A Resolução Normativa ANEEL nº 964, de 14 de dezembro de 2021, obriga concessionárias, permissionárias e autorizadas do setor elétrico, e também as entidades que operam o sistema, comercializam energia ou administram encargos setoriais, a ter uma política de segurança cibernética aprovada pelo conselho, aplicar pelo menos um modelo de maturidade por ano e notificar os incidentes de maior impacto assim que souberem deles. A norma está em vigor desde 1º de julho de 2022.
É um texto curto, de onze artigos, e deixa muitas definições nas mãos de cada agente: o que é um incidente de maior impacto, qual modelo de maturidade usar, que informação é crítica. Essa flexibilidade facilita começar, mas é também onde a fiscalização vai perguntar.
Quem está sujeito
O parágrafo único do art. 1º alcança dois grupos: os concessionários, permissionários e autorizados de serviços ou instalações de energia elétrica, e as entidades responsáveis pela operação do sistema, pela comercialização de energia ou pela gestão de recursos de encargos setoriais. Geração, transmissão, distribuição e comercialização entram, sem corte por porte.
A proporcionalidade aparece depois, no art. 5º: a política precisa ser compatível com a relevância da instalação no Sistema Interligado Nacional, com a natureza e a complexidade dos serviços e com a sensibilidade dos dados. Uma pequena central geradora e uma transmissora com subestações críticas cumprem a mesma norma, mas não com a mesma profundidade.
O conteúdo mínimo da política
O art. 4º lista o que a política precisa contemplar. Agrupamos os doze incisos pelo tipo de trabalho que cada um gera:
| Bloco | Incisos do art. 4º | O que pede na prática |
|---|---|---|
| Objetivos e maturidade | I e II | Objetivos de prevenção, detecção, resposta e redução de vulnerabilidades, e aplicação anual de pelo menos um modelo de maturidade em segurança cibernética. |
| Classificação e controles | III, IV e V | Classificar dados e informações por relevância, definir controles para reduzir vulnerabilidades e medidas técnicas, inclusive de rastreabilidade, para proteger as informações críticas. |
| Incidentes | VI, VIII e XII | Registro, análise de causa e impacto e controle dos efeitos dos incidentes de maior impacto, parâmetros para avaliar a relevância e procedimentos de resposta. |
| Terceiros | VI e VII | Prestadores que manuseiam informações críticas ou são relevantes para a operação seguem controles compatíveis com os do próprio agente, e os incidentes deles entram no registro. |
| Cultura | IX | Capacitação e avaliação periódica de pessoal, plano de conscientização de usuários e compromisso da alta administração. |
| Testes e operação | X e XI | Simulações de cenários e ameaças para testar resiliência e tempo de resposta, e mecanismos para que um incidente na rede de informação ou na rede das instalações não afete a operação. |
O parágrafo único acrescenta que os controles valem também para o desenvolvimento de sistemas e para a adoção de novas tecnologias. O art. 3º, por sua vez, manda adotar normas, padrões e referências de boas práticas, sem dizer quais.
Governança: conselho, dirigente e ponto focal
O art. 5º define como a política vive dentro da empresa. Ela precisa ser aprovada pelo conselho de administração ou órgão colegiado equivalente, revisada periodicamente e estar disponível para a ANEEL sempre que solicitada, com os documentos complementares e o comprovante da aprovação interna.
A norma também pede um dirigente responsável pela política, que pode acumular funções se não houver conflito de interesses, responsabilidades atribuídas a pessoas e áreas identificadas e um ponto focal para urgências. Em grupos econômicos com governança única, é preciso identificar qual agente responde por quê.
Notificação de incidentes: sem prazo em horas, mas sem folga
Pelo art. 6º, os agentes notificam a equipe de coordenação setorial designada sobre incidentes cibernéticos de maior impacto que afetem substancialmente a segurança das instalações, a operação, os serviços aos usuários ou os dados. A notificação inclui a análise de causa e impacto e as ações de mitigação, e deve ser feita assim que o agente tiver ciência do incidente e da sua dimensão (§ 3º).
