Segurança cibernética nuclear: ANSN recebe sugestões para novas regras até 9 de dezembro

A Autoridade Nacional de Segurança Nuclear (ANSN) recebe até 9 de dezembro de 2026 contribuições para uma proposta que cria requisitos de segurança cibernética em instalações nucleares e radiativas. A consulta discute como identificar e proteger sistemas digitais cujo comprometimento possa afetar a segurança de trabalhadores, da população ou do meio ambiente.

O prazo e os documentos estão na plataforma Brasil Participativo. A participação começou em 10 de setembro. O texto ainda é uma minuta: as obrigações propostas ainda não estão em vigor.

A iniciativa alcança a ligação entre sistemas de informação e segurança das instalações. Além de dados confidenciais, a proposta considera equipamentos e redes que participam de funções como controle de acesso, instrumentação, monitoramento e resposta a emergências.

Quais instalações estão no recorte

O artigo 4º da minuta de resolução abrange instalações que tenham ao menos um Ativo Digital Crítico. A relação inclui usinas nucleoelétricas, unidades de enriquecimento de urânio e de fabricação de elementos combustíveis e reatores nucleares de pesquisa.

Também inclui instalações radiativas do grupo 1 e dos subgrupos 2A e 2B enquadradas no Nível de Proteção Física A, conforme a classificação citada no documento. Esse recorte impede tratar a proposta como uma obrigação idêntica para qualquer estabelecimento que utilize radiação.

O texto distingue os requisitos aplicáveis às instalações nucleares daqueles destinados às radiativas abrangidas. Segundo a ANSN, a aplicação deve ser proporcional às características e aos riscos da atividade.

Pela definição proposta, um ativo digital crítico é um dispositivo, sistema ou componente digital cujo comprometimento pode produzir consequências inaceitáveis para funções críticas da instalação. Não se trata apenas de computadores administrativos ou de uma base de dados pessoais.

A minuta cita, entre outros exemplos, sistemas associados à segurança nuclear e radiológica, à proteção física, ao controle de acesso a áreas radiológicas e ao apoio à resposta a emergências. Também menciona monitoramento ambiental de radioatividade e controle de materiais nucleares e fontes radioativas.

Essa lista ajuda a compreender o interesse público da consulta: uma falha digital pode comprometer a disponibilidade ou a confiabilidade de informações necessárias à proteção de pessoas e de instalações. O anúncio da proposta, por outro lado, não comprova a existência de um ataque em curso nem aponta uma unidade específica como vulnerável.

Programa de segurança e resposta a incidentes

A proposta prevê um Programa de Segurança Cibernética e um plano que organizem medidas, responsáveis e procedimentos. Entre os princípios estão a adoção de proteções proporcionais ao risco e a combinação de sucessivas camadas de defesa.

Para instalações nucleares, o desenho inclui especialista responsável, equipe de tratamento e resposta a incidentes e controles sobre a cadeia de suprimentos. A ANSN também destaca a organização da arquitetura de proteção em cinco níveis. A divisão busca ajustar a intensidade das medidas à importância dos ativos protegidos.

Nos prazos de comunicação, a minuta prevê aviso à ANSN tão logo seja possível, limitado a uma hora após a descoberta, quando o incidente envolver uma situação de emergência com impacto em ações externas à instalação. Para incidentes classificados como críticos ou altos, o artigo 34 prevê limite de oito horas. Esses são prazos propostos, sujeitos ao resultado da consulta.

Como participar e o que acontece depois

O texto pode ser consultado por dispositivos no Brasil Participativo. Especialistas, representantes do setor regulado e demais interessados podem examinar a redação e apresentar contribuições pelo canal disponibilizado na plataforma.

A minuta prevê dois anos para adequação de instalações já em operação. Esse período ainda integra a proposta: a abertura da consulta não iniciou uma contagem definitiva para os operadores.

Para acompanhar a discussão, é importante distinguir três etapas: o texto submetido ao debate público, a eventual redação final aprovada e os atos que definirem sua aplicação. Até lá, a consulta permite avaliar se as responsabilidades e os requisitos propostos são claros e compatíveis com os riscos que pretendem reduzir.