Segurança Cibernética

Conforme estabelecido pelo Decreto nº 9.573, de 2018, que aprova a política nacional de segurança de infraestruturas críticas, o Decreto nº 9.637, de 2018, que institui a política nacional de segurança da informação e o Decreto nº 10.222, de 2020, que aprova a estratégia nacional de segurança cibernética, o Governo Federal visou incentivar a adoção de práticas mais robustas para minimizar o risco de ataques cibernéticos nas diversas esferas da administração pública.

Trazendo essa temática para o setor elétrico brasileiro, o Operador Nacional do Sistema Elétrico (ONS), em 10 de dezembro de 2019, encaminhou à ANEEL proposta de Submódulo dos Procedimentos de Rede, com objetivo de estabelecer controles de segurança cibernética a serem implementados no Ambiente Regulado Cibernético (ARCiber), composto pelos centros de operação dos agentes, pelos equipamentos que participam da infraestrutura de envio ou recebimento de dados e voz para ambientes operativos do ONS ou para centros de operação de outros agentes e pelo ambiente operativo do ONS.

Dessa forma, a ANEEL, visando uma melhor compreensão do tema, realizou um seminário em 19 de agosto de 2020, em ambiente virtual, com foco em segurança cibernética. Na ocasião foram convidados os agentes representantes da cadeia produtiva do setor elétrico (geração, transmissão e distribuição), além de órgãos reguladores e instituições interessadas.

Posterirormente, em 2 de março de 2021, foi publicada no Diário Oficial da União a Resolução nº 1 do Conselho Nacional de Política Energética (“CNPE”), instituindo Grupo de Trabalho (“GT”), com a participação da ANEEL, do Ministério de Minas e Energia (“MME”), do Gabinete de Segurança Institucional (“GSI”), da Empresa de Pesquisa Energética (“EPE”) e da Câmara de Comercialização de Energia Elétrica (“CCEE”), para estabelecer diretrizes sobre segurança cibernética no Setor Elétrico que abordem aspectos relativos à prevenção, tratamento, resposta a incidentes e resiliência sistêmica.

Por ocasião da 7ª Reunião Pública Ordinária da Diretoria, realizada em 9 de março de 2021, foi determinado que as antigas Superintendências de Fiscalização dos Serviços de Eletricidade (SFE) e de Fiscalização dos Serviços de Geração (SFG) iniciassem fiscalização nos centros de operação dos agentes da rede de operação do ONS, para verificação do cumprimento do requisito de segurança cibernética estabelecido nos Procedimentos de Rede.

Nesse âmbito foi instituída a Resolução nº 24, de 2021 do CNPE que estabeleceu que cabe à ANEEL coordenar as ações para estabelecer estruturas de coordenação setorial para atuação em incidentes cibernéticos no setor elétrico. Sendo assim, a ANEEL, com este objetivo, instituiu a resolução normativa ANEEL nº 964, de 10 de dezembro de 2021, que dispõe sobre a política de segurança cibernética a ser adotada pelos agentes do setor de energia elétrica.

De acordo com o normativo ANEEL nº 964, os concessionários, os permissionários e os autorizados de serviços ou instalações de energia elétrica e as entidades responsáveis pela operação do sistema, pela comercialização de energia elétrica e inclusive pela gestão de recursos provenientes de encargos setoriais deverão elaborar uma Política de Segurança Cibernética para prevenir, mitigar e recuperar incidentes cibernéticos em sua rede de informações críticas ou na rede de instalação de modo que os incidentes não afetem a sua operação, dentre outras finalidades.

Incidente Cibernético

Ocorrência que comprometa, real ou potencialmente, a disponibilidade, a integridade, a confidencialidade ou a autenticidade de sistema de informação ou das informações processadas, armazenadas ou transmitidas por esse sistema, que poderá também ser caracterizada pela tentativa de exploração de vulnerabilidade de sistema de informação que constitua violação de norma, política de segurança, procedimento de segurança ou política de uso.

Incidente Cibernético de Maior Impacto

É estabelecido com base na classificação de severidade que consta do processo de gestão de riscos de segurança da informação do agente.

Informações Críticas

São aquelas com potencial de impacto negativo na prestação de serviços à população, em caso de comprometimento.

Rede de Informação

Rede corporativa de dados da empresa, composta por toda infraestrutura de telecomunicações própria e de terceiros destinada aos ativos de Tecnologia da Informação.

Notificação de Acidentes Cibernéticos

Os agentes devem notificar a equipe de coordenação setorial designada dos incidentes cibernéticos de maior impacto que afetem de maneira substancial a segurança das instalações, a operação ou os serviços aos usuários ou de dados.
A notificação do incidente cibernético de maior impacto deve incluir análise da causa e do impacto, bem como ações de mitigação adotadas, conforme o caso.

A notificação do incidente cibernético de maior impacto não exclui o atendimento de outras obrigações de comunicação previstas em leis, normas e regulamentos.

A notificação deve ser realizada assim que o agente tiver ciência do incidente e de sua dimensão.

Acesse o menu "Centrais de Conteúdo", "Manuais, Modelos e Instruções", "Segurança" para saber como realizar a comunicação de registros.