Decretos 12.572 e 12.573: a nova cibersegurança do Brasil

Em 4 de agosto de 2025, com publicação no Diário Oficial da União do dia seguinte, dois decretos redesenharam a base institucional da cibersegurança brasileira. O Decreto 12.572 instituiu a nova Política Nacional de Segurança da Informação (PNSI) e o Decreto 12.573 aprovou a nova Estratégia Nacional de Cibersegurança (E-Ciber). Nenhum dos dois cria, hoje, obrigação direta para empresas privadas, e talvez por isso a notícia tenha passado despercebida em muitos comitês de segurança. Seria um erro de leitura.

Os dois textos completam uma arquitetura que o Brasil vem montando desde 2023, quando a Política Nacional de Cibersegurança (PNCiber) criou o Comitê Nacional de Cibersegurança (CNCiber). A sequência é deliberada: política, estratégia, plano e, na ponta, uma futura Lei Geral de Cibersegurança, cujo anteprojeto o CNCiber concluiu em abril de 2026. Quando a lei chegar, e ela deve chegar com obrigações vinculantes, especialmente para operadores de infraestrutura crítica e serviços essenciais, o custo de adaptação será muito menor para quem mapeou a trajetória com antecedência.

Este artigo explica o que cada decreto realmente faz, o que muda e o que ainda não muda para o setor privado, como o novo arcabouço convive com LGPD, ANPD e regulação setorial do Banco Central, e o que um CISO pode fazer desde já para chegar preparado.

O que aconteceu em 4 de agosto de 2025

Não foi coincidência editorial: os Decretos 12.572 e 12.573 foram assinados no mesmo dia e funcionam como um par. O primeiro reorganiza a governança da segurança da informação dentro da administração pública federal; o segundo define a estratégia nacional de cibersegurança que orienta governo, setor produtivo e sociedade. Juntos, substituem instrumentos de 2018 e 2020 que envelheceram diante da escala atual da ameaça.

O contexto justifica a atualização. Além dos 356 bilhões de tentativas registradas em 2024, o FortiGuard Labs contabilizou cerca de 315 bilhões de tentativas só no primeiro semestre de 2025, mantendo o Brasil como principal alvo da América Latina. A Check Point mediu, no segundo trimestre de 2025, uma média de 2.831 ataques semanais por organização brasileira, bem acima da média global de 1.984 no mesmo período. O país que mais concentra ataques na região operava, até agosto de 2025, com uma política de segurança da informação desenhada em 2018 e uma estratégia de cibersegurança escrita em 2020, antes da PNCiber existir.

Decreto 12.572: a nova PNSI e a governança federal

O Decreto 12.572 institui a nova Política Nacional de Segurança da Informação e dispõe sobre a governança da segurança da informação na administração pública federal. Ele revoga de uma vez quatro decretos anteriores, incluindo o Decreto 9.637/2018, que sustentava a PNSI original, além dos Decretos 9.832/2019, 10.641/2021 e 10.849/2021.

Três pontos do texto merecem atenção:

• Coordenação centralizada no GSI: o Gabinete de Segurança Institucional da Presidência da República coordena as ações do governo federal relativas à segurança da informação, consolidando um arranjo em que política de SI, resposta a incidentes de governo e credenciamento de segurança convergem para o mesmo órgão.
• Comitê Gestor da Segurança da Informação: criado no âmbito da Câmara de Relações Exteriores e Defesa Nacional do Conselho de Governo, dá à PNSI uma instância permanente de governança, em vez de depender de normativos esparsos.
• Escopo restrito à administração pública federal: o decreto alcança órgãos e entidades federais. Empresas privadas aparecem apenas na condição de prestadoras de serviços públicos, no que diz respeito à proteção dos dados que custodiam nessa função.

Para o setor privado em geral, portanto, o 12.572 não cria dever novo. Mas quem fornece para o governo federal ou opera serviço público delegado deve reler contratos e editais com atenção: a consequência natural de uma política de SI mais estruturada é a elevação dos requisitos de segurança exigidos de fornecedores e concessionários.

