Publicado em 13 de novembro de 2026 · Revisão editorial e de conformidade
Resposta direta: agentes conectados ao Sistema Interligado Nacional (SIN) precisam demonstrar que seus sistemas de supervisão, proteção e controle operam com controles de segurança compatíveis com os Procedimentos de Rede do ONS. Isso significa inventário, segregação, controle de acesso, detecção, resposta e continuidade — com evidências que sustentem uma verificação, não apenas declarações.
Escopo em uma frase: a obrigação não nasce do tamanho da empresa, mas da relação com o SIN e do papel do agente na operação. Confirme nos Procedimentos de Rede vigentes quais submódulos e requisitos alcançam a sua instalação.
1. Quem é alcançado
| Agente | Superfície típica | Ponto de atenção |
|---|---|---|
| Transmissão | Subestações, centros de operação, sistemas de proteção e controle | Continuidade, acesso remoto e integração com o ONS |
| Geração | Usinas, supervisão, controle de excitação e conexão | Disponibilidade, comandos e interfaces com o operador |
| Distribuição | Automação, subestações, medição e centros de operação | Escala, legado e fornecedores diversos |
| Consumidores relevantes | Instalações conectadas com requisitos operacionais | Comunicação, proteção e resposta a incidentes |
| Prestadores de serviço | Acesso a sistemas e dados de agentes | Confidencialidade, acesso nominal e evidências |
| Órgãos públicos do setor | Infraestrutura federal e interfaces com agentes | IN GSI/PR 7/2022, contratos e regulação setorial |
2. O que os Procedimentos de Rede cobram
Os requisitos são organizados em submódulos e evoluem com o tempo. Em vez de decorar números, estruture a conformidade em blocos que costumam aparecer nas verificações:
- Governança: política, papéis, responsabilidades e aprovação da alta direção.
- Gestão de risco: identificação de cenários, criticidade e tratamento.
- Arquitetura: segregação entre ambientes, zonas e caminhos de comunicação.
- Controle de acesso: contas nominais, menor privilégio, MFA e revisão periódica.
- Operação: mudanças controladas, backup, vulnerabilidades e configuração segura.
- Detecção: fontes de log, correlação, alertas e triagem.
- Resposta: plano, papéis, comunicação, preservação de evidências e lições aprendidas.
- Continuidade: RTO/RPO, recuperação testada e operação em modo degradado.
- Cadeia de suprimentos: avaliação, cláusulas e monitoramento de fornecedores.
- Pessoas: treinamento, conscientização e exercícios.
Para a camada técnica, a IEC 62443 oferece um método útil para transformar esses blocos em zonas e conduítes, com níveis de segurança proporcionais ao risco.
3. Evidências que sustentam uma verificação
| Requisito | Documento | Evidência de execução |
|---|---|---|
| Inventário | Lista de ativos críticos e owners | Atualização recente, conciliação com descoberta passiva |
| Segregação | Diagrama de arquitetura e regras | Configuração de firewall, teste de fluxo e revisão |
| Acesso remoto | Política e lista de acessos | MFA, sessões registradas, aprovação e revogação |
| Mudanças | Procedimento de gestão de mudanças | Chamados, aprovação, janela e rollback |
| Backup | Plano de backup e recuperação | Teste de restauração com data, escopo e resultado |
| Detecção | Casos de uso e fontes de log | Alertas gerados, triagem e tempo de resposta |
| Resposta | Plano e playbooks | Simulação, atas, contatos e melhorias implementadas |
| Fornecedores | Inventário e cláusulas | Avaliação, acesso nominal e evidência de segurança |
4. Integração com ANEEL e LGPD
Os requisitos do ONS não substituem as obrigações da ANEEL nem a LGPD. Na prática, o mesmo incidente pode exigir três leituras:
- Operacional: impacto no SIN, nos serviços essenciais e na continuidade.
- Regulatória: obrigações perante a ANEEL, o ONS e o contrato de concessão.
