A cibersegurança tem como desafio golpes digitais cada vez mais integrados aos ambientes nos quais o consumidor confia. Mensagens que chegam pelo WhatsApp com o nome e a fotografia de um familiar; pedidos que parecem urgentes e envolvem uma transferência bancária; ou um boleto falso com a identidade visual de uma empresa conhecida… são situações cada vez mais comuns.
Isso sem falar dos golpes dentro de plataformas de compras, reservas, anúncios e serviços financeiros. Ambientes em que a familiaridade aparente reduz a desconfiança e favorece a fraude.
Os ataques digitais mais recentes exploram justamente a percepção de segurança. Em vez de criar ameaças visíveis, os criminosos procuram se misturar à rotina digital.
Essa mudança aparece no Relatório Semestral de Ameaças da Gen, referente aos primeiros seis meses de 2026. Segundo a empresa, a confiança tornou-se uma superfície de ataque. No Brasil, os golpes relacionados a apostas cresceram 755% no período. Já as fraudes financeiras genéricas avançaram 261%, conforme a telemetria da companhia.
Os golpes envolvendo falsas lojas virtuais aumentaram 62%. Além disso, a atividade de ransomware apresentou crescimento de 43%.
O levantamento também identificou falsos documentos de pagamento. Os arquivos imitavam marcas do comércio eletrônico e instituições bancárias para fraudar pagamentos por boleto. Embora sejam dados de uma empresa de segurança, os números ajudam a dimensionar uma transformação. O risco já não está apenas em sites desconhecidos.
Agora, ele também circula por plataformas, marcas e canais nos quais o consumidor aprendeu a confiar.
O Brasil reage
Nesse cenário, o Congresso Nacional discute a criação do Marco Legal da Cibersegurança. O tema ganhou relevância diante da digitalização dos serviços públicos e privados.
O Projeto de Lei 4.752/2025 pretende estabelecer diretrizes nacionais para a segurança digital. A proposta também cria o Programa Nacional de Segurança e Resiliência Digital. Na prática, o texto procura organizar a atuação do poder público e estimular a cooperação com empresas, universidades e centros de pesquisa.
Além disso, o projeto direciona ações para a proteção de infraestruturas críticas e serviços essenciais. Entre eles estão energia, saúde, telecomunicações, transportes e serviços financeiros. Esses setores sustentam atividades presentes na rotina do consumidor. Portanto, uma falha digital pode interromper pagamentos, atendimentos médicos, comunicações e serviços públicos.
O projeto também prevê medidas para estimular a pesquisa, a inovação e a formação de profissionais especializados. Outro objetivo envolve o desenvolvimento de tecnologias nacionais. Atualmente, o PL tramita no Senado e ainda pode sofrer alterações. Portanto, suas regras não estão em vigor.
A Comissão de Constituição e Justiça aprovou um parecer favorável à proposta em dezembro de 2025. Depois, o texto seguiu para análise da Comissão de Ciência e Tecnologia. Em 30 de junho, a comissão realizou uma audiência pública para discutir o projeto. O encontro reuniu representantes do governo, da academia e do setor produtivo.
O senador Hermes Klann é o relator atual da proposta. A Comissão de Ciência e Tecnologia tomará uma decisão terminativa sobre o texto.
Proteção invisível
Para o consumidor, os efeitos do Marco Legal da Cibersegurança podem parecer menos evidentes. Mas os principais efeitos poderão aparecer nos bastidores dos serviços digitais.
O artigo 2º prevê prevenção, mitigação e resposta coordenada aos incidentes cibernéticos. Já o artigo 3º determina ações contínuas para identificar, analisar e reduzir vulnerabilidades. Também prevê protocolos de detecção, comunicação, tratamento e recuperação.
Além disso, o artigo 10 estabelece planos de resiliência, guias de resposta e sistemas para monitorar, alertar e reportar incidentes. A proposta também procura impedir respostas isoladas. O artigo 18 prevê fóruns permanentes para compartilhar informações e articular ações coordenadas.
No setor privado, entretanto, a participação será voluntária. Segundo o artigo 8º, empresas poderão aderir por acordos, convênios ou parcerias.
Quando uma plataforma sai do ar, o problema ultrapassa a área de tecnologia. O consumidor pode perder acesso ao próprio dinheiro ou a um serviço essencial. Da mesma forma, um ataque contra uma empresa pode comprometer dados pessoais, interromper entregas e impedir o atendimento aos clientes.
Por isso, a proteção cibernética também influencia a continuidade dos serviços e das relações de consumo.
Segurança exige governança
A proposta também pode mudar a forma como empresas e gestores avaliam os riscos digitais. A cibersegurança deixa de ser responsabilidade exclusiva da tecnologia. Um ataque pode paralisar operações, expor dados pessoais e prejudicar consumidores. Além disso, a resposta inadequada amplia os danos financeiros, jurídicos e reputacionais.
Por isso, empresas precisam conectar as áreas técnicas, jurídicas, regulatórias e de atendimento. Essa integração permite avaliar o incidente por diferentes perspectivas.
A Lei Geral de Proteção de Dados já exige medidas de segurança para proteger informações pessoais. Também prevê a comunicação de incidentes que possam causar danos relevantes. Nesse contexto, o Marco Legal da Cibersegurança pode complementar a proteção estabelecida pela LGPD. O projeto alcança incidentes que ultrapassam o vazamento de dados pessoais.
Ataques de ransomware, por exemplo, podem bloquear sistemas sem necessariamente expor informações. A mesma lógica vale para interrupções provocadas por ataques de negação de serviço.
Bruna Borghi, sócia do TozziniFreire, destaca a relação entre essas duas frentes regulatórias. “A cibersegurança deve ser entendida como um instrumento para o cumprimento da LGPD. O mesmo incidente precisa alimentar simultaneamente a resposta técnica, a avaliação de riscos aos titulares e os reportes regulatórios exigidos.”
Além da tecnologia
A forma como uma empresa se prepara para um ataque também envolve decisões de governança. Entre elas estão investimentos, contratos, responsabilidades e planos de continuidade. Além disso, gestores precisam conhecer os serviços essenciais para o negócio. Também devem definir quem tomará as decisões durante uma crise digital.
Segundo Borghi, uma resposta inadequada pode indicar falhas que ultrapassam o departamento de tecnologia. “A omissão ou a resposta inadequada pode caracterizar falha de governança. Hoje, cibersegurança envolve decisões sobre apetite a risco, investimentos, supervisão de terceiros e prontidão para responder dentro dos prazos legais.”
O PL reforça essa preocupação ao prever padrões mínimos de cibersegurança, que ainda serão detalhados pela autoridade nacional. O projeto dedica atenção especial aos riscos presentes na cadeia de fornecedores. Uma vulnerabilidade externa pode comprometer diferentes empresas e serviços ao mesmo tempo.
O artigo 13 exige que os participantes públicos do programa avaliem os riscos de fornecedores, parceiros, subcontratados e prestadores de serviços externos. Além disso, o artigo 14 condiciona a contratação de soluções tecnológicas à demonstração de padrões mínimos. A regra alcança os órgãos públicos participantes do programa.
Assim, empresas fornecedoras poderão sentir efeitos indiretos do marco. Para manter contratos, elas poderão precisar demonstrar suporte, atualizações regulares e segurança durante todo o serviço.
Pequenos e médios negócios no centro
Na avaliação da FecomercioSP, a ampliação das exigências demanda atenção especial aos pequenos e médios negócios. Essas empresas enfrentam limitações financeiras, técnicas e operacionais.
Por isso, a FecomercioSP defende uma regulação proporcional ao risco. A entidade representa 1,8 milhão de empresários no Estado de São Paulo. Segundo a Federação, o marco deve proteger a segurança digital sem criar custos desnecessários para negócios de menor exposição.
A entidade apresentou dez diretrizes para contribuir com o debate. Entre elas estão harmonização regulatória, segurança jurídica e prevenção de punições duplicadas. A FecomercioSP também defende que a ocorrência de um ataque não gere culpa automática. Para a entidade, a análise deve considerar diligência, governança e capacidade de resposta.
Em 2025, a Federação propôs ao Gabinete de Segurança Institucional uma linha de crédito para Micro, Pequenas e Médias Empresas. A iniciativa poderia apoiar investimentos em sistemas, capacitação e proteção digital. O financiamento teria condições diferenciadas e possível participação do Banco Interamericano de Desenvolvimento.
Durante a audiência no Senado, Rony Vainzof alertou para a velocidade alcançada pelos criminosos com o uso da Inteligência Artificial. Vainzof é advisor em Regulação Digital da FecomercioSP e integra o Comitê Nacional de Cibersegurança. “Criminosos que levavam quase 25 dias para explorar vulnerabilidades, hoje, com a IA, podem levar minutos.”
Para ele, o Brasil combina rápida adoção tecnológica com baixa maturidade em segurança. Esse desequilíbrio aumenta a exposição de empresas, governos e consumidores.
Portanto, o desafio será elevar a proteção sem transformar a cibersegurança em uma barreira para os pequenos negócios. A proporcionalidade será central nessa discussão.
Quem coordena?
