Publicado em 13 de novembro de 2026 · Revisão editorial e de conformidade
Resposta direta: não existe uma única “resolução de cibersegurança da ANEEL” que resolva todos os agentes do setor elétrico. O conjunto aplicável depende do segmento, do contrato de concessão, da regulação vigente e de outras obrigações — como os Procedimentos de Rede do ONS e a LGPD. O caminho prático é mapear o escopo, transformar requisitos em controles e produzir evidências verificáveis.
Por que não citamos números de resolução: o arcabouço regulatório muda com frequência e o conjunto aplicável varia por tipo de agente. Em vez de arriscar uma referência desatualizada, este guia ensina onde confirmar e o que documentar. Consulte sempre o portal da ANEEL e a versão vigente dos Procedimentos de Rede.
1. Quem precisa se preocupar
| Agente | Por que a cibersegurança entra | O que confirmar |
|---|---|---|
| Transmissão | Subestações, centros de operação e sistemas de proteção/controle | Requisitos dos Procedimentos de Rede, contratos e regulação aplicável |
| Distribuição | Redes, automação, medição e atendimento ao consumidor | Resoluções vigentes, obrigações de continuidade e proteção de dados |
| Geração | Usinas, sistemas de supervisão e conexão ao SIN | Requisitos de conexão, operação e segurança cibernética |
| Comercialização e mercado | Sistemas de faturamento, medição e troca de informações | Obrigações comerciais, LGPD e controles de acesso |
| Prestadores de serviço | Acesso a ambientes e dados de agentes regulados | Cláusulas contratuais, confidencialidade e evidências de segurança |
| Órgãos públicos do setor | Infraestrutura federal e interfaces com agentes | IN GSI/PR 7/2022, contratos e regulação setorial |
2. Onde os requisitos aparecem
- Resoluções e atos normativos da ANEEL: obrigações de qualidade, continuidade, informação e segurança, conforme o segmento.
- Contratos de concessão e termos de outorga: cláusulas de continuidade, informação e responsabilidade.
- Procedimentos de Rede do ONS: requisitos técnicos e operacionais para agentes conectados ao SIN.
- LGPD: tratamento de dados pessoais de consumidores, empregados e terceiros.
- IN GSI/PR 7/2022: quando o agente for órgão ou entidade federal abrangido pelo SISP.
- Normas técnicas e boas práticas: IEC 62443, NIST CSF 2.0, ISO/IEC 27001 e 27019.
O erro mais comum é tratar essas fontes como se fossem uma lista única. Na prática, cada uma tem destinatário, escopo e evidência próprios.
3. O que uma fiscalização tende a pedir
Não basta declarar que “há política de segurança”. O que sustenta a conformidade é a combinação de documento, execução e evidência. Os blocos abaixo costumam aparecer em auditorias, fiscalizações e due diligences.
| Bloco | Pergunta de controle | Evidência esperada |
|---|---|---|
| Governança | Quem responde por segurança cibernética e como decide? | Política aprovada, papéis, comitê, atas e orçamento |
| Inventário | Quais ativos críticos existem e onde estão? | Inventário atualizado, owner, criticidade e localização |
| Risco | Quais cenários podem parar a operação? | Análise de risco, matriz, plano de tratamento e aceite |
| Arquitetura | OT e TI estão separados? Há caminhos não controlados? | Diagrama, regras de firewall, zonas e conduítes |
| Acesso | Quem acessa remotamente e com qual privilégio? | MFA, contas nominais, revisão periódica e logs |
| Detecção | Como um incidente seria percebido? | Fontes de log, regras, alertas, triagem e retenção |
| Resposta | O que acontece nas primeiras 24 horas? | Plano, contatos, playbooks, simulações e lições aprendidas |
| Continuidade | Como a operação volta sem comprometer a segurança? | Backup testado, RTO/RPO, plano de recuperação e validação |
| Cadeia de suprimentos | Quem tem acesso e o que é exigido do fornecedor? | Inventário de fornecedores, cláusulas, avaliação e evidências |
| Pessoas | A equipe reconhece phishing e sabe escalar? | Treinamento, simulações, taxa de reporte e registro |
4. Programa de adequação em 12 semanas
| Fase | Foco | Saída |
|---|---|---|
| Semanas 1–2 | Escopo e obrigações | Mapa regulatório aplicável, ativos e interfaces |
| Semanas 3–4 | Diagnóstico | Inventário, arquitetura, lacunas e riscos priorizados |
| Semanas 5–8 | Controles críticos | MFA, segmentação, acesso remoto, backup e detecção |
| Semanas 9–10 | Resposta e continuidade | Playbooks, contatos, critérios e teste de restauração |
| Semanas 11–12 | Evidências e governança | Dossiê, plano de ação, indicadores e aceite da direção |
5. Erros comuns
- Copiar a política de TI para OT: disponibilidade, segurança física e impacto operacional têm pesos diferentes.