- Dados pessoais: avaliação de risco aos titulares e comunicação à ANPD quando aplicável.
O fluxo de decisão precisa considerar as três dimensões ao mesmo tempo, com papéis claros e registro de quem decidiu o quê.
5. Roadmap 90 / 180 / 365 dias
| Horizonte | Prioridade | Resultado esperado |
|---|---|---|
| 90 dias | Inventário, acessos e backup | Visibilidade mínima, MFA, contas privilegiadas revisadas e restauração testada |
| 180 dias | Segregação, detecção e resposta | Zonas definidas, logs relevantes, playbooks e simulação de crise |
| 365 dias | Governança, cadeia e melhoria contínua | Indicadores, auditoria interna, avaliação de fornecedores e plano plurianual |
6. Erros comuns
- Tratar o ONS como única fonte: ANEEL, LGPD e contratos também produzem obrigações.
- Confundir política com operação: a evidência está na execução, não no documento.
- Ignorar o legado: equipamentos sem suporte exigem compensação, não negação.
- Deixar o acesso remoto sem controle: é uma das portas mais exploradas em OT.
- Não testar a recuperação: backup sem restore é esperança, não continuidade.
- Esquecer a comunicação: crise sem porta-voz único vira crise reputacional.
Perguntas frequentes
Os Procedimentos de Rede valem para toda empresa do setor elétrico?
Eles alcançam os agentes e instalações abrangidos pela relação com o SIN, conforme o submódulo e o papel operacional. Verifique a versão vigente e o escopo aplicável à sua conexão com o ONS.
Preciso de certificação IEC 62443 para atender ao ONS?
A IEC 62443 é uma referência técnica, não uma substituição automática dos requisitos dos Procedimentos de Rede. O caminho é mapear o requisito, aplicar o controle e produzir evidência. Certificação pode ajudar, mas não resolve escopo mal definido.
Como demonstrar continuidade em uma verificação?
Com plano documentado, RTO/RPO definidos, teste de restauração registrado e capacidade de operar em modo degradado. O teste precisa ter data, escopo, resultado e ações corretivas.
Incidentes precisam ser notificados ao ONS?
Verifique o canal e o prazo previstos nos Procedimentos de Rede e no seu contrato. Em paralelo, avalie obrigações com a ANEEL, a ANPD e outros destinatários aplicáveis. O registro de cada comunicação é parte da evidência.
Por onde começar se a maturidade é baixa?
Por inventário, controle de acesso e backup. Sem saber o que existe, quem acessa e como recuperar, qualquer programa de segurança fica frágil. Depois avance para segregação, detecção e resposta.
Como a SeniorFlow pode apoiar?
Com diagnóstico de maturidade, arquitetura de segmentação, hardening, monitoramento industrial e resposta a incidentes. Veja Segurança SCADA/ICS, SOC industrial e Resposta a incidentes OT.
Fontes
- ONS — Procedimentos de Rede e documentos vigentes para agentes do SIN.
- ANEEL — resoluções e atos normativos aplicáveis ao segmento.
- Lei 13.709/2018 (LGPD) e orientações da ANPD.
- IN GSI/PR 7/2022 — quando aplicável a órgãos e entidades federais.
- IEC 62443 — zonas, conduítes e níveis de segurança.
- NIST CSF 2.0 — governança, identificação, proteção, detecção, resposta e recuperação.
Conteúdo informativo e de boas práticas, não é aconselhamento jurídico ou regulatório. Confirme a versão vigente dos Procedimentos de Rede, o escopo aplicável ao seu agente e as obrigações contratuais com o jurídico e a área regulatória antes de tomar decisões.
Como citar esta página
SeniorFlow. ONS e Segurança Cibernética. Atualizado em 13/11/2026. Disponível em: https://seniorflow.com.br/regulatorio/ons
Ao citar, preserve a data de atualização e não trate projetos de lei como normas vigentes.