Uma distribuidora de médio porte no Rio recebeu um e-mail de cobrança falso, teve o servidor de arquivos criptografado numa madrugada de terça e passou três dias operando no papel. Nada de excepcional — em junho de 2026, cada organização brasileira sofreu em média 4.001 tentativas de ataque por semana, um índice 44% maior que no mesmo mês de 2025, segundo levantamento divulgado pelo Sindpd. O que mudou é o depois: o prejuízo de um incidente desses era operacional e reputacional; com o Marco Legal de Cibersegurança, em tramitação no Senado, ele passa a ser também jurídico. E não é assunto só de banco e usina — a conta chega na pequena e média empresa por dois caminhos: a regra que já está valendo e o contrato do cliente grande.
O que é o Marco Legal de Cibersegurança
Trata-se do PL 4.752/2025, apresentado em setembro de 2025 pelo senador Esperidião Amin (PP/SC) e hoje em análise na Comissão de Ciência, Tecnologia, Inovação, Comunicação e Informática (CCT) do Senado. O texto institui o Marco Legal da Cibersegurança, cria o Programa Nacional de Segurança e Resiliência Digital e altera a Lei 13.756/2018. Uma audiência pública em 30 de junho de 2026 reuniu governo, academia e setor produtivo para instruir a proposta.
A peça central é a criação de uma Autoridade Nacional de Cibersegurança, com competência para definir padrões mínimos de proteção, auditar sistemas, fiscalizar entidades públicas e privadas, classificar fornecedores por nível de risco e aplicar sanções — com multas que chegam a R$ 50 milhões por infração. Os setores citados como infraestrutura crítica são energia, água e saneamento, transporte, telecomunicações, saúde, indústria e serviços financeiros.
O projeto não nasce do zero: ele se apoia na Política Nacional de Cibersegurança (PNCiber), instituída pelo Decreto 11.856/2023. O Marco Legal é a etapa seguinte — transformar diretriz em obrigação com fiscal e multa.
O que já é obrigatório hoje — e quase ninguém cumpre
Aqui está o erro mais comum que vemos: esperar a lei sair para agir. Boa parte do que o Marco Legal vai cobrar já é exigível pela LGPD. A Resolução CD/ANPD nº 15/2024, em vigor desde abril de 2024, estabeleceu regras concretas de comunicação de incidentes:
- O controlador tem três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais, para comunicar a ANPD e os titulares — quando há risco ou dano relevante (dados sensíveis, financeiros, de autenticação ou de menores, ou tratamento em larga escala).
- A comunicação é feita por formulário eletrônico da ANPD, com prazo de vinte dias úteis para complementar as informações de forma fundamentada.
- O registro do incidente deve ser mantido por no mínimo cinco anos — inclusive dos incidentes que não foram comunicados.
Leia de novo o último item. Se sua empresa nunca registrou um incidente porque “não aconteceu nada grave”, ela não está em conformidade — está sem evidência. E evidência é exatamente o que um fiscal pede primeiro.
Por que isso mira a PME, e não só a infraestrutura crítica
Nenhuma PME de contabilidade vai ser classificada como infraestrutura crítica. Mas ela atende clínicas, escritórios e indústrias que serão. Quando a Autoridade passar a classificar fornecedores por nível de risco, essa exigência desce a cadeia inteira em forma de cláusula contratual e questionário de due diligence. É o mesmo movimento que a LGPD já provocou: o cliente grande não fiscaliza você, ele simplesmente exige o comprovante — ou troca de fornecedor.
Some a isso o fato de que as PMEs são o alvo preferido justamente por serem as menos protegidas: grandes corporações destinam cifras milionárias à cibersegurança, enquanto a média empresa opera com uma fração disso. O atacante não escolhe pelo tamanho do prêmio; escolhe pela facilidade da porta.
Pense no alvará do corpo de bombeiros. Ninguém abre um restaurante sem extintor, saída de emergência e vistoria — não porque o dono ama burocracia, mas porque sem o papel não se opera. Cibersegurança está trilhando esse mesmo caminho: de recomendação técnica para condição de funcionamento.
Como preparar sua empresa
1. Faça o inventário de ativos e de acessos
Liste servidores, endpoints, sistemas em nuvem e — principalmente — quem acessa o quê. Revogue contas de ex-funcionários, elimine senhas compartilhadas e aplique MFA em e-mail, VPN e ERP. Sem esse mapa, qualquer plano vira ficção.
2. Escreva um plano de resposta a incidentes de verdade
Uma página basta para começar: quem decide desligar o quê, quem aciona o jurídico, quem fala com o cliente, e o relógio de três dias úteis da ANPD começando a correr. Plano que ninguém leu no dia calmo não funciona na madrugada do ataque.
3. Vá além do antivírus: detecção e resposta
Antivírus barra o que já é conhecido. O que derruba PME hoje é o movimento lateral silencioso. EDR com monitoramento contínuo — ou um serviço gerenciado de detecção e resposta — encurta o tempo entre a invasão e a contenção, que é a variável que define o tamanho do estrago.
4. Backup imutável e teste de restauração
Adote a regra 3-2-1 com pelo menos uma cópia imutável e offline. E teste a restauração periodicamente: backup que nunca foi restaurado é uma hipótese, não uma garantia.
5. Registre tudo
Crie o registro de incidentes exigido pela Resolução 15/2024, guarde logs e documente decisões. Em fiscalização, quem demonstra processo tem tratamento diferente de quem só apresenta boas intenções — e frameworks como CIS Controls e ISO/IEC 27001 já dão a estrutura pronta.
O que esperar dos próximos meses
O PL 4.752/2025 ainda está em tramitação e o texto pode mudar até a votação. Mas a direção independe da versão aprovada: padrões mínimos obrigatórios, notificação de incidentes relevantes, responsabilização da cadeia de fornecedores e uma autoridade com poder de multar. Quem se organizar agora vai tratar a lei como formalidade; quem esperar vai tratá-la como emergência — e emergência custa caro.
🔐 Sua empresa consegue provar hoje o que fez no último incidente? Fale com os especialistas da Trinity TI e monte o inventário, o plano de resposta e o registro de incidentes antes que a exigência chegue pelo contrato do seu maior cliente.