Não há prazo em horas, e o «maior impacto» é definido pela escala de severidade do processo de gestão de riscos do próprio agente (art. 2º, II). Na nossa leitura, isso coloca a escala de severidade no centro da conformidade: se ela não existir por escrito antes do incidente, não há como demonstrar depois que a decisão de notificar, ou de não notificar, seguiu um critério.
A notificação setorial não substitui as outras (art. 6º, § 2º). Se houver dados pessoais envolvidos, a Resolução CD/ANPD nº 15/2024 dá três dias úteis para comunicar a ANPD e os titulares. Tratamos o tema em comunicação de incidente à ANPD.
Compartilhar e guardar: arts. 7º e 9º
O art. 7º obriga a compartilhar informações sobre ameaças de forma sigilosa e não discriminatória, com anonimato facultado, e esse compartilhamento não pode se restringir às empresas do mesmo grupo. Ficam de fora as informações que o agente classificou como críticas ou que comprometeriam a própria segurança.
O art. 9º é o que mais aparece numa fiscalização. O agente precisa manter registros e enviar, quando solicitados, os resultados dos modelos de maturidade aplicados, os riscos cibernéticos identificados com o respectivo tratamento e os dados das equipes de prevenção e resposta a incidentes. Se o modelo de maturidade foi aplicado, mas o resultado ficou num arquivo solto, ou se os riscos cibernéticos não estão ligados a um plano de tratamento, a resposta à ANEEL vira um trabalho de reconstrução.
IT e OT na mesma política
A norma fala em «rede de informação», a rede corporativa de dados, e em «rede das instalações», e pede mecanismos para impedir que os incidentes afetem a operação (art. 4º, XI). Ou seja, a política precisa cobrir o ambiente corporativo e o ambiente operacional, com SCADA, subestações e centros de operação. Para os agentes ligados à rede de operação do ONS, a ANEEL registra ainda os requisitos de segurança cibernética dos Procedimentos de Rede para o Ambiente Regulado Cibernético (ARCiber), que alcança centros de operação e equipamentos de transmissão de dados e voz.
A REN 964 não escolhe padrão técnico. O que faríamos é usar a ISO/IEC 27001 para o lado corporativo e uma referência específica de automação industrial, como a família IEC 62443, para o lado operacional, desde que as duas alimentem o mesmo inventário de ativos e o mesmo mapa de riscos. Com dois inventários, a resposta do art. 9º sai incompleta.
Por onde começaríamos
- Escala de severidade escrita e aprovada. Ela define o que é incidente de maior impacto e, portanto, o que se notifica.
- Escolha e aplicação do modelo de maturidade. A norma pede uma aplicação por ano e o resultado guardado no formato que a ANEEL vier a pedir.
- Inventário único de ativos IT e OT por instalação. Sem ele não há classificação de informações críticas nem mapa de riscos confiável.
- Lista de prestadores que tocam informação crítica. O art. 4º, VII, exige deles controles compatíveis com os do agente, e os incidentes deles entram no seu registro.
- Um exercício de simulação por ano, no mínimo. É a forma mais simples de cumprir o inciso X e de testar o tempo de resposta.
No GlobalSuite®, a solução para o setor de energia trabalha com um único inventário de processos, ativos, controles e terceiros, avalia riscos por instalação separando os ambientes IT e OT e registra os planos de proteção com os exercícios de cada ano. A gestão de riscos liga cada risco cibernético ao seu tratamento, que é exatamente o que o art. 9º pede para enviar.
Fontes oficiais: Resolução Normativa ANEEL nº 964, de 14 de dezembro de 2021 (DOU de 22 de dezembro de 2021, Seção 1, p. 287); ANEEL, página de segurança cibernética; ANPD, comunicação de incidente de segurança. Conteúdo revisado em outubro de 2026.
