R-Ciber: Resolução Anatel nº 740/2020
Regulamento de Segurança Cibernética aplicada às telecomunicações. Exige política de segurança, diretor responsável, gestão de riscos, avaliação de fornecedores e notificação de incidentes relevantes à Anatel.
Início › Mercados regulados › Telecomunicações
Mercados regulados · Telecomunicações
Telecom: a rede é infraestrutura crítica.
Operadoras de telefonia e internet seguem o Regulamento de Segurança Cibernética da Anatel (R-Ciber), regras de segurança para equipamentos e medidas contra golpes por telefone. Tudo isso convive com o sigilo das comunicações, o Marco Civil da Internet e a LGPD.
Em uma frase: operadoras de interesse coletivo precisam de política de segurança cibernética aprovada pelo conselho, avaliação independente de vulnerabilidades, fornecedores confiáveis e notificação de incidentes relevantes à Anatel, e todas devem trocar a senha padrão dos equipamentos entregues aos clientes.
Quem precisa cumprir
O núcleo do R-Ciber vale para as prestadoras de interesse coletivo, exceto as de pequeno porte. Algumas regras alcançam todas.
Prestadoras de telefonia e internet de interesse coletivoTodas as prestadoras, em senha padrão e notificação de incidentesOperadoras de cabo submarino e de atacado de alta capacidadeFabricantes de equipamentos e roteadoresProvedores de conexão e de aplicações (Marco Civil)
As regras que importam
O que cada norma pede, em linguagem direta.
Resolução Anatel nº 767/2024
Atualizou o R-Ciber: todas as prestadoras devem trocar a senha padrão dos equipamentos em comodato e notificar a Anatel sempre que houver comunicação de incidente à ANPD. Incluiu nuvem na política.
Ato nº 77/2021: equipamentos
Segurança desde o projeto: sem senhas em branco, fracas ou iguais entre aparelhos, sem portas escondidas e com atualizações de segurança por pelo menos 2 anos.
Ato nº 2.436/2023: roteadores e modems
Requisitos mínimos para equipamentos na casa do cliente: senha forte de no mínimo 8 caracteres, atualizações gratuitas, canal para relatar vulnerabilidades e suporte em português.
RGST: Resolução Anatel nº 777/2025
Exige autenticar as chamadas originadas na rede, para combater números falsificados, e medidas contra fraude cadastral. O prazo para autenticar todas as chamadas vai até cerca de outubro de 2028.
Sigilo, Marco Civil e LGPD
O sigilo das comunicações é garantido pela Constituição e pela Lei Geral de Telecomunicações. O Marco Civil fixa a guarda de registros de conexão e de acesso, e a LGPD vale para os dados dos clientes.
Números para não esquecer
1 anode guarda dos registros de conexão (Marco Civil, art. 13)
6 mesesde guarda dos registros de acesso a aplicações (art. 15)
2 anosde atualizações de segurança, no mínimo, para os equipamentos
8 caracterestamanho mínimo da senha dos roteadores, com maiúscula, minúscula, número e símbolo
3 dias úteispara comunicar incidente de risco relevante à ANPD e aos titulares
5 anosde registro dos incidentes com dados pessoais
O que precisa existir na prática
Exigências do R-Ciber, com a redação da Resolução 767/2024, e das regras de equipamentos.
Política de segurança cibernéticaCompatível com o porte, aprovada pelo conselho, revisada periodicamente e com um resumo público na internet.
Diretor e ponto focalEstrutura interna, diretor designado e contato para urgências com a Anatel.
Avaliação independente de vulnerabilidadesCiclos de avaliação de vulnerabilidades, ameaças e riscos feitos por entidade independente, com resultado enviado à Anatel.
Mapa da infraestrutura críticaMapeamento da rede e das infraestruturas críticas, com hierarquia definida e compartilhado com a Anatel.
Fornecedores confiáveisProdutos de fornecedores que tenham política de segurança e passem por auditoria independente.
Senha padrão trocadaEquipamentos entregues ao cliente em comodato não podem ficar com a senha de fábrica.
Nuvem e dados dos usuáriosRegras para nuvem e processamento de dados, e armazenamento seguro das informações dos clientes.
Plano de resposta a incidentesPlano formal e compartilhamento de informações sobre incidentes em ambiente sigiloso com o setor.
Se acontecer um incidente
O R-Ciber pede notificação de incidentes relevantes à Anatel, na forma definida pelo grupo técnico de segurança cibernética (GT-Ciber), e a LGPD pede comunicação à ANPD.
- Contenha e preserveIsole o que foi afetado e preserve os registros, respeitando o sigilo das comunicações.
- Notifique a AnatelIncidentes relevantes que afetem a rede ou os dados dos usuários, com causa, impacto e medidas de mitigação.
- Comunique a ANPD e os titularesEm até 3 dias úteis, se houver risco ou dano relevante. Nesse caso, a Anatel também deve ser notificada.
- Avise quem foi afetadoOutras prestadoras e usuários, conforme o caso.
- Compartilhe e registreCompartilhe informações no ambiente sigiloso do setor e registre o incidente por pelo menos 5 anos.
Como a VORIK LABS ajuda
Cada exigência ligada a um serviço concreto.
Avaliação independenteAvaliação de vulnerabilidades e pentest de rede por equipe independente, como pede o R-Ciber.
Política e plano de respostaPolítica de segurança cibernética, plano de resposta e exercícios com a diretoria.
Equipamentos e roteadoresTestes de segurança em CPEs e roteadores frente aos Atos 77 e 2.436.
Antifraude e treinamentoCampanhas contra golpes de portabilidade, SIM swap e falsas centrais.
Conteúdo informativo, atualizado em 18 de outubro de 2026. Ele resume as normas em linguagem simples e não substitui a leitura do texto oficial nem uma análise do seu caso.
Fontes oficiais: