← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem

China exige aviso de incidente em 1 a 4 horas: o que as empresas fazem

Desde novembro de 2025, a China exige aviso de incidentes cibernéticos graves em 1 a 4 horas. Veja critérios, prazos e o que empresas estrangeiras devem fazer.

2026-10-11

Desde 1º de novembro de 2025 vigoram na China as Medidas de Notificação de Incidentes de Cibersegurança, editadas pela Administração do Ciberespaço (CAC) em setembro. Elas fixam alguns dos prazos mais curtos do mundo: uma hora para operadores de infraestrutura crítica e quatro horas para os demais. Qualquer empresa que opere redes ou sistemas na China continental, inclusive subsidiárias de grupos estrangeiros, precisa estar preparada.

Quem está sujeito

Todos os operadores de rede na China: donos, administradores e prestadores de serviço de redes, inclusive operadores de infraestrutura crítica (CIIOs) e órgãos públicos. As medidas padronizam deveres já previstos na Lei de Cibersegurança, na Lei de Segurança de Dados e na PIPL.

Os níveis de gravidade

Critério	Particularmente grave	Grave	Relativamente grave
Dados pessoais vazados	>100 milhões de pessoas	>10 milhões	>1 milhão
Prejuízo direto	>100 mi de yuans	>20 mi	>5 mi
Queda total de infraestrutura crítica	>6 horas	>1 hora	>10 minutos

Basta atingir um critério. Vazamento de "dados importantes" é no mínimo relativamente grave. Incidentes "gerais" ficam fora dos prazos curtos.

Os prazos

Infraestrutura crítica: 1 hora para o órgão setorial e a polícia; casos graves sobem à CAC e ao Ministério da Segurança Pública em 30 minutos.
Órgãos públicos: 2 horas.
Demais operadores: 4 horas para a CAC provincial.
Relatório final: em até 30 dias após o encerramento, com causa, resposta, impacto e lições.

O relatório deve trazer dados do sistema, tipo e nível do incidente, medidas tomadas, valor e forma de pagamento exigidos em caso de ransomware, causa preliminar e pistas forenses. O setor financeiro tem regra paralela do banco central, desde agosto de 2025: aviso breve em 1 hora e detalhado em 24 horas.

Quando o relógio começa

As medidas não dizem exatamente quando começa a contagem; o escritório Latham & Watkins entende que é a partir do conhecimento do incidente. Se a causa ou o impacto ainda não forem conhecidos no prazo, a empresa deve enviar o que sabe e complementar depois. Os canais incluem a linha 12387 e a plataforma on-line da CAC. Também é obrigatório que contratos com prestadores de TI e segurança prevejam aviso imediato de incidentes detectados.

Penalidades

As medidas não fixam multas próprias; a omissão é punida pelas três leis-base. Com a Lei de Cibersegurança revisada, em vigor desde janeiro de 2026, as multas chegam a 10 milhões de yuans para empresas e 1 milhão para pessoas físicas em casos graves. Quem tinha proteções razoáveis, seguiu seu plano e reportou no prazo pode ter a pena reduzida ou perdoada.

Comparação

O prazo de quatro horas para operadores comuns é muito mais apertado que os quatro dias úteis que a SEC dá a empresas abertas nos EUA, contados a partir da decisão sobre materialidade. A diferença reflete o objetivo: o regime chinês serve para dar ao Estado visão em tempo real, e não para informar investidores. Regras setoriais podem exigir aviso mesmo abaixo dos limites nacionais.

O que empresas estrangeiras devem fazer

Mapear sistemas e dados na China para classificar a gravidade rapidamente.
Criar um anexo China no plano global de resposta, com responsáveis locais autorizados a notificar em quatro horas sem esperar a matriz.
Preparar modelos de relatório em chinês com todos os campos exigidos.
Identificar contatos na CAC provincial e nos órgãos setoriais.
Revisar contratos com fornecedores para exigir aviso imediato e apoio na notificação.
Treinar com simulações, inclusive à noite e no fim de semana.
Coordenar com outras regras (SEC, GDPR, LGPD) que o mesmo incidente pode acionar.

Segundo o escritório Linklaters, empresas sem operação na China não têm obrigação direta, mas podem ser alcançadas por contrato-padrão de transferência de dados, que exige avisar o parceiro chinês sobre vazamentos, e pelo alcance extraterritorial da PIPL.