REN - RESOLUÇÃO NORMATIVA 964/2021
Tipo de documento: voto
Assunto: Fixação
Situação: NÃO CONSTA REVOGAÇÃO EXPRESSA
Publicação: 2021-12-22
Autor: ANEEL

47ª Reunião Pública Ordinária da Diretoria
Brasília, 14/12/2021
VOTO
PROCESSO: 48500.000027/2020-40.
INTERESSADO: Concessionários, Permissionários e Autorizados de serviços ou instalações de energia
elétrica; e as entidades responsáveis pela operação do sistema, pela comercialização de energia elétrica
ou pela gestão de recursos provenientes de encargos setoriais.
RELATOR: Diretor Sandoval Feitosa.
RESPONSÁVEL: SUPERINTENDÊNCIA DE REGULAÇÃO DOS SERVIÇOS DE TRANSMISSÃO – SRT,
SUPERINTENDÊNCIA DE REGULAÇÃO DOS SERVIÇOS DE DISTRIBUIÇÃO – SRD, SUPERINTENDÊNCIA DE
REGULAÇÃO DOS SERVIÇOS DE GERAÇÃO – SRG, SUPERINTENDÊNCIA DE FISCALIZAÇÃO DOS SERVIÇOS DE
ELETRICIDADE – SFE, SUPERINTENDÊNCIA DE FISCALIZAÇÃO DOS SERVIÇOS DE GERAÇÃO – SFG e
SUPERINTENDÊNCIA DE GESTÃO TÉCNICA DA INFORMAÇÃO - SGI.
ASSUNTO: Fechamento da segunda fase da Consulta Pública nº 007/2021, com vista a colher subsídios
para a regulamentação sobre segurança cibernética no setor elétrico brasileiro.
I. R E L A T Ó R I O
O Governo Federal, por meio dos Decretos nº 9.6371, de 2018, e nº 10.2222, de 2020,
estabeleceu a necessidade do aprimoramento contínuo do arcabouço legal e normativo relacionado à
segurança da informação, visando, inclusive, incentivar a adoção de práticas mais robustas para minimizar
o risco de ataques cibernéticos, nas diversas esferas da administração pública.
2. Ao repercutirmos essa temática para o setor elétrico brasileiro, o Operador Nacional do
Sistema Elétrico ("ONS"), em 10 de dezembro de 2019, encaminhou à ANEEL proposta de submódulo dos
Procedimentos de Rede, cujo objetivo era estabelecer os controles de segurança cibernética a serem
implementados no Ambiente Regulado Cibernético ("ARCiber"), composto pelos centros de operação dos
agentes; pelos equipamentos que participam da infraestrutura de envio ou recebimento de dados e voz
1 O Decreto nº 9.637, de 26 de dezembro de 2018, instituiu a Política Nacional de Segurança da Informação (PNSI).
2 O Decreto nº 10.222, de 5 de fevereiro de 2020, aprovou a Estratégia Nacional de Segurança Cibernética.

