Summary

  • Em junho de 2026, o GAO identificou 117 normas federais em vigor com exigências de cibersegurança para empresas em nove setores de infraestrutura crítica, editadas por 37 órgãos. Oitenta exigiam ao menos um de três tipos de relato; 48 tratavam de incidentes.
  • Definições, gatilhos, prazos, conteúdo e destinos podem se sobrepor ou entrar em conflito. O número 80 indica potencial de duplicação entre categorias de exigências, não 80 relatórios repetidos por uma mesma empresa.
  • A coordenação cabia ao Office of the National Cyber Director, ONCD. Até julho de 2026, a nova estratégia nacional não tinha um plano de execução publicado que definisse lideranças e próximos passos.

A primeira hora tem dois trabalhos

O ataque exige investigação. O operador encontra sinais, testa hipóteses, isola o que pode e mantém o serviço que não pode cair. A autoridade pública precisa de avisos cedo o bastante para entender um risco que pode atravessar empresas e setores. Os dois trabalhos dividem o tempo e, às vezes, as mesmas pessoas. Quando cada regulador define de modo próprio o incidente que quer conhecer, a equipe de resposta passa a administrar vários cronômetros legais sobre uma ocorrência técnica ainda aberta.

O relatório do GAO de julho de 2026 mostra o tamanho da arquitetura. Foram 117 normas estabelecidas por 37 órgãos federais para entidades privadas de nove setores críticos. Destas, 80 exigiam entrega proativa de pelo menos um de três grupos de informação: incidentes, planos ou dados técnicos, e auditorias ou avaliações concluídas. As contagens por grupo foram 48, 52 e 25. Uma norma pode entrar em mais de um grupo; por isso, o conjunto das 80 contém ao menos 125 exigências classificadas por tipo.

As 48 normas de comunicação de incidentes pertenciam a 27 órgãos. Na versão integral da auditoria, as diferenças aparecem em cinco perguntas práticas: que acontecimento merece relato, que gravidade aciona a obrigação, quando começa o prazo, quais fatos devem constar e para onde a mensagem segue. A investigação técnica pode começar com um indício e só depois descobrir sua dimensão. A obrigação legal pede uma decisão antes que todas as peças estejam sobre a mesa. Quanto mais interpretações a equipe precisa conciliar, mais difícil se torna manter coerentes os avisos enviados em horários diferentes.

O próprio GAO delimitou o que sua contagem prova. Ele agrupou regras que pedem o mesmo tipo de informação e identificou possíveis duplicações ou conflitos. Não demonstrou que cada uma das 80 regras imponha a uma empresa um segundo formulário para o mesmo incidente, nem mediu um custo em dólares ou minutos perdidos. A prova que falta é um cruzamento aplicado a um operador específico: atividades cobertas, normas incidentes, gatilhos, prazos, campos e destinatários. É ali que uma exigência realmente distinta se separa de trabalho duplicado.

Quinze regras financeiras, muitas combinações

No setor financeiro, uma empresa pode estar sujeita a mais de uma das quinze regras de incidentes já existentes, conforme seu negócio. Bancos, mercados de capitais, comércio de commodities e outras atividades têm supervisores próprios. Cada um tem interesse legítimo em receber informações relacionadas ao seu risco. A empresa com atividades cruzadas, porém, precisa transformar um único diário de investigação em respostas juridicamente corretas para destinatários diferentes.

A auditoria também examinou a futura norma transversal da Cyber Incident Reporting for Critical Infrastructure Act, CIRCIA. Em julho de 2026 ela era uma proposta e não fazia parte das 117 normas estabelecidas. A CISA havia cogitado uma exceção para relatos substancialmente semelhantes, permitindo que uma única entrega satisfizesse dois regimes. Para o operador, essa solução só passa a existir quando a regra final define quem pode usá-la, quais dados são suficientes, quem encaminha a informação e que recibo vale perante cada autoridade. A obrigação não termina com um botão chamado «enviar».

Planos e auditorias seguem lógica parecida. Um fornecedor do governo que atende mais de uma agência pode ter de entregar documentação semelhante de segurança várias vezes. Certas empresas de transporte podem enfrentar exigências de planos sob até sete regras federais, dependendo do que fazem. A agência vê o arquivo recebido. O operador mantém versões, datas, justificativas e comprovantes de envio. Essa manutenção se torna uma infraestrutura administrativa própria, paga fora do orçamento do órgão que a pediu.

Há um coordenador; falta a rota de operação

O Congresso deu ao ONCD a função de coordenar a harmonização das normas federais de cibersegurança. O Cyber Incident Reporting Council produziu recomendações que o Department of Homeland Security apresentou em 2023, inclusive modelos para definir incidentes, prazos e gatilhos. Um fórum interagências de reguladores explorou caminhos de alinhamento. A estratégia nacional de março de 2026 prometeu diminuir encargos improdutivos e aproximar autoridades e setor privado.

O GAO verificou entregas mais modestas. O fórum estava inativo desde o fim de 2024. Em maio de 2026, o DHS não havia informado o andamento de suas oito recomendações. O GAO pediu informações ao ONCD em setembro de 2025 e junho de 2026 e não tinha recebido resposta até esse junho. Em julho, o plano de execução da nova estratégia ainda não havia sido publicado. Permanecia aberta a pergunta que interessa ao plantão: quem resolve divergências entre prazos e quem atesta que um aviso entregue a um órgão também cumpriu a exigência de outro?

Um inventário público poderia responder sem expor o conteúdo sensível de incidentes. Para cada norma, ele registraria quem está coberto, o evento que dispara o relógio, o prazo, os campos, o destino, a possibilidade legal de reaproveitar uma entrega e o recibo necessário. O governo deveria apontar quem atualiza o inventário. Um exercício com uma empresa sujeita a duas famílias de regras mostraria o caminho de um relato, os encaminhamentos internos e as horas consumidas pela defesa técnica e pelo trabalho administrativo.

Relatórios tempestivos ajudam a proteger serviços. A timidez em coordenar seus destinatários tem custo próprio. Antes de acrescentar mais uma caixa de entrada, Washington precisa mostrar a quem pertence o relógio que toca primeiro.

Fontes: página oficial do GAO; relatório original do GAO.