O Decreto nº 11.856, de 26 de dezembro de 2023, instituiu a Política Nacional de Cibersegurança (PNCiber) e o Comitê Nacional de Cibersegurança (CNCiber). Ele não cria obrigações diretas para empresas privadas: define princípios, objetivos e instrumentos para o Estado. O que uma empresa cumpre de fato continua vindo do regulador do seu setor.
O decreto prevê dois instrumentos (art. 4º): a Estratégia Nacional de Cibersegurança e o Plano Nacional de Cibersegurança. O comitê que acompanha tudo é presidido pelo Gabinete de Segurança Institucional (GSI) e tem, além de quinze órgãos públicos, nove assentos fora do governo, três deles para o setor empresarial (art. 7º). Para associações setoriais, esses assentos e os grupos de trabalho do comitê são o canal formal de influência.
Onde estão as obrigações hoje
Enquanto não houver lei geral, o mapa depende do setor:
| Setor | Norma | Comunicação de incidente |
|---|---|---|
| Instituições financeiras autorizadas pelo BCB | Resoluções CMN 4.893/2021 e 5.274/2025 | Comunicação tempestiva ao BCB de incidentes que configurem crise |
| Seguros, previdência aberta, capitalização e resseguro | Circular SUSEP 638/2021 | Até cinco dias úteis à Susep |
| Setor elétrico | REN ANEEL 964/2021 | Assim que o agente tiver ciência, à equipe de coordenação setorial |
| Telecomunicações | Resolução Anatel 740/2020 | Forma e procedimento definidos pelo GT-Ciber; sempre que houver comunicação à ANPD |
| Qualquer empresa que trate dados pessoais | Resolução CD/ANPD 15/2024 | Três dias úteis à ANPD e aos titulares |
Para um grupo com uma seguradora, uma comercializadora de energia e dados de clientes, são três ou quatro prazos para o mesmo incidente. A Susep, no relatório do seu grupo de trabalho de dezembro de 2024, tratou a Circular 638 como o principal instrumento do setor para os objetivos da PNCiber. É o desenho que tende a se repetir: a política nacional orienta e cada regulador traduz em regra.
O que a E-Ciber de 2025 antecipa
O Decreto nº 12.573, de 4 de agosto de 2025, instituiu a nova Estratégia Nacional de Cibersegurança (E-Ciber) e revogou a de 2020. Nada nela obriga uma empresa hoje, mas algumas ações mostram o tipo de exigência que deve chegar pelos reguladores:
- uma lista de alto risco de cibersegurança e padrões mínimos na contratação de produtos e serviços (art. 6º, IV e XI);
- um selo nacional de certificação de ciberativos (art. 6º, VI);
- um mecanismo nacional de notificação de ciberincidentes (art. 8º, II);
- um modelo nacional de maturidade em cibersegurança (art. 10, II).
O detalhe virá no Plano Nacional, que o decreto não data e que não localizamos publicado até a revisão deste artigo. No Senado tramita o PL nº 4.752/2025, o Marco Legal da Cibersegurança, com relatoria redistribuída ao senador Jorge Seif em 3 de setembro de 2026. Ainda precisa passar pela Câmara e pela sanção, então o texto pode mudar bastante.
Não espere a lei
Na nossa leitura, esperar o marco legal para se organizar é o erro mais caro: as obrigações setoriais já existem e a direção nacional está clara. Começaríamos mapeando quais reguladores alcançam cada entidade do grupo, adotando um referencial único de controles (ISO/IEC 27001 ou NIST CSF) ligado a cada norma setorial, e mantendo um registro de incidentes que conte todos os prazos ao mesmo tempo. O mecanismo nacional de notificação, quando vier, vai se somar aos atuais. E a lista de alto risco aponta para a cadeia de fornecedores, que vale a pena revisar desde já.
No GlobalSuite®, a biblioteca de conformidade permite registrar um controle uma única vez, com responsável e evidência, ligado a todos os requisitos que cobre. É o que evita refazer o mesmo trabalho para o BCB, a Susep e a ANPD.
Fontes oficiais: Decreto nº 11.856, de 26 de dezembro de 2023 (DOU) e publicação original na Câmara dos Deputados; Decreto nº 12.573, de 4 de agosto de 2025 (E-Ciber) e página da E-Ciber no GSI; tramitação do PL nº 4.752/2025; relatório final do GT Seguros e Segurança Cibernética da Susep. Conteúdo revisado em outubro de 2026.
