Segurança Cibernética na Rede Elétrica em 2026

A transformação do setor elétrico está criando uma infraestrutura mais distribuída, digital e dependente de diferentes tecnologias.

Recursos energéticos distribuídos, plataformas em nuvem, telecomunicações, sistemas de controle remoto, equipamentos conectados e novos modelos de geração e consumo passam a fazer parte de um ecossistema cada vez mais complexo.

Nesse cenário, confiabilidade e cibersegurança deixam de ser discussões separadas.

Em agosto de 2024, a North American Electric Reliability Corporation (NERC) e a National Electrical Manufacturers Association (NEMA) assinaram um memorando de entendimento estabelecendo uma estrutura de cooperação para troca de experiências, informações e dados selecionados. O objetivo era melhorar a coordenação de atividades relacionadas à confiabilidade, resiliência e segurança do sistema elétrico norte-americano.

Em 2026, aquela iniciativa já pode ser analisada dentro de uma discussão mais ampla:

como modernizar a rede elétrica sem criar novos caminhos para que um incidente cibernético produza impacto operacional?

A Rede Elétrica Está Mudando e o Risco Também

O memorando entre NERC e NEMA surgiu em um momento de transformação da infraestrutura elétrica. Na ocasião, a própria NERC destacou que novas demandas estavam sendo impostas aos equipamentos que sustentam a operação da rede e que uma colaboração antecipada com fabricantes seria importante para a confiabilidade do sistema.

Essa discussão ganhou novos contornos em 2026.

No Critical Infrastructure Protection Roadmap, publicado em janeiro, a NERC identifica diferentes cenários que precisam ser considerados na evolução da proteção da infraestrutura elétrica.

Entre eles estão comprometimento de telecomunicações públicas utilizadas pelo setor, ataques contra plataformas de agregadores de recursos energéticos distribuídos e riscos associados a carregadores de veículos elétricos conectados à rede.

Isso mostra uma mudança importante.

A superfície de risco do setor elétrico não termina mais necessariamente dentro de uma subestação ou de um centro de operação.

Ela pode envolver:

telecomunicações → serviços em nuvem → fornecedores → acesso remoto → sistemas de controle → DERs → dispositivos conectados → infraestrutura operacional.

Por isso, proteger a rede exige compreender não apenas seus ativos, mas também as dependências e os caminhos digitais capazes de chegar até funções críticas.

Recursos Distribuídos Criam Novos Cenários de Segurança

Um dos pontos que eu acrescentaria à versão de 2026 é a expansão dos Distributed Energy Resources (DERs).

A NERC inclui em seu roadmap um cenário no qual uma plataforma de gerenciamento de um agregador de DERs baseada em nuvem é comprometida. Nesse cenário hipotético, comandos maliciosos poderiam ser enviados simultaneamente a milhares de inversores, produzindo efeitos sobre a rede.

O ponto importante não é afirmar que todo recurso distribuído representa uