O Regulamento de Segurança Cibernética da Anatel diz, no seu artigo de abrangência, que se aplica às prestadoras de interesse coletivo “ressalvadas as de Pequeno Porte”. É a frase que faz muito provedor fechar o documento e seguir a vida.

Fomos ler os artigos seguintes. A ressalva tem três furos — e um deles é uma obrigação concreta, que já vale hoje para provedor de qualquer tamanho: trocar a senha padrão do equipamento que você entrega em comodato ao assinante.

Neste artigo

• A ressalva do pequeno porte, e onde ela para
• A obrigação que já vale: a senha padrão do CPE em comodato
• O que a Anatel quer mudar — e por que alcança o pequeno porte
• O artigo que transfere a exigência para o seu fornecedor
• O que fazer com isso
• O que este artigo não diz
• Onde conferir

A ressalva do pequeno porte, e onde ela para

O regulamento é o RCiber, aprovado pela Resolução nº 740, de 21 de dezembro de 2020, e vigente. O art. 2º começa como todo mundo lembra:

“Art. 2º As disposições deste Regulamento aplicam-se a todas as prestadoras dos serviços de telecomunicações de interesse coletivo, ressalvadas as de Pequeno Porte, conforme conceito definido na regulamentação, observado o disposto neste artigo.”

Repare no fim da frase: “observado o disposto neste artigo”. É o aviso de que a ressalva não termina ali. Vêm três limites, e eles mudam o resultado.

Furo 1 — os princípios e as diretrizes valem para todos. O § 2º do mesmo artigo:

“Os princípios elencados no art. 4º e as diretrizes estabelecidas no art. 5º devem ser observados por todas as prestadoras dos serviços de telecomunicações, de interesse coletivo ou restrito, independentemente do porte, ainda que dispensadas do cumprimento das demais disposições deste Regulamento, bem como pelas demais pessoas naturais ou jurídicas envolvidas direta ou indiretamente na gestão ou no desenvolvimento das redes e serviços de telecomunicações.”

Furo 2 — há um artigo que vale para todos por disposição expressa. O art. 2º-A, incluído pela Resolução nº 767, de 7 de agosto de 2024:

“Todas as Prestadoras dos Serviços de Telecomunicações de Interesse Coletivo, independentemente do porte, ficam sujeitas ao cumprimento do art. 8º deste Regulamento.”

Furo 3 — a dispensa não é salvo-conduto. O § 3º: “A dispensa da incidência das disposições deste Regulamento não isenta, em qualquer caso, a prestadora do cumprimento de outras disposições legais e regulamentares.”

E ainda há o § 1º, que dá ao Conselho Diretor o poder de, motivadamente, incluir ou dispensar prestadoras “independentemente do porte”. A ressalva, portanto, é uma posição de partida, não uma garantia.

A obrigação que já vale: a senha padrão do CPE em comodato

O art. 8º, aquele que o art. 2º-A estende a todo mundo, é curto e específico:

“Art. 8º A prestadora deve alterar a configuração padrão de autenticação dos equipamentos fornecidos em regime de comodato aos seus usuários.
Parágrafo único. Cabe ao GT-Ciber estabelecer a relação dos equipamentos abrangidos e dispor sobre os aspectos de forma e procedimento relativos à medida de que trata o caput (…).”

Em português de campo: o roteador que você entrega ao assinante não pode sair com a senha de fábrica. Vale para o provedor de qualquer porte, é obrigação da prestadora — não do cliente —, e está em vigor desde a alteração de agosto de 2024.

Duas leituras práticas. Primeira: isso é processo de instalação, não de TI — quem provisiona o CPE precisa ter isso no roteiro, e o roteiro precisa deixar rastro. Segunda: o parágrafo único joga a lista de equipamentos abrangidos para o GT-Ciber, o grupo técnico da Agência; o alcance exato depende do que esse grupo definir, e é ali que se deve olhar antes de dimensionar o esforço.

O que a Anatel quer mudar — e por que alcança o pequeno porte

Há proposta em análise: a consulta pública do item 3 da Agenda Regulatória 2025-2026, processo nº 53500.018212/2024-54, hoje em “Análise pós-CP do Conselho Diretor”, com relatoria do conselheiro Edson Holanda. Ela é continuação do item 29 da agenda anterior.

⚠️ Cuidado com o número. No sistema da Anatel, essa consulta aparece como “Consulta Pública nº 32” — e existe hoje, em andamento, outra Consulta Pública nº 32, aberta em 15 de julho de 2026, que trata de limites máximos de espectro (item 16 da mesma agenda). A numeração das consultas recomeça a cada ano e a tela de visualização não mostra o ano, então o número sozinho não identifica a consulta. A desta seção é a do item 3, e ela já está fechada: não há janela para contribuir nela.

Conferimos artigo por artigo o que a minuta altera: arts. 1º, 5º, 7º, 10, 14 e 24 do RCiber, mais o Glossário do setor. O art. 2º não é tocado — a ressalva do pequeno porte, como está, continua.

Só que veja onde a mudança cai. O art. 5º é justamente um dos dois artigos de que o pequeno porte NÃO está dispensado, pelo § 2º transcrito acima. E é nele que entra o inciso novo:

“VI-A – quando aplicável, deve ocorrer a avaliação dos seguintes elementos relacionados à inteligência artificial, à computação quântica e a outras tecnologias emergentes: a) oportunidade e viabilidade de utilizar essas tecnologias com vistas a incrementar a segurança e resiliência das redes; e, b) identificação dos eventuais riscos trazidos pela utilização dessas tecnologias à Segurança Cibernética e das medidas de mitigação a serem adotadas.”

