Até hoje, nenhuma norma brasileira colocou um data center, uma operadora de telecom, uma prefeitura de médio porte e um fornecedor de tecnologia terceirizado sob o mesmo teto regulatório de cibersegurança. Cada um respondia a uma lógica diferente, quando respondia a alguma. Isso está prestes a mudar, e o texto que vai promover essa mudança já está em debate público.
Em abril de 2026, o Comitê Nacional de Cibersegurança (CNCiber) publicou a minuta da Lei Geral de Cibersegurança, proposta que institui o Sistema Nacional de Cibersegurança (SNCiber) e cria uma Autoridade Nacional para o tema. Segundo reportagem do portal TeleSíntese, o texto classifica como “serviços essenciais” um conjunto amplo de atividades ligadas à infraestrutura digital do país, incluindo data centers, serviços de nuvem, provedores de infraestrutura de tráfego de internet, DNS, registro de domínios, redes de distribuição de conteúdo, certificação digital e os próprios provedores de serviços gerenciados (MSPs e MSSPs). Paralelamente, tramita no Senado o PL 4.752/2025, o Marco Legal da Cibersegurança, já aprovado pela Comissão de Constituição e Justiça (CCJ) em dezembro de 2025 e submetido a audiência pública na Comissão de Ciência, Tecnologia, Inovação e Informática (CCT) em 30 de junho de 2026, conforme registrado pela TV Senado. Governo e Congresso discutem hoje integrar as duas propostas em um único texto.
Da fragmentação à sistematização: o vácuo que a LGPD e o BACEN não cobriam
O Brasil já regula partes do ambiente digital há anos, mas de forma setorizada. A LGPD trata do tratamento de dados pessoais. As resoluções do Banco Central impõem controles de segurança cibernética às instituições financeiras. Nenhuma das duas, no entanto, estabelece uma estrutura de governança, obrigações técnicas e sanções aplicáveis à cibersegurança como disciplina própria, independentemente de o incidente envolver dados pessoais ou o setor financeiro.
É esse vácuo que a Lei Geral de Cibersegurança se propõe a preencher. Diferente da LGPD, que pergunta “como você trata dados pessoais”, a nova lei pergunta “como você protege sistemas, redes e infraestruturas digitais”. Uma empresa pode estar em conformidade com a LGPD e, ainda assim, não ter controles de acesso, plano de resposta a incidentes ou monitoramento adequado sob a ótica da nova regulação.
O que a minuta prevê: quem é obrigado e o que passa a ser exigido
Um escopo muito maior do que setores regulados isoladamente
Segundo a minuta divulgada pelo CNCiber, tornam-se “agentes de cibersegurança obrigados” os operadores de infraestruturas críticas, os provedores de serviços essenciais e a administração pública, incluindo municípios com mais de 100 mil habitantes. A aplicação se estende também à cadeia de suprimentos desses agentes, o que significa que fornecedores diretos e indiretos de uma operadora de telecom, de um provedor de nuvem ou de um MSSP podem ser alcançados pelas exigências da lei, de forma proporcional ao porte e ao risco de cada organização.
Na prática, o texto vai muito além do que qualquer regulação setorial brasileira já tentou cobrir. Ele alcança simultaneamente telecomunicações, radiodifusão, serviços postais, data centers, nuvem, DNS, certificação digital e os próprios prestadores de serviços de segurança gerenciada, colocando indústria, varejo, telecom e infraestrutura crítica no mesmo raio de exigência que hoje se concentra, quase exclusivamente, no setor financeiro.
Obrigações técnicas e de governança baseadas em risco
Conforme detalha o TeleSíntese a partir da minuta, os agentes obrigados deverão adotar medidas técnicas, operacionais e organizacionais estruturadas em blocos mínimos: governança, avaliação e auditoria, proteção de ativos, controle de acesso com autenticação multifator e certificação digital, segurança no ciclo de vida dos sistemas, segurança da cadeia de suprimentos, testes contínuos, resposta a incidentes, continuidade de negócios e treinamento. A responsabilidade pela implementação dessas medidas permanece com o agente mesmo quando há terceirização, um ponto que reforça a importância de mapear e monitorar fornecedores tecnológicos.
Há ainda deveres específicos perante a autoridade competente: indicar um responsável de alta administração pela cibersegurança, manter cadastro atualizado, notificar incidentes relevantes, comunicar vulnerabilidades ao órgão central do sistema e instituir uma equipe própria de tratamento e resposta a incidentes, a ETIR. Esse último ponto merece atenção redobrada, porque transforma a capacidade de resposta de diferencial competitivo em exigência legal.
Uma nova Autoridade Nacional e poderes de intervenção
A minuta institui o SNCiber como estrutura de harmonização entre União, estados, Distrito Federal e municípios, com o Gabinete de Segurança Institucional (GSI) como coordenador político-estratégico e um centro nacional responsável por emitir alertas, analisar ameaças e apoiar as equipes de resposta a incidentes. A criação de uma Autoridade Nacional de Cibersegurança, com competência regulatória, fiscalizatória e sancionatória, também está prevista, embora o texto público ainda não defina qual órgão vai exercer essa função. Segundo o TeleSíntese, a Anatel desponta como principal candidata, por já dispor de estrutura técnica instalada.
