REN - RESOLUÇÃO NORMATIVA 964/2021
Tipo de documento: texto_integral
Assunto: Fixação
Situação: NÃO CONSTA REVOGAÇÃO EXPRESSA
Publicação: 2021-12-22
Autor: ANEEL

AGÊNCIA NACIONAL DE ENERGIA ELÉTRICA – ANEEL
RESOLUÇÃO NORMATIVA ANEEL Nº 964, DE 14 DE DEZEMBRO DE 2021
Dispõe sobre a política de segurança cibernética a
ser adotada pelos agentes do setor de energia
elétrica.
Voto
O DIRETOR-GERAL DA AGÊNCIA NACIONAL DE ENERGIA ELÉTRICA – ANEEL, no uso de suas
atribuições regimentais, de acordo com a deliberação da Diretoria, tendo em vista o disposto no art. 6º
da Lei nº 8.987, de 13 de fevereiro de 1995, na Lei nº 9.427, de 26 de dezembro de 1996, no Decreto
nº 2.335, de 6 de outubro de 1997, no art. 13 da Lei nº 9.648, de 27 de maio de 1998, no art. 4º da Lei
nº 10.848, de 15 de março de 2004, no Decreto nº 10.222, de 5 de fevereiro de 2020, no Decreto
nº 10.748, de 16 de julho de 2021, e o no que consta do Processo nº 48500.000027/2020-40, resolve:
Art. 1º Estabelecer as diretrizes e o conteúdo mínimo das políticas de segurança cibernética a
serem adotados pelos agentes do setor de energia elétrica.
Parágrafo único. Sujeitam-se ao disposto nesta Resolução:
I - os concessionários, os permissionários e os autorizados de serviços ou instalações de
energia elétrica; e
II - as entidades responsáveis pela operação do sistema, pela comercialização de energia
elétrica ou pela gestão de recursos provenientes de encargos setoriais.
DEFINIÇÕES
Art. 2º Para fins do disposto nesta Resolução, considera-se:
I - incidente cibernético: ocorrência que comprometa, real ou potencialmente, a
disponibilidade, a integridade, a confidencialidade ou a autenticidade de sistema de informação ou das
informações processadas, armazenadas ou transmitidas por esse sistema, que poderá também ser
caracterizada pela tentativa de exploração de vulnerabilidade de sistema de informação que constitua
violação de norma, política de segurança, procedimento de segurança ou política de uso;
II - incidente cibernético de maior impacto: é estabelecido com base na classificação de
severidade que consta do processo de gestão de riscos de segurança da informação do agente;
III - informações críticas: são aquelas com potencial de impacto negativo na prestação de
serviços à população, em caso de comprometimento; e

IV - rede de informação: rede corporativa de dados da empresa, composta por toda
infraestrutura de telecomunicações própria e de terceiros destinada aos ativos de Tecnologia da
Informação.
DIRETRIZES GERAIS
Art. 3º As diretrizes para a atuação em segurança cibernética são:
I - adotar normas, padrões e referências de boas práticas em segurança cibernética;
II - atuar com responsabilidade, zelo e transparência;
III - disseminar a cultura de segurança cibernética;
IV - buscar a utilização segura das redes e serviços de energia elétrica;
V - identificar, proteger, diagnosticar, responder e recuperar os incidentes cibernéticos;
VI - identificar, avaliar, classificar e tratar os riscos cibernéticos na estrutura estabelecida pelo
agente; e
VII - buscar a cooperação entre os diversos agentes envolvidos com fins de mitigação dos
riscos cibernéticos, respeitadas as regras de confidencialidade das informações definidas pelo agente.
POLÍTICAS DE SEGURANÇA CIBERNÉTICA
Art. 4º As políticas de segurança cibernética devem contemplar, no mínimo:
I - os objetivos de segurança cibernética, dispondo sobre a capacidade para prevenir, detectar,
responder e reduzir a vulnerabilidade a incidentes cibernéticos;
II - a aplicação com periodicidade anual de pelo menos um modelo de maturidade em
segurança cibernética;
III - a classificação dos dados e das informações quanto à relevância;
IV - os procedimentos e os controles para reduzir a vulnerabilidade a incidentes e atender aos
demais objetivos de segurança cibernética;
V - as medidas técnicas, incluindo aquelas de rastreabilidade da informação, que busquem
garantir a segurança das informações críticas;