- Tratar a ANEEL como única fonte: ONS, LGPD, contratos e normas internas também produzem obrigações.
- Comprar ferramenta antes do inventário: sem visibilidade, o investimento vira custo sem controle.
- Documentar sem executar: auditoria encontra a diferença entre política e operação.
- Ignorar fornecedores: o acesso de terceiros é uma das principais portas de entrada.
- Prometer conformidade sem escopo: “estamos adequados” não substitui evidência por requisito.
Perguntas frequentes
A ANEEL exige IEC 62443?
A IEC 62443 é uma referência técnica internacional amplamente usada no setor, mas não substitui a verificação das obrigações regulatórias aplicáveis. O correto é mapear o requisito regulatório e usar a norma como método de arquitetura e controle.
Minha empresa é pequena. Precisa do mesmo programa?
O princípio é proporcionalidade: o escopo e a profundidade variam com o risco, o porte e o tipo de instalação. O que não pode faltar é inventário, controle de acesso, backup, resposta e evidência mínima.
Como saber qual resolução se aplica?
Comece pelo tipo de agente e pela atividade regulada, consulte o portal da ANEEL e verifique a versão vigente. Se houver conexão ao SIN, inclua os Procedimentos de Rede do ONS. Em caso de dúvida, registre a análise e a fonte consultada.
Auditoria de segurança e fiscalização regulatória são a mesma coisa?
Não. A fiscalização verifica obrigações regulatórias; a auditoria de segurança avalia controles e risco. As duas se complementam, mas têm escopo, critério e destinatário diferentes.
Quanto tempo leva para estruturar evidências?
Depende da maturidade. Um diagnóstico inicial pode levar de 2 a 4 semanas; um programa de adequação, de 8 a 16 semanas. O prazo real depende de acesso aos ativos, disponibilidade da equipe e prioridade da direção.
O que fazer primeiro se houver um incidente em andamento?
Priorize contenção, preservação de evidências e continuidade dos serviços essenciais. Depois, avalie notificações aplicáveis e comunique com coordenação jurídica. Veja o roteiro de resposta a incidentes OT.
Fontes
- ANEEL — portal oficial, resoluções e atos normativos vigentes.
- ONS — Procedimentos de Rede e requisitos para agentes do SIN.
- Lei 13.709/2018 (LGPD) e orientações da ANPD.
- IN GSI/PR 7/2022 — quando aplicável a órgãos e entidades federais.
- IEC 62443 — segurança de sistemas de automação e controle industrial.
- NIST CSF 2.0 — framework de cibersegurança.
Conteúdo informativo e de boas práticas, não é aconselhamento jurídico ou regulatório. Confirme a versão vigente das normas, o escopo aplicável ao seu agente e as obrigações contratuais com o jurídico e a área regulatória antes de tomar decisões.
Como citar esta página
SeniorFlow. ANEEL e Cibersegurança. Atualizado em 13/11/2026. Disponível em: https://seniorflow.com.br/regulatorio/aneel
Ao citar, preserve a data de atualização e não trate projetos de lei como normas vigentes.