O Tribunal de Contas da União considerou cumprida uma recomendação dirigida ao Comitê Nacional de Cibersegurança, mas apontou que o Brasil ainda não dispõe da lei necessária para dar à Política Nacional de Cibersegurança o alcance e a coordenação previstos. O anteprojeto elaborado pelo CNCiber permanece sem encaminhamento ao Congresso Nacional.
A conclusão consta do Acórdão 2.909/2026-Plenário, apreciado em 21 de outubro e divulgado pelo TCU em 6 de novembro. O monitoramento, relatado pelo ministro Benjamin Zymler, examinou providências adotadas pelo Comitê Nacional de Cibersegurança (CNCiber) e pelo Gabinete de Segurança Institucional (GSI) em resposta a uma recomendação de 2024, posteriormente ajustada em 2025. O Tribunal reconheceu que os órgãos fizeram o que estava ao alcance de suas atribuições, mas comunicou à Casa Civil o risco que continua associado à ausência de uma lei.
A distinção é decisiva para compreender a decisão. O TCU não declarou que a governança nacional da cibersegurança esteja plenamente estruturada, nem que o problema identificado tenha desaparecido. Considerou atendida uma recomendação específica porque houve atuação institucional comprovada. A etapa legislativa, que depende de outras instâncias do governo e do Congresso, permanece em aberto.
Uma política existente, mas com limites de coordenação
O Brasil instituiu a Política Nacional de Cibersegurança (PNCiber) pelo Decreto nº 11.856, de dezembro de 2023, que também criou o CNCiber. A política estabeleceu objetivos e um espaço de articulação entre governo e representantes de diferentes setores. Em agosto de 2025, o Decreto nº 12.573 instituiu a Estratégia Nacional de Cibersegurança (E-Ciber), organizada em quatro eixos: proteção da sociedade, resiliência de serviços essenciais, cooperação entre instituições e soberania e governança.
Esses instrumentos continuam relevantes e não dependem de uma nova lei para que todas as suas ações sejam iniciadas. O problema levantado pelo TCU é mais específico: um decreto pode organizar a atuação administrativa dentro das competências já existentes, mas a criação de determinadas obrigações gerais, poderes de fiscalização, estruturas institucionais e competências com alcance nacional exige fundamento jurídico adequado. Sem esse desenho, a coordenação entre órgãos federais, estados, municípios, reguladores setoriais e empresas pode depender de acordos e adesões com diferentes graus de efetividade.
Foi por essa razão que o Acórdão 2.430/2024-Plenário recomendou ao CNCiber, com apoio do GSI, atuar sobre o risco de a política não alcançar todo o território nacional e de não contar com uma estrutura dotada de autoridade suficiente para coordenar sua execução. O monitoramento agora encerrado verificou as medidas tomadas diante dessa recomendação, e não a implantação integral da política.
Por que o anteprojeto levou anos para amadurecer
O exame técnico do TCU mostra que a discussão legislativa começou antes da própria publicação do decreto de 2023. Uma proposta inicial contemplava a criação de uma Agência Nacional de Cibersegurança (ANCiber), concebida para reunir funções de governança, coordenação, regulação e atuação operacional. Estudos citados no processo estimavam, para o quinto ano de funcionamento dessa proposta, aproximadamente 800 cargos e orçamento anual da ordem de R$ 540 milhões. São estimativas de um modelo anterior, não despesas aprovadas nem características necessariamente mantidas na versão atual do anteprojeto.
As discussões posteriores encontraram uma restrição institucional. Conforme registrado no processo, a Casa Civil informou que não havia espaço para criar um novo órgão de governança da cibersegurança nacional. O GSI passou então a examinar alternativas, inclusive tratativas com a Anatel para uma configuração que atribuísse à agência funções de autoridade nacional de cibersegurança. O registro dessas alternativas não significa que tenham sido adotadas na legislação vigente.
Em outubro de 2025, o CNCiber instituiu um grupo de trabalho para aperfeiçoar a proposta de Lei Geral da Cibersegurança. A documentação do Comitê informa que uma versão recebeu anuência unânime em dezembro daquele ano. Em março de 2026, o próprio CNCiber ainda apontava a necessidade de consolidar o texto com a Casa Civil e outras instâncias e de encaminhá-lo ao Congresso, articulando-o à discussão legislativa em andamento no Senado.
A ata de março também registrou que não havia previsão orçamentária para a implementação da iniciativa naquele momento. A ausência dessa previsão não demonstra, por si só, inviabilidade financeira de uma futura lei, mas evidencia que a estrutura institucional e os recursos necessários à sua execução ainda precisariam ser definidos.
O que a futura lei poderá organizar — e o que ainda não está decidido
Uma minuta pública disponibilizada pelo CNCiber propõe instituir um Sistema Nacional de Cibersegurança e estabelecer princípios, diretrizes e regras para a área. Trata-se de um anteprojeto, sujeito a revisão no Executivo e, se encaminhado, ao processo legislativo. Seu conteúdo não deve ser confundido com obrigações já vigentes para todas as empresas ou com a criação efetiva de uma nova autoridade.
O desenho institucional importa porque incidentes cibernéticos frequentemente ultrapassam os limites de um único órgão ou setor regulado. Um ataque que interrompa serviços de saúde, logística ou energia pode envolver fornecedores privados, infraestrutura compartilhada, autoridades setoriais, equipes de resposta e entes de diferentes esferas de governo. Sem competências claramente distribuídas, podem surgir dúvidas sobre quem coordena a resposta, quais informações devem circular, quais padrões mínimos são exigíveis e como evitar sobreposição ou lacunas de atuação.
Isso não equivale a afirmar que o país esteja sem mecanismos de resposta ou que inexista legislação de segurança e privacidade. Há competências e obrigações estabelecidas em normas setoriais, contratos e marcos legais como a LGPD. A questão analisada pelo TCU é a coordenação nacional da cibersegurança como política pública, especialmente onde a atuação de múltiplos agentes depende de autoridade, regras e recursos que um arranjo apenas consultivo pode não assegurar.
O que órgãos públicos e empresas podem fazer enquanto a lei não avança
A tramitação legislativa não suspende os riscos operacionais. Organizações públicas e privadas precisam continuar inventariando ativos críticos, definindo responsáveis por decisões de segurança, testando planos de resposta a incidentes e estabelecendo canais de comunicação com fornecedores, reguladores e equipes especializadas. Em serviços essenciais, exercícios conjuntos de crise ajudam a revelar dependências que não aparecem nos planos isolados de cada instituição.
Para gestores de governança e compliance, também é importante acompanhar a evolução do anteprojeto sem tratar propostas ainda não aprovadas como exigências legais. Uma avaliação de impacto regulatório deve separar obrigações vigentes, regras setoriais, cláusulas contratuais e possíveis mudanças futuras. Essa distinção evita tanto a inércia diante de riscos conhecidos quanto investimentos baseados em requisitos que ainda podem mudar durante o processo legislativo.
O TCU encerrou uma etapa de fiscalização e reconheceu as providências do CNCiber e do GSI. O próprio encaminhamento feito à Casa Civil, porém, deixa claro que a decisão não encerra a discussão sobre autoridade e alcance da Política Nacional de Cibersegurança. O próximo marco verificável será a definição do texto pelo Executivo e seu eventual envio ao Congresso, onde poderão ser debatidos competências, responsabilidades, fiscalização e condições concretas de implementação.
Be the first to comment