Em resumo. O setor público brasileiro entrou na rota preferencial do cibercrime em 2026 e a régua regulatória mudou junto. As notificações de ataque a órgãos públicos passaram de 1.500 por mês no começo de 2025 para mais de 4.600 em 2026, com uma em cada quatro investidas mirando prefeitura. No mesmo intervalo, a Autoridade Nacional de Proteção de Dados (ANPD) listou o Poder Público entre os quatro eixos prioritários de fiscalização e o PPSI 2.0 entrou em vigor em janeiro integrando LGPD e Gabinete de Segurança Institucional. O regulamento de incidente fixou três dias úteis para a notificação. A pergunta a fazer agora é mais antiga do que a manchete: o programa de privacidade do seu órgão opera de fato ou continua só publicado?
Por que o poder público virou alvo preferencial em 2026?
Porque o setor concentra dado, opera com fornecedor terceirizado em cadeia longa e costuma ter recurso defensivo aquém do volume de tráfego. A esses fatores se soma a régua regulatória: a ANPD agora tem o tratamento de dados pessoais pelo Poder Público como um dos quatro eixos de fiscalização do biênio 2026-2027.
Os números ajudam a calibrar o tamanho do problema. As notificações de ataques cibernéticos a órgãos públicos brasileiros saltaram de aproximadamente 1.500 por mês no começo de 2025 para mais de 4.600 por mês em 2026, segundo levantamento consolidado em maio. Dos incidentes registrados no Painel da Security Report em 2025, 26% miraram administrações municipais.
A semana confirma o padrão. Em 18 de março, a Anatel notificou acesso não autorizado ao sistema de registro de operadores de estação de radioamador. Em abril, o vazamento da Dígitro atingiu um fornecedor que atende mais de 150 instituições governamentais e órgãos de segurança pública. Em 15 de maio, a Prefeitura de Poços de Caldas registrou tentativa de ataque ao portal institucional; a estrutura técnica conteve a ameaça antes que o dado fosse exposto e o impacto se restringiu à alteração de uma imagem em uma página. O contraste importa, porque mostra que existe quem está preparado.
O que mudou no marco regulatório aplicável ao setor público?
Três peças andaram juntas e fecharam o cerco. Primeiro, a ANPD publicou em dezembro de 2025 o Mapa de Temas Prioritários 2026-2027, listando o tratamento de dados pessoais pelo Poder Público como um dos quatro eixos de fiscalização, ao lado de direitos dos titulares, proteção de crianças e adolescentes e inteligência artificial. Segundo, o governo federal lançou em 31 de outubro de 2025, pela Portaria SGD/MGI nº 9.511, o Programa de Privacidade e Segurança da Informação (PPSI) 2.0, vigente desde 1º de janeiro de 2026, agora alinhado à Lei Geral de Proteção de Dados Pessoais (LGPD) e às diretrizes do Gabinete de Segurança Institucional (GSI). Terceiro, o Regulamento de Comunicação de Incidentes de Segurança, a Resolução CD/ANPD nº 15/2024, exige notificação em três dias úteis a contar do momento em que o controlador toma conhecimento do incidente.
A mudança não é só de papel. Os órgãos federais que adotaram o PPSI desde 2023 elevaram em 28% a maturidade média em privacidade e segurança da informação, segundo o Ministério da Gestão e da Inovação em Serviços Públicos em novembro de 2025. Mais de 250 órgãos passaram a participar dos ciclos. A evidência aponta na direção que defendemos há tempos: o ponteiro da maturidade se move quando o programa é estruturado e rodado em ciclos. Política impressa no Diário Oficial, em isolado, fica como peça documental.
Como saber se o programa do seu órgão opera ou só publica?
Cinco indicadores separam um programa que opera de um conjunto de documentos esquecidos numa pasta.
Inventário de operações vivo. Existe um mapa de tratamento atualizado nos últimos 90 dias, com base legal por finalidade, tempo de retenção e nominação do operador. Sem isso, qualquer comunicação à ANPD em três dias úteis vira improviso.
Plano de resposta a incidente testado. A equipe rodou simulação no último semestre, com papéis, cadência, árvore de decisão e gatilhos definidos. O PPSI 2.0 traz metodologia e modelos para isso e a Resolução 15/2024 da ANPD detalha o conteúdo da notificação.
Cadeia de fornecedor mapeada. O caso Dígitro recordou que o risco entra pela porta do operador crítico. Programa que opera tem due diligence técnica e jurídica do fornecedor de dados, cláusulas executáveis e canal de comunicação de incidente com prazo de atendimento. Anexo de minuta sem teste não conta.
Encarregado com mandato real. O Encarregado pelo Tratamento de Dados Pessoais (DPO) do órgão participa das decisões de tecnologia e jurídico, com canal direto para a alta administração e orçamento próprio. Encarregado decorativo é vulnerabilidade.
Cultura mensurável. O órgão sabe responder qual o letramento dos servidores em privacidade e segurança, qual o nível de exposição comportamental e onde está o gap. Sem medida de comportamento, o programa segue refém da boa intenção das pessoas.
E quando o incidente acontece, como responder?
A sequência tem cinco movimentos. Notificar a ANPD em até três dias úteis a contar do conhecimento do incidente, conforme a Resolução CD/ANPD nº 15/2024. Comunicar os titulares afetados quando houver risco ou dano relevante. Conter a propagação técnica para impedir que o incidente continue acontecendo enquanto a investigação roda. Preservar evidência forense, com cadeia de custódia dos registros (logs), porque a apuração administrativa e a possível responsabilização vão pedir. Revisar o controle que falhou e atualizar o plano, com prazo para nova simulação. Quem descobre o incidente porque o cidadão reclamou no portal do órgão já está atrasado em dois ciclos.
A diferença prática entre o órgão preparado e o órgão exposto não está na lei aplicável, que é a mesma para todos. Está na cadência com que o programa roda, no encarregado que decide com mandato e na medição que diz onde o risco real está. O PPSI 2.0 oferece o framework, os ciclos e o método. A adesão é a decisão de governança que cada órgão precisa tomar.
Transparência: esta peça foi pesquisada e estruturada com apoio de IA, sob edição e responsabilidade do autor. A capa carrega Content Credentials (C2PA) com a procedência da imagem.
