Resolução Normativa ANEEL nº 964/2021
Define as diretrizes e o conteúdo mínimo da política de segurança cibernética dos agentes do setor elétrico. Está em vigor desde 1º de julho de 2022.
Início › Setores › Energia elétrica
Setores regulados · Energia elétrica
Energia: um ataque à rede apaga mais que sistemas.
Desde 1º de julho de 2022, todos os agentes do setor elétrico precisam ter política de segurança cibernética nos termos da Resolução Normativa ANEEL nº 964/2021. Quem opera instalações da rede básica também segue os controles mínimos do Operador Nacional do Sistema (ONS).
Em uma frase: todo agente do setor elétrico precisa de política de segurança cibernética aprovada pelo conselho, dirigente responsável, modelo de maturidade aplicado todo ano, simulações de resiliência e notificação imediata dos incidentes de maior impacto.
Quem precisa cumprir
A REN 964 alcança todo o setor, de geradoras a comercializadoras.
Concessionárias, permissionárias e autorizadas de geração, transmissão e distribuiçãoComercializadoras de energiaEntidades que operam o sistema ou comercializam energia (como ONS e CCEE)Gestoras de recursos de encargos setoriaisPrestadores de serviços que manuseiam informações críticas dos agentes
As regras que importam
O que cada norma pede, em linguagem direta.
Conteúdo mínimo da política
Objetivos de prevenção e resposta, classificação de dados, controles técnicos e de rastreabilidade, critérios de relevância de incidentes, exigências para prestadores, cultura de segurança e simulações de cenários e ameaças.
Governança da política
Aprovação pelo conselho de administração ou órgão colegiado equivalente, dirigente responsável designado, ponto focal para urgências, revisão periódica e disponibilidade à ANEEL quando solicitada.
Notificação e compartilhamento
Incidentes de maior impacto devem ser notificados à equipe de coordenação setorial assim que o agente souber do incidente e de sua dimensão. O compartilhamento de ameaças com outros agentes deve ser sigiloso e não pode ficar restrito ao próprio grupo.
Rotina Operacional RO-CB.BR.01
Controles mínimos de segurança cibernética para o Ambiente Regulado Cibernético (ARCiber), que inclui os centros de operação dos agentes e a troca de informações com o ONS. Está em revisão: o ONS abriu consulta em dezembro de 2025.
LGPD e Agência Nacional de Proteção de Dados
Os dados de consumidores e colaboradores estão protegidos pela LGPD. A notificação à ANEEL não substitui a comunicação à ANPD e aos titulares em até 3 dias úteis quando houver risco ou dano relevante.
Os três erros mais comuns
O que mais aparece nos diagnósticos do setor.
Não definir o que é incidente de maior impactoA REN 964 deixa a classificação de severidade com o próprio agente. Sem critério escrito, a notificação atrasa ou nem acontece.
Modelo de maturidade feito uma vez sóA aplicação deve ser anual. Muitos agentes fizeram o primeiro ciclo em 2022 e não repetiram.
Tratar TI e operação como mundos separadosA norma pede mecanismos para que incidentes na rede corporativa não afetem a operação, o que exige segmentação e testes conjuntos.
Números para não esquecer
1º/7/2022início da vigência da REN ANEEL 964
1 por anoaplicação de pelo menos um modelo de maturidade em segurança cibernética
Imediatanotificação do incidente de maior impacto, assim que houver ciência dele e de sua dimensão
3 dias úteispara comunicar incidente com dados pessoais de risco relevante à ANPD e aos titulares
5 anosde registro dos incidentes com dados pessoais
O que precisa existir na prática
Exigências da REN ANEEL 964, que a ANEEL pode pedir a qualquer momento junto com o comprovante de aprovação.
Política aprovada pelo conselhoCompatível com a relevância da instalação no Sistema Interligado Nacional e com a sensibilidade dos dados, revisada periodicamente.
Dirigente responsável e ponto focalResponsabilidades definidas por pessoa e área, com contato para urgências.
Modelo de maturidade anualPelo menos um modelo de maturidade aplicado todo ano, com resultados guardados para envio quando solicitados.
Dados classificadosClassificação dos dados e informações por relevância e proteção reforçada das informações críticas.
Rastreabilidade e controles técnicosMedidas técnicas que garantam a segurança das informações críticas, inclusive rastreabilidade.
Simulações de resiliênciaCenários e ameaças simulados para testar ferramentas, capacidade e tempo de resposta.
Rede corporativa e rede operacionalMecanismos para impedir que incidentes na rede de informação cheguem à operação das instalações.
Prestadores no mesmo nívelPrestadores que manuseiam informações críticas com controles compatíveis com os do próprio agente.
Cultura e capacitaçãoPrograma de capacitação, avaliação periódica do pessoal e compromisso visível da alta administração.
Se acontecer um incidente
A REN 964 pede notificação imediata dos incidentes de maior impacto, definidos pela classificação de severidade do próprio agente.
- Contenha e proteja a operaçãoIsole o que foi afetado e impeça que o incidente chegue às instalações e ao sistema elétrico.
- Classifique a severidadeUse os critérios da política para saber se é um incidente de maior impacto.
- Notifique a coordenação setorialAssim que souber do incidente e de sua dimensão, com causa, impacto e ações de mitigação. Avise o ONS se o ambiente operacional for afetado.
- Avalie os dados pessoaisSe houver risco ou dano relevante aos titulares, comunique a ANPD e os titulares em até 3 dias úteis.
- Registre e compartilheRegistre causa, impacto e controle dos efeitos e compartilhe as ameaças de forma sigilosa com o setor.
Como a VORIK LABS atende, pilar por pilar
Cada exigência ligada a um pilar e a um serviço concreto.
VORIK REGULATÓRIODiagnóstico de aderência à REN ANEEL 964 e aos controles do ONS, com mapa de lacunas por instalação.
VORIK COMPLIANCEPolítica de segurança cibernética, matriz de severidade de incidentes, plano de resposta e materiais para aprovação pelo conselho.
VORIK INTELIGÊNCIAAcompanhamento de normas da ANEEL e da revisão da rotina do ONS, e avaliação de prestadores que acessam informações críticas.
VORIK CYBERAvaliação de maturidade anual, pentest na rede corporativa, simulações de cenários e campanhas antiphishing para as equipes.
Conteúdo informativo, atualizado em 18 de outubro de 2026. Ele resume as normas em linguagem simples e não substitui a leitura do texto oficial nem uma análise do seu caso.
Fontes oficiais: