Provedores de internet de pequeno porte (PPPs) têm até 27 de agosto de 2026 para adequar a configuração de autenticação dos equipamentos fornecidos aos assinantes, conforme Despacho Decisório nº 5/2026 da Anatel, que detalha o cumprimento do artigo 8º do Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações (R-Ciber), segundo o artigo técnico da Solustic Tecnologia. O alerta ao mercado foi publicado em 16 de julho de 2026 por Rodrigo Melo Meireles, CTO da companhia, e a exigência abrange todas as prestadoras de serviços de telecomunicações de interesse coletivo, sem exceção de porte, incluindo a base instalada de equipamentos em operação, conforme o documento.
Três camadas normativas e prazos crescentes, segundo a Solustic
Segundo a Solustic Tecnologia, o Brasil possui três camadas normativas empilhadas: a setorial (R-Ciber, pela Anatel), a nacional (PNCiber, instituída pelo Decreto nº 11.856/2023) e a de governança (CNCiber, que acompanha a evolução da política). De acordo com o artigo, para o provedor de internet, a leitura correta da hierarquia é: a PNCiber dá a direção, o CNCiber conduz a evolução e o R-Ciber é o que multa. O artigo alerta ainda que o anteprojeto da Agência Nacional de Cibersegurança (ANCiber) não foi extinto – há grupo de trabalho no CNCiber revisando o tema, o que pode criar um segundo regulador sobre o setor, conforme a análise da empresa.
Obrigações ampliadas para infraestrutura crítica, aponta o artigo
Prestadoras não classificadas como PPP e PPPs detentoras de infraestrutura crítica – como operadoras de cabo submarino internacional, SMP com rede própria e operadoras de atacado – respondem também por obrigações adicionais, de acordo com a Solustic. Essas obrigações incluem política de segurança cibernética formalizada (arts. 7º e 14), notificação de incidentes à Anatel (art. 9º), ciclos periódicos de avaliação de vulnerabilidades e envio de informações sobre infraestruturas críticas, conforme o artigo. A Portaria Anatel/SCO nº 2899/2024 já publicou rol nominal de prestadoras sujeitas a esses controles, e a lista foi expandida, segundo o documento.
Cadeia de fornecedores e notificação cruzada com ANPD, segundo a Solustic
Dois pontos da Resolução 767/2024 merecem atenção, conforme a Solustic: a notificação cruzada com a ANPD – se o provedor comunicar um incidente à ANPD por dever da LGPD, a Anatel também precisa ser notificada, com prazos independentes; e a exigência de que a política de segurança contemple aspectos de cibersegurança na contratação de serviços em nuvem (art. 14, VIII-A), de acordo com o artigo. O artigo destaca que contratar terceiros não transfere responsabilidade: o provedor responde pela segurança e pela adequação da solução contratada, segundo a Solustic.
MSPs entram no escopo de compliance, alerta a empresa
O MSP não é destinatário direto do R-Ciber por não ter outorga, mas é o fornecedor cuja capacidade e práticas o provedor é obrigado a avaliar e documentar, conforme a Solustic. Para o ISP, contratar MSP sem due diligence documentada é não conformidade; para o MSP, aderência ao R-Ciber deixou de ser diferencial de marketing e virou critério de habilitação comercial, segundo o artigo.
Cinco pontos onde provedores travam e recomendações, segundo a Solustic
Na prática, a adequação morre em cinco pontos, segundo a Solustic Tecnologia: frota de CPE herdada sem ACS/TR-069 funcional; ausência de evidência auditável; borda exposta (BNG/CGNAT com portas de administração alcançáveis); detecção zero (sem NetFlow/IPFIX); e nenhum procedimento de notificação de incidentes, de acordo com o artigo. O artigo recomenda que provedores determinem seu enquadramento, inventariem a frota de CPE, escrevam a política de segurança, definam o fluxo de notificação de incidente e fechem a borda nos próximos 30 dias, conforme a Solustic.
