Quem é obrigado a ter plano de resposta a incidentes no Brasil?

Duas camadas de obrigação

No Brasil, a obrigação de responder a incidentes de segurança vem em duas camadas. A primeira é setorial: cada regulador escreveu a sua norma, com vocabulário próprio, e a empresa regulada sabe, ou deveria saber, que está sujeita a ela. A segunda é geral e silenciosa: a

não fala em «plano de resposta a incidentes», mas impõe a qualquer controlador de dados pessoais um dever que só se cumpre com um plano.

Este artigo mapeia as duas camadas em linguagem direta. A pergunta de fundo é sempre a mesma: quando o incidente acontecer, a empresa vai conseguir dizer o que aconteceu, com prova, dentro do prazo?

Setor por setor

Instituições financeiras e de pagamento

A

obriga as instituições autorizadas pelo Banco Central a manter política de segurança cibernética e um plano de ação e de resposta a incidentes, com diretor responsável nomeado e relatório anual sobre a sua implementação. Instituições de pagamento e fintechs seguem regra equivalente na . É a norma mais detalhada do grupo, e a que mais vezes é cobrada em supervisão.

Mercado de capitais

A

exige dos intermediários, como corretoras e distribuidoras, uma política que trate de segurança cibernética e das diretrizes para avaliar a relevância dos incidentes (art. 41). O art. 45 detalha o programa de segurança cibernética, que deve incluir as medidas de tratamento de incidentes e de recuperação de dados e sistemas; o art. 46 manda comunicar tempestivamente à CVM os incidentes relevantes, definidos como os que afetam processos críticos ou dados sensíveis com impacto significativo sobre os clientes.

Seguros, previdência aberta e capitalização

A

leva o mesmo modelo às seguradoras, entidades abertas de previdência, sociedades de capitalização e resseguradores locais: política de segurança cibernética, classificação de dados e incidentes por relevância, processos de detecção e resposta, regras para terceirização e nuvem.

Telecomunicações

A

aprovou o Regulamento de Segurança Cibernética do setor. As prestadoras de serviços de interesse coletivo, com exceção das de pequeno porte, devem ter política aprovada pela alta administração, comunicar incidentes relevantes à agência e apresentar relatório anual. Alterações posteriores ampliaram o alcance e os deveres de notificação.

Setor elétrico

A

dispõe sobre a política de segurança cibernética dos agentes do setor, incluindo a notificação de incidentes de maior impacto. No âmbito da operação do sistema interligado, a do ONS fixa os controles mínimos do Ambiente Regulado Cibernético, entre eles monitoramento e resposta a incidentes.

Administração pública federal

O

instituiu a Rede Federal de Gestão de Incidentes Cibernéticos, de participação obrigatória para órgãos da administração direta, autárquica e fundacional, sob coordenação do GSI. O criou a Política Nacional de Cibersegurança. Órgãos públicos que contratam resposta a incidentes o fazem por licitação ou contratação direta, com exigência de qualificação técnica do prestador.

A camada que vale para todos: a LGPD

Fora dos setores regulados, a obrigação não tem o nome de plano, mas tem o mesmo efeito. O art. 48 da

manda o controlador comunicar à ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. A comunicação deve descrever a natureza dos dados afetados, os titulares envolvidos, as medidas de segurança que existiam e as providências adotadas. A fixou o prazo: três dias úteis a partir do conhecimento do incidente, com possibilidade de comunicação preliminar complementada depois.

Pense no que é preciso para cumprir isso. Em três dias úteis, a empresa precisa saber que houve incidente, que sistemas foram atingidos, que dados estavam neles, de quantas pessoas, se saíram ou só foram acessados, e desde quando. Nenhuma dessas respostas existe sem registros preservados e sem alguém que saiba lê-los. Uma empresa sem plano descobre o incidente, apaga a prova tentando resolver e comunica à ANPD um «possível acesso indevido» sem conseguir dizer mais. É o pior dos cenários: a comunicação vaga expõe mais do que a precisa, e a falta de registros impede a empresa de demonstrar as medidas de segurança que o art. 46 exige.

Hospitais, clínicas e operadoras de saúde, redes de varejo e franquia, empresas de software, escolas, escritórios de advocacia e contabilidade: nenhum deles tem regulador de segurança cibernética, e todos tratam dados pessoais em volume. Para eles, a LGPD é o plano de resposta a incidentes que ninguém escreveu.

O que «ter um plano» significa na prática

As normas setoriais coincidem num ponto que vale para todas: o plano é avaliado pelo que a empresa consegue fazer, não pelo que está escrito. O Banco Central pede relatório anual de implementação. A CVM pede que o programa seja testado e revisado periodicamente. A ANPD pergunta o que foi feito e quando.

Um plano que funciona tem quatro capacidades, e uma delas costuma faltar:

1. Detectar e classificar: saber que houve incidente e dizer de que gravidade.
2. Conter e recuperar: isolar, erradicar e voltar a operar. É o que a TI e os fornecedores de segurança fazem bem.
3. Comunicar: regulador, titulares, seguradora, clientes, imprensa, cada um no prazo e no formato certos. É o que o jurídico e a comunicação fazem.
4. Preservar e explicar: garantir que a prova do que aconteceu sobreviva à contenção e vire documento técnico. É a capacidade que falta na maioria dos planos, porque ninguém dentro da empresa é responsável por ela, e porque ela conflita com a segunda: quem contém quer apagar, quem preserva precisa que nada seja apagado antes da cópia.

A quarta capacidade é a forense. Sem ela, as outras três produzem uma empresa que voltou a funcionar e não sabe explicar o que aconteceu. E explicar é o que o regulador, a seguradora e o juiz vão pedir.

Obrigações que não vêm de regulador

Duas fontes de obrigação costumam passar despercebidas até o dia do incidente.

Seguro cibernético. As apólices exigem aviso imediato do sinistro, cooperação na apuração e, em muitos casos, o uso de prestadores aceitos pela seguradora. A regulação do sinistro depende de saber quando o incidente começou e qual foi a extensão. Sem prova preservada, a discussão sobre a cobertura se arrasta, e a franquia e os limites são aplicados sobre números que a empresa não consegue demonstrar.

Contratos. Fornecedores de software, operadores de dados e prestadores de serviço assinam contratos com cláusula de notificação de incidente em prazos de 24, 48 ou 72 horas, com direito de auditoria do cliente. Para quem assina, a cláusula só é cumprível com um plano. Para quem contrata, é o lugar certo para exigir retenção de registros e cooperação forense, antes que o incidente mostre que o fornecedor não guarda nada.

Onde entra o perito

O perito criminal responsável pelo caso cobre a quarta capacidade do plano: na implantação, mapeia as fontes de evidência e corrige a retenção; no incidente, preserva com hash e cadeia de custódia, conforme o

e a , e entrega em 48 horas a nota técnica que diz o que aconteceu, o que foi afetado e desde quando. É esse documento que fundamenta a comunicação ao regulador no prazo, o aviso à seguradora e, se for o caso, o laudo e a assistência técnica no processo. A página de resposta forense a incidentes descreve o contrato de plantão, os prazos por severidade e o modelo de parceria com escritórios de advocacia.