O Brasil já possui diferentes órgãos com competências relacionadas à proteção digital. Porém, não existe uma autoridade nacional com as atribuições transversais previstas no projeto.
Banco Central, Anatel, CVM, ANPD, Aneel e ANS estabelecem regras para seus respectivos setores. Outros órgãos também atuam na prevenção e resposta aos ataques. Essa divisão pode gerar diferenças de conceitos, prazos e procedimentos. Uma empresa ainda pode precisar comunicar o mesmo incidente a mais de uma autoridade.
Carolina Vargas Pegas Bonfante, advogada sênior do TozziniFreire, destaca os desafios provocados por essa fragmentação. “Embora haja uma base principiológica comum, a coexistência de normas pode trazer diferenças relevantes de prazos, conceitos e obrigações.”
Segundo ela, as empresas precisam analisar as particularidades de cada setor. Também devem buscar o padrão mais protetivo quando houver regras diferentes.
Nesse contexto, o projeto prevê a atuação de uma autoridade nacional de cibersegurança. Entretanto, o texto determina que o órgão responsável seja designado posteriormente por regulamento.
Autoridade central
O artigo 4º atribui à autoridade funções de regulamentação, fiscalização, auditoria e instrução de processos administrativos.
Já o artigo 5º determina que ela estabeleça e revise padrões mínimos de cibersegurança. Esses requisitos deverão alcançar controles técnicos, organizacionais e processuais. Além disso, a autoridade definirá critérios para o reporte de incidentes relevantes. Ela também estabelecerá prazos, informações necessárias e mecanismos seguros de comunicação.
O artigo 12 determina a comunicação dos incidentes pelos participantes públicos do programa. As regras também alcançarão as empresas privadas que aderirem à iniciativa. A autoridade deverá preservar o sigilo das informações sensíveis e estratégicas. Essa proteção envolve vulnerabilidades, registros técnicos e detalhes sobre a arquitetura dos sistemas.
O projeto também prevê monitoramento contínuo do programa. Conforme o artigo 22, indicadores, metas, resultados e ajustes necessários deverão ser publicados periodicamente.
Já o artigo 23 inclui o tempo de resposta e recuperação entre os critérios de avaliação. O objetivo é medir o restabelecimento das operações. Para a FecomercioSP, essa coordenação não deve substituir os reguladores existentes. A autoridade deve harmonizar procedimentos e reduzir exigências conflitantes ou repetidas.
A entidade também defende um canal único para registrar incidentes durante crises. Assim, empresas saberiam quais informações apresentar, dentro de quais prazos.
E o consumidor?
Uma coordenação nacional pode melhorar a proteção do consumidor, mesmo sem criar novos direitos individuais. O principal efeito esperado será aumentar a resiliência dos serviços. Quanto mais rápida for a resposta, menor poderá ser a interrupção. Essa agilidade também pode limitar a exposição de dados e os prejuízos financeiros.
A integração entre órgãos e empresas ainda pode favorecer alertas mais rápidos. Com informações compartilhadas, outras instituições conseguem bloquear ataques semelhantes. Entretanto, o Marco Legal da Cibersegurança não eliminará os golpes digitais. Também não substituirá investimentos empresariais, fiscalização, educação digital e atendimento adequado às vítimas.
A efetividade do marco dependerá da aplicação prática das diretrizes e da capacidade operacional das instituições. Esse é um dos alertas apresentados pelo Observatório Softex. “A cibersegurança deixou de ser uma agenda exclusivamente técnica para se tornar uma dimensão estratégica da soberania digital e da capacidade do Estado. O Brasil avançou na formulação de marcos importantes, mas o próximo passo será transformar diretrizes em capacidade operacional, coordenação federativa e resiliência sistêmica”, avalia Rayanny Nunes, coordenadora de Inteligência e Design de Soluções da Softex.
Próximos passos
O PL 4.752/2025 continua em análise na Comissão de Ciência e Tecnologia do Senado. O relator Hermes Klann deverá apresentar seu parecer. Como a comissão possui decisão terminativa, o texto poderá avançar sem votação no Plenário do Senado. Isso ocorrerá se não houver recurso.
Depois, a proposta ainda deverá passar pela Câmara dos Deputados. Caso os deputados alterem o conteúdo, o projeto retornará ao Senado. Portanto, o debate está longe de terminar. Pontos como custos, fiscalização, competências e participação privada ainda podem mudar durante a tramitação.
Para as empresas, o momento exige acompanhamento da tramitação e avaliação dos possíveis impactos. Para o consumidor, a discussão envolve a segurança dos serviços que sustentam sua vida digital. O desafio será impedir que ela permaneça como a principal porta de entrada para os criminosos.
