← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem
Como montar um plano de resposta a incidentes: as primeiras 72 horas
Como agir nas primeiras 72 horas de um ciberataque: contenção, provas, prazos de notificação no Brasil, nos EUA e na UE, comunicação e checklist prático.
O relógio de um incidente cibernético começa a correr muito antes de a empresa entender o que aconteceu. Em 72 horas, uma organização pode precisar conter o ataque, preservar provas, avisar a seguradora, notificar reguladores em mais de um país e falar com clientes. Quem improvisa nesse período quase sempre perde prazo, dados ou reputação.
O NIST atualizou em abril de 2025 seu guia de resposta a incidentes, o SP 800-61 Rev. 3, que substituiu a versão de 2012 e integra a resposta à gestão de risco do Cybersecurity Framework 2.0 (NIST). A mensagem central: a resposta começa na preparação, não no alarme.
Antes do incidente: o plano no papel
- Comitê de crise com nomes e substitutos: TI/segurança, jurídico, privacidade (DPO/encarregado), comunicação, finanças e a alta administração.
- Critérios de severidade e de quem decide desligar sistemas, acionar a seguradora ou considerar pagamento de resgate.
- Contatos prontos: seguradora, advogado, empresa de forense, autoridades e fornecedores críticos.
- Canais alternativos de comunicação, caso e-mail e chat corporativos estejam comprometidos.
- Mapa regulatório com os prazos aplicáveis em cada país e setor.
- Exercícios simulados pelo menos uma vez por ano.
Horas 0 a 24: conter e preservar
- Confirme o incidente e registre a hora em que a empresa tomou conhecimento; muitos prazos legais contam a partir daí.
- Isole sistemas afetados sem apagar evidências: imagens de disco, logs e memória valem mais do que uma reinstalação apressada.
- Troque credenciais expostas, a começar pelas privilegiadas.
- Acione a seguradora antes de contratar fornecedores, para não perder cobertura.
- Abra um registro cronológico de decisões; ele será pedido por reguladores e advogados.
- Avalie se há prazos de 4 ou 24 horas aplicáveis (DORA, NIS2, CIRCIA).
Horas 24 a 72: avaliar e notificar
É a fase em que o jurídico assume o protagonismo. A tabela resume os principais prazos no Brasil, nos EUA e na UE:
| Jurisdição / norma | Prazo | Para quem |
|---|---|---|
| Brasil – LGPD (Res. CD/ANPD 15/2024) | 3 dias úteis | ANPD e titulares |
| UE – GDPR (art. 33) | 72 horas | Autoridade de proteção de dados |
| UE – NIS2 | 24h alerta / 72h notificação / 1 mês relatório final | CSIRT ou autoridade nacional |
| UE – DORA | 4h após classificar (máx. 24h) / 72h / 1 mês | Autoridade financeira |
| EUA – SEC (8-K, item 1.05) | 4 dias úteis após concluir que é material | Investidores (empresas abertas) |
| EUA – CIRCIA (regra final pendente) | 72h incidente / 24h pagamento de resgate | CISA |
| EUA – leis estaduais | 30 a 60 dias em 20 estados; demais "sem demora injustificada" | Consumidores e, em 36 estados, procurador-geral ou agência |
Brasil
A Resolução CD/ANPD nº 15/2024 fixa 3 dias úteis para comunicar à ANPD e aos titulares, contados de quando o controlador sabe que o incidente afetou dados pessoais. Agentes de pequeno porte têm prazo em dobro. Informações complementares podem ser enviadas em até 20 dias úteis, e os registros devem ser guardados por pelo menos cinco anos (Cescon Barrieu).
União Europeia
No GDPR, a notificação à autoridade deve ocorrer em até 72 horas após a ciência da violação, salvo quando improvável que gere risco aos titulares; se o risco for alto, os titulares também devem ser informados, e todas as violações precisam ser documentadas (AEPD). A NIS2 exige alerta em 24 horas, notificação em 72 horas e relatório final em um mês (Freshfields). No setor financeiro, o DORA pede notificação inicial em até 4 horas após a classificação como grave e no máximo 24 horas após a ciência (FMA).
Estados Unidos
Empresas abertas devem divulgar incidentes materiais no formulário 8-K em quatro dias úteis após concluir pela materialidade, decisão que deve ser tomada sem demora injustificada; o procurador-geral pode adiar a divulgação por razões de segurança nacional (Hunton). A lei CIRCIA prevê 72 horas para incidentes e 24 horas para pagamentos de resgate em infraestrutura crítica, mas a regra final ainda estava em revisão na Casa Branca em outubro de 2026 (Paubox). Nos estados, 20 fixam prazos de 30 a 60 dias para avisar consumidores, e 36 exigem aviso ao procurador-geral ou a outra agência (Privacy Rights Clearinghouse).
Em caso de ransomware, a OFAC considera a comunicação rápida às autoridades e a cooperação integral fatores atenuantes relevantes (OFAC).
Comunicação: o que dizer e quando
- Fale cedo, com fatos confirmados, e evite especular sobre causa ou autoria.
- Alinhe a mensagem com jurídico e seguradora antes de publicar.
- Diga aos clientes o que eles devem fazer (trocar senha, monitorar contas, desconfiar de contatos).
- Prepare porta-vozes e um FAQ para atendimento.
- Comunique funcionários antes da imprensa, para evitar vazamentos desencontrados.
- Atualize em intervalos previsíveis, mesmo sem novidades.
Checklist das primeiras 72 horas
- Hora da ciência registrada.
- Sistemas isolados e evidências preservadas.
- Seguradora e advogado acionados.
- Prazos regulatórios mapeados por país e setor.
- Notificações enviadas ou agendadas.
- Mensagem pública e interna aprovada.
- Registro de decisões atualizado.
Fonte
- NIST – SP 800-61 Rev. 3: Incident Response Recommendations and Considerations
- Cescon Barrieu – ANPD aprova o Regulamento de Comunicação de Incidente de Segurança
- AEPD – Notification of a personal data breach to the supervisory authority
- Freshfields – NIS2 Directive
- FMA (Áustria) – DORA ICT-related incidents
- Hunton – SEC finalizes cybersecurity disclosure requirements
- Paubox – CIRCIA final rule: White House review (out. 2026)
- Privacy Rights Clearinghouse – Data breach notification laws: 50-state survey (2026)
- OFAC – Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments