boa-fé do infrator, a adoção de políticas de governança, a cooperação com as autoridades e a pronta correção dos problemas identificados. Organizações que investirem em compliance terão não apenas menor risco de infração, mas também bases sólidas para uma defesa mais favorável em caso de processo administrativo.

Padrões internacionais como caminho para conformidade

A proposta não cria padrões técnicos próprios do zero. Ela incentiva explicitamente a adoção de normas internacionais reconhecidas, como a ISO 27001, como base para a implementação de controles eficazes. Isso é relevante por duas razões. Primeiro, organizações que já possuem certificações internacionais terão um caminho muito mais curto para demonstrar conformidade com a lei. Segundo, o alinhamento com padrões globais facilita a participação de empresas brasileiras em mercados internacionais, onde exigências equivalentes já são praticadas há anos na Europa, nos Estados Unidos e na Ásia.

Todavia, adotar uma norma internacional não é garantia automática de conformidade legal. A lei estabelece obrigações específicas, como a criação de ETIRs, a notificação de incidentes ao CENCiber e a manutenção de cadastro atualizado junto às autoridades competentes, que precisarão ser incorporadas mesmo por organizações já certificadas.

O que ainda está em aberto

É importante registrar que a minuta do CNCiber é uma proposta consultiva, e não um texto definitivo com força de lei. O documento ainda precisará percorrer o processo legislativo no Congresso Nacional, onde poderá ser alterado, ampliado ou reduzido. Apesar disso, a solidez técnica da proposta e o envolvimento de 25 instituições multissetoriais em sua elaboração indicam que os princípios centrais têm boa chance de se manter.

Para organizações que operam em setores críticos, esperar a aprovação definitiva para começar a se preparar é uma decisão arriscada. Os 180 dias de prazo previstos para adequação após a publicação das normas regulamentares são curtos para quem começa do zero.

O que fazer agora: preparação como vantagem competitiva

A aprovação da Lei Geral de Cibersegurança não é uma questão de se, mas de quando. E organizações que começarem a se preparar antes da aprovação terão vantagens concretas: menos custo de adequação, maior maturidade no momento da fiscalização e um diferencial competitivo real junto a clientes e parceiros que precisarão auditar sua cadeia de suprimentos.

Alguns passos práticos que já fazem sentido agora, independentemente do texto final da lei: mapear os ativos digitais críticos da organização e classificar os riscos associados; revisar as políticas de controle de acesso e implementar autenticação multifator; estruturar um plano de resposta a incidentes, mesmo que simplificado; identificar os fornecedores que têm acesso aos sistemas da organização e avaliar os riscos da cadeia; e iniciar um programa de conscientização e treinamento em cibersegurança para todos os colaboradores.

Como a DPOnet pode ajudar sua organização nessa jornada

A chegada da Lei Geral de Cibersegurança reforça uma tendência que a DPOnet acompanha desde o início: a segurança digital e a privacidade de dados não são domínios separados. Eles se complementam, compartilham princípios e demandam a mesma mentalidade de governança contínua.

A DPOnet oferece uma plataforma centralizada que permite mapear processos, identificar vulnerabilidades, distribuir responsabilidades entre áreas e gerar evidências de conformidade de forma estruturada e auditável. Com metodologia orientada à prática e suporte especializado, a plataforma ajuda organizações de todos os portes a construírem uma base sólida de governança, capaz de atender tanto às exigências da LGPD quanto ao que está por vir com a Lei Geral de Cibersegurança. Preparar-se hoje é mais inteligente e mais barato do que remediar amanhã.

Conheça a DPOnet e descubra como estruturar a governança digital da sua organização.