GSI fixa regras para planos de segurança de infraestruturas críticas
Resolução estabelece conteúdo mínimo, gestão de riscos e coordenação público-privada para planos de 14 setores; ministérios deverão submeter os documentos ao CNSIC e prestar contas anualmente.
O Comitê Nacional de Segurança de Infraestruturas Críticas estabeleceu regras comuns para a elaboração dos planos setoriais de segurança. A Resolução CNSIC nº 21, assinada em 4 de setembro e publicada nesta terça-feira (8), transforma as diretrizes gerais do Plano Nacional de Segurança de Infraestruturas Críticas em uma obrigação de planejamento para os ministérios responsáveis por cada área.
O alcance é transversal. A norma abrange abastecimento urbano de água, barragens, biossegurança e bioproteção, defesa, energia elétrica, finanças, governo digital, petróleo, gás natural e biocombustíveis, radiodifusão, serviços postais, telecomunicações e transportes aéreo, aquaviário e terrestre. A divisão reúne 14 setores prioritários sob coordenação de diferentes pastas.
Infraestrutura crítica não é sinônimo de toda instalação relevante. Pela política federal, entram nessa categoria serviços, bens, instalações e sistemas cuja interrupção ou destruição possa causar grave impacto social, ambiental, econômico, político, internacional ou à segurança do Estado e da sociedade. Cada plano setorial precisará identificar quais ativos atendem a esse critério.
Os documentos deverão partir de gestão de riscos. Isso envolve mapear ameaças, vulnerabilidades, consequências e medidas de prevenção, resposta e recuperação. A resolução também exige atenção às interdependências: uma falha elétrica pode atingir telecomunicações e água; uma interrupção digital pode afetar finanças, logística e controle operacional.
Resiliência, nesse contexto, não significa apenas proteger fisicamente um ativo. Inclui manter serviços essenciais, reduzir o tempo de indisponibilidade, criar redundâncias, preservar comunicação em crise e recuperar a operação com segurança. O plano deverá organizar responsabilidades e coordenação antes que o incidente ocorra.
A execução depende de articulação entre órgãos públicos e operadores privados. Grande parte das infraestruturas críticas brasileiras é administrada por concessionárias, autorizatárias e empresas reguladas. Os ministérios deverão coordenar o planejamento setorial, mas medidas concretas poderão exigir integração com agências, contratos, normas técnicas, empresas e entes subnacionais.
A resolução não cria, por si só, uma lista pública de instalações críticas nem impõe automaticamente a cada empresa todas as medidas futuras. Obrigações específicas dependerão do plano do setor e, quando necessário, de atos regulatórios, cláusulas contratuais ou instrumentos legalmente adequados. Essa separação é importante para preservar competência, proporcionalidade e segurança jurídica.
As pastas responsáveis deverão prever os custos das ações em seu planejamento e submeter os planos ao CNSIC antes da publicação. Depois, prestarão informação anual sobre o cumprimento das medidas até 31 de março do ano seguinte. O ciclo combina aprovação prévia e acompanhamento periódico, em vez de tratar o plano como documento estático.
Cada plano terá validade de quatro anos, renovável por igual período. A revisão deverá incorporar mudanças tecnológicas, novas ameaças e lições de incidentes. Em redes com digitalização acelerada, um diagnóstico que não seja atualizado pode envelhecer antes do ciclo formal; por isso, monitoramento contínuo e ajustes proporcionais serão decisivos.
O novo ato se encaixa em uma sequência normativa: a Política Nacional de Segurança de Infraestruturas Críticas foi instituída em 2018, a Estratégia Nacional em 2020 e o plano nacional em 2022. A Resolução nº 21 detalha agora como os planos setoriais devem converter essa arquitetura em medidas verificáveis.
Para investidores e operadores, o efeito mais relevante deverá aparecer na governança de riscos, nos requisitos de continuidade e na coordenação com o poder público. O acompanhamento deve concentrar-se nos planos de cada setor, porque serão eles que indicarão prioridades, ativos alcançados, responsáveis, prazos e instrumentos de implementação.