de 12
para ambientes operativos do ONS ou para centros de operação de outros agentes; e pelo ambiente
operativo do ONS.
3. Em 18 de maio de 2020, por meio da Nota Técnica nº 50/2020-SRT-SGI-SRD-SRG/ANEEL, a
ANEEL decidiu pela abertura da Tomada de Subsídios, com a finalidade de obter contribuições para a
regulamentação associada à segurança cibernética do setor elétrico brasileiro.
4. Em 19 de agosto de 2020, a ANEEL, visando uma melhor compreensão da temática, realizou
seminário, de maneira virtual, sobre segurança cibernética. Na ocasião foram convidados os agentes
representantes de cada setor (geração, transmissão e distribuição), além de órgãos reguladores e
instituições interessadas.
5. Em 09 de outubro de 2020, o Processo foi a mim distribuído de forma antecipada por se
tratar de norma de caráter geral.
6. Em 02 de março de 2021, foi publicado no Diário Oficial da União a Resolução nº 1, de 10
de fevereiro de 2021, pelo Conselho Nacional de Política Energética ("CNPE"), instituindo Grupo de
Trabalho ("GT"), com a participação da ANEEL, do Ministério de Minas e Energia ("MME"), do Gabinete
de Segurança Institucional ("GSI"), da Empresa de Pesquisa Energética ("EPE") e da Câmara de
Comercialização de Energia Elétrica ("CCEE"), para estabelecer diretrizes sobre segurança cibernética no
Setor Elétrico que abordem aspectos relativos à prevenção, tratamento, resposta a incidentes e resiliência
sistêmica.
7. Por ocasião da 7ª Reunião Pública Ordinária, realizada no dia 9 de março de 2021, a
Diretoria Colegiada da ANEEL instaurou a Consulta Pública ("CP") nº 007/2021, por meio de formulário
eletrônico, com período de contribuições de 11 de março a 26 de abril de 2021, com o objetivo de receber
subsídios a respeito do Relatório de Análise de Impacto Regulatório ("AIR") sobre segurança cibernética
no setor elétrico.
8. Em 16 de julho de 2021, mediante o Decreto nº 10.748, o Governo Federal instituiu a Rede
Federal de Gestão de Incidentes Cibernéticos.
9. Após análise das contribuições recebidas no âmbito da CP nº 007/2021, a Diretoria
Colegiada da ANEEL, por ocasião da 32ª Reunião Pública Ordinária, realizada no dia 31 de agosto de 2021,

de 12
instaurou a segunda fase da Consulta Pública nº 007/2021, por meio de formulário eletrônico, com
período de contribuições de 1º de setembro a 15 de outubro de 2021, com o objetivo de receber subsídios
a respeito da regulamentação sobre a segurança cibernética no setor elétrico brasileiro.
10. Em 20 de outubro de 2021, o Conselho Nacional de Política Energética ("CNPE") aprovou a
Resolução CNPE nº 24, que trata das Diretrizes sobre Segurança Cibernética para o setor elétrico.
11. Em 8 de dezembro de 2021, a Superintendência de Regulação dos Serviços de Transmissão
("SRT"), a Superintendência de Regulação dos Serviços de Distribuição ("SRD"), Superintendência de
Regulação dos Serviços de Geração ("SRG"), a Superintendência de Fiscalização dos Serviços de
Eletricidade ("SFE"), a Superintendência de Fiscalização dos Serviços de Geração ("SFG") e a
Superintendência de Gestão Técnica da Informação ("SGI") encaminharam, por meio da Nota Técnica
("NT") nº 111/2021-SRT/SRD/SRG/SFE/SFG/SGI/ANEEL, análise das contribuições recebidas no âmbito da
2ª Fase da CP nº 007/2021, recomendando a emissão de Resolução Normativa sobre a segurança
cibernética no setor elétrico brasileiro.
12. É o Relatório.
II. F U N D A M E N T A Ç Ã O
13. O processo consiste na proposta de emissão de Resolução Normativa que dispõe sobre a
política de segurança cibernética a ser adotada pelos agentes do setor de energia elétrica.
14. A Decisão que encaminho é no sentido de APROVAR a emissão de Resolução Normativa;
pelas razões que apresento a seguir.
15. A segunda fase da CP nº 007/2021 apresentou para discussão da sociedade e atores do
setor elétrico a minuta de regulamento sobre a política de segurança cibernética no setor elétrico
brasileiro. O ato normativo colocado em consulta pública enfrentou o seguinte problema regulatório:
"risco de ocorrência de incidentes de segurança cibernética no setor elétrico". O Objetivo Geral e os
Objetivos Específicos relacionados com a intervenção regulatória pretendida também são apresentados
na sequência.

de 12

CAUSAS RAÍZES PROBLEMA REGULATÓRIO CONSEQUÊNCIAS
Risco de
Atuação de agentes maliciosos e
cibercriminosos
Interrupção no suprimento
ocorrência de

