Esta página faz parte do nosso guia para montar um plano de resposta a incidentes e detalha a etapa 3, a matriz de notificação. Para uma tabela de prazos por país, veja prazos de notificação de incidentes e vazamentos por país.
Obrigações de comunicação a reguladores, titulares e clientes
As obrigações dependem de onde você opera, de onde moram as pessoas afetadas e do seu setor. Um incidente que atinge clientes em vários países pode disparar vários prazos ao mesmo tempo, cada um com seu regulador, seu critério e seu prazo. Conter o incidente não elimina nenhuma dessas obrigações. A matriz de notificação da etapa 3 do guia lista cada regime que se aplica a você e responde a seis perguntas:
- Quais leis, reguladores e contratos se aplicam, considerando onde você opera, de quem são os dados e em que setor você atua?
- Que tipo de incidente é: um incidente com dados pessoais, a interrupção de um serviço regulado, ou os dois?
- O incidente atinge o critério do regime? A maioria só exige comunicação acima de certo nível de risco ou impacto.
- Quando você tomou conhecimento? A maioria dos prazos conta a partir desse momento, então registre-o.
- Quem precisa ser informado (um regulador, os titulares, clientes, a seguradora), quem decide, quem comunica e por qual canal?
- Qual é o prazo, e que complementos ou relatórios são exigidos depois da primeira comunicação?
As regras brasileiras abaixo mostram como isso funciona na prática. Em seguida, há um resumo para outras jurisdições importantes.
O controlador deve comunicar à ANPD e aos titulares o incidente de segurança que possa causar risco ou dano relevante (art. 48 da LGPD e Resolução CD/ANPD nº 15/2024). Pela resolução, isso acontece quando o incidente pode afetar significativamente interesses e direitos fundamentais dos titulares e envolve pelo menos um destes fatores: dados sensíveis; dados de crianças, adolescentes ou idosos; dados financeiros; dados de autenticação em sistemas; dados protegidos por sigilo legal, judicial ou profissional; ou dados em larga escala.
O prazo é de três dias úteis a partir do conhecimento de que o incidente afetou dados pessoais, e os titulares devem ser avisados no mesmo prazo. A comunicação à ANPD é feita pelo formulário eletrônico da autoridade, por meio do encarregado, e pode ser complementada em até 20 dias úteis. Para agentes de pequeno porte, os prazos contam em dobro. Registre todos os incidentes, inclusive os que você decidir não comunicar, com a avaliação feita, e guarde o registro por pelo menos cinco anos.
Instituições autorizadas a funcionar pelo Banco Central devem comunicar ao BC, de forma tempestiva, os incidentes relevantes (Resoluções CMN nº 4.893/2021 e BCB nº 85/2021, atualizadas pelas Resoluções CMN nº 5.274/2025 e BCB nº 538/2025). O prazo interno e os critérios de relevância ficam na política de segurança cibernética da instituição, e o registro do incidente fica disponível para a fiscalização. Se a sua empresa presta serviços a bancos, o contrato provavelmente exige que você avise a instituição rapidamente; nosso artigo sobre o que a CMN 5.274 e a BCB 538 exigem dos fornecedores explica por quê.
A notificação ao CERT.br é voluntária, mas ajuda na coordenação quando o ataque envolve outras redes. Se houver crime, como extorsão ou fraude, registre um boletim de ocorrência.
Fora do Brasil
Os principais regimes em outros países, em resumo. Cada um tem seu próprio critério de notificação, e alguns valem só para certos setores ou portes de empresa. Nosso artigo sobre prazos de notificação de incidentes por país detalha cada regime, com links para as fontes oficiais.
| Regime | Quem comunica a quem | Prazo |
|---|---|---|
| União Europeia (GDPR) | Controlador à autoridade de proteção de dados; titulares quando o risco é alto | 72 horas após a ciência, quando viável |
| União Europeia (NIS2) | Entidades essenciais e importantes ao CSIRT ou à autoridade competente | Alerta inicial em 24 horas, notificação em 72 horas e relatório final em um mês |
| União Europeia (DORA) | Entidades financeiras à autoridade competente, em incidentes graves de TIC | Notificação inicial em 4 horas após a classificação como grave e no máximo 24 horas após a ciência; relatório intermediário em 72 horas; relatório final em um mês |
| Reino Unido (UK GDPR) | Controlador ao ICO; titulares quando o risco é alto | 72 horas após a ciência, quando viável |
| Reino Unido (NIS Regulations) | Operadores de serviços essenciais e provedores de serviços digitais à autoridade competente | 72 horas após a ciência |
| EUA (estados) | Organizações aos residentes afetados e, muitas vezes, ao procurador-geral do estado | Varia por estado; Colorado, Flórida e Washington exigem 30 dias |
| EUA (HIPAA) | Entidades de saúde aos titulares, ao HHS e, acima de 500 residentes de um estado, à imprensa | 60 dias após a descoberta; casos com menos de 500 pessoas vão ao HHS uma vez por ano |
| EUA (SEC) | Empresas listadas aos investidores, pelo Form 8-K, em incidentes materiais | Quatro dias úteis após concluir que o incidente é material; essa conclusão deve vir sem demora injustificada |
| Austrália | Organizações ao OAIC e aos titulares; empresas com faturamento a partir de A$3 milhões ao ASD em caso de pagamento de resgate | Incidentes com dados: assim que possível; pagamentos de resgate: 72 horas |
| Índia | A maioria das organizações ao CERT-In, nos tipos de incidente listados | Seis horas após a ciência |
| Canadá | Organizações privadas ao Privacy Commissioner e aos titulares | Assim que possível, quando há risco real de dano significativo |
Se você opera em vários países da UE, defina com antecedência qual autoridade é a principal para você e registre isso no plano. Se opera nos EUA, considere também comunicar ataques à CISA e ao IC3 do FBI e verifique se o seu setor tem regras próprias.
Muitas organizações adiam a comunicação enquanto tentam entender toda a extensão do incidente. Pela LGPD, os três dias úteis contam a partir do momento em que você sabe que o incidente afetou dados pessoais, e não de quando consegue confirmar o tamanho do problema. A ANPD não exige o quadro completo na primeira comunicação: comunique no prazo com o que você sabe e complemente em até 20 dias úteis, à medida que a investigação avança.
