Marco Legal da Cibersegurança: o que é o PL 4.752/2025

O Brasil tem política de cibersegurança desde dezembro de 2023, quando o Decreto 11.856 instituiu a PNCiber e criou o Comitê Nacional de Cibersegurança. O que o Brasil não tem é lei. E a diferença entre as duas coisas é maior do que parece: um decreto organiza a máquina pública e pode ser desfeito por outro decreto no governo seguinte; uma lei cria obrigação para a empresa privada, define quem fiscaliza e diz o que acontece com quem não cumpre.

É essa lacuna que o PL 4.752/2025 tenta fechar. De autoria do senador Esperidião Amin, o projeto institui o Marco Legal da Cibersegurança e cria o Programa Nacional de Segurança e Resiliência Digital. Já passou pela CCJ, com relatório do senador Hamilton Mourão, e hoje tramita na Comissão de Ciência e Tecnologia (CCT). A página oficial da matéria no Senado Federal é a única fonte confiável para acompanhar a redação, porque o texto muda a cada relatório.

A tese em uma frase: o Brasil está prestes a sair de um regime em que cibersegurança é assunto de decreto e de boa vontade para um em que ela é obrigação legal com fiscal — e a pergunta que decide o seu trabalho não é "o que diz a lei", é "eu entro no escopo dela?".

O que já existe hoje (e por que não basta)

Antes de falar do que vem, vale mapear o que já vale. O Brasil não está em terra de ninguém — tem quatro peças funcionando, cada uma com um buraco previsível.

O padrão salta aos olhos: existe muita norma e nenhuma costura. Um hospital privado atacado hoje precisa avisar a ANPD se vazou prontuário, mas não tem para quem ligar se o que caiu foi o sistema de agendamento de cirurgias. E ninguém, em lugar nenhum do governo, consolida esses dois fatos para perceber que existe uma campanha em curso contra hospitais.

O recorte da LGPD, aliás, é a confusão mais comum. Se você ainda mistura os dois assuntos, o post sobre a diferença entre Segurança da Informação e Cibersegurança resolve isso antes de seguir.

O que o Marco Legal da Cibersegurança cria

O projeto trabalha em duas frentes. A primeira é institucional: dar ao país uma arquitetura permanente de cibersegurança, em vez de um comitê que existe por decreto. A segunda é operacional: criar o Programa Nacional de Segurança e Resiliência Digital, que direciona as ações para a proteção de infraestruturas críticas e serviços essenciais.

A lista de setores que aparece no debate é a de sempre, e é a mesma que a Europa usa: energia, saúde, telecomunicações, transportes e serviços financeiros. Água e saneamento entram na conversa com frequência. Não é uma lista arbitrária — é o conjunto de coisas cuja parada tem consequência física, não só financeira.

O que o texto ainda não resolveu — e é onde estão as contribuições apresentadas em audiência pública — é a governança do sistema, a definição precisa das competências de cada órgão público e a integração com a proposta desenhada pelo próprio CNCiber. Traduzindo: todo mundo concorda que precisa de lei; ninguém concorda sobre quem manda.

A disputa de competências

O CNCiber apresentou um modelo de arquitetura permanente de Estado com quatro camadas mais uma rede de reguladores setoriais. É o desenho mais completo em circulação, e ajuda a entender o que está em jogo.

A discussão prática é sobre quem ocupa a segunda e a terceira caixas. Os candidatos já existem e cada um tem um argumento legítimo:

• GSI (Gabinete de Segurança Institucional). Tem a competência hoje, opera o CTIR Gov e conhece o terreno. O contra-argumento: é um órgão da Presidência com viés de defesa e inteligência, e regular empresa privada não é o mesmo trabalho que defender o Estado.
• Anatel. Regula as operadoras, que são a espinha dorsal de qualquer infraestrutura digital, e tem estrutura de fiscalização montada. O contra: cibersegurança não é assunto de telecom, é assunto de todo mundo.
• ANPD. Já é autoridade, já recebe notificação de incidente, já tem processo sancionador rodando. O contra: seu mandato é dado pessoal, e ampliar isso para resiliência de serviço muda a natureza do órgão.
• Autoridade nova. Foi o que especialistas defenderam na audiência pública do Senado, e é o que o CNCiber propõe. O contra: criar órgão custa dinheiro e tempo, e o Brasil já tem muitos.