Falta de segurança adequada incidentes de Impossibilidade de realizar
operações técnicas, comerciais
segurança
ou de faturamento
Conectividade dos sistemas
cibernética no Extravio de dados
Carência de recursos humanos
Setor Elétrico
especializados
Figura 1: Diagrama do Problema Regulatório: causas raízes e consequências
Implementar políticas de segurança
Aumento da resiliência dos sistemas
cibernética
do ONS e dos agentes com conexão
Incentivar o compartilhamento de ao Operador
informações
Minimizar os Manutenção da continuidade na
Promover a gestão, a avaliação e o
prestação dos serviços
tratamento dos riscos de segurança impactos dos
cibernética Melhoria na gestão dos incidentes de
incidentes de
Realizar avaliações de maturidade em segurança cibernética e no

segurança cibernética segurança compartilhamento de informações
acerca desses incidentes
Adotar políticas de segmentação
cibernética no
entre redes de operação, corporativa
Melhoria da governança de dados

e outras relevantes, com controle de setor elétrico críticos ou relevantes
acesso à Internet
Utilização de padrões técnicos
Estabelecer procedimentos de mínimos de segurança cibernética
resposta rápida para contenção de
pelos agentes
incidentes cibernéticos
Figura 2: Diagrama de Objetivos e Resultados (Fonte: AIR nº 03, de 2021)
16. Antes de prosseguir, destaco que em 2019, a União Internacional de Telecomunicações
(ITU, na sigla em inglês), órgão da Organização das Nações Unidas (ONU) que coordena esforços na área
de segurança cibernética informou que o Brasil ocupava a 70ª colocação no índice de segurança
cibernética. Essa situação de fragilidade fez com que o país fosse o segundo no mundo que mais tem
sofrido perdas econômicas advindas de ataques cibernéticos. Segundo os dados da ITU, numa medição
de 12 meses entre 2017 e 2018, os prejuízos advindos dos ataques cibernéticos no Brasil ultrapassaram
brasileiros3.
US$ 20 bilhões (mais de R$ 100 bilhões), atingido 70 milhões de
3
Fonte: Agência Senado

de 12
17. No âmbito do setor elétrico, destaco a ocorrência de alguns incidentes cibernéticos na
modalidade de ransoware (ataque que geralmente visa roubar dados ou bloquear máquinas em troca de
resgate) que atingiram as empresas Enel e Energisa em abril 2020, EDP e Light em junho de 2020, e Copel
no 1º semestre de 2021.
18. Com vistas a contornar situações indesejáveis como estas, a minuta de ato normativo
refletiu em seus comandos as soluções decorrentes da Alternativa 3 (regulamentar os itens da política de
segurança cibernética) combinado com alguns aspectos da Alternativa 2 (orientar e divulgar as melhores
práticas para a segurança cibernética para os agentes setoriais), além de comandos originados das
obrigações relacionadas com a Rede Federal de Gestão de Incidentes Cibernéticos, vejamos:
❖ Estabelecer em resolução a necessidade de implementação de políticas de segurança
cibernética compatível com porte da empresa;
❖ Estabelecer em norma a obrigatoriedade de informar à Aneel casos de crise em segurança
cibernética;
❖
Estabelecer a obrigatoriedade de compartilhamento de incidentes cibernéticos relevantes entre
os agentes e entre os agentes e a ANEEL;
❖ Estabelecer em regulamento a obrigatoriedade de a empresa escolher e aplicar periodicamente
uma metodologia de avaliação de maturidade regulatória (C2M2, CMMI etc.);
❖
Estabelecer em regulamento que a política de segurança cibernética da empresa deve prever a
segmentação de redes de operação da rede de TI e da Internet;
❖ Estabelecer que as políticas de segurança cibernética devem prever procedimentos de resposta
rápida para contenção de incidentes;
❖ Estabelecer em regulamento a necessidade de realização de gestão, a avaliação e o tratamento
dos riscos de segurança cibernética;
❖ Incentivar por meio de ações de divulgação a participação dos agentes em exercícios
cibernéticos;
❖ Promover eventos de divulgação de melhores práticas de segurança cibernética, bem como
inovações, realizadas pelos agentes do setor elétrico; e
❖
Divulgar a importância estratégica dos agentes no setor elétrico e a importância de reconhecer
seu nível de maturidade cibernética.
19. Isto posto, nesta segunda fase da CP nº 007/2021 foram recebidas 226 contribuições de 27
contribuintes, entre eles associações, agentes regulados, fabricantes de equipamentos, pessoas físicas e
jurídicas.

de 12
20. A figura 3 ilustra a quantidade de contribuições recebidas para cada dispositivo do ato
normativo, onde observa-se que a maior parte das contribuições recebidas foi destinada ao art. 4º,
representando mais de 27% do total.
Figura 3: Quantidade de contribuições para cada dispositivo no âmbito da 2ª Fase da CP nº 007/2021.
21. A seguir, são destacadas as principais contribuições e as alterações propostas na
minuta de Resolução Normativa.
II.1 – Art. 1º
22. O art. 1º recebeu contribuições diversificadas, com a maior parte focada em seu caput. Os
contribuintes alertaram que a política proposta pela minuta de Resolução Normativa deveria abranger
não somente a segurança cibernética, mas também a segurança da informação, deixando a cargo do
agente a escolha do nome da política.
23. Nesse ponto, é importante esclarecer que a regulamentação da Segurança da Informação
foge da competência da ANEEL. Assim, a Resolução proposta refere-se à Segurança Cibernética.
24. Outras contribuições recebidas tiveram como objetivo deixar clara a possibilidade de que
os agentes podem contar com mais de uma política de segurança cibernética, trazendo a pluralidade para
o termo utilizado na minuta de ato normativo. Essa contribuição foi acatada.

de 12
II.2 – Art. 2º - DEFINIÇÕES
25. As contribuições para o art. 2º foram predominantemente direcionadas para a definição
de "informações sensíveis". Os contribuintes sugeriram a troca do termo "sensíveis" por "críticas",
visando evitar conflito de conceito com o que é descrito pela Lei Geral de Proteção dos Dados (LGPD), Lei
nº 13.709, de 2018.
26. Uma vez que a LGPD já define o termo "dados sensíveis" com conotação diversa daquela
adotada nesta Resolução, concordo em mudar o termo para "informações críticas".
27. Ademais, os participantes apontaram também a importância da definição de termos como
"Rede de Informação" e "Rede de Operação", propondo a inclusão de novos incisos no art. 2º.
28. Após avaliação, foi acrescentada a definição de "rede de informação" para melhor
esclarecimento dos termos empregados nesta Resolução. A "Rede de operação" é um termo já
empregado no setor elétrico com conotação diversa da adotada na Resolução, assim, decidiu-se por
retirar essa expressão.
II.3 – Art. 3º - DIRETRIZES GERAIS
29. A massiva contribuição para o art. 3º foi direcionada para a necessidade da
confidencialidade das informações sensíveis. Os contribuintes lembraram que a cooperação entre agentes
deve prever tal aspecto, além de considerar o anonimato das empresas.
30. Ressalto que já estava previsto no art. 7º o anonimato das empresas no âmbito do
compartilhamento de informações. Porém, dado que a confidencialidade das informações é muito
importante para a segurança cibernética, importante constar também no art. 3º, sobre as diretrizes, para
estender essa prática para toda a Resolução.
31. Ademais, foram incorporadas diversas contribuições que trouxeram termos mais
adequados e/ou mais abrangentes.

