*Por Edson Holanda – Visitar a estação de amarração do EllaLink em Sines reconfigura a percepção de escala. Alguns pares de fibra óptica, cada um mais fino que um cabo de rede doméstico, sustentam a rota direta entre a Europa e a América do Sul, com ancoragem em Fortaleza.
O que a visita revelou, além da dimensão física da infraestrutura, foi algo menos visível e mais urgente: a operadora do cabo intercontinental está sujeita, simultaneamente, a regimes de cibersegurança que definem incidente de forma diferente, exigem requisitos diferentes, cobram evidências diferentes e acionam autoridades diferentes. E é exatamente nas costuras entre esses regimes que as ameaças mais sofisticadas tendem a operar.
Tome-se o caso demonstrativo. Um operador de cabo submarino com pontos de presença no Brasil e na Europa concilia, no mínimo, cinco camadas normativas simultâneas. Na ponta brasileira, o R-Ciber (Resolução Anatel nº 740/2020, ampliada pela Resolução nº 767/2024) sujeita as operadoras de cabo com destino internacional a controle prévio da Agência, notificação de incidentes relevantes e avaliação de fornecedores. Quando o incidente envolve dados pessoais, soma-se camada autônoma: a comunicação à ANPD prevista na LGPD, com definição, prazo e autoridade próprios. Na ponta portuguesa, o Decreto-Lei n.º 125/2025, que transpõe a Diretiva NIS2, impõe nove áreas obrigatórias de gestão de risco, com coimas que podem chegar a 10 milhões de euros ou 2% do faturamento global anual. No meio do caminho, normas ISO/IEC e exigências contratuais de clientes globais, e, havendo ancoragem nos Estados Unidos, as novas regras da FCC, vigentes desde novembro de 2025, que exigem certificação de planos de gestão de risco de cibersegurança e segurança física.
Nenhuma dessas camadas foi desenhada em referência às demais. Para o operador multijurisdicional, isso significa montar e manter aparatos de conformidade em duplicidade ou triplicidade para exigências que, no mérito, buscam o mesmo resultado. O custo deixou de ser estimativa impressionista: estudo publicado pela GSMA com a Frontier Economics em novembro de 2025 apurou que as operadoras móveis gastam entre US$ 15 e 19 bilhões por ano em atividades essenciais de cibersegurança — com projeção de US$ 40 a 42 bilhões até 2030 — e que regulação fragmentada desvia esses recursos da mitigação real de ameaças: uma operadora relatou que até 80% do tempo de sua equipe de operações é consumido por auditorias e conformidade, e não por detecção e resposta. E o problema não é exclusivo dos cabos: repete-se em data centers, energia, transportes e aviação, setores que constroem, cada qual no seu ritmo, seus marcos de cibersegurança. Se cada país redigir o seu, esse custo será replicado, setor a setor, sem ganho proporcional de segurança.
O principal fórum internacional do setor tomado como exemplo não cobre essa lacuna — por escolha. O International Advisory Body for Submarine Cable Resilience (IAB), lançado em 2024 pela UIT e pelo ICPC, concluiu em julho de 2026 seu mandato de dois anos, restrito deliberadamente à resiliência física: licenciamento, reparo, diversidade de rotas. A camada cibernética ficou de fora porque Estados tratam informação de incidente cibernético como matéria adjacente à inteligência. Com o encerramento do mandato, a pergunta que se abre é qual arquitetura o sucede — e com qual escopo.
A boa notícia é que parte deste problema já foi resolvida: esse é o caso do setor da telefonia móvel. O 3GPP funcionou por uma separação funcional simples: a indústria desenvolve as especificações técnicas; a UIT as reconhece como padrões aplicáveis globalmente. Nenhum país cedeu soberania regulatória; todos ganharam interoperabilidade. Essa arquitetura já foi estendida à cibersegurança na camada de equipamentos: sobre as especificações de garantia de segurança do 3GPP (SCAS), a GSMA construiu o NESAS, e a ENISA os adotou como base técnica do marco europeu de certificação 5G. O fabricante atende uma vez ao piso comum, e esse mesmo atendimento vale como ponto de partida em múltiplos mercados.
