A publicação da Resolução nº 20 do Comitê Nacional de Segurança de Infraestruturas Críticas (CNSIC), vinculada ao Gabinete de Segurança Institucional da Presidência da República, marcou uma mudança significativa na política de proteção das infraestruturas críticas do Brasil. Segundo reportagens do TeleTime e do Convergência Digital, a Agência Brasileira de Inteligência (Abin) passa a ser a responsável pelo monitoramento das ameaças a esses ativos estratégicos, enquanto a resposta operacional a incidentes permanece nas mãos de operadores, agências reguladoras e ministérios setoriais.

Nova arquitetura de monitoramento e resposta

De acordo com ambas as publicações, a Resolução CNSIC nº 20, publicada no Diário Oficial da União, formaliza a separação entre o monitoramento de ameaças, atribuído à Abin, e a cadeia de resposta, que envolve operadores das infraestruturas, órgãos reguladores e ministérios. O texto da resolução, conforme detalhado pelo Convergência Digital, não concede à Abin o comando da resposta a incidentes, nem a decisão sobre o emprego das forças de segurança. Essa responsabilidade é distribuída entre diferentes instâncias, a partir da identificação inicial feita pelo próprio operador da infraestrutura.

O TeleTime destaca que, além da Abin, o documento define as instâncias de acionamento da segurança pública, incluindo o operador da infraestrutura, a agência reguladora setorial ou equivalente e o ministério setorial. Os Ministérios da Justiça e Segurança Pública e da Defesa poderão ser acionados para coordenação de esforços de segurança, caso necessário.

Classificação de ameaças e cadeia de acionamento

Um dos pontos centrais da resolução, conforme ambas as fontes, é a definição de quatro níveis de impacto para incidentes: baixo, médio, elevado e excepcional. Cada nível determina o escopo da resposta necessária, desde medidas internas até o envolvimento de órgãos federais e, em situações extremas, das Forças Armadas. O Convergência Digital ressalta que a primeira avaliação do nível de impacto cabe ao operador da infraestrutura, inclusive quando se trata de empresas privadas. A agência reguladora do setor pode confirmar ou alterar essa classificação e decidir sobre medidas de acompanhamento, comunicando o ministério responsável pelo setor.

O TeleTime complementa que, em qualquer nível de impacto, as operadoras de infraestrutura crítica devem identificar o incidente ou ameaça, adotar medidas de controle de segurança patrimonial e informar os incidentes aos órgãos reguladores e de segurança pública locais. Já as agências reguladoras monitoram o incidente em todos os níveis de impacto e avaliam a necessidade de manutenção ou alteração da classificação informada pelo operador.

Os ministérios setoriais, por sua vez, acompanham o incidente e avaliam a necessidade de acionar órgãos de segurança pública ou empregar as Forças Armadas, sempre observando as regras legais existentes, como aponta o Convergência Digital.

Falta de parâmetros objetivos e desafios práticos

Apesar de detalhar a cadeia de acionamento, a resolução não estabelece critérios quantitativos claros para diferenciar os quatro níveis de impacto. O Convergência Digital observa que a norma utiliza conceitos como “impacto limitado”, “periculosidade mediana” e “impacto ou periculosidade extremos”, mas não define indicadores como número de pessoas afetadas, extensão territorial ou prejuízo econômico. Isso significa que a classificação inicial dependerá da avaliação subjetiva do operador, sujeita à revisão pela agência reguladora.

Outro ponto levantado pelo Convergência Digital é que as diferentes instâncias podem atuar simultaneamente ou em sequência, sem necessidade de aguardar a conclusão da etapa anterior, o que pode acelerar a resposta, mas também gerar sobreposição de ações.

O TeleTime acrescenta que grupos de trabalho temáticos criados no âmbito do CNSIC deverão prestar apoio técnico e assessoramento em cada setor, com possíveis reflexos em cadeias como a de telecomunicações. Contudo, nenhuma das fontes relata detalhamento sobre como as informações produzidas pela Abin serão compartilhadas com operadores e reguladores, nem procedimentos específicos para situações em que a ameaça seja identificada pela inteligência antes do operador.