de 12
II.4 – Art. 4º - POLÍTICAS DE SEGURANÇA CIBERNÉTICA
32. O art. 4º foi o dispositivo que mais recebeu contribuições, especialmente por descrever
quais itens a política de segurança cibernética dos agentes deve contemplar. As sugestões foram
diversificadas, algumas apresentando um caráter mais prescritivo.
33. Entre as contribuições que sugeriam maiores detalhamentos, os participantes optaram por
recomendações por parte da ANEEL para aplicação de modelos de maturidade. Além disso, outros
sugeriram também uma forma mais específica de classificar dados e informações.
34. Por outro lado, outras contribuições alertavam que uma política não deve obter
mecanismos, registros, controles ou procedimentos, assim como descrito nos incisos do art. 4º, mas sim
apenas diretrizes que orientem a elaboração destes.
35. Conforme a minuta de Resolução Normativa resultante, muitas contribuições para
melhoria de texto ou trazendo expressões mais adequadas para o contexto de Segurança Cibernética
foram incorporadas. No entanto, outras contribuições foram negadas seguindo-se a premissa de evitar
um regulamento excessivamente detalhado e prescritivo.
II.5 – Art. 5º - POLÍTICAS DE SEGURANÇA CIBERNÉTICA
36. Grande parte das contribuições destinadas ao art. 5º foi direcionada à classificação das
instalações. Os contribuintes reforçaram a necessidade de classificar os ativos de acordo com a sua
criticidade ao invés do seu porte. Além disso, outras contribuições lembraram da importância de atualizar
e revisar as políticas de segurança cibernética sempre que necessário, além da própria ação periódica
proposta na minuta de Resolução.
37. Da mesma forma que os art. 3º e art. 4º, houve muitas contribuições para melhoria de
texto e para trazer expressões e termos mais adequados. Essas contribuições foram incorporadas na
proposta final de Resolução.
II.6 – Art. 6º - NOTIFICAÇÃO DE INCIDENTES CIBERNÉTICOS

de 12
38. O art. 6º recebeu contribuições no sentido de dividir em etapas a notificação dos casos de
incidentes cibernéticos de maior impacto. De acordo com os contribuintes, é necessário que uma primeira
notificação seja encaminhada à ANEEL ou à equipe de coordenação setorial designada e, após um
determinado período, um relatório é encaminhado incluindo análise da causa e do impacto e respectivas
ações de mitigação adotadas. Ademais, outras colaborações apontavam a necessidade da centralização
das notificações e a adoção de um sistema específico para o recebimento destas.
39. Essas contribuições foram de grande valia, porém, esclareço que o procedimento de
notificação de incidentes cibernéticos de maior impacto não será detalhado na Resolução, uma vez que
será disponibilizado posteriormente à publicação da norma no site da ANEEL.
40. Ressalto que o texto do art. 6º foi atualizado para ficar compatível com o art. 13 do Decreto
nº 10.748, de 2021, considerando que deverá ser instituída ou designada a equipe de coordenação
setorial.
II.7 – Art. 7º - COMPARTILHAMENTO DE INFORMAÇÕES
41. As contribuições destinadas ao art. 7º em sua maioria também tratam sobre a necessidade
da criação de um ambiente solidificado e seguro para o compartilhamento de informações sobre
incidentes cibernéticos de maior impacto.
42. Uma vez que o compartilhamento de informações sobre ameaças e outras informações
relativas à segurança cibernética, diferentemente com o que ocorre com a notificação à ANEEL de
incidentes cibernéticos de maior impacto, envolve soluções de caráter técnico, em ambiente seguro e no
qual é facultado o anonimato, é esperado que os agentes construam essas soluções de forma mais
eficiente e adequada.
II.8 – Art. 8º - DISPOSIÇÕES GERAIS
43. O art. 8º recebeu contribuições direcionadas aos custos trazidos pela adequação por parte
dos agentes ao que é determinado na Resolução Normativa. Os agentes exigiram ressarcimento desses
custos, alegando a necessidade de grandes investimentos para realização dessas adequações.
44. Além disso, outras contribuições foram recebidas e tinham como objetivo expandir o
escopo da norma para outros órgãos e terceiros, não se limitando apenas aos agentes do setor elétrico.

