Quem deve comandar a cibersegurança no Brasil?

Existe um consenso raro no debate brasileiro de cibersegurança: todo mundo concorda que o país precisa de uma lei. O PL 4.752/2025 tramita sem oposição relevante à sua ideia central, e as contribuições apresentadas em audiência pública são de aprimoramento, não de rejeição.

O consenso termina na pergunta seguinte: quem manda?

Não é uma disputa de vaidade institucional — ou não só. É a decisão que determina se o Marco Legal vai produzir uma regulação coerente ou mais uma camada sobre um sistema que já é confuso. E é a decisão mais difícil de corrigir depois, porque desenho institucional endurece rápido.

A tese em uma frase: a pergunta relevante não é qual órgão é mais competente, é se o Brasil vai concentrar a regulação de cibersegurança num lugar só — porque a alternativa não é "vários órgãos cuidando bem", é a empresa reportando o mesmo incidente três vezes enquanto ninguém enxerga o quadro completo.

Cibersegurança no Brasil: o que exatamente está sendo disputado

Vale separar as funções, porque elas não precisam ficar no mesmo lugar — e boa parte da confusão do debate vem de tratá-las como um bloco.

• Estratégia. Definir prioridades nacionais, orçamento e posicionamento internacional. É trabalho de conselho, com representação ampla.
• Regulação. Editar norma, definir quem entra no escopo, fiscalizar e sancionar. Exige processo administrativo, previsibilidade e capacidade jurídica.
• Operação. Receber notificação de incidente, correlacionar, alertar, coordenar resposta. Exige gente técnica de plantão e confiança do setor privado para que ele reporte de verdade.
• Tradução setorial. Transformar a norma geral em regra aplicável a banco, telecom, energia e saúde, que têm realidades operacionais incomparáveis.

O modelo apresentado pelo CNCiber distribui essas funções em camadas: um Sistema Nacional de Cibersegurança, com Conselho, Autoridade e Centro nacionais, apoiado por uma rede de reguladores setoriais responsáveis pela regra específica de cada segmento crítico. É o desenho mais completo em circulação, e o mais próximo do que outros países adotaram.

A separação entre Autoridade e Centro é o detalhe mais inteligente da proposta, e o mais fácil de perder na negociação política. Ela existe porque fiscalizar e socorrer são funções que se atrapalham. Uma empresa hesita em notificar rápido um órgão que pode multá-la pelo que ela notificou. Se quem recebe o incidente é o mesmo que aplica a sanção, o resultado previsível é subnotificação — e aí a política inteira fica cega.

Os quatro caminhos, com o argumento honesto de cada um

GSI — o caminho da continuidade

A favor: já tem a competência, opera o CTIR Gov, acumulou repertório técnico e relacionamento internacional. Não exige criar estrutura nova nem esperar orçamento.

Contra: é um órgão da Presidência com vocação de defesa e inteligência. Regular empresa privada é outro ofício — pede processo sancionador transparente, previsibilidade e diálogo setorial contínuo. Há também um ponto delicado: parte do setor privado hesita em compartilhar informação sensível com um órgão associado à inteligência de Estado, e sem confiança não há notificação espontânea.

Anatel — o caminho da infraestrutura

A favor: regula as operadoras, que são a base física de qualquer infraestrutura digital. Tem estrutura de fiscalização madura, corpo técnico e experiência em regulação de setor concentrado. Já atua em segurança de rede — o alerta sobre o BadBox 2.0 em TV boxes mostra uma agência que já entrou nesse terreno por conta própria.

Contra: cibersegurança não é assunto de telecom. Hospital, distribuidora de energia e banco não são regulados pela Anatel, e ampliar o mandato dela para fora do setor criaria uma agência de escopo estranho. Serve muito bem como regulador setorial na rede proposta pelo CNCiber; menos como autoridade geral.

ANPD — o caminho da autoridade existente

A favor: já é autoridade, já tem processo sancionador rodando, já recebe notificação de incidente. A Resolução CD/ANPD nº 15/2024 definiu o regulamento de comunicação de incidente de segurança, com prazo de três dias úteis para o controlador comunicar e obrigação de manter registro por cinco anos. É a régua mais concreta que o Brasil tem hoje, e boa parte do trabalho de desenho já foi feita.

Contra: o mandato dela é dado pessoal. Ampliar para resiliência de serviço muda a natureza do órgão e exige competência técnica de outra ordem — analisar um ataque a um sistema SCADA não se parece com analisar um vazamento de cadastro. Há risco real de a ANPD fazer mal as duas coisas em vez de bem uma.

