TCU encerra monitoramento da cibersegurança, mas falta lei para consolidar a política nacional
O Tribunal de Contas da União (TCU) deu por cumprida uma recomendação feita ao Comitê Nacional de Cibersegurança (CNCiber), mas ressaltou que a governança nacional da área ainda enfrenta lacunas. O principal ponto pendente é o envio ao Congresso Nacional de um anteprojeto de lei que estabeleça bases legais mais amplas para coordenar a Política Nacional de Cibersegurança.
A conclusão está no Acórdão 2.909/2026-Plenário, apreciado em 21 de outubro e divulgado pelo Tribunal em 6 de novembro. Relatado pelo ministro Benjamin Zymler, o processo avaliou as providências adotadas pelo CNCiber e pelo Gabinete de Segurança Institucional (GSI) após uma recomendação emitida em 2024 e ajustada no ano seguinte.
Para o TCU, os órgãos cumpriram as medidas que estavam dentro de suas atribuições. Isso, porém, não significa que o país já tenha uma estrutura completa de governança digital nem que os riscos apontados anteriormente tenham sido eliminados. A tramitação legislativa depende de outras instâncias do Executivo e do Congresso e continua sem conclusão.
O que o encerramento do monitoramento significa
O Tribunal encerrou o acompanhamento de uma recomendação específica, e não certificou a implantação integral da política. A diferença é importante: houve atuação institucional suficiente para considerar atendida a determinação monitorada, mas permanece em aberto a criação de uma base legal capaz de organizar competências e responsabilidades em âmbito nacional.
Em 2023, o Decreto nº 11.856 instituiu a Política Nacional de Cibersegurança (PNCiber) e criou o CNCiber, espaço de articulação entre o governo e representantes de diferentes setores. Dois anos depois, o Decreto nº 12.573 instituiu a Estratégia Nacional de Cibersegurança (E-Ciber), estruturada em quatro frentes: proteção da sociedade, resiliência de serviços essenciais, cooperação institucional e soberania e governança.
Esses decretos permitem iniciar e organizar ações dentro das competências já existentes. A limitação aparece quando se trata de estabelecer deveres gerais, criar poderes de fiscalização ou definir novas estruturas e atribuições com alcance nacional. Para isso, é necessário um fundamento legal adequado. Sem ele, a coordenação entre União, estados, municípios, reguladores e empresas pode depender de acordos e adesões com níveis distintos de abrangência e efetividade.
Como a proposta de lei foi sendo revista
A discussão sobre uma lei para o setor começou antes da criação formal da PNCiber. Uma das primeiras alternativas previa uma Agência Nacional de Cibersegurança (ANCiber), que concentraria funções de governança, coordenação, regulação e atuação operacional. Estudos associados àquele desenho estimavam cerca de 800 cargos e orçamento anual próximo de R$ 540 milhões no quinto ano de funcionamento.
Esses números dizem respeito a uma proposta anterior: não representam despesas aprovadas nem confirmam que a estrutura tenha sido mantida no anteprojeto atual. Ao longo das discussões, surgiu uma restrição institucional. Conforme registrado no processo, a Casa Civil informou que não havia espaço para criar um novo órgão de governança nacional.
Diante desse cenário, o GSI examinou outras possibilidades, incluindo conversas com a Agência Nacional de Telecomunicações (Anatel) sobre uma configuração em que a agência pudesse assumir funções de autoridade nacional de cibersegurança. A análise dessas alternativas, contudo, não significa que alguma delas tenha sido incorporada à legislação vigente.
Em outubro de 2025, o CNCiber criou um grupo de trabalho para aperfeiçoar a proposta de Lei Geral da Cibersegurança. O anteprojeto elaborado pelo comitê ainda aguarda encaminhamento ao Congresso. Até que essa etapa avance, seguem sem definição legislativa questões importantes sobre a estrutura responsável pela coordenação, a distribuição de atribuições e os mecanismos para garantir a participação de diferentes setores e níveis de governo.
O que a futura lei poderá esclarecer
Uma lei pode dar maior previsibilidade à execução da política, definindo quem coordena as ações nacionais, quais órgãos têm responsabilidades específicas e como se dará a cooperação entre instituições públicas e agentes privados. Também poderá estabelecer regras para supervisão e fiscalização, desde que essas competências sejam claramente delimitadas.
Outro desafio será compatibilizar uma estrutura nacional com a diversidade de setores que dependem de sistemas digitais. Energia, telecomunicações, saúde, transportes e serviços financeiros, por exemplo, possuem riscos, reguladores e necessidades operacionais diferentes. Uma coordenação comum pode facilitar a resposta a incidentes sem ignorar as particularidades de cada área.
A lei também precisará equilibrar segurança, continuidade dos serviços, proteção de dados e respeito às competências já atribuídas a órgãos e reguladores. A escolha do modelo institucional terá impacto sobre custos, autonomia, responsabilização e velocidade de resposta. Por isso, a definição da estrutura não é apenas administrativa: ela determinará como o país pretende prevenir ataques e lidar com crises que afetem serviços essenciais.
O que fazer enquanto o anteprojeto não chega ao Congresso
A ausência de uma lei geral não impede que órgãos públicos e empresas reforcem sua segurança. Organizações podem revisar planos de resposta a incidentes, identificar sistemas críticos, manter cópias de segurança protegidas e testar procedimentos de recuperação. Também é importante controlar acessos, aplicar atualizações de segurança e preparar equipes para reconhecer tentativas de fraude e invasão.
Na administração pública, a articulação entre áreas de tecnologia, gestão de riscos, comunicação e direção pode reduzir o tempo de resposta a ataques. Planos de continuidade devem indicar quem toma decisões, como os serviços serão mantidos e de que maneira incidentes serão registrados e comunicados. Exercícios simulados ajudam a encontrar falhas antes que uma ocorrência real exponha a infraestrutura.
Empresas que operam serviços essenciais podem mapear dependências de fornecedores e avaliar os riscos associados a sistemas terceirizados. A segurança não se limita à rede interna: uma falha em prestadores de tecnologia, armazenamento ou comunicação também pode interromper operações. Requisitos de proteção e resposta devem, portanto, estar presentes nos contratos e nos processos de avaliação de fornecedores.
Para todos os setores, a clareza sobre responsabilidades é fundamental. Mesmo sem uma autoridade nacional definida por lei, cada organização precisa saber quem acompanha alertas, quem pode suspender sistemas comprometidos e quais equipes devem ser acionadas. O planejamento interno não substitui uma política nacional plenamente estruturada, mas diminui a exposição enquanto as definições legislativas não avançam.
O encerramento do monitoramento pelo TCU representa o fim de uma etapa de acompanhamento, não a solução das lacunas identificadas. A PNCiber e a E-Ciber já oferecem diretrizes para orientar iniciativas, mas a ausência de uma lei mantém em aberto a consolidação das competências e dos mecanismos de coordenação. O próximo passo decisivo será transformar o anteprojeto em uma proposta legislativa e submetê-la à discussão pública e parlamentar.