Cibersegurança no Setor Energético: resolução nº 964 da ANEEL e novas regras aplicáveis

Em 1º de julho de 2022, entrou em vigor a Resolução Normativa nº 964 da Agência Nacional de Energia Elétrica (ANEEL). Aprovada em 14 de dezembro de 2021, a resolução dispõe sobre a política de segurança cibernética a ser adotada pelos agentes do setor: concessionários, permissionários e demais autorizados ou responsáveis pela operação de sistemas ou instalações de energia elétrica, pela sua comercialização ou pela gestão de recursos provenientes de encargos setoriais.

Na resolução, a ANEEL dispõe sobre as diretrizes de cibersegurança a serem seguidas, tais como transparência, adoção de boas práticas, e atuação dos agentes na identificação, no diagnóstico e na resposta a incidentes cibernéticos. Com a entrada em vigor, os agentes do setor devem adotar e revisar periodicamente uma Política de Segurança Cibernética, a qual deve ser disponibilizada à ANEEL, e cujo conteúdo deve incluir, entre outros:

• Classificação dos dados e das informações detidas conforme sua relevância;

• Medidas técnicas que garantam a segurança de informações críticas, como sua rastreabilidade;

• Procedimentos e controles voltados à redução de vulnerabilidades cibernéticas; e

• Mecanismos de prevenção, mitigação e recuperação de incidentes cibernéticos, incluindo medidas que impeçam impactos operacionais.

A conformidade da Política de Segurança Cibernética também leva em conta fatores como a relevância da instalação, a complexidade das atividades e dos sistemas envolvidos e a sensibilidade dos dados e das informações que estejam sob responsabilidade do agente.

Na hipótese de um incidente cibernético, os agentes devem notificar a equipe de coordenação setorial e adotar medidas conjuntas para remediar seus efeitos. Na notificação, os agentes do setor devem descrever a causa do incidente e os motivos, bem como os impactos e as ações de mitigação adotadas. A notificação deve ser feita assim que o agente tomar conhecimento do incidente e de sua dimensão.

Além da notificação à coordenação setorial, os agentes devem adotar procedimentos de compartilhamento de informações para cooperarem entre si. A troca de informações pode ser feita de forma confidencial, não incluindo informações críticas, e deve incluir empresas para além do mesmo grupo societário. Essa medida é particularmente relevante para o setor elétrico dado que os diversos sistemas e instalações são interligados.

Por fim, a resolução também engloba a governança dos agentes, obrigando a designação de um responsável pela aplicação da Política de Segurança Cibernética e exigindo sua disseminação aos profissionais e colaboradores.

• Para ler a resolução da ANEEL, clique aqui.

Este conteúdo faz parte do Informativo de Proteção de Dados. Clique aqui para ler mais destaques.