Autoridade nova — o caminho que os especialistas defenderam

A favor: foi o que especialistas defenderam em audiência pública no Senado, e é o que a proposta do CNCiber desenha. Permite construir o mandato certo desde o início, sem herdar viés de defesa nem de proteção de dados, e cria um interlocutor único e identificável para o setor privado.

Contra: custa dinheiro e tempo. Órgão novo leva anos até operar bem, e o Brasil já tem muitos. Existe ainda o risco político de criar a autoridade sem orçamento e sem quadro, o que produz o pior dos mundos: um responsável formal incapaz de responder.

O que a Europa já errou nessa mesma briga

Este é o contraponto que quase não aparece no debate brasileiro, e é o mais útil.

A União Europeia enfrentou exatamente essa decisão com a diretiva NIS2 e escolheu descentralizar: cada Estado-membro transpõe a diretiva e organiza a sua própria autoridade, o seu canal e o seu formulário. Parecia razoável — respeita a autonomia de cada país e aproveita as estruturas existentes.

O resultado apareceu na conta, e o histórico é instrutivo:

• Em 20 de janeiro de 2026, a Comissão Europeia propôs emendas para simplificar a NIS2 — incluindo uma categoria nova de empresa de porte intermediário, regras harmonizadas sobre divulgação de pagamento de resgate e um papel operacional ampliado para a ENISA, a agência europeia. Ou seja: centralizar o que havia sido distribuído.
• Em 26 de maio de 2026, o Grupo de Cooperação NIS2 precisou adotar templates comuns de notificação de incidente, porque a multiplicação de formatos virou custo real para quem opera em mais de um país.
• E cinco Estados-membros seguem sob ação no Tribunal de Justiça por atraso na transposição.

A lição não é "a Europa errou". É que fragmentar é fácil e desfragmentar leva anos. O Brasil está no momento exato em que essa escolha ainda é barata — depois que três órgãos tiverem construído sistema, formulário e equipe, consolidar vira disputa orçamentária, não decisão técnica.

A minha leitura

Vou me posicionar, porque post que descreve quatro opções e não escolhe nenhuma não ajuda ninguém.

A separação entre quem fiscaliza e quem socorre importa mais do que a escolha do órgão. Se o Marco Legal sair com Autoridade e Centro distintos, quase qualquer das quatro opções funciona. Se sair com tudo no mesmo lugar, a melhor escolha de órgão não salva — as empresas vão notificar tarde e minimizado, e a política ficará com dados ruins.

O modelo do CNCiber é o mais defensável, e o mais provável de ser desidratado. Ele acerta ao separar funções e ao reconhecer que reguladores setoriais precisam existir — porque a régua de um hospital não é a de um banco. O risco é o texto final preservar os nomes e perder as separações, entregando uma arquitetura que parece a proposta e opera como o improviso de hoje.

E o ponto que quase ninguém levanta: o debate inteiro trata de quem opera infraestrutura crítica, e praticamente nada de quem fabrica e importa dispositivo conectado. Enquanto isso, a Anatel encontrou 1,8 milhão de aparelhos infectados no Brasil, montando uma botnet capaz de 31,4 Tbps. Nenhuma autoridade nacional resolve isso sem regra de produto — e a Europa já tem a sua, o Cyber Resilience Act. Regular só quem sofre o ataque DDoS, e nunca quem vende a arma, é meia política.

O que a sua empresa deveria acompanhar

Enquanto a disputa não se resolve, três coisas valem independentemente do desfecho:

• Saiba para quem você notificaria hoje. Se houver dado pessoal, ANPD em três dias úteis — a Resolução 15/2024 já está valendo. Se você é regulado, o seu regulador setorial tem regra própria. Isso não é assunto de futuro.
• Trate a duplicidade como custo de projeto. Se você opera em setor regulado, provavelmente vai reportar em mais de um canal por um bom tempo. Desenhar o processo de notificação uma vez, com os campos de todos os destinatários, é mais barato do que improvisar durante o incidente.
• Não espere a lei para ter plano de resposta. É a única medida que serve a todos os cenários possíveis, e a que você não consegue improvisar. Vale o mesmo raciocínio do plano de continuidade: o documento não é o entregável, a decisão prévia é.

O ponto que fica

A escolha do órgão vai ser feita por critérios políticos, como sempre. O que dá para influenciar, enquanto o texto está em comissão, é a arquitetura — e nela existe uma decisão claramente melhor do que as outras: separar quem sanciona de quem socorre, e criar um ponto único de notificação.

Se o Brasil acertar isso, a discussão sobre GSI, Anatel ou autoridade nova vira detalhe administrativo. Se errar, nenhum nome na placa conserta.

Para acompanhar a redação vigente, a página da matéria no Senado continua sendo a única fonte que vale — o texto muda a cada relatório, e manchete sobre projeto em comissão é previsão, não regra.