O mesmo art. 5º passa a mencionar expressamente os data centers que integram essas redes no rol de quem deve atuar em segurança cibernética.

E o art. 1º amplia o objetivo do regulamento: deixa de falar só em “segurança” e passa a falar em “segurança e resiliência” das redes e serviços — com a definição de Resiliência sendo acrescentada ao Glossário do setor (Resolução nº 779/2025) como a capacidade de resistir aos efeitos de um incidente.

Resumindo o que isso significa para quem é PPP: a ressalva não muda, mas o artigo que alcança você é o que está sendo alterado.

O artigo que transfere a exigência para o seu fornecedor

Fora do alcance direto do pequeno porte, mas decisivo no mercado, está a nova redação do art. 7º:

“A prestadora deve utilizar, no âmbito de suas redes e serviços, incluindo os data centers e serviços de computação em nuvem, produtos, equipamentos de telecomunicações e serviços provenientes de fornecedores que possuam política de segurança cibernética compatíveis com os princípios e diretrizes dispostos neste Regulamento, com os procedimentos operacionais da Anatel e que realizam processos de auditoria independente periódicos.
§ 1º A prestadora deve assegurar que os resultados do processo de auditoria (…) estejam disponíveis para a Anatel a qualquer momento, sempre que requisitados.”

Isso é exigência de cadeia: não basta a prestadora ter política — o fornecedor precisa ter, e precisa passar por auditoria independente periódica, com o resultado guardado à disposição da Agência. Quem compra equipamento vai ter de perguntar isso ao fabricante e ao distribuidor, e guardar a resposta.

Para o provedor de pequeno porte o efeito é indireto, e chega por dois caminhos: pelo contrato, quando ele vende capacidade ou atende como parceiro de uma prestadora maior; e pelo mercado de equipamentos, que tende a se ajustar ao que a norma exige do comprador grande.

O que fazer com isso

• Verifique hoje o provisionamento do CPE. A obrigação do art. 8º já vale para qualquer porte. Se o equipamento em comodato sai com credencial de fábrica, há descumprimento em curso — e é dos que se corrigem com processo, não com investimento.
• Não confunda “ressalvado” com “fora”. Princípios e diretrizes valem para você mesmo dispensado do resto, e a dispensa não afasta outras normas.
• Se for citar a ressalva, cite o artigo inteiro. Parar no caput do art. 2º é a origem do mal-entendido — a frase termina em “observado o disposto neste artigo”.
• Ao trocar de fornecedor, pergunte pela política e pela auditoria. Pela proposta, isso deixa de ser diferencial e vira requisito de quem compra — e corre em paralelo à outra régua do equipamento, a da homologação, cuja lista de condutas puníveis começa pelo uso.
• Guarde o registro do que você faz. Segurança cibernética é obrigação de meio, e quem não consegue mostrar o procedimento fica na mesma posição de quem não o adotou — a mesma lógica que vale para a lista de obrigações da prestadora de pequeno porte.

Vale lembrar que segurança de rede e obrigação de registro são coisas distintas e ambas existem: guardar corretamente o endereço e a porta lógica de origem no CGNAT é obrigação própria, que não se cumpre por ter política de segurança. E tudo isso pressupõe operar com outorga de SCM na Anatel, porque as obrigações do regulamento são das prestadoras.

O que este artigo não diz

A parte da minuta não está em vigor. Os dispositivos apresentados como proposta são de minuta submetida a consulta pública, em análise no Conselho Diretor. O que já vale hoje é o texto vigente da Resolução nº 740/2020, incluindo o art. 8º e o art. 2º-A.

Não conferimos os atos do GT-Ciber. A relação de equipamentos abrangidos pelo art. 8º e a forma de cumprimento cabem ao grupo técnico; não abrimos essas deliberações, e é lá que está o detalhe operacional.

Não tratamos do conceito de Prestadora de Pequeno Porte. O regulamento remete a “conceito definido na regulamentação”, que está no Plano Geral de Metas de Competição — e não foi objeto desta apuração.

Não lemos as contribuições da consulta pública. O item está em análise pós-consulta, e é aí que o texto ainda pode mudar.

Não apuramos fiscalização. Se e como a Anatel tem fiscalizado o art. 8º em provedores de pequeno porte é outra pergunta, que exigiria dados de fiscalização que não abrimos aqui.

Onde conferir

Fontes: Anatel — Resolução nº 740, de 21 de dezembro de 2020, que aprova o Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações e consta como vigente na base da Agência, de onde vêm, na íntegra, o art. 2º e seus §§ 1º a 3º, o art. 2º-A (incluído pela Resolução nº 767, de 7 de agosto de 2024) e os arts. 8º, 9º e 10; Anatel — texto integral da consulta pública do item 3 no sistema Participa Anatel (exibida como “Consulta Pública nº 32”; o endereço acima é o que identifica exatamente esta, porque o número se repete entre anos), de onde vêm a descrição do projeto e as novas redações propostas para os arts. 1º, 5º, 7º, 10, 14 e 24 e o acréscimo da definição de Resiliência ao Glossário; e Anatel — pacotes de dados abertos da Agenda Regulatória e de resoluções (arquivos de 3 de setembro de 2026), de onde vêm o número do processo, a fase do item 3, o relator e a vigência das resoluções citadas. Consultas feitas em 6 de setembro de 2026. A leitura conjunta do art. 2º com o art. 2º-A e com o art. 8º, e a observação de que a alteração proposta recai justamente sobre o art. 5º, são nossas.