A partir de novembro, segurança cibernética em equipamentos de telecom será obrigatória
Fornecedores deverão comprovar à Anatel conformidade com a Política de Segurança Cibernética; equipamentos sem auditoria não poderão ser usados por operadoras nem provedores.
A Agência Nacional de Telecomunicações (Anatel) passará a exigir, a partir de 26 de novembro de 2025, a comprovação de auditoria da política de segurança cibernética aplicada a fornecedores de produtos e equipamentos utilizados por prestadoras de serviços de telecomunicações. A medida decorre do Ato nº 16.417, de 22 de novembro de 2024, da Superintendência de Outorga e Recursos à Prestação.
Segundo a norma, equipamentos que não tenham a conformidade atestada não poderão ser utilizados nas redes das operadoras. A exigência será cumprida por meio de um Procedimento Operacional que detalha as diretrizes de auditoria aprovadas pela Anatel.
Entidades responsáveis pela auditoria
As auditorias deverão ser conduzidas por Organismos de Certificação Designados (OCDs) reconhecidos pela agência ou por instituições acreditadas por organismos internacionais de certificação. Caberá aos fornecedores apresentar às prestadoras os atestados de conformidade emitidos, garantindo que o processo de manufatura e os controles internos estejam de acordo com a Política de Segurança Cibernética de fornecedores de produtos e equipamentos de telecomunicações.
Essa política foi aprovada pelo Despacho Decisório nº 16/2023/COQL/SCO e elaborada no âmbito do Subgrupo Técnico de Equipamentos, Fornecedores e Requisitos do Grupo Técnico de Segurança Cibernética e Gestão de Riscos de Infraestrutura Crítica (GT-Ciber), em cumprimento ao Regulamento de Segurança Cibernética (R-Ciber – Resolução nº 740/2019). O subgrupo reúne cerca de 160 representantes de prestadoras, indústria, academia, centros de pesquisa, laboratórios, OCDs e servidores da própria Anatel.
Princípios exigidos
A avaliação deve garantir ainda a adoção de práticas como:
- Security by design: análise automatizada de códigos e tratamento de vulnerabilidades;
- Security by default: proteção de senhas e desabilitação de comunicações não essenciais;
- Privacy by design: uso de criptografia adequada em dados sensíveis;
- Política de suporte e atualização de segurança com canal de notificação de vulnerabilidades;
- Divulgação coordenada de vulnerabilidades (CVD) com informações detalhadas a clientes e usuários.