de 12
45. As contribuições relativas ao custo, da forma como apresentadas pelos contribuintes, não
foram acatadas, pois o art. 8º refere-se aos gastos que os agentes poderão incorrer independentemente
da forma ou possibilidade de reconhecimento. Destacamos que os gastos necessários para a operação ou
prestação do serviço são tratados conforme a regulação vigente de cada segmento.
II.9 – Art. 9º - DISPOSIÇÕES GERAIS
46. As contribuições direcionadas ao art. 9º foram relacionadas também com o
compartilhamento de informações e à aplicação do modelo de maturidade. Os contribuintes
questionaram como seria feito o envio destas informações e quais modelos de maturidade adotar.
47. Da mesma forma que o art. 6º, essas contribuições são válidas, porém, esclareço que o
procedimento de envio de informações à ANEEL não será detalhado na Resolução. Ele será disponibilizado
posteriormente à publicação da norma no site da ANEEL.
48. Outros contribuintes apontaram também a importância de manter os registros das
informações pedidas nos incisos I, II e III da minuta de Resolução, que foram acatadas.
II.10 – Art. 10º e Art. 11º - DISPOSIÇÕES GERAIS
49. O art. 10 recebeu contribuições no sentido de diminuir o prazo para desenvolvimento da
Avaliação de Resultado Regulatório (ARR), tendo em vista a velocidade das mudanças tecnológicas e do
risco de incidentes cibernéticos.
50. De acordo com os resultados do monitoramento da regulamentação, a ANEEL irá avaliar o
comportamento dos indicadores. Portanto, caso necessário, o tempo para desenvolvimento da ARR será
revisto.
51. Por definir o prazo da entrada em vigor da Resolução, o art. 11, de maneira geral, recebeu
contribuições pedindo o aumento do prazo, com argumentos acerca da complexidade das adequações ao
que foi disposto na minuta da REN, além dos prazos referentes à Rotina Operacional RO-CB.BR.01,
estabelecida pelo ONS.
52. A Resolução proposta traz as diretrizes gerais e conteúdo mínimos para as políticas de
segurança cibernética, ambos baseados nas experiências e boas práticas verificadas no setor. Com base

de 12
nas coletas de dados realizadas neste trabalho, consideramos que grande parte dos agentes já cumpre
com as disposições do normativo. Adicionalmente, o assunto tem caráter urgente e é relevante para o
setor elétrico, de forma tal que o prazo proposto para vigência da norma será mantido. Sobre a Rotina
Operacional, ela diz respeito a outros itens operativos de âmbito exclusivo do ONS, portanto, não cabe
necessariamente uma compatibilização de prazos.
II.11 – CONSIDERAÇÕES FINAIS
53. O gráfico a seguir representa o aproveitamento das contribuições propostas pelos agentes
no âmbito da segunda fase da CP nº 007/2021.
Figura 4: Resultado do aproveitamento das contribuições da 2ª Fase da CP nº 007/2021
54. Observa-se que a maioria das contribuições recebidas no âmbito da segunda fase da CP
nº 007/2021 não foram aproveitadas. Contudo, cabe ressaltar que houve grande concentração de
contribuições semelhantes ou mesmo repetidas nos seguintes assuntos: detalhamento da notificação
sobre incidentes de maior impacto (art. 6º) e do envio de informações (art. 9º); reconhecimento de custos
(art. 8º); menor prazo para elaboração da ARR (art. 10) e maior prazo para vigência do regulamento
(art. 11); que foram negadas pelos motivos já explicados. Além disso, houve muitas contribuições
sugerindo que fossem definidas diretrizes em vez de procedimentos (art. 4º), que também foram negadas.
55. Por fim, destaco a importância das contribuições aceitas, no sentido de construir um
regulamento mais robusto como termos mais precisos, abrangentes e adequados à segurança cibernética
do Setor Elétrico Brasileiro.

de 12
III. D I R E I T O
56. A decisão tem amparo no (i) Decreto nº 9.637, de 2018; (ii) Decreto nº 10.222, de 2020; (iii)
Decreto nº 10.569, de 2020; e (iv) Decreto nº 10.748, de 2021.
IV. D I S P O S I T I V O
57. Diante do exposto e considerando o que consta do Processo nº 48500.000027/2020-40,
voto por APROVAR a emissão de Resolução Normativa, na forma da minuta anexa, que dispõe sobre a
política de segurança cibernética a ser adotada pelos agentes do setor de energia elétrica.
Brasília, 14 de dezembro de 2021.
(Assinado digitalmente)
SANDOVAL DE ARAÚJO FEITOSA NETO
Diretor