Decreto 12.573: a E-Ciber e seus quatro eixos

O Decreto 12.573 aprova a nova Estratégia Nacional de Cibersegurança e revoga o Decreto 10.222/2020, que continha a primeira E-Ciber. A versão 2025 organiza a atuação do Estado em quatro eixos estratégicos:

• Eixo I, proteção e conscientização do cidadão e da sociedade: educação digital e resposta ao crescimento de golpes e fraudes contra pessoas físicas, hoje a face mais visível do cibercrime no país.
• Eixo II, segurança e resiliência de serviços essenciais e infraestruturas críticas: energia, telecomunicações, água, transporte, sistema financeiro. É o eixo com maior potencial de virar obrigação regulatória, porque é onde a indisponibilidade causa dano sistêmico. Ambientes de tecnologia operacional entram diretamente nessa conta, como mostramos no guia de segurança de OT, ICS e SCADA.
• Eixo III, cooperação e integração entre órgãos e entidades públicas e privadas: compartilhamento de informações sobre ameaças e incidentes entre governo e mercado, na linha do que já ocorre em ecossistemas mais maduros.
• Eixo IV, soberania nacional e governança: capacidade tecnológica nacional, posicionamento internacional e a estrutura de governança da própria política de cibersegurança.

Estratégia não é norma: a E-Ciber não impõe conduta, define direção. Para o CISO, porém, ela funciona como um mapa de para onde a regulação caminha. Os eixos II e III dizem, com uma clareza incomum em documentos públicos, quais setores serão priorizados e que o modelo escolhido trata o setor privado como parte da solução, não apenas como futuro regulado.

A arquitetura completa: PNCiber, E-Ciber, P-Ciber e a futura Lei Geral

A melhor forma de entender os decretos de agosto de 2025 é situá-los na linha do tempo do arcabouço:

• 2018: o Decreto 9.637 cria a primeira PNSI, com foco na administração federal.
• 2020: o Decreto 10.222 aprova a primeira E-Ciber.
• 2023: o Decreto 11.856 institui a PNCiber, a política nacional de cibersegurança propriamente dita, e cria o CNCiber, comitê multissetorial com representantes do governo, do setor empresarial, da sociedade civil e da academia.
• 2025: os Decretos 12.572 e 12.573 renovam a PNSI e a E-Ciber, alinhando os instrumentos anteriores à PNCiber.
• 2026: o CNCiber conclui o anteprojeto da Lei Geral de Cibersegurança e o GSI trabalha na elaboração do P-Ciber, o plano nacional que converte estratégia em ações.

Aviso: os dois instrumentos descritos a seguir ainda estão em elaboração ou em discussão. Nada aqui é norma vigente, e o conteúdo final pode mudar substancialmente até a publicação.

O P-Ciber, Plano Nacional de Cibersegurança, é o instrumento que transforma os eixos da E-Ciber em ações com responsável e prazo. Em elaboração pelo GSI, o plano trabalha com metas até 2031 e um primeiro ciclo de execução previsto para 2026-2027, com cerca de 40 ações estratégicas em discussão.

Já a Lei Geral de Cibersegurança é a peça que falta para criar obrigações vinculantes fora da administração federal. O anteprojeto concluído pelo CNCiber em abril de 2026 desenha um Sistema Nacional de Cibersegurança, define agentes obrigados, entre eles operadores de infraestruturas críticas, prestadores de serviços essenciais e entes públicos com mais de 100 mil habitantes, e aponta a Anatel como principal candidata a exercer a função de Autoridade Nacional de Cibersegurança. O texto ainda não foi enviado ao Congresso Nacional e pode ser combinado com projetos que já tramitam no Senado sobre o mesmo tema. Qualquer detalhe, da lista de obrigados ao regime de sanções, está sujeito a mudança na tramitação.

O que muda (e o que ainda não muda) para empresas privadas

A resposta honesta e curta: hoje, para a empresa privada típica, nada muda juridicamente. Os decretos de agosto de 2025 não criam certificação obrigatória, não impõem sanções, não estabelecem prazos de compliance e não exigem notificação de incidentes ao governo. Quem afirma o contrário está tratando como vigente um conteúdo que só existe em anteprojeto.

O que muda é o cenário. Três movimentos merecem lugar no radar do CISO:

• Direção regulatória explícita: o Estado brasileiro declarou por escrito que infraestrutura crítica e serviços essenciais são prioridade e que pretende levar uma lei geral ao Congresso. A incerteza deixou de ser "se" e passou a ser "quando e em que termos".
• Efeito cascata contratual: quem fornece para o setor público federal tende a encontrar requisitos de segurança mais rígidos derivados da nova PNSI, mesmo sem lei geral aprovada.
• Convergência internacional: o desenho brasileiro segue o padrão que a União Europeia consolidou com a diretiva NIS2 e com o DORA: definir setores essenciais, criar autoridade nacional, exigir gestão de risco e notificação de incidentes. Empresas brasileiras que exportam ou integram cadeias de fornecimento europeias já sentem essas exigências por via contratual.