A outra dimensão — harmonizar taxonomia de classificação de incidentes, estrutura do dossiê de notificação e métricas de severidade, justamente onde a GSMA localizou os 80% do tempo perdido — também não é terreno inexplorado. Nos Estados Unidos, o Cyber Incident Reporting Council mapeou 52 obrigações federais de notificação e identificou os mesmos atritos: definições, prazos, conteúdo do relatório e mecanismo de envio. Na União Europeia, o pacote Digital Omnibus propõe um Single-Entry Point — interface única de notificação capaz de satisfazer simultaneamente NIS2, GDPR, DORA e regimes setoriais. O que nenhum dos dois movimentos faz, porque nenhum precisa fazer, é atravessar fronteira de soberania. A aposta genuinamente nova é de escala, não de espécie: levar essa mesma arquitetura ao plano transjurisdicional, entre Estados que não compartilham Constituição, Comissão ou Congresso.
Convém precisar o que se propõe e o que não se propõe. Não se trata de reconhecimento mútuo de notificações de incidente: cada autoridade precisa continuar recebendo a sua, porque cada uma aciona sua própria cadeia de resposta e supervisão. O que é convergível não é o ato de notificar mas o requisito que o disciplina. A proposta: para cada setor de infraestrutura crítica, um piso técnico comum — taxonomia de incidentes, estrutura mínima do dossiê, métricas de severidade, requisitos de garantia para as classes de equipamento próprias do setor, desenvolvido pela indústria sob governança formal, com participação aberta, política de propriedade intelectual e consenso auditável, para que a coordenação técnica entre concorrentes não se converta em coordenação concorrencial, e incorporado por referência pelos reguladores nacionais, como a ENISA fez com as SCAS. O operador continua notificando cada autoridade, mas prepara um único aparato de conformidade, válido como ponto de partida em todos os mercados em que opera. É a diferença entre manter cinco máquinas de compliance e manter uma máquina com cinco adaptadores.
O ponto de partida natural é o domínio submarino, setor pequeno em número de atores, altíssimo em criticidade, já parcialmente regulado nas duas pontas do Atlântico e sem qualquer especificação de garantia para suas classes de equipamento, dos terminais de linha submarina à planta molhada. O eixo para a semente une um regime setorial consolidado, o R-Ciber, a um recém-implantado sob a NIS2, o do Decreto-Lei n.º 125/2025 — convergência que não nascerá universal, mas plurilateral, crescendo por adesão. E o fórum de convocação é o arranjo sucessor do IAB, com a UIT exercendo função rigorosamente análoga à que já exerce, sem controvérsia, na chancela do sistema IMT: reconhecer um formato técnico, não governar conteúdo. Provado o arranjo no domínio submarino, o modelo torna-se replicável, especificação a especificação, a data centers, energia, transportes e aviação.
Uma delimitação final é indispensável. Padronização técnica atesta conformidade, com olhar para o produto e o processo e a convergência a requisitos verificáveis. Ela não atesta confiança, que reside no juízo sobre se um fornecedor, dada sua jurisdição de origem, deve ser admitido em infraestrutura crítica é soberano e indelegável e, permanece, expressamente, na esfera de cada país.
O prêmio é duplo, para as empresas, a redução de um custo de conformidade que o próprio setor já mensurou em dezenas de bilhões de dólares e que cresce a cada novo regime desalinhado, e, para os reguladores, equipes de segurança que voltam a gastar seu tempo com ameaças, e não com formulários. Para o Brasil, cuja posição nas rotas digitais do Atlântico Sul só tende a ganhar densidade, o interesse é participar do desenho desse piso comum. O momento é preciso diante do mandato do IAB encerrado, onde a arquitetura que o sucederá está, neste exato momento, em aberto. É nessa abertura que as agendas se definem.
As opiniões aqui expressas são pessoais e não refletem a posição institucional da Anatel.
* Edson Holanda é conselheiro diretor da Anatel com mandato até 4 de novembro de 2029, presidente do Gaispi, advogado e doutorando em Direito Constitucional pelo Instituto Brasileiro de Ensino, Desenvolvimento e Pesquisa (IDP).
O post Um 3GPP para a cibersegurança apareceu primeiro em TeleSíntese.
