O Governo Federal instituiu a nova Estratégia Nacional de Cibersegurança (E-Ciber) por meio do Decreto nº 12.573, publicado no Diário Oficial da União. A medida substitui o modelo anterior em vigor desde 2020 e estabelece uma arquitetura normativa atualizada para enfrentar o crescimento das ofensas digitais contra organizações públicas, sistemas privados e serviços essenciais. A nova formulação estratégica deriva de diretrizes elaboradas com apoio técnico do Comitê Nacional de Cibersegurança (CNCiber), colegiado vinculado ao Gabinete de Segurança Institucional (GSI) da Presidência da República que reúne representações governamentais, da iniciativa privada, da sociedade civil e da comunidade acadêmica.
Quatro eixos estratégicos para a resiliência cibernética
A E-Ciber define a rota de planejamento e investimento do país em segurança digital com base em quatro eixos estruturantes. O primeiro concentra-se na proteção e conscientização do cidadão e da sociedade, englobando projetos de educação em higiene digital, defesa de grupos vulneráveis — como crianças e adolescentes — e mecanismos de apoio a microempresas, empresas de pequeno porte e startups para identificação e contenção de ameaças lógicas.
O segundo eixo elege como prioridade a segurança e a resiliência dos serviços essenciais e das infraestruturas críticas nacionais. Esse pilar orienta órgãos reguladores setoriais a aprimorarem exigências de continuidade de negócios e redundância operacional em áreas cruciais para a estabilidade do país, como redes elétricas, telecomunicações, transporte de passageiros e cargas, abastecimento hídrico, saúde e sistema financeiro.
O terceiro pilar foca na cooperação e integração entre órgãos e entidades públicas e privadas, estimulando canais permanentes de inteligência colaborativa, comunicação célere de vulnerabilidades e respostas coordenadas a ataques cibernéticos em grande escala. Por fim, o quarto eixo estabelece balizas para a soberania nacional e governança, estimulando o desenvolvimento de capacidades tecnológicas autóctones e a capacitação contínua de recursos humanos em segurança da informação.
Uniformização conceitual e definições técnicas
Uma das principais inovações técnicas consolidadas pelo Decreto nº 12.573 reside na uniformização conceitual adotada em âmbito federal. Historicamente, a divergência de nomenclaturas entre agências reguladoras, ministérios e equipes técnicas gerava assimetrias em relatórios de auditoria e notificações de conformidade. O texto legal fixou conceitos precisos para balizar o ecossistema brasileiro:
- Ciberativos: conjuntos de hardwares, softwares, redes, dispositivos periféricos, aplicações, serviços em nuvem, sistemas e bases de dados empregados no tratamento, transmissão ou armazenamento eletrônico de dados.
- Ciberameaça: evento ou circunstância com capacidade de causar dano adverso a indivíduos ou corporações, atingindo operações funcionais, integridade física, ativos lógicos ou reputação.
- Ciberofensa: ação intencional conduzida no ciberespaço em oposição deliberada a um ciberativo de terceiros.
- Ciberefeito: prejuízo, perda permanente ou temporária, degradação ou modificação anômala de comportamento em sistemas e ativos resultante de ações hostis.
- Ciberincidente: a conjunção comprovada entre uma ciberofensa e o ciberefeito, real ou potencial, gerado sobre as infraestruturas atingidas.
Selo de certificação e classificação de ameaças
Entre as iniciativas práticas decorrentes da nova estratégia está a estruturação de um selo nacional de certificação de alto nível para produtos de tecnologia, englobando componentes de hardware e programas de software corporativo. O mecanismo visa estabelecer padrões de confiabilidade para compras públicas e aquisições corporativas de infraestruturas críticas, mitigando riscos de vulnerabilidades estruturais ou vetores maliciosos embutidos na cadeia de suprimentos de tecnologia (supply chain).
O documento preconiza ainda o desenvolvimento sistemático de uma listagem unificada de ameaças cibernéticas de alto risco. Essa base de referência servirá para que equipes de resposta a incidentes de segurança cibernética (CSIRTs setoriais) priorizem o monitoramento de ataques automatizados impulsionados por inteligência artificial generativa, táticas de sequestro digital via ransomware e a proliferação de malwares projetados para espionagem e coleta indevida de credenciais de acesso corporativo.
O papel do Plano Nacional de Cibersegurança
Embora a E-Ciber defina a visão e os objetivos fundamentais da política de segurança cibernética, sua concretização operacional será detalhada no Plano Nacional de Cibersegurança (P-Ciber). O instrumento de implementação vinculará cronogramas, metas mensuráveis, indicadores de maturidade institucional e diretrizes para a realização de simulações periódicas de crises digitais de amplitude multissetorial.
As simulações programadas pelo ecossistema de governança têm o objetivo de testar o tempo de reação, a capacidade de isolamento de redes comprometidas e a interoperabilidade entre operadoras de infraestrutura crítica pública e privada antes da eventual ocorrência de crises sistêmicas reais. O alinhamento preventivo busca garantir que o ecossistema nacional responda com resiliência tecnológica às ameaças cibernéticas emergentes.
Diário Oficial da União e Gabinete de Segurança Institucional