Infraestrutura crítica e setores regulados: LGPD, ANPD e BCB

Um mal-entendido comum precisa ser desfeito: os Decretos 12.572 e 12.573 não regulamentam a LGPD nem alteram as competências da ANPD. Proteção de dados pessoais e cibersegurança são arcabouços distintos que se sobrepõem apenas em parte. Um incidente cibernético que exponha dados pessoais continua sujeito à LGPD e à ANPD; o que o novo arcabouço adiciona é a dimensão de resiliência de serviços, que existe mesmo quando nenhum dado pessoal é afetado.

Para setores já regulados, a novidade é menor do que parece, porque a regulação setorial chegou antes. O sistema financeiro é o exemplo mais maduro: a regulação de resiliência cibernética do Banco Central já impõe às instituições financeiras política de segurança cibernética, planos de resposta a incidentes e comunicação de eventos relevantes. A futura lei geral tende a fazer de forma transversal o que esses reguladores fazem setorialmente, e a experiência de quem já é regulado indica o formato provável: gestão de risco formalizada, requisitos estendidos a terceiros e notificação de incidentes com prazo definido.

Para operadores de infraestrutura crítica ainda não alcançados por regulação setorial de cibersegurança, a mensagem é mais direta: esse grupo é o alvo declarado do eixo II da E-Ciber e aparece em primeiro lugar entre os agentes obrigados do anteprojeto da lei. Esperar a obrigação chegar para começar a construir capacidade é a opção mais cara.

Checklist do CISO: como se antecipar

Nenhum item abaixo exige esperar a lei. São movimentos de baixo arrependimento: fortalecem o programa de segurança hoje e reduzem o custo de adequação amanhã.

1. Classifique sua exposição regulatória: sua organização opera infraestrutura crítica ou serviço essencial? Fornece para a administração pública federal? Integra cadeia de fornecimento de empresas sujeitas a NIS2 ou DORA? Cada resposta positiva aumenta a probabilidade de entrar cedo no perímetro de obrigações.
2. Acompanhe as fontes primárias: atas e consultas do CNCiber e publicações do GSI antecipam o conteúdo da regulação com meses de vantagem sobre o noticiário.
3. Ancore o programa em um framework reconhecido: NIST CSF ou ISO 27001 como espinha dorsal. Regulações modernas dialogam com o que já é padrão de mercado, e a distância entre o seu programa e um framework é um bom termômetro da distância até a futura conformidade.
4. Formalize a governança: política aprovada, papéis definidos, gestão de risco documentada e reporte periódico à liderança. É o núcleo de qualquer programa de governança, risco e conformidade e a parte mais lenta de construir sob pressão de prazo regulatório.
5. Ensaie resposta e notificação de incidentes: prazo curto de notificação é o denominador comum das regulações modernas de cibersegurança. Testar o fluxo de detecção, decisão e comunicação antes que ele vire obrigação transforma um risco de compliance em rotina operacional.
6. Reveja terceiros e cadeia de suprimentos: requisitos de segurança para fornecedores são presença constante nos modelos internacionais que inspiram o texto brasileiro, e são também o item que mais demora a corrigir, porque depende de renegociar contratos.

Perguntas Frequentes

Conclusao

Os Decretos 12.572 e 12.573 não mudaram, em agosto de 2025, a vida jurídica de nenhuma empresa privada. Mudaram algo mais valioso para quem planeja: a previsibilidade. O Brasil deixou explícito o desenho institucional da sua cibersegurança, política, estratégia, plano e futura lei, e deixou igualmente explícito quem será alcançado primeiro quando a camada vinculante chegar: infraestrutura crítica e serviços essenciais.

Para o CISO, a leitura correta não é "nada mudou", e sim "o cronômetro começou a contar". Governança formalizada, aderência a frameworks, resposta a incidentes testada e gestão de terceiros levam anos para amadurecer, e são exatamente os itens que todas as regulações modernas cobram. Quem começa pela arquitetura de governança hoje transforma a futura lei em formalidade, não em crise.