A Autoridade Nacional de Segurança Nuclear (ANSN) abriu consulta pública sobre uma proposta de ato normativo voltada à segurança cibernética em instalações nucleares e radiativas no Brasil. A iniciativa pretende estabelecer princípios, requisitos e mecanismos de fiscalização para proteger ativos digitais que possam influenciar a operação, a segurança e a continuidade dessas atividades.
As contribuições começaram a ser recebidas em 10 de setembro de 2026, pela plataforma Brasil Participativo. A abertura foi divulgada pela Autoridade Nacional de Segurança Nuclear em 17 de setembro. Segundo a proposta, manifestações da sociedade, de especialistas e das organizações reguladas poderão ser consideradas no aperfeiçoamento do texto antes da publicação definitiva.
O que a proposta pretende regulamentar
O texto prevê a identificação e a proteção dos chamados Ativos Digitais Críticos. A categoria abrange recursos tecnológicos cuja disponibilidade, integridade ou confidencialidade seja relevante para o funcionamento seguro de instalações nucleares e radiativas. O objetivo é fazer com que os riscos digitais sejam tratados de maneira integrada às demais dimensões de proteção do setor.
Entre as principais exigências está a criação de um Programa de Segurança Cibernética e de um Plano de Segurança Cibernética pelas organizações reguladas. A proposta também adota conceitos como defesa em profundidade, que combina diferentes camadas de proteção, e aplicação de medidas proporcionais aos riscos e às características de cada instalação.
Na prática, a estrutura busca evitar que a segurança dependa de uma única barreira ou tecnologia. A identificação de vulnerabilidades, a definição de responsabilidades, a preparação para incidentes e a capacidade de recuperação passam a fazer parte de uma abordagem regulatória específica para o segmento nuclear e radiativo.
Exigências para instalações nucleares
Para instalações nucleares, como usinas, fábricas de combustível e reatores de pesquisa, a proposta prevê requisitos mais amplos. Entre eles estão governança específica, equipes responsáveis pelo tratamento e pela resposta a incidentes cibernéticos, profissionais especializados e controles relacionados à cadeia de suprimentos.
O texto também prevê uma arquitetura defensiva organizada em cinco níveis. A medida pretende estruturar as barreiras de proteção de forma escalonada, considerando os diferentes ambientes, sistemas e possíveis impactos associados a um incidente. A proposta, contudo, não trata todas as instalações de maneira idêntica: o nível de exigência deve acompanhar os riscos envolvidos em cada atividade.
Outro ponto de atenção é a cadeia de fornecedores. Empresas que fornecem equipamentos, sistemas ou serviços para instalações reguladas podem ser alcançadas por controles destinados a reduzir riscos introduzidos por terceiros. A preocupação envolve tanto a segurança dos componentes utilizados quanto a capacidade de resposta diante de falhas ou eventos cibernéticos.
Aplicação proporcional em instalações radiativas
Nas instalações radiativas classificadas no Nível de Proteção Física A, os requisitos deverão ser aplicados de forma proporcional e simplificada. A avaliação deverá considerar as características da atividade e os riscos específicos associados a cada operação, evitando a adoção de controles uniformes para estruturas com níveis diferentes de complexidade.
A distinção é relevante porque o universo regulado reúne atividades e organizações com capacidades operacionais distintas. Ao propor medidas graduais, a ANSN busca combinar proteção cibernética com adequação regulatória, mantendo o foco nos ativos digitais que efetivamente podem afetar a segurança, a continuidade dos serviços e a proteção de trabalhadores, população e meio ambiente.
Uma lacuna específica no marco regulatório
De acordo com a ANSN, o Brasil já possui marcos gerais relacionados à segurança da informação, mas ainda não conta com uma norma específica para a proteção de ativos digitais críticos do setor nuclear. A consulta pública foi aberta justamente para preencher essa lacuna e estabelecer referências próprias para instalações submetidas à regulação nuclear e radiativa.
A necessidade de regras setoriais decorre da conexão entre sistemas digitais e processos operacionais. Um incidente pode afetar não apenas dados, mas também a disponibilidade de serviços, a integridade de informações e a capacidade de monitoramento ou resposta. Por isso, a segurança cibernética passa a ser tratada como parte da proteção integral dessas infraestruturas críticas.
Contexto do Exercício Guardião Cibernético
A discussão ocorre no mesmo período em que órgãos públicos, reguladores e instituições ligadas a infraestruturas críticas participaram do Exercício Guardião Cibernético 8.0, realizado entre 21 e 25 de setembro de 2026. Segundo a Comissão Nacional de Energia Nuclear, o treinamento reuniu mais de 380 instituições e cerca de 4 mil participantes.
A atividade envolveu simulações de prevenção, resposta e recuperação diante de incidentes cibernéticos. Embora tenha finalidade distinta da consulta da ANSN, o exercício ajuda a contextualizar a importância de preparar organizações responsáveis por serviços e estruturas essenciais para enfrentar ameaças digitais.
Com a consulta pública, a ANSN pretende receber contribuições antes de concluir a regulamentação. O processo interessa a instalações nucleares e radiativas, empresas fornecedoras de tecnologia, profissionais de cibersegurança e demais instituições que participam da proteção de infraestruturas críticas no país.