Impactos para setores de telecomunicações e tecnologia

As novas diretrizes abrangem todos os setores classificados como infraestruturas críticas, incluindo telecomunicações, energia, transportes, sistemas financeiros e serviços públicos. O Convergência Digital destaca que a resolução não apresenta uma relação nominal das empresas, redes ou sistemas considerados críticos, nem diferencia ataques físicos de cibernéticos. A definição ampla de “incidente” e “ameaça” permite que tanto invasões físicas quanto ataques cibernéticos sejam enquadrados no mesmo regime de resposta.

Para empresas de telecomunicações e tecnologia, a mudança implica em novas obrigações de identificação e comunicação de incidentes, além da necessidade de manter processos de avaliação de risco e resposta alinhados à classificação de impacto prevista na resolução. O TeleTime observa que a atuação dos grupos de trabalho do CNSIC pode trazer apoio técnico relevante para setores que lidam com ameaças complexas, como o de telecomunicações.

Consequências para empresas e operadores privados

Na prática, a resolução reforça o papel das empresas privadas que operam infraestruturas críticas como a primeira linha de defesa diante de incidentes e ameaças. Elas passam a ser responsáveis não só pela identificação e classificação inicial do impacto, mas também pela comunicação tempestiva aos órgãos competentes. A ausência de parâmetros objetivos para essa classificação, apontada pelo Convergência Digital, pode gerar incertezas e exigir maior preparo das equipes de segurança e compliance para justificar decisões perante reguladores.

Além disso, a separação entre monitoramento de inteligência e resposta operacional demanda que operadores e reguladores desenvolvam canais eficientes de troca de informações sensíveis, respeitando as exigências de segurança da informação estabelecidas pela resolução. O artigo 8º da norma, citado pelo Convergência Digital, determina que todos os envolvidos observem os aspectos de sensibilidade e segurança da informação, mas não especifica quais dados serão públicos ou reservados.

O contexto de Manaus e do Polo Industrial, onde operam diversas empresas estratégicas de telecomunicações, energia e logística, amplia a relevância dessas mudanças. A necessidade de resposta rápida e articulada a incidentes, especialmente em regiões com desafios logísticos e de conectividade, exige que operadores invistam em processos robustos de monitoramento, redundância e comunicação com autoridades.

O que ainda não está definido e próximos passos

Apesar de a Resolução CNSIC nº 20 já estar em vigor, o Convergência Digital alerta que o Marco Legal da Cibersegurança ainda não foi votado no Congresso Nacional, o que deixa indefinida a criação de uma agência reguladora específica para o tema. Além disso, a resolução não detalha mecanismos para compartilhamento de informações entre a Abin e os demais atores, nem procedimentos para incidentes cibernéticos detectados exclusivamente por inteligência.

Essas lacunas indicam que, embora o novo modelo represente avanço na formalização de responsabilidades, ainda há pontos críticos a serem regulamentados para garantir efetividade na proteção das infraestruturas críticas, especialmente diante do aumento de ameaças digitais e da interdependência entre setores essenciais.

Para empresas que operam infraestruturas críticas, o desafio imediato é revisar protocolos internos de identificação, classificação e comunicação de incidentes, além de investir em integração com órgãos reguladores e de inteligência. No contexto de Manaus, onde a conectividade é fator estratégico, a capacidade de manter operações resilientes e de responder rapidamente a incidentes pode ser decisiva para a continuidade dos serviços essenciais.

O avanço das ameaças, tanto físicas quanto digitais, e a nova arquitetura de monitoramento e resposta instituída pela Resolução CNSIC nº 20 reforçam a necessidade de operadores de infraestrutura crítica avaliarem continuamente sua capacidade de detecção, comunicação e resiliência. Em ambientes de alta dependência tecnológica, como os do Polo Industrial de Manaus, a robustez da conectividade e a integração com as instâncias de inteligência e regulação podem definir o sucesso na mitigação de riscos e na manutenção dos serviços estratégicos.