A cibersegurança no Brasil está prestes a entrar em uma nova era. Com a iminente aprovação do Projeto de Lei 4752/2025, o país avança para estabelecer uma estrutura nacional robusta de proteção digital, criando mecanismos regulatórios, obrigações legais e penalidades severas para organizações que não adotarem medidas adequadas de segurança cibernética.
O texto prevê a criação da Autoridade Nacional de Cibersegurança (ANCiber) e do Programa Nacional de Segurança e Resiliência Digital, iniciativas que têm como objetivo fortalecer a proteção de infraestruturas críticas, ampliar a capacidade de resposta a incidentes e alinhar o Brasil às melhores práticas internacionais em segurança digital.
A proposta marca uma mudança significativa: cibersegurança deixará de ser apenas uma recomendação técnica e passará a ser uma obrigação estratégica e regulatória.
O que muda com a nova Lei de Cibersegurança?
O PL 4752/2025 busca criar uma política nacional voltada à proteção do ambiente digital brasileiro, especialmente em setores considerados essenciais para o funcionamento do país, como:
- Energia
- Água e saneamento
- Transporte
- Telecomunicações
- Saúde
- Indústria
- Serviços financeiros
A proposta surge em um cenário global de aumento dos ataques cibernéticos contra infraestruturas críticas, além da crescente sofisticação de ameaças como ransomware, espionagem digital, sabotagem e ataques direcionados a sistemas industriais e ambientes OT (Operational Technology).
Na prática, a nova legislação deverá estabelecer requisitos mínimos de segurança, governança e resiliência digital para organizações públicas e privadas.
Criação da Autoridade Nacional de Cibersegurança (ANCiber)
Um dos principais pontos do projeto é a criação da ANCiber, órgão responsável por coordenar políticas nacionais de segurança cibernética e supervisionar o cumprimento das novas regras.
A autoridade terá funções como:
- Definir diretrizes nacionais de cibersegurança;
- Estabelecer normas e requisitos mínimos de proteção;
- Fiscalizar organizações e operadores de infraestruturas críticas;
- Coordenar respostas a incidentes cibernéticos;
- Aplicar sanções administrativas em caso de descumprimento.
A proposta segue modelos já adotados internacionalmente, aproximando o Brasil de regulamentações como a Diretiva NIS2 da União Europeia e frameworks de proteção crítica utilizados nos Estados Unidos.
Multas podem chegar a R$ 50 milhões
Assim como ocorreu com a LGPD, a nova legislação prevê sanções significativas para organizações que não estiverem em conformidade.
As penalidades poderão incluir:
- Advertências;
- Suspensão parcial de atividades;
- Divulgação pública da infração;
- Multas que podem chegar a R$ 50 milhões por infração.
Esse ponto reforça uma tendência global: empresas que negligenciam cibersegurança passam a enfrentar não apenas riscos operacionais, mas também impactos financeiros, jurídicos e reputacionais.
Infraestruturas críticas no centro da discussão
O foco da nova regulamentação está diretamente ligado à proteção de infraestruturas críticas e sistemas ciberfísicos (CPS), ambientes que conectam operações físicas a sistemas digitais.
Ataques contra esses setores podem causar impactos que vão muito além do ambiente tecnológico, afetando diretamente a sociedade, a economia e até a segurança nacional.
Nos últimos anos, o mundo testemunhou casos emblemáticos envolvendo:
- Interrupção de redes elétricas;
- Paralisação de operações industriais;
- Comprometimento de sistemas de abastecimento;
- Ataques a hospitais e sistemas públicos;
- Vazamento massivo de dados sensíveis.
Esse cenário acelera a necessidade de regulamentações mais rígidas e políticas nacionais de resiliência digital.
A maturidade em cibersegurança deixa de ser opcional
Com a aprovação da nova lei, organizações precisarão evoluir rapidamente em aspectos como:
Governança de cibersegurança
Empresas deverão implementar estruturas formais de gestão de riscos cibernéticos, com definição clara de responsabilidades e políticas internas.
Gestão de riscos em ambientes OT e IT
A convergência entre tecnologia da informação (IT) e tecnologia operacional (OT) amplia a superfície de ataque e exige monitoramento contínuo de ativos críticos.
Resposta a incidentes
Ter planos de resposta estruturados e capacidade de reação rápida será essencial para reduzir impactos operacionais e atender exigências regulatórias.
Monitoramento contínuo
A detecção proativa de ameaças e anomalias em ambientes industriais e corporativos passa a ser um requisito estratégico.
Resiliência operacional
Mais do que prevenir ataques, empresas precisarão garantir continuidade operacional diante de incidentes cibernéticos.
O Brasil se alinha às práticas internacionais
A proposta reforça um movimento global de fortalecimento da segurança digital como política de Estado.
Países e blocos econômicos vêm ampliando exigências regulatórias para proteção de serviços essenciais e cadeias críticas de suprimento, impulsionados pelo aumento da guerra cibernética, ataques patrocinados por Estados e ameaças contra infraestruturas estratégicas.
Com isso, o Brasil busca reduzir vulnerabilidades nacionais e elevar o nível de maturidade cibernética de setores críticos.
O momento de agir é agora
Independentemente da aprovação definitiva do PL 4752/2025, o cenário já deixa um recado claro para empresas e operadores de infraestrutura crítica: a cibersegurança deixou de ser apenas uma questão técnica e passou a ser uma prioridade regulatória e estratégica.
Organizações que anteciparem adequações, fortalecerem sua governança de segurança e investirem em resiliência digital estarão mais preparadas para enfrentar não apenas as ameaças atuais, mas também as futuras exigências legais do mercado brasileiro.