VI - o registro, a análise da causa e do impacto, bem como o controle dos efeitos de incidentes
de maior impacto para suas atividades, abrangendo inclusive informações recebidas de empresas
prestadoras de serviços a terceiros;
VII - a definição de procedimentos e de controles voltados à prevenção e ao tratamento dos
incidentes a serem adotados por empresas prestadoras de serviços a terceiros que manuseiem dados ou
informações críticas ou que sejam relevantes para a condução das atividades operacionais em níveis de
complexidade, abrangência e precisão compatíveis com os utilizados pelo próprio agente;
VIII - a definição dos parâmetros a serem utilizados na avaliação da relevância dos incidentes
cibernéticos;
IX - os mecanismos para disseminação da cultura de segurança cibernética, incluindo:
a) a implementação de programas de capacitação e de avaliação periódica de pessoal;
b) o plano de ação com medidas para a conscientização e educação de seus usuários sobre
aspectos de segurança cibernética; e
c) o comprometimento da alta administração com a melhoria contínua dos procedimentos
relacionados com a segurança cibernética.
X - as simulações de cenários e ameaças para testes de resiliência, de análise das ferramentas
e da capacidade e tempo de resposta;
XI - os mecanismos para prevenir, mitigar e recuperar incidentes cibernéticos em sua Rede de
Informação ou na rede das instalações, e para impedir que os incidentes afetem a operação; e
XII - os procedimentos para prevenção, tratamento e resposta a incidentes cibernéticos.
Parágrafo único. Os procedimentos e os controles devem ser aplicados, inclusive, no
desenvolvimento de sistemas de informação seguros e na adoção de novas tecnologias empregadas em
suas atividades.
Art. 5º As políticas de segurança cibernética devem ser aderentes às diretrizes dispostas neste
Regulamento, e ainda:
I - ser compatível com a relevância da instalação no contexto do SIN, a natureza e a
complexidade dos serviços, atividades, processos e sistemas;
II - ser compatível com a sensibilidade dos dados e das informações sob sua responsabilidade;
III - ser disseminada aos profissionais e colaboradores das áreas afetas, em seus diversos
níveis, papéis e responsabilidades, resguardando-se o compartilhamento de informações críticas apenas
para as pessoas que exerçam diretamente atividades de planejamento e execução da política, no que
couber;

IV - estabelecer responsabilidades pela aplicação da política, com a identificação de pessoas e
áreas competentes, bem como ponto focal para contato em eventuais urgências;
V - designar dirigente responsável pela política de segurança cibernética, o qual pode
desempenhar outras funções, desde que não haja conflito de interesses;
VI - ser aprovada pelo Conselho de Administração ou órgão de deliberação colegiado
equivalente;
VII - ser revisada e atualizada periodicamente ou sempre que necessário; e
VIII - estar disponível à ANEEL sempre que solicitada, juntamente com os documentos
complementares e os comprovantes de sua aprovação interna pelo órgão competente.
Parágrafo único. Caso a estrutura de governança da política de segurança cibernética seja
única para o grupo econômico, deve ser identificado o agente responsável, em níveis e funções, quando
aplicável.
NOTIFICAÇÃO DE INCIDENTES CIBERNÉTICOS
Art. 6º Os agentes devem notificar a equipe de coordenação setorial designada dos incidentes
cibernéticos de maior impacto que afetem de maneira substancial a segurança das instalações, a operação
ou os serviços aos usuários ou de dados.
§ 1º A notificação do incidente cibernético de maior impacto deve incluir análise da causa e
do impacto, bem como ações de mitigação adotadas, conforme o caso.
§ 2º A notificação do incidente cibernético de maior impacto não exclui o atendimento de
outras obrigações de comunicação previstas em leis, normas e regulamentos.
§3º A notificação deve ser realizada assim que o agente tiver ciência do incidente e de sua
dimensão.
COMPARTILHAMENTO DE INFORMAÇÕES
Art. 7º Os agentes devem adotar procedimento de compartilhamento de informações sobre
ameaças e outras informações relativas à segurança cibernética de forma sigilosa e não discriminatória,
sendo facultado o anonimato.
§ 1º O compartilhamento de informações não pode ser restrito às empresas do mesmo grupo
societário, caso exista.
§ 2º O compartilhamento de informações não compreende aquelas classificadas pelo agente
como críticas ou que possam comprometer a sua própria segurança.
DISPOSIÇÕES GERAIS

Art. 8º A segurança das instalações e a continuidade na prestação do serviço é
responsabilidade dos agentes do setor elétrico, sendo assim, a adoção e execução da política de segurança
cibernética e demais condutas e procedimentos exigidos neste Regulamento são de ônus dos agentes.
Art. 9º Os agentes devem manter registros e enviar para a ANEEL ou para a equipe de
coordenação setorial designada as seguintes informações sempre que solicitadas:
I - os resultados dos modelos de maturidade aplicados em formato a ser definido;
II - os riscos cibernéticos identificados, com a respectiva forma de tratamento; e
III - os dados das equipes de prevenção, tratamento e resposta a incidentes cibernéticos.
Art. 10. Esta Norma será objeto de Avaliação de Resultado Regulatório — ARR decorridos 7
(sete) anos de vigência.
Art. 11. Esta Resolução entra em vigor em 1º de julho de 2022.
ANDRÉ PEPITONE DA NÓBREGA
Este texto não substitui o publicado no D.O. de 22.12.2021, seção 1, p. 287, v. 159, n. 240.