TCU encerra monitoramento da Política Nacional de Cibersegurança, mas lei continua pendente
O Tribunal de Contas da União (TCU) encerrou o acompanhamento de uma recomendação relacionada à Política Nacional de Cibersegurança (PNCiber), mas ressaltou que ainda falta uma lei capaz de sustentar uma coordenação nacional mais ampla. O anteprojeto preparado pelo Comitê Nacional de Cibersegurança (CNCiber) segue sem envio ao Congresso Nacional.
A conclusão está no Acórdão 2.909/2026-Plenário, analisado em 21 de outubro e divulgado pelo Tribunal em 6 de novembro. Relatado pelo ministro Benjamin Zymler, o processo verificou as providências tomadas pelo CNCiber e pelo Gabinete de Segurança Institucional (GSI) após uma recomendação feita em 2024 e ajustada no ano seguinte.
O TCU reconheceu que os órgãos cumpriram as medidas que estavam dentro de suas atribuições. Isso, porém, não significa que a governança brasileira de cibersegurança esteja plenamente estruturada ou que todos os riscos tenham sido resolvidos. A recomendação foi considerada atendida; a criação de uma base legal mais abrangente continua pendente e depende de outras etapas do governo e do Legislativo.
O que já existe na política brasileira
A PNCiber foi instituída pelo Decreto nº 11.856, de dezembro de 2023, que também criou o CNCiber. A política estabeleceu diretrizes e um espaço de articulação entre órgãos públicos e representantes de diferentes setores.
Em agosto de 2025, outro decreto, o de nº 12.573, criou a Estratégia Nacional de Cibersegurança (E-Ciber). Ela se organiza em quatro frentes: proteção da sociedade, resiliência de serviços essenciais, cooperação institucional, além de soberania e governança.
Esses instrumentos oferecem uma orientação para o trabalho de cibersegurança e permitem iniciar ações sem que uma nova lei esteja em vigor. O limite apontado pelo TCU está em outro ponto: decretos podem organizar a administração pública dentro das competências existentes, mas não necessariamente são suficientes para estabelecer obrigações gerais, poderes de fiscalização ou novas atribuições com alcance nacional.
Sem uma definição legal mais sólida, a articulação entre União, estados, municípios, reguladores setoriais e empresas pode depender de acordos voluntários e de mecanismos com níveis variados de adesão. Isso tende a dificultar a aplicação uniforme de medidas e a definição de quem deve agir em determinadas situações.
Como a discussão chegou ao impasse
Em 2024, por meio do Acórdão 2.430/2024-Plenário, o TCU recomendou ao CNCiber, com apoio do GSI, que enfrentasse o risco de a política não alcançar todo o país e de não haver uma estrutura com autoridade suficiente para coordenar sua execução. O monitoramento encerrado examinou as respostas a essa recomendação – não a implementação completa da PNCiber.
A discussão sobre uma lei começou antes da publicação do decreto de 2023. Uma das propostas iniciais previa a criação de uma Agência Nacional de Cibersegurança (ANCiber), que reuniria funções de governança, coordenação, regulação e operação. Estudos considerados no processo estimavam que, no quinto ano de funcionamento, a estrutura poderia contar com cerca de 800 cargos e orçamento anual próximo de R$ 540 milhões.
Esses números se referem a uma proposta anterior. Não representam despesas aprovadas nem confirmam que o anteprojeto atual preveja a criação de uma agência com o mesmo formato.
Segundo os registros examinados pelo Tribunal, a Casa Civil informou que não havia espaço para criar um novo órgão de governança nacional. Diante dessa restrição, o GSI avaliou outras possibilidades, incluindo conversas com a Anatel sobre uma configuração em que a agência assumisse funções de autoridade nacional de cibersegurança. A análise dessas alternativas não significa que alguma delas tenha sido adotada.
O anteprojeto elaborado pelo CNCiber permanece sem encaminhamento ao Congresso. Assim, ainda não há definição legislativa sobre o modelo institucional, a distribuição de responsabilidades e os instrumentos de coordenação que poderão ser estabelecidos.
O que uma lei poderá definir
Uma futura legislação pode esclarecer quais órgãos terão responsabilidade por coordenar a política, como será feita a cooperação entre setores e que deveres poderão ser exigidos de entidades públicas e privadas. Também poderá estabelecer regras para fiscalização, compartilhamento de informações e resposta a incidentes, desde que essas medidas sejam previstas no texto aprovado.
Esses pontos ainda não estão decididos. O conteúdo final dependerá do encaminhamento da proposta, da tramitação no Congresso e das alterações feitas durante o processo legislativo. Por isso, não é possível tratar como garantida a criação de uma agência, a atribuição de funções à Anatel ou a adoção de um modelo específico de autoridade nacional.
A falta de lei não significa que o país esteja sem qualquer política ou que os órgãos devam aguardar para agir. A PNCiber e a E-Ciber continuam servindo como referências para organizar iniciativas dentro das competências vigentes. O alerta do TCU diz respeito principalmente à capacidade de dar unidade, alcance e força jurídica à governança nacional.
O que organizações podem fazer enquanto a lei não avança
Órgãos públicos e empresas podem reduzir riscos sem esperar a conclusão da discussão legislativa. Uma medida essencial é manter inventários atualizados de sistemas, dados e serviços críticos. Conhecer os ativos permite identificar quais operações seriam mais afetadas por uma invasão, interrupção ou vazamento de informações.
Também é recomendável estabelecer procedimentos claros para prevenir, detectar e responder a incidentes. Isso inclui definir responsáveis, canais internos de comunicação, critérios para acionar fornecedores e formas de preservar evidências. Planos que nunca são testados podem falhar justamente quando são mais necessários; por isso, exercícios simulados ajudam a encontrar lacunas antes de uma crise real.
A proteção deve abranger toda a cadeia de fornecimento. Contratos com prestadores de tecnologia podem prever requisitos de segurança, comunicação de incidentes e responsabilidades sobre dados. Como uma falha em um fornecedor pode afetar várias organizações, avaliar riscos de terceiros é parte importante da preparação.
Outras práticas úteis incluem controlar acessos conforme as funções de cada usuário, utilizar autenticação multifator, manter cópias de segurança protegidas e testar regularmente a recuperação dos sistemas. Treinamentos também ajudam a reduzir erros comuns, como o compartilhamento indevido de credenciais e a abertura de arquivos maliciosos.
A decisão do TCU, portanto, encerra um monitoramento específico, mas não elimina a discussão sobre a estrutura necessária para coordenar a cibersegurança no Brasil. Enquanto o anteprojeto não chega ao Congresso e as regras não são definidas, a continuidade das ações dentro das competências atuais e a preparação de cada organização seguem sendo fundamentais.