O que a Europa já aprendeu com essa mesma briga

Aqui vale um contraponto que quase não aparece no debate brasileiro. A União Europeia enfrentou exatamente esse problema com a diretiva NIS2, e a resposta foi centralizar progressivamente — depois de anos de fragmentação.

O histórico é instrutivo. A NIS2 delegou a transposição a cada Estado-membro, e cada um criou o seu formulário, o seu canal e a sua interpretação. O resultado apareceu na conta: em 26 de maio de 2026, o Grupo de Cooperação NIS2 precisou adotar templates comuns de notificação de incidente, porque a multiplicação de formatos havia virado um custo real para quem opera em mais de um país. Antes disso, em 20 de janeiro de 2026, a Comissão Europeia propôs emendas para simplificar a diretiva — incluindo uma categoria nova de empresa de porte intermediário, regras harmonizadas sobre divulgação de pagamento de resgate e um papel operacional ampliado para a ENISA, a agência europeia de cibersegurança. E, mesmo assim, cinco países seguem sob ação no Tribunal de Justiça por atraso na transposição.

A lição para o Brasil é direta: fragmentar é fácil e desfazer a fragmentação leva anos. Se o Marco Legal sair com três órgãos recebendo o mesmo incidente em formulários diferentes, alguém vai gastar uma década consertando isso. É uma etapa que dá para pular.

Infraestrutura crítica: você entra na lista?

Essa é a pergunta que interessa a quem toca uma empresa, e ela tem duas portas de entrada.

Porta 1 — você opera o serviço. Energia, água, saúde, telecom, transporte, sistema financeiro. Se o seu negócio é um desses, você não precisa de consultoria para saber que entra.

Porta 2 — você fornece para quem opera. Essa é a que pega desprevenido. O hospital é infraestrutura crítica; o software de prontuário eletrônico que ele usa entra pelo contrato. A distribuidora de energia é infraestrutura crítica; a empresa que faz a manutenção do sistema SCADA dela entra junto. Em toda regulação desse tipo, a obrigação escorre pela cadeia de fornecimento — não porque a lei diz o seu nome, mas porque o seu cliente vai colocar a exigência no contrato para cumprir a dele.

Um teste rápido, honesto, de três perguntas:

1. Se o meu sistema ficar 48 horas fora do ar, alguém fica sem serviço essencial? Não "meu cliente fica bravo" — fica sem energia, sem atendimento médico, sem transporte, sem acesso ao próprio dinheiro.
2. Algum contrato meu já tem cláusula de segurança da informação com prazo de notificação? Se sim, você já está dentro por via contratual, independentemente do que a lei disser.
3. Meu cliente é regulado por Banco Central, Anatel, ANEEL ou ANS? Se sim, a régua dele vira a sua régua na próxima renovação.

Duas respostas "sim" e o assunto deixou de ser acompanhamento legislativo e virou projeto.

O que fazer agora, sem esperar a lei

A parte boa de acompanhar uma norma antes de ela existir é que dá para se preparar pelo que não vai mudar. Independentemente de qual órgão ganhar a disputa e de qual será o prazo de notificação, três coisas aparecem em toda versão do texto — e nenhuma delas se improvisa na semana do incidente.

1. Plano de resposta a incidentes escrito. Não um documento de compliance: uma folha com nomes, telefones e ordem de acionamento. Quem decide desligar o sistema. Quem fala com a imprensa. Quem aciona o jurídico. Quem avisa o cliente. A referência internacional é o NIST SP 800-61, que organiza o ciclo em preparação, detecção e análise, contenção e erradicação, e lições aprendidas. Se a sua empresa já tem um plano de continuidade de negócios, o plano de resposta é o capítulo cibernético dele.

