Resumo

  • Uma ordem pode obrigar a operadora a retirar equipamentos sem lhe dar direito a indenização federal pelas perdas causadas pela emissão da ordem. A escolha de segurança pode atingir o investimento feito pela empresa.
  • Quem recebe a ordem, quem fiscaliza e quem precisa comunicar um incidente não seguem uma única contagem de prazo. O sigilo também não elimina todas as notificações.

Para quem usa a conexão, o que importa é ela funcionar. Para a operadora, há também a rede que comprou e mantém para entregar esse serviço. A nova lei canadense permite que o governo mande retirar equipamentos por segurança — e a empresa não pode presumir que o Estado cobrirá a perda financeira causada pela ordem.

Não se trata de relatar uma retirada já identificada, nem de anunciar aumento de tarifa. É uma possibilidade jurídica que torna a discussão menos distante: a decisão sobre a técnica pode vir do governo, enquanto o investimento está na empresa. Algumas ordens ainda podem impedir a divulgação de sua existência ou conteúdo.

A Telecommunications Act permite restringir produtos e serviços de um fornecedor ou exigir a retirada de equipamentos. E não garante uma conta paga pelo governo: a lei não dá direito a indenização federal pelas perdas financeiras decorrentes da emissão de uma ordem. Isso não prova que já houve prejuízo ou que a conta do cliente vai subir. Mostra quem não pode contar com uma compensação automática.

Há medidas menos visíveis do que uma retirada. O ministro pode mandar a empresa elaborar um plano de segurança, procurar falhas e corrigi-las, seguir padrões específicos ou manter sistemas de reserva. São tarefas diferentes, ligadas ao objetivo de proteger a rede e mantê-la funcionando.

E uma decisão anterior do regulador não encerra necessariamente o assunto. Se uma ordem de segurança contrariar uma decisão do CRTC, a ordem pode valer no lugar dela, apenas na parte em conflito. É esse o sentido prático da prioridade prevista na lei.

Isso leva a política de segurança para dentro das escolhas de operação e compra. Mas não elimina critérios: a medida precisa ser necessária e razoável diante da gravidade da ameaça, e a lei prevê considerações sobre operação, finanças, continuidade do serviço e privacidade. Um equipamento funcionar bem não encerra a discussão; chamar algo de ameaça também não dispensa justificativa.

O que a sanção real resolveu — e o que não resolveu

O projeto C-8 recebeu sanção real em 15 de junho de 2026. Conforme o comunicado de Public Safety Canada, as alterações na legislação de telecomunicações tiveram efeito imediato. Já o Critical Cyber Systems Protection Act, o CCSPA, foi concebido para implementação gradual.

O segundo regime trata de obrigações contínuas de classes designadas de operadores: programas de segurança, riscos da cadeia de fornecedores e comunicação de incidentes, entre outras. Ser uma empresa de telecomunicações não basta para concluir que todas essas exigências se aplicam.

Na consolidação oficial atualizada até 30 de setembro de 2026, o CCSPA ainda aparece como não vigente. É essa posição datada que o artigo registra, sem concluir que inexista algum ato posterior em outubro. Entrada em vigor, designação e regulamentos cumprem funções diferentes.

O número de 72 horas exige o mesmo cuidado. A lei manda os regulamentos definirem o prazo de comunicação de um incidente, limitado a 72 horas. Não é uma contagem regressiva imposta a todas as operadoras a partir da sanção. A comunicação vai ao Communications Security Establishment, seguida imediatamente de aviso e cópia ao regulador competente.

Sigilo não é a única regra sobre informação

Antes de proibir a divulgação da existência ou do conteúdo de uma ordem, a autoridade deve considerar fatores definidos em lei. Para uma ordem sem sigilo, as pessoas nela especificadas devem receber uma notificação com seu conteúdo em até sete dias. Quando há proibição de divulgação, NSICOP e NSIRA, os órgãos de supervisão de inteligência indicados no texto, devem ser informados em até 90 dias.

Há ainda a prestação de contas ao Parlamento. O artigo 15.21 exige um relatório anual com número e natureza das ordens, operadoras atingidas, cumprimento, revogações e razões, incluindo conflitos com decisões do CRTC. Outro dispositivo, o artigo 15.81, determina um resumo na internet em até dez dias depois que seu relatório for apresentado às duas câmaras. São caminhos de fiscalização, não uma promessa de que toda ordem sigilosa chegará imediatamente ao público.

Os limites de privacidade também continuam relevantes. A disposição ministerial proíbe ordenar interceptação com base no parágrafo 15.2(2), veda ordens para decodificar comunicações privadas criptografadas e preserva a Privacy Act. A existência dessas barreiras no texto não comprova, por si só, o resultado da fiscalização.

Para entender o alcance da lei, vale manter três perguntas distintas: o governo pode agir, agiu de fato, ou uma obrigação passou a valer para determinado operador? Uma única manchete não responde às três.

Correção de 21 de outubro de 2026: esta versão distingue poderes legais de ordens emitidas e esclarece as condições da comunicação de incidentes. A situação de vigência do CCSPA está expressamente vinculada à consolidação atualizada até 30 de setembro de 2026.