A Agência Brasileira de Inteligência (Abin) passa a ser o órgão responsável pelo monitoramento das ameaças às infraestruturas críticas brasileiras, enquanto operadores, agências reguladoras e ministérios serão responsáveis por uma cadeia de acionamento que poderá levar incidentes considerados graves à segurança pública federal e, em situações excepcionais, às Forças Armadas.
O novo modelo foi estabelecido pela Resolução nº 20 do Comitê Nacional de Segurança de Infraestruturas Críticas (CNSIC), de 31 de agosto de 2026. A norma define quatro níveis de impacto e estabelece quem deverá atuar desde a identificação inicial de uma ameaça até situações consideradas de alcance nacional.
A Abin ocupa uma posição específica nesse sistema. O artigo 2º estabelece que a agência “é o órgão responsável pelo monitoramento das ameaças às infraestruturas críticas”, em alinhamento com a Política Nacional de Inteligência. A resolução, porém, não atribui à agência o comando da resposta aos incidentes nem a decisão sobre o emprego das forças de segurança.
Essa responsabilidade é distribuída entre diferentes instâncias.
A primeira avaliação caberá ao próprio operador da infraestrutura. Pela resolução, ele deverá identificar o incidente ou ameaça, classificar seu nível de impacto, adotar medidas de segurança patrimonial e comunicar a ocorrência aos órgãos competentes.
Em seguida aparece a agência reguladora do setor ou órgão equivalente. Caberá a ela monitorar o incidente, avaliar se mantém ou altera a classificação atribuída pelo operador, decidir sobre medidas de acompanhamento e comunicar o ministério responsável pelo setor.
O ministério setorial deverá acompanhar a ocorrência e avaliar a necessidade de subsidiar o acionamento dos órgãos de segurança pública ou, nos casos previstos, das Forças Armadas por intermédio do Ministério da Defesa.
A resolução estabelece, assim, uma cadeia que pode começar dentro de uma empresa responsável por uma infraestrutura considerada crítica e terminar na atuação de órgãos federais de segurança ou da Defesa.
Quatro níveis
O CNSIC dividiu as ocorrências em quatro níveis de impacto: baixo, médio, elevado e excepcional.
No nível baixo, o impacto fica limitado à área interna e ao perímetro da infraestrutura, com atuação da segurança patrimonial.
O nível médio corresponde a situações de impacto ou periculosidade considerados medianos e exige, no mínimo, o acionamento da segurança pública local.
No nível elevado, quando o impacto ou a periculosidade forem considerados significativos, deverá ser acionada, no mínimo, a segurança pública federal.
Nesse caso, a norma prevê atuação conjunta de órgãos locais e federais. O Ministério da Justiça e Segurança Pública deverá ser acionado pela segurança pública estadual quando a ameaça ultrapassar a capacidade de resposta local.
O último nível é o excepcional. Ele é reservado às situações de iminência de impacto ou periculosidade extremos, com alcance nacional. Nesses casos, a resolução prevê o acionamento dos níveis de segurança e de defesa nacionais.
É nessa última etapa que poderá ocorrer o emprego das Forças Armadas, sob coordenação do Ministério da Defesa e em conjunto com os órgãos de segurança, observadas as regras da Lei Complementar nº 97/1999 e do Decreto nº 3.897/2001.
A norma não cria, portanto, autorização automática para emprego militar diante de um incidente classificado como excepcional. A atuação permanece submetida às regras legais já existentes para emprego das Forças Armadas.
Quem classifica
Um dos pontos do novo modelo é que a primeira classificação da gravidade da ameaça será realizada pelo próprio operador da infraestrutura crítica.
Isso vale também quando a instalação é administrada por empresa privada. Depois da comunicação, a agência reguladora poderá confirmar ou alterar a classificação.
A resolução, contudo, não estabelece parâmetros quantitativos para diferenciar os quatro níveis.
O texto utiliza conceitos como “impacto limitado”, “periculosidade mediana”, “impacto ou periculosidade significativos” e “impacto ou periculosidade extremos”, mas não fixa, na própria resolução, indicadores como número de pessoas afetadas, extensão territorial, duração da interrupção, prejuízo econômico ou quantidade de serviços essenciais atingidos.
A classificação inicial dependerá, portanto, da avaliação do operador, sujeita à revisão da agência reguladora ou entidade equivalente.
As diferentes instâncias também não precisam necessariamente esperar a conclusão da etapa anterior. A resolução determina expressamente que sua atuação poderá ocorrer simultaneamente ou em sequência.
Inteligência
A Abin fica fora dessa sequência operacional descrita para operadores, reguladores e ministérios.
Sua atribuição é o monitoramento das ameaças. A resolução separa, dessa forma, a atividade de inteligência da cadeia responsável pelo acionamento da segurança pública.
O Ministério da Justiça e Segurança Pública passa a ser responsável pela articulação e coordenação da segurança pública quando houver necessidade de atuação federal. O Ministério da Defesa assume a articulação e coordenação da defesa nacional quando o incidente atingir esse patamar.
Os grupos de trabalho temáticos existentes dentro do CNSIC também passam a ter atribuição de apoio técnico e assessoramento na avaliação do impacto das ameaças sobre as infraestruturas críticas.
A resolução não detalha, porém, no texto, como as informações produzidas pelo monitoramento da Abin serão compartilhadas com operadores, reguladores e ministérios, nem estabelece um procedimento específico para situações em que uma ameaça seja identificada pela inteligência antes de ser detectada pelo operador da infraestrutura.
Infraestrutura digital
As novas regras alcançam os setores enquadrados na política brasileira de segurança de infraestruturas críticas e podem ter repercussão direta sobre instalações e sistemas essenciais de telecomunicações e tecnologia.
Nesses casos, a lógica prevista pela resolução será a mesma: o operador identifica e classifica o incidente; a autoridade reguladora ou equivalente acompanha e pode rever a classificação; o ministério setorial acompanha a ocorrência; e a resposta pode escalar para segurança pública federal ou defesa nacional, dependendo do impacto.
A resolução, isoladamente, não apresenta uma relação nominal das empresas, redes, instalações ou sistemas classificados como infraestrutura crítica.
Também não detalha no texto como o mecanismo será aplicado especificamente a ataques cibernéticos.
Essa definição é relevante porque uma ameaça contra infraestrutura crítica não precisa necessariamente envolver invasão física, sabotagem de instalações ou ataque ao patrimônio. Incidentes cibernéticos podem interromper serviços de telecomunicações, energia, transportes, sistemas financeiros ou serviços públicos sem que haja uma ação física contra a instalação.
A Resolução nº 20 utiliza os termos “incidente” e “ameaça” de forma ampla, mas não cria, em seu texto, uma classificação separada para ataques físicos e cibernéticos.
Informação sensível
Outro ponto tratado pela norma é a circulação das informações relacionadas aos incidentes.
O artigo 8º determina que operadores, reguladores, ministérios e demais instâncias envolvidas deverão observar os aspectos de sensibilidade e segurança da informação inerentes à proteção das infraestruturas críticas.
A resolução não especifica quais dessas informações serão públicas, reservadas ou classificadas.
Com a entrada em vigor da norma, o sistema passa a ter dois eixos distintos. A Abin acompanha as ameaças no campo da inteligência. Operadores, reguladores e ministérios conduzem a cadeia de avaliação e acionamento. Se a capacidade local for superada, entra a coordenação federal da segurança pública. Em uma situação extrema de alcance nacional, o processo pode chegar ao Ministério da Defesa e ao emprego das Forças Armadas.
A Resolução CNSIC nº 20 entra em vigor na data de sua publicação.
