O debate sobre governança de cibersegurança ganhou novo fôlego no Brasil após a divulgação de uma nota do Comitê Gestor da Internet no Brasil, o CGI.br, durante sua 11ª Reunião Ordinária de 2025. O documento analisa as propostas de regulação em discussão, entre elas o Projeto de Lei 4752/2025, que tramita no Senado, e o Anteprojeto de Lei Geral de Cibersegurança, coordenado pelo GSI e pelo CNCiber. O Comitê defende uma arquitetura regulatória que evite duplicidade de atribuições, preserve marcos legais existentes e incentive a cooperação técnica para fortalecer a cibersegurança no Brasil.
O que está em jogo na governança de cibersegurança
Na prática, o movimento do CGI.br busca balizar a elaboração de normas de governança de cibersegurança a partir de princípios reconhecidos no país e no exterior, promovendo interoperabilidade jurídica e previsibilidade para as organizações. Segundo o Comitê, a construção de um ecossistema eficiente passa por clareza de papéis entre órgãos públicos, agências setoriais e entidades técnicas, evitando conflitos e lacunas que possam fragilizar a resposta a incidentes.
O posicionamento mira diretamente a organização do sistema nacional de segurança digital, a delimitação de competências e a capacidade de coordenação de um eventual Centro Nacional de Segurança. O CGI.br também menciona a importância de respeitar a cultura de colaboração entre equipes técnicas, em especial CSIRTs públicos e privados, que desempenham papel crítico no tratamento de incidentes.
Evitar sobreposição de competências e preservar marcos legais
Ao comentar os projetos em debate, o Comitê recorda que a regulação deve dialogar com marcos já consolidados. Em suas palavras, “O Comitê afirma que novas legislações devem seguir práticas internacionais reconhecidas, preservar princípios já consolidados no Marco Civil da Internet e na Lei Geral de Proteção de Dados e manter interoperabilidade jurídica.” A diretriz, além de reforçar a estabilidade regulatória, busca evitar conflitos normativos que compliquem a conformidade de empresas e instituições.
Outro ponto central do documento é a divisão clara de responsabilidades. O CGI.br enfatiza que, “Na nota, o CGI.br defende que a governança proposta evite sobreposição de competências entre órgãos e instituições e mantenha papéis definidos para agências setoriais, autoridades competentes e organizações técnicas.” Na avaliação do Comitê, esse desenho aumenta a eficiência do sistema, melhora a coordenação em crises e reduz custos regulatórios desnecessários.
CSIRTs independentes e o papel do CERT.br
O CGI.br relembra que o Brasil já dispõe de uma estrutura técnica consolidada. O país conta com o CERT.br, operado pelo NIC.br desde 1997, como CSIRT nacional de último recurso, referência no tratamento de incidentes e na promoção de boas práticas. Essa experiência é apontada como base para construir uma governança de cibersegurança que funcione na prática, com respostas rápidas e colaboração eficaz entre atores públicos e privados.
Nas diretrizes ao Centro Nacional de Segurança proposto, o Comitê é explícito: “O Comitê afirma ainda que um Centro Nacional de Segurança deve atuar na coordenação de iniciativas, sem funções de auditoria ou sanção.” A nota também reforça a necessidade de confiança para o compartilhamento de informações: “O documento reforça que CSIRTs nacionais precisam ser independentes para receber informações sobre incidentes sem vínculo sancionatório, evitando inibição no compartilhamento de dados.” Para o ecossistema, a independência técnica e a ausência de atribuições punitivas estimulam o reporte tempestivo, mantêm a colaboração e melhoram a postura de segurança de todo o setor.
Riscos de bloqueios e a participação social na construção das normas
O CGI.br chama atenção para potenciais efeitos adversos de medidas mais drásticas. Segundo o documento, “O Comitê alerta para riscos associados ao uso de medidas como bloqueios de aplicações ou dispositivos, considerando potenciais efeitos colaterais e impactos extraterritoriais.” Na prática, bloqueios podem afetar cadeias globais de serviços digitais, gerar indisponibilidade indevida para usuários lícitos e provocar fricções internacionais, sem necessariamente resolver a causa raiz dos incidentes.
Por isso, o Comitê insiste em um processo regulatório transparente e tecnicamente embasado. Em linha com boas práticas internacionais de governança de cibersegurança, defende que, “O CGI.br recomenda que novas normas sejam construídas com base técnica consistente e com participação social, por meio de consultas públicas ou outros mecanismos.” A nota conclui com o compromisso de continuidade no debate: “O Comitê reiterou que continuará participando dos debates e contribuindo para a formulação da política nacional de cibersegurança.”
Em um cenário de ameaças crescentes e ecossistemas digitais altamente interconectados, a mensagem do CGI.br reforça a necessidade de uma governança de cibersegurança que una coordenação, respeito aos marcos legais, cooperação técnica e abertura ao escrutínio público. Ao priorizar a independência dos CSIRTs, a clareza de papéis e a participação social, o Brasil avança na construção de um arcabouço capaz de proteger usuários, empresas e instituições sem sufocar a inovação ou comprometer a interoperabilidade internacional.