PL 4752/2025: status e o que fazer agora

Publicado em 13 de novembro de 2026 · Revisão editorial e de conformidade

O PL 4752/2025 é um dos temas mais mal comunicados da cibersegurança brasileira. É comum ver o projeto citado como “lei”, com artigo e multa específicos, como se já estivesse em vigor. Não está. Este texto separa o que existe hoje do que ainda depende do processo legislativo.

1. O status real

Consulta ao Senado Federal em 13/11/2026 mostra a matéria em tramitação, com último estado em 03/09/2026 — matéria com a relatoria na Comissão de Ciência, Tecnologia, Inovação e Comunicação (CCT). A CCJ aprovou parecer favorável em 10/12/2025, mas isso não transforma o projeto em lei.

Fonte oficial: Senado Federal — PL 4752/2025.

2. O que o projeto propõe

Pela ementa e pelos documentos publicados, o projeto institui o Marco Legal da Cibersegurança, cria o Programa Nacional de Segurança e Resiliência Digital e altera a Lei 13.756/2018. A proposta também discute a criação de uma autoridade nacional de cibersegurança e obrigações para operadores de infraestrutura crítica.

Se aprovado, poderá ampliar temas como notificação de incidentes, controles proporcionais ao risco, continuidade de serviços essenciais e indicadores de maturidade. O texto final, o escopo e as sanções só podem ser afirmados após aprovação e sanção — e podem mudar durante a tramitação.

3. O que já vale hoje

• IN GSI/PR 7/2022: requisitos e fluxo de notificação de incidentes para órgãos da administração pública federal, com prazo de até 72h ao CTIR Gov.
• ANEEL e ONS: requisitos setoriais para agentes do setor elétrico, conforme resoluções e submódulos vigentes.
• LGPD: proteção de dados pessoais em qualquer ambiente, inclusive OT.
• Regulação setorial e contratos: obrigações de continuidade, auditoria, evidências e resposta a incidentes.

4. O que fazer agora, sem esperar a lei

1. Inventário e criticidade: saiba quais ativos OT sustentam serviços essenciais e quem depende deles.
2. Segmentação: zonas e conduítes, DMZ OT/IT e controle de acesso entre níveis Purdue.
3. Fluxo de incidentes: quem decide, quem notifica, em quanto tempo e com quais evidências.
4. Evidências auditáveis: políticas, logs, testes, planos de continuidade e registros de exercícios.
5. Contratos e cadeia de suprimentos: exigências de segurança para fornecedores e integradores.

5. Erros comuns

• Chamar o projeto de “lei” e citar artigos que ainda não existem.
• Aplicar o prazo de 72h da IN GSI a todas as utilities sem verificar o escopo setorial.
• Tratar IEC 62443 ou NIST CSF como obrigação legal brasileira — são referências técnicas, não leis.
• Esperar a sanção para começar o inventário e a segmentação.