2. Inventário de ativos e de fornecedores. Nenhuma norma de infraestrutura crítica é cumprível sem saber o que você tem e de quem você depende. Isso inclui o que ninguém lembra: o servidor antigo que roda um sistema legado, a integração com o parceiro que ninguém revisa desde 2019, a conta de nuvem criada por um estagiário que já saiu. O levantamento é chato e é a única coisa que você vai lamentar não ter feito.

3. Backup testado, não só configurado. A diferença entre "temos backup" e "restauramos o ambiente em quatro horas" é a diferença entre um susto e uma parada de semanas. A regra 3-2-1 continua sendo o piso, e o teste de restauração é o que separa quem tem backup de quem tem a sensação de ter backup. Se você ainda não definiu RPO e RTO, comece por aí — são os dois números que a auditoria vai pedir.

Nada disso é caro. Tudo isso é trabalho.

Para quem já quer ir além

Se o seu negócio já respondeu "sim" ao teste das três perguntas, o próximo passo é escolher um referencial e seguir. A ISO/IEC 27001 é o caminho formal, com certificação auditável — e é o que o cliente regulado costuma pedir. O NIST Cybersecurity Framework é o caminho pragmático, gratuito, organizado em seis funções, e serve bem como diagnóstico antes de investir em certificação. Os dois conversam; começar por um não fecha a porta do outro.

Em paralelo, o modelo Zero Trust é o que traduz esses referenciais em arquitetura de verdade — e a maior parte do ganho vem de MFA e menor privilégio, que não custam licença nova.

O que muda para a PME que não é infraestrutura crítica

Sendo direto: pouca coisa, no primeiro momento. O Marco Legal não foi desenhado para a agência de marketing de 15 pessoas nem para a loja virtual de bairro. O risco de tratar isso como "vem aí uma lei que vai me obrigar a gastar" é comprar solução para um problema que não é seu.

O efeito real chega por dois caminhos indiretos, e ambos são lentos:

• Pelo contrato. Se você vende para banco, operadora, hospital ou concessionária, a régua deles desce até você na renovação. Isso já acontece hoje com quem atende cliente regulado pelo Banco Central.
• Pelo mercado de serviços. Uma lei com fiscal cria demanda por serviço gerenciado, e isso muda preço e oferta para todo mundo — inclusive para baixo, porque escala barateia. É a mesma dinâmica que a LGPD criou no mercado de consultoria de privacidade.

Para quem está nessa faixa, o investimento continua sendo o de sempre, e ele está detalhado no guia de cibersegurança para PMEs: MFA em tudo, backup testado, antivírus/EDR e DNS seguro, e treinamento contra phishing, que continua sendo a porta de entrada mais barata para o atacante.

Como acompanhar sem depender de notícia

Três fontes primárias, na ordem de utilidade:

• Página da matéria no Senado. Traz a tramitação, os relatórios e o inteiro teor. É onde a redação vigente aparece primeiro.
• CTIR Gov. Publica alertas e orientações técnicas. Mesmo sem ser órgão público, dá para usar o conteúdo como termômetro do que está sendo explorado no Brasil agora.
• ANPD. A Resolução CD/ANPD nº 15/2024 já define o regulamento de comunicação de incidente de segurança, com prazo de três dias úteis para o controlador comunicar. É a régua que já existe e que provavelmente serve de referência para o desenho do Marco Legal.

Uma observação sobre o consumo de notícia legislativa: cada relatório novo gera uma leva de manchetes afirmando o que "a lei vai exigir". Enquanto o texto está em comissão, isso é previsão, não regra. Guarde a energia para a redação final.

O ponto que fica

O Marco Legal da Cibersegurança não é sobre tecnologia. É sobre quem responde quando o serviço para — e sobre o Brasil decidir se resolve isso com uma autoridade ou com quatro órgãos disputando o mesmo incidente.

Para a sua empresa, a pergunta útil hoje não é o que a lei vai dizer. É se você saberia para quem ligar, com quem falar e em quanto tempo, se o ataque fosse esta noite. Essa resposta você pode escrever esta semana, e ela não muda quando o texto for aprovado.