Imagem coneceito reproduzida pela InfoDot
O Marco Legal da Cibersegurança não vai regular sua empresa. Seu cliente público vai.
O PL 4.752/2025 não cria obrigação horizontal para o setor privado. Cria algo mais silencioso e mais decisivo: um critério de elegibilidade comercial que chega ao fornecedor por edital, não por multa.
CIBERSEGURANÇAGOVERNOMERCADOINFRAESTRUTURATECNOLOGIA
Por Ismael Junior, Arrow Security
9/9/20263 min read
Circula no mercado a versão de que o Marco Legal da Cibersegurança traria agência fiscalizadora e multas milionárias para empresas privadas. Não é o que diz o PL 4.752/2025. O recorte do projeto é a administração pública, e a adesão de empresas ao Programa Nacional de Segurança e Resiliência Digital é voluntária. Mas concluir daí que o texto é irrelevante para o setor privado é o erro maior dos dois.
O dispositivo comercialmente decisivo não está em nenhum capítulo de penalidades. Está na governança de risco da cadeia de suprimentos. O projeto determina que os entes participantes avaliem o risco cibernético de seus fornecedores e prevê que a autoridade nacional poderá criar um índice de maturidade e confiabilidade de fornecedores, além de restringir soluções descontinuadas ou sem suporte do fabricante.
Traduzido para quem opera contrato público: o órgão contratante deixa de ser apenas comprador e passa a avaliador de risco de terceiros. A conformidade não desce do Estado por fiscalização. Sobe pela cadeia, por edital, cláusula contratual e critério de habilitação. A LGPD produziu exatamente esse efeito muito antes de qualquer sanção relevante da ANPD. O PL apenas institucionaliza o mesmo mecanismo dentro do maior comprador do país.
As consequências são previsíveis. Questionário de segurança deixa de admitir declaração sem evidência. Maturidade cibernética vira atributo comparável entre concorrentes, com efeito sobre habilitação e preço. Sistema fora de suporte deixa de ser dívida técnica interna e passa a ser impedimento contratual. Nada disso depende de multa. Tudo depende de contrato.
O projeto está na Comissão de Ciência e Tecnologia do Senado, com decisão terminativa, sob relatoria do senador Jorge Seif e com emendas em análise. O texto final ainda pode ampliar consideravelmente o alcance sobre o setor privado.
Fica então a pergunta que nenhuma diretoria deveria adiar:
quanto do seu faturamento depende de contratos que serão renovados nos próximos dezoito meses?
Porque a conta de não estar pronto não chega como multa.
Chega como silêncio. Chega no dia em que o edital exige evidência de maturidade e a empresa descobre, com quinze dias de prazo, que não tem inventário de ativos nem política aprovada pela direção. Chega na renovação que não acontece porque o órgão precisa demonstrar que avaliou seus fornecedores e ninguém conseguiu responder com documento. Chega quando o concorrente responde com evidência e você responde com promessa.
Empresa nenhuma quebra por cibersegurança no dia do ataque. Quebra devagar, perdendo o direito de disputar.
Adequação virou custo de permanecer no jogo, e quem trata isso como despesa adiável já está pagando, apenas ainda não recebeu o extrato.
Ismael Junior é CEO e cofundador da Arrow Security.
