A Resolução Anatel nº 740, de 21 de dezembro de 2020, aprovou o Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações, o R-Ciber. Ele obriga as prestadoras de interesse coletivo, exceto as de pequeno porte, a ter uma política de segurança cibernética aprovada pelo conselho, usar fornecedores com política própria e auditoria independente, fazer ciclos de avaliação de vulnerabilidades, notificar incidentes relevantes à Anatel e entregar um relatório anual sobre a execução da política.
Desde 2 de setembro de 2024, com a Resolução Anatel nº 767, parte dessas regras alcança também as pequenas, e a política passou a ter de tratar a contratação de nuvem.
Quem cumpre o quê depois de 2024
Para um provedor regional, a resposta deixou de ser única. Depende do artigo:
| Quem | Base | O que precisa cumprir |
|---|---|---|
| Prestadoras de interesse coletivo, exceto pequeno porte | Art. 2º | O regulamento inteiro: política, fornecedores, credenciais padrão, incidentes, vulnerabilidades, infraestrutura crítica e relatório anual. |
| Todas as prestadoras de interesse coletivo, de qualquer porte | Art. 2º-A | Trocar a configuração padrão de autenticação dos equipamentos cedidos aos usuários (art. 8º), no prazo e na forma definidos pelo GT-Ciber. |
| Operadoras de cabo submarino internacional, prestadoras de SMP com rede própria e atacadistas de transporte de dados de alta capacidade com PMS | Art. 2º-B | Arts. 6º, 7º, 9º, 10 e 11, de qualquer porte, a partir de um ano da Portaria Anatel nº 2.899, de 16 de setembro de 2024. |
| Todas as prestadoras, de qualquer porte | Art. 2º-C | Notificar a Anatel sempre que um incidente de segurança exigir comunicação à ANPD. |
A política (arts. 12 a 16) precisa de diretor responsável, aprovação do conselho, atualização periódica e um extrato público no site. O inciso VIII-A, incluído em 2024, exige que ela trate a contratação de processamento, armazenamento e nuvem, avaliando o fornecedor e a complexidade de gerir incidentes quando os dados ficam fora do país. Muitas políticas anteriores a 2024 não tratam a nuvem como tema próprio.
O art. 7º é trabalho de compras
A prestadora deve usar equipamentos de fornecedores com política de segurança compatível e auditorias independentes periódicas, com o resultado disponível para a Anatel. Startups enquadradas na Lei Complementar nº 182/2021 podem ser dispensadas, mas a prestadora continua responsável pela segurança da solução.
Na nossa leitura, é o ponto em que compras e segurança mais precisam conversar: a exigência de auditoria tem de estar no edital ou no contrato, e não ser descoberta depois da assinatura. Um mapa simples de quem tem política, quem tem auditoria e onde está o relatório já resolve boa parte.
Um incidente, dois avisos
A prestadora notifica a Anatel dos incidentes relevantes, com causa, impacto e mitigação (arts. 9º e 17). O regulamento não fixa prazo em horas: forma e procedimento ficam com o GT-Ciber (art. 24). Pelo art. 2º-C, sempre que o incidente exigir comunicação à ANPD, que tem prazo de três dias úteis, a Anatel também precisa saber. Na prática, a decisão de comunicar a ANPD dispara a notificação à Anatel, e convém que as duas saiam do mesmo registro. O regulamento da ANPD está em comunicação de incidente à ANPD.
Há revisão a caminho. É o item 3 da Agenda Regulatória 2025-2026 da Anatel, com foco em uso malicioso de IA, nuvem e data centers ligados às redes. A consulta pública terminou em novembro de 2025; na atualização de julho de 2026, faltavam a análise do Conselho Diretor e a aprovação final.
No GlobalSuite®, a solução para telecomunicações parte de um inventário único de ativos e serviços de rede e acompanha cada incidente com responsável e prazo de notificação. A due diligence de cada fornecedor fica no módulo de Riscos de terceiros.
Fontes oficiais: Resolução Anatel nº 740, de 21 de dezembro de 2020 (texto com as alterações), Resolução Anatel nº 767, de 7 de agosto de 2024 e Agenda Regulatória 2025-2026, item 3, no site da Anatel; ANPD, comunicação de incidente de segurança. Conteúdo revisado em outubro de 2026.
