Última revisão: 13 de novembro de 2026
Este hub separa três coisas que costumam ser misturadas: o que está vigente, o que está em tramitação e o que é boa prática de mercado. A distinção importa para evitar multas, retrabalho e decisões baseadas em texto que ainda não virou lei.
PL 4752/2025
Projeto que institui o Marco Legal da Cibersegurança, cria o Programa Nacional de Segurança e Resiliência Digital e propõe a PNCiber/ANC. Não é lei vigente.
IN GSI/PR 7/2022
Estabelece requisitos de segurança da informação e o fluxo de notificação de incidentes para órgãos da administração pública federal, com prazo de até 72h ao CTIR Gov.
Guia de notificação ao CTIR Gov · Ler o guia de 72h · GSI/PR
ANEEL e ONS
Resoluções da ANEEL e submódulos dos Procedimentos de Rede do ONS definem requisitos para agentes do setor elétrico. Verifique a versão vigente e o escopo aplicável à sua instalação.
ANEEL e cibersegurança · ONS e segurança cibernética · ANEEL · ONS
IEC 62443
Norma internacional para segurança de sistemas de automação e controle industrial. Organiza requisitos por partes e níveis de segurança SL1–SL4, com zonas e conduítes.
LGPD
Lei 13.709/2018, aplicável a dados pessoais tratados em qualquer ambiente, inclusive OT. Exige base legal, finalidade, segurança, transparência e atendimento aos direitos dos titulares.
NIST CSF 2.0 e CISA
Frameworks de referência para governança, identificação, proteção, detecção, resposta e recuperação. O guia CI Fortify (CISA/ASD ACSC/FBI) orienta o isolamento de sistemas vitais.
O que fazer agora
- Mapeie o escopo aplicável: órgão federal, utility, transmissão, distribuição, geração ou operação internacional. Cada um tem um conjunto diferente de obrigações.
- Separe obrigação vigente de projeto: não trate o PL 4752/2025 como lei; acompanhe a tramitação e mantenha o que já vale (IN GSI, ANEEL, ONS, LGPD).
- Estruture evidências: políticas, inventário de ativos, segmentação, logs, testes e registros de resposta a incidentes.
- Defina o fluxo de notificação: quem decide, quem assina, quais dados coletar e como registrar o envio ao CTIR Gov.
- Teste o plano: simule ransomware e indisponibilidade; meça tempo de contenção, recuperação e comunicação.