A publicação, em sequência, das Resoluções CNSIC nº 20 e 21/2026 avança na implementação da Política Nacional de Segurança de Infraestruturas Críticas ao estruturar duas dimensões complementares: a resposta a ameaças e incidentes e o planejamento preventivo dos setores prioritários. Enquanto a Resolução nº 20 organiza o monitoramento, a classificação de impacto e o escalonamento das instâncias de segurança, a Resolução nº 21 estabelece conteúdo mínimo para os planos setoriais, com foco em riscos, resiliência, interdependências e coordenação. Para operadores de serviços essenciais, a leitura conjunta dos atos reforça a necessidade de integrar gestão de riscos, continuidade, resposta a incidentes e relacionamento regulatório.
Duas resoluções e uma mesma arquitetura de governança
A Política Nacional de Segurança de Infraestruturas Críticas, aprovada pelo Decreto nº 9.573/2018, define as bases para a proteção de instalações, serviços, bens e sistemas cuja interrupção ou destruição possa produzir impactos relevantes ao Estado e à sociedade. Esse arcabouço foi complementado pela Estratégia Nacional de Segurança de Infraestruturas Críticas, aprovada pelo Decreto nº 10.569/2020, e pelo Plano Nacional de Segurança de Infraestruturas Críticas (PLANSIC), aprovado pelo Decreto nº 11.200/2022, que prevê a elaboração de planos específicos para os setores considerados prioritários.
Nesse contexto, as Resoluções CNSIC nº 20 e 21/2026 não tratam de temas isolados. A primeira estrutura a atuação diante de um evento concreto, definindo as instâncias responsáveis pelo monitoramento, avaliação e escalonamento da resposta. A segunda organiza a preparação anterior ao incidente, estabelecendo parâmetros comuns para os planos setoriais de segurança. A combinação dos dois atos aproxima, em uma mesma política pública, as etapas de prevenção, preparação, resposta e recuperação.
Resposta a incidentes: monitoramento, classificação e escalonamento
A Resolução CNSIC nº 20/2026 atribui à ABIN a responsabilidade pelo monitoramento das ameaças às infraestruturas críticas e define como instâncias de acionamento o operador da infraestrutura, a agência reguladora setorial ou equivalente e o ministério responsável pelo setor. Também delimita níveis de segurança – patrimonial, pública local, pública federal e defesa nacional – e níveis de impacto classificados como baixo, médio, elevado e excepcional, que orientam a progressão da resposta conforme a gravidade e o alcance da ameaça.
A classificação inicial cabe ao operador, a quem compete identificar o incidente ou a ameaça, avaliar o nível de impacto, adotar medidas de controle de segurança patrimonial e realizar os acionamentos cabíveis. A agência reguladora acompanha o evento e pode manter ou alterar a classificação informada, enquanto o ministério setorial avalia a necessidade de acionar estruturas de segurança pública ou, em situações excepcionais, subsidiar o emprego das Forças Armadas por meio do Ministério da Defesa. O desenho institucional, portanto, exige que a decisão de escalonamento seja documentada e possa ser revista à medida que novas informações surjam durante a crise.
Planejamento setorial: gestão de riscos, resiliência e interdependências
A Resolução CNSIC nº 21/2026 complementa esse fluxo ao estabelecer orientações e conteúdo mínimo para os planos setoriais de segurança previstos no PLANSIC. A norma alcança 14 setores prioritários: abastecimento urbano de águas, barragens, biossegurança e bioproteção, defesa, energia elétrica, finanças, governo digital, petróleo, gás natural e biocombustíveis, radiodifusão, serviços postais, telecomunicações e transportes aéreo, aquaviário e terrestre.
Os planos devem priorizar ações relacionadas à gestão de riscos, resiliência, interdependências, integração interinstitucional e articulação entre os setores público e privado, além de definir objetivos, metas, responsabilidades e mecanismos de compartilhamento de informações e coordenação. Caberá aos ministérios responsáveis elaborar e submeter os respectivos planos ao CNSIC previamente à publicação. Os documentos terão vigência de quatro anos, renovável por igual período, e haverá reporte anual sobre o cumprimento de metas até 31 de março do ano subsequente. A norma também prevê mecanismos de coordenação e cooperação com as agências reguladoras e alinhamento com a política nacional de segurança cibernética.
Reflexos para operadores privados e coordenação multirregulatória
Os efeitos das duas resoluções sobre o setor privado não são idênticos. A Resolução nº 20/2026 atribui diretamente ao operador papel na identificação, classificação e comunicação do incidente dentro da cadeia de acionamento. Já a Resolução nº 21/2026 disciplina, de forma imediata, a elaboração dos planos pelos ministérios responsáveis e a coordenação institucional associada. Ela não deve ser interpretada, por si só, como criação automática e uniforme de todas as medidas previstas nos planos para cada empresa privada; exigências específicas poderão decorrer dos próprios planos, de atos regulatórios, contratos ou outros instrumentos aplicáveis a cada setor.
Em termos práticos, operadores de infraestruturas críticas devem acompanhar a elaboração dos planos setoriais e avaliar a aderência de suas estruturas de gestão de riscos, continuidade de negócios, recuperação de desastres e resposta a incidentes. Também será necessário coordenar essa arquitetura com obrigações já existentes. Um mesmo evento pode demandar interação com a agência reguladora, instâncias de segurança pública e, quando envolver dados pessoais e puder acarretar risco ou dano relevante, comunicação à ANPD e aos titulares nos termos da regulamentação aplicável. A sensibilidade das informações operacionais e de vulnerabilidade recomenda, ainda, que relatórios e comunicações sejam segregados conforme finalidade, destinatário e necessidade de conhecimento.
Em síntese, as Resoluções CNSIC nº 20 e 21/2026 devem ser compreendidas como partes complementares de uma mesma evolução regulatória: uma organiza a resposta a ameaças concretas; a outra estrutura o planejamento e a resiliência dos setores prioritários. Para organizações que operem ou suportem serviços essenciais, o principal desafio será integrar esses novos fluxos à governança já existente, evitando sobreposições, lacunas de responsabilidade e comunicações inconsistentes durante situações de crise.