DECRETO Nº 12.573, DE 4 DE AGOSTO DE 2025

Prevê atualização, divulgação e implementação da Política Nacional de Cibersegurança e elaboração de modelo nacional de maturidade em cibersegurança.

Prevê formação técnico-profissional, redução do débito tecnológico e incentivo à capacidade de avaliação continuada de conformidade em produtos, serviços e tecnologias de cibersegurança.

Estimula o uso de sistema para troca segura de informações no âmbito da cibersegurança.

Incentiva o setor privado a ofertar produtos, serviços e tecnologias em cibersegurança, especialmente para microempresas, empresas de pequeno porte e startups.

Estimula parcerias com institutos de pesquisa, linhas de pesquisa, bolsas de estudo e desenvolvimento de produtos, serviços e tecnologias nacionais de cibersegurança.

Define que o Plano Nacional de Cibersegurança conterá iniciativas estratégicas discriminadas, cronograma de execução e governança das ações e atividades.

Condiciona a publicação do Plano Nacional de Cibersegurança à anuência dos órgãos e entidades públicas integrantes do Comitê Nacional de Cibersegurança.

Determina que o Plano Nacional de Cibersegurança será proposto pelo Comitê Nacional de Cibersegurança e submetido à aprovação do Ministro Chefe do GSI.

Revoga expressamente o Decreto nº 10.222/2020, que aprovava a Estratégia Nacional de Segurança Cibernética anterior.

Estabelece entrada em vigor do Decreto nº 12.573/2025 na data de sua publicação.

Estabelece que os objetivos da Política Nacional de Cibersegurança serão alcançados por meio da E-Ciber.

Determina que os eixos temáticos da E-Ciber serão implementados por ações estratégicas detalhadas no Plano Nacional de Cibersegurança.

Institui a Estratégia Nacional de Cibersegurança, estruturada em quatro eixos: proteção social, resiliência de serviços críticos, cooperação e soberania/governança.

Define ciberativos como ativos digitais e ciberameaça como circunstância ou evento de ciberofensa com potencial de impacto adverso.

Define cibercrime, ciberefeito e ciberincidente para fins da E-Ciber, conectando ciberofensa, dano, indisponibilidade e efeito real ou potencial.

Define ciberofensa, cibersegurança e ciber-risco, com foco em ações no ciberespaço, medidas de proteção e possibilidade de incidente.

Define tecnologia da informação e tecnologia operacional como conjuntos de ciberativos voltados ao processamento de dados e ao comando de processos industriais.

Fixa o objetivo de criar condições seguras para uso de serviços digitais, com atenção a crianças, adolescentes, pessoas idosas e pessoas neurodivergentes.

Inclui ações de incentivo à atuação segura no ciberespaço, expansão de apoio às vítimas e promoção de identificação e autenticação de usuários.

Prevê capacitação de professores e gestores, inclusão de cibersegurança nos currículos e participação em fóruns e atividades técnicas.

Prevê incentivo a iniciativas de orientação a microempresas, empresas de pequeno porte e startups sobre gestão de riscos e retomada pós-incidentes.

Prevê avaliação de planos flexíveis de conformidade para pessoas jurídicas de direito público e incentivo a planos de contingência, testes e simulações.

Prevê prevenção e combate a cibercrimes, divulgação da Convenção sobre Crime Cibernético, aprimoramento de canais de notificação e capacitação de persecução penal.

Fixa o objetivo de fornecer instrumentos efetivos para prevenção e resposta a ciberincidentes em serviços essenciais e infraestruturas críticas.

Estimula entidades regulatórias a promover gestão de riscos e medidas de proteção e resposta a ciberincidentes nos respectivos setores.

Prevê mecanismos de regulação, fiscalização e controle para segurança, resiliência e continuidade de serviços essenciais e infraestruturas críticas.

Prevê mecanismos de alerta de risco em serviços digitais e desenvolvimento de lista de alto risco de cibersegurança para gestão setorial.

Prevê aprimoramento contínuo de atos normativos de cibersegurança e aperfeiçoamento da segurança na interoperabilidade de dados e canais digitais.

Estimula prestadores de serviços essenciais e operadores de infraestruturas críticas a adotar mecanismos de mitigação de riscos, como seguro contra ciberincidentes.

Incentiva exercícios e simulações setoriais e multissetoriais regulares para aprimorar a resiliência de serviços essenciais e infraestruturas críticas.

Estimula padrões mínimos de segurança para dados relevantes e sensíveis e a criação de selo nacional de certificação de alto nível de segurança de ciberativos.

Incentiva empresas brasileiras a contratar produtos e serviços que adotem padrões mínimos de cibersegurança.

Fixa objetivo de promover debate e intercâmbio de informações de cibersegurança entre órgãos e entidades públicas e privadas, em âmbito nacional e internacional.

Estimula a criação e o desenvolvimento de equipes de prevenção e resposta a incidentes, centros de análise e compartilhamento de informações e laboratórios especializados.

Incentiva a criação de mecanismo nacional de notificação de ciberincidentes.

Incentiva cooperação entre instituições acadêmicas e agências para ações de cibersegurança, compartilhamento de informações, divulgação coordenada de vulnerabilidades e combate a ilícitos.

Prevê apoio à capacidade de cibersegurança de países do entorno estratégico brasileiro e participação do País em fóruns internacionais de cibersegurança.

Fixa objetivo de proteger os interesses da sociedade brasileira no ciberespaço e garantir ambiente cibernético confiável para crescimento econômico e tecnológico.