Entre as competências previstas está a possibilidade de a autoridade determinar, em caráter cautelar e por até 72 horas, o bloqueio de tráfego, a remoção de artefatos maliciosos ou o desligamento de ativos cibernéticos em situações de risco iminente. É um nível de poder de intervenção direta que nenhuma regulação setorial brasileira de cibersegurança havia previsto até aqui.
Sanções no mesmo padrão da LGPD
O regime sancionatório segue a lógica já conhecida da proteção de dados: advertência com prazo para correção, multa simples de até 2% do faturamento do último exercício no Brasil, limitada a R$ 50 milhões por infração, multa diária, suspensão de distribuição de produtos ou serviços de cibersegurança e vedação ao acesso a financiamentos públicos por até cinco anos, conforme descrito na minuta divulgada pelo CNCiber.
O prazo de 180 dias e por que ele é mais curto do que parece
A minuta prevê um prazo de 180 dias de adequação a partir da publicação das normas regulamentadoras que vão detalhar a lei, uma etapa que só vem depois da aprovação do texto pelo Congresso. Em teoria, seis meses parecem tempo suficiente. Na prática, mapear ativos digitais críticos, revisar contratos com fornecedores, implementar controles de acesso com autenticação multifator, estruturar uma equipe de resposta a incidentes e comprovar governança documentada são processos que, quando conduzidos do zero, costumam levar bem mais do que meio ano.
É esse o motivo pelo qual empresas que esperarem a aprovação final da lei para começar a se organizar tendem a correr contra o prazo, enquanto aquelas que iniciam o diagnóstico agora, com o texto ainda em debate no Senado, chegam ao início da contagem já com a maior parte do caminho percorrido. O histórico recente de adequação à LGPD e às resoluções do Banco Central mostra o mesmo padrão: organizações que trataram a regulação como gatilho de planejamento saíram na frente das que trataram como prazo de urgência.
O que muda na prática para quem não é banco
Um dos aspectos mais relevantes da minuta é justamente o que ela não é: uma lei setorial. Diferente das exigências que hoje recaem quase exclusivamente sobre instituições financeiras, a Lei Geral de Cibersegurança projeta um padrão de exigência técnica, de governança e de resposta a incidentes sobre operadoras de telecom, provedores de nuvem, data centers, certificadoras digitais e prestadores de serviços gerenciados, entre eles a própria Asper. É uma condição pouco comum no cenário regulatório brasileiro: uma organização pode se tornar, ao mesmo tempo, agente obrigado pela lei e parceira que ajuda outros agentes obrigados a se adequarem a ela.
Para indústria, varejo, saúde e demais setores que dependem de fornecedores de infraestrutura digital, o impacto é indireto, mas real: contratos com data centers, provedores de nuvem e MSSPs deverão, cedo ou tarde, refletir as exigências da nova lei, e a diligência sobre esses fornecedores passa a ser parte do próprio escopo de conformidade da empresa contratante.
Como a Asper estrutura a resposta a esse novo ciclo regulatório
Diante de um marco legal que ainda está em formação, mas cujo prazo de adequação já está desenhado, a Asper orienta seus clientes a tratar a preparação como gestão contínua de exposição, e não como um projeto de conformidade pontual. Essa abordagem se apoia em três frentes.
A primeira é o mapeamento de exposição com o Tenable One, que permite identificar, priorizar e tratar vulnerabilidades antes que a lei entre em vigor, antecipando exatamente o tipo de evidência de gestão de risco que a minuta exige dos agentes obrigados. A segunda é a capacidade de resposta a incidentes do Cyber Fusion Center (CFC), operando 24×7 e estruturado para atuar dentro dos prazos de notificação que a nova regulação deve consolidar, o que reduz a distância entre o que a empresa já pratica hoje e o que passará a ser exigido por lei. A terceira é a leitura técnica da minuta aplicada à realidade de cada setor, feita pela consultoria de compliance da Asper, que traduz um texto legal ainda em debate em um plano de adequação concreto, específico para a cadeia de fornecedores, os sistemas e o porte de cada cliente.
Essa combinação responde a uma pergunta que tende a se tornar recorrente nos próximos meses: sua empresa consegue comprovar, hoje, que sabe onde estão seus ativos críticos, quem tem acesso a eles e como reagiria a um incidente dentro do prazo que a lei vai exigir?
O prazo ainda não começou a contar, mas o relógio já está ligado
A Lei Geral de Cibersegurança ainda depende de aprovação no Congresso. Hoje, o tema avança por duas frentes que devem convergir: a minuta do CNCiber, que detalha o desenho técnico do Sistema Nacional de Cibersegurança, e o PL 4.752/2025, o Marco Legal da Cibersegurança, já aprovado pela CCJ e em análise na CCT, com governo e Congresso discutindo unificar os dois textos em uma só lei. Mas a arquitetura já está definida: sistema nacional, autoridade fiscalizadora, obrigações técnicas detalhadas e sanções no patamar da LGPD. Esperar a redação final para agir significa começar a adequação exatamente quando o prazo de 180 dias já estiver correndo.
Cibersegurança deixou de ser uma pauta restrita ao setor financeiro ou ao departamento de TI. Com a Lei Geral de Cibersegurança, ela se torna um requisito estrutural para operar em praticamente qualquer setor que dependa de infraestrutura digital, o que, em 2026, é a maioria deles.
Quer entender como a minuta da Lei Geral de Cibersegurança se aplica ao seu setor e por onde começar a adequação? Fale com o time de especialistas da Asper.
