Regulamentação

O estudo sobre a regulamentação de segurança das redes de telecomunicações foi incluído como item 58 da Agenda Regulatória da Agência para biênio 2017 – 2018, cujo processo de elaboração da Análise de Impacto Regulatório (AIR) contou com tomada de subsídio de diversos atores. Também foi realizada a Consulta Pública nº 52, iniciada no final de 2018 e aberta por mais de 60 dias, para recebimento de contribuições da sociedade.

A Agenda Regulatória 2019 – 2020 manteve a prioridade do assunto, sendo contemplado no seu item 8, o que levou a aprovação do Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações, no final de 2020.

Embora o processo de construção do normativo tenha iniciado antes da elaboração e aprovação da Estratégia Nacional de Segurança Cibernética (E-Ciber), as previsões regulamentares já nasceram alinhadas à Estratégia. A proposta de regulamento ainda passou por revisão final do Conselho Diretor da Anatel, para garantir que estivesse de acordo com as políticas públicas estabelecidas.

Princípios e diretrizes

O Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações estabeleceu, em  seu art. 4º,os seguintes princípios:

• autenticidade;
• confidencialidade;
• disponibilidade;
• diversidade;
• integridade;
• interoperabilidade;
• prioridade;
• responsabilidade; e
• transparência.

Já as diretrizes foram estabelecidas pelo art.5º, são elas:

• adoção de boas práticas e normal internacionais referentes à segurança cibernética;
• disseminação da cultura de segurança cibernética;
• a utilização segura e sustentável das redes e serviços de telecomunicações;
• identificação, proteção, diagnóstico, resposta e recuperação de incidentes de segurança cibernética;
• cooperação entre os diversos agentes envolvidos com fins de mitigação dos riscos cibernéticos;
• respeito e promoção dos direitos humanos e das garantias fundamentais, em especial a liberdade de expressão, a proteção de dados pessoais, a proteção da privacidade e o acesso à informação do usuário dos serviços de telecomunicações; e
• incentivo à adoção de conceitos de security by design e privacy by design no desenvolvimento e aquisição de produtos e serviços no setor de telecomunicações.

Os princípios e diretrizes aplicam-se a todas as prestadoras dos serviços de telecomunicações, de interesse coletivo ou restrito, independentemente do porte, bem como às demais pessoas naturais ou jurídicas envolvidas direta ou indiretamente na gestão ou no desenvolvimento das redes e serviços de telecomunicações. Já as obrigações aplicam-se de forma assimétrica.

Obrigações 

O Regulamento traz, sem prejuízo da adoção outras medidas necessárias, as seguintes obrigações:

• a elaboração, manutenção e implementação de uma Política de Segurança Cibernética;
• a publicação pela prestadora na sua página na Internet, com linguagem compreensível, de extrato da sua Política de Segurança Cibernética;
• a apresentação à Anatel, anual ou sempre que solicitado, de relatório sobre o acompanhamento de execução da Política de Segurança Cibernética;
• a utilização, pelas prestadoras, de fornecedores que possuam política de segurança cibernética compatíveis com os princípios e diretrizes dispostos neste Regulamento e que realizem processos de auditoria independente periódicos, no âmbito de suas redes e serviços, produtos e equipamentos de telecomunicações (startups podem ser excepcionadas);
• a notificação da Agência e comunicação às demais prestadoras e aos usuários, conforme o caso e sem prejuízo de outras obrigações legais de comunicação, dos incidentes relevantes que afetem de maneira substancial a segurança das redes de telecomunicações e dos dados dos usuários;
• a adoção pelas prestadoras de procedimento de compartilhamento de informações sobre incidentes relevante;
• a realização de ciclos de avaliação de vulnerabilidades relacionadas à Segurança Cibernética; e
• o envio à Anatel de informações sobre suas Infraestruturas Críticas de Telecomunicações.

Essas obrigações devem ser atendidas por todas as prestadoras dos serviços de telecomunicações de interesse coletivo não caracterizadas como Prestadoras de Serviços de Telecomunicações de Pequeno Porte (PPP). Ademais, em face da alteração promovida em 2024, também são obrigadas: as operadoras de cabo submarino com destino internacional; as prestadoras do Serviço Móvel Pessoal detentoras de rede própria; e, as operadoras de rede que ofertam tráfego em mercado de atacado pertencentes aos grupos econômicos classificados como Poder de Mercado Significativo no Mercado de Transporte de Dados em Alta Capacidade.

Atualmente as seguintes empresas devem atender as obrigações listadas acima:

Além disso, todas as prestadoras dos serviços de telecomunicações de interesse coletivo, independentemente do porte, ficam sujeitas ao cumprimento do art. 8º deste Regulamento, que estabelece a obrigação de alteração da configuração padrão de autenticação dos equipamentos fornecidos em regime de comodato aos seus usuários.

Também foi estabelecida obrigação geral a todas as prestadoras do setor, de notificar a Anatel nas hipóteses em que for requerida comunicação da ocorrência de incidente de segurança à Autoridade Nacional de Proteção de Dados (ANPD), nos termos da legislação e regulamentação aplicáveis.