O avanço do Projeto de Lei nº 4.752/2025, que estabelece o Marco Legal da Cibersegurança, sinaliza uma mudança crucial na responsabilidade pela segurança digital, cobrindo uma ampla gama de setores, desde empresas até o governo. Essa alteração é significativa, pois diferencia claramente cibersegurança de ciberdefesa, um aspecto frequentemente mal compreendido. Enquanto a ciberdefesa é uma atribuição do Estado para proteger a soberania nacional e as infraestruturas críticas, a cibersegurança se refere à proteção dos ativos digitais das organizações, refletindo a crescente importância de uma abordagem integrada de segurança cibernética.
Carlos Alberto Costa, CEO da JC2Sec, salienta que é fundamental que empresas não esperem soluções do governo para problemas que muitas vezes surgem em seus próprios ambientes. As organizações devem assumir a responsabilidade pela segurança de seus dados e operações, incorporando a cibersegurança como parte central de sua estratégia de negócios.
Marta Schuh, diretora de Seguros Cibernéticos e Tecnológicos da Howden Brasil, destaca que os ataques à segurança digital se tornaram uma preocupação abrangente que vai além da esfera interna de cada organização. É necessário que a cibersegurança faça parte da estratégia global das empresas, integrando prevenção, gestão de riscos e planos de resposta a incidentes. Para ela, o papel do Estado é coordenar ações para proteger infraestruturas críticas e atuar quando a situação extrapola os limites de uma empresa, apresentando riscos a serviços essenciais.
Outro ponto central do projeto é a transição da percepção da segurança como uma questão meramente técnica para uma abordagem que envolve toda a alta administração das empresas. Isso implica que diretores e executivos devem participar ativamente da definição das estratégias de proteção digital, ao invés de delegar essa responsabilidade apenas à área de TI. Esta mudança de mentalidade é crucial para a efetividade da segurança cibernética nas organizações.
Ainda assim, muitos gestores continuam a ver a cibersegurança como um centro de custos e não como um elemento essencial para a operação e a continuidade do negócio. Para Schuh, reconhecer e avaliar os riscos cibernéticos é o primeiro passo para aumentar a resiliência organizacional.
Dentre as novas diretrizes, destaca-se que os modelos de segurança tradicionais não são mais suficientes para lidar com a velocidade e a sofisticação dos ataques cibernéticos atuais. Segundo Costa, auditorias periódicas representam apenas uma análise momentânea e não substituem a necessidade de um monitoramento contínuo. Os ambientes digitais estão em constante mudança, e a chave está em detectar ameaças rapidamente e responder a elas de forma ágil.
Uma preocupação emergente presente no Marco Legal é a gestão dos riscos na cadeia de fornecedores. Ataques recentes mostraram como empresas terceirizadas podem ser usadas como canais para comprometer organizações maiores. Costa enfatiza que não apenas grandes empresas, mas todas devem abordar a segurança na cadeia de suprimentos, avaliando e monitorando os riscos associados a terceiros.
Embora o Marco Legal da Cibersegurança represente um passo significativo na governança digital, especialistas ressaltam que a legislação sozinha não é suficiente para impedir ataques. O foco deve ser uma mudança cultural nas organizações, que inclui a implementação contínua de processos de prevenção e resposta. O projeto serve como diretriz, mas a resiliência digital deve ser promovida de dentro para fora.
Conforme o cenário de ameaças evolui continuamente, a capacidade de monitorar riscos, ativos digitais e fornecedores será um diferencial fundamental entre as organizações que estão preparadas para enfrentar desafios cibernéticos e aquelas que ainda veem a cibersegurança apenas como uma imposição regulatória.
Crédito da imagem: divulgação/reprodução
