Uma hora para avisar a ANSN: a minuta de segurança cibernética nuclear e as duas remissões que precisam de conserto

A Autoridade Nacional de Segurança Nuclear (ANSN) publicou no Diário Oficial de 1º de setembro de 2026 (edição 165, Seção 3, página 105) o Edital nº 3/2026, que submete a consulta pública a proposta de ato normativo com os princípios e requisitos de segurança cibernética de instalações nucleares e radiativas. O prazo é de 90 dias contados a partir de 10 de setembro, e a plataforma Brasil Participativo, canal exclusivo de contribuição, registra a janela até 9 de dezembro de 2026.

O processo é o SEI nº 01341.004144/2020-99 — aberto em 2020, antes de a ANSN existir, quando a função reguladora ainda estava na CNEN. As contribuições serão analisadas pela Comissão de Estudos constituída pela Portaria CNEN/DRS nº 39, de 2022. É a primeira norma da autoridade sobre o tema, e chega com desenho completo: quem é obrigado, com que estrutura e em quanto tempo avisar quando algo der errado.

Em 23 de setembro, duas semanas depois da abertura, a minuta — publicada na plataforma em 299 dispositivos, um por parágrafo — somava 37 comentários.

Quem está no perímetro

O artigo 4º aplica a resolução ao licenciamento de instalações que tenham ao menos um Ativo Digital Crítico (ADC): usinas nucleoelétricas; instalações de enriquecimento de urânio e fabricação de combustível; reatores de pesquisa; e instalações radiativas do grupo 1 e dos subgrupos 2A e 2B com Nível de Proteção Física A, segundo a Norma ANSN 2.06.

ADC é o ativo digital cujo comprometimento pode causar consequências inaceitáveis a funções como segurança nuclear e radiológica, instrumentação e controle, proteção física, controle de acesso a áreas controladas e a salas com fontes, resposta a emergência, controle de dose, monitoramento ambiental, contabilidade de material nuclear e inventário de fontes.

Para a área da saúde, o recorte está no artigo 26: a instalação médica deve avaliar se os sistemas computadorizados de proteção física das salas de radioterapia — controle de acesso, vigilância e alarme — se enquadram como ADC. E, se concluir que não há ADC, não basta concluir: o § 3º exige que uma justificativa de isenção seja encaminhada à ANSN.

Cinco níveis e uma regra de fluxo de dados

Para instalações nucleares, o texto classifica os ativos em cinco níveis de segurança, do 1 (mais protegido) ao 5, além de um nível básico comum a todos. O Anexo II faz o enquadramento: proteção do reator e remoção de calor no nível 1; controle de processos críticos, resposta a emergência e proteção física no nível 2; inventário de material e monitoração radiológica em tempo real no nível 3; ordens de serviço e manutenção no nível 4; TI corporativa no nível 5.

Os níveis têm consequência de arquitetura. No nível 1, não é permitido fluxo de dados de um sistema de nível inferior para o de nível 1 — só no sentido contrário —, nenhuma manutenção remota é admitida e vale a regra das duas pessoas. No nível 2, manutenção remota também é vedada e o fluxo para o nível 3 é unidirecional. Nos níveis 3 e 4, acesso à internet é proibido; manutenção remota é possível, controlada e prevista em contrato.

O Plano de Segurança Cibernética (PSCiber) é o documento central: aprovado pela diretoria colegiada da organização (nas radiativas, pela autoridade máxima), de acesso restrito e revisto no máximo a cada dois anos quando houver ativos de nível 1 ou 2. A cadeia de suprimentos também entra: fornecedores de ADC precisam demonstrar que as vulnerabilidades foram consideradas no projeto e que a integridade do ativo foi preservada na fabricação e na entrega (arts. 24 e 25).

O relógio da notificação

O Capítulo V é, provavelmente, o que mais muda a rotina. Todo incidente cibernético que afete ADC deve ser notificado à ANSN e classificado como crítico, alto, médio ou baixo. Os prazos contam da descoberta:

• 1 hora, se o incidente envolver declaração de emergência com impacto fora da instalação (art. 33);
• 8 horas, se o impacto for crítico ou alto (art. 34);
• 3 dias úteis nos demais casos (art. 35).

Depois vem o relatório de evento: 30 dias para os casos graves e 60 dias para os demais, com causa-raiz, consequências, ações corretivas e lições aprendidas.

Duas regras de enquadramento merecem leitura atenta. Ativos de nível 1 ou 2 geram, obrigatoriamente, incidente crítico ou alto — ou seja, prazo de 8 horas. E, em instalação radiativa médica, incidente em equipamento que emita radiação em indivíduo do público é sempre crítico. Para um serviço de radioterapia, isso é um procedimento de plantão, não uma formalidade.

As duas remissões que não fecham

Lendo o texto dispositivo a dispositivo, encontramos dois pontos em que a minuta aponta para o lugar errado — e ambos tocam em quem é obrigado a quê.

Primeiro: o artigo 7º obriga a manter o Programa de Segurança Cibernética as instalações que tenham ADC "dos tipos descritos nos incisos I a VI do artigo 3º § 5º". O artigo 3º, na versão publicada, não tem parágrafos: é um caput com oito incisos, e as funções críticas que definem o ADC estão nas alíneas "a" a "k" do inciso V. Como é esse artigo que dispara a obrigação central da norma, vale pedir que ela seja corrigida.

Segundo: o artigo 5º afasta das instalações radiativas o Capítulo III, que é onde está a obrigação de manter uma Equipe de Tratamento e Resposta a Incidentes Cibernéticos (ETIR); o Capítulo IV, próprio das radiativas, exige um especialista, interno ou contratado, mas não uma ETIR. O Anexo IV, porém, resume os requisitos marcando "Sim" para ETIR também nas instalações radiativas. Artigo e anexo dizem coisas diferentes, e é o tipo de divergência que vira dúvida na inspeção.

O mesmo Anexo IV traz uma informação útil: instalações radiativas podem terceirizar a elaboração do PSCiber; as nucleares, não.

Prazo de adequação e o que contribuir

Instalações já em operação terão dois anos para se adequar (art. 44); as que estão em projeto ou construção precisam estar conformes antes de operar. Onde um requisito não puder ser atendido, o artigo 43 admite solução alternativa submetida à ANSN — sem prazo de resposta definido.

Contribuições que tendem a render mais: pedir a correção das duas remissões; pedir prazo de resposta para soluções alternativas e para justificativas de isenção; e, para serviços de saúde, detalhar o custo de um plano de plantão compatível com notificação em 8 horas. A janela é longa, e janelas longas costumam acumular contribuições no fim, quando a minuta já tem pouco espaço para mudar.

Acompanhar a consulta, a versão consolidada e a resolução final de uma autoridade que ainda está construindo o seu estoque normativo é o que o procTracker automatiza — para que a regra que vai definir o seu plano de resposta a incidentes não seja publicada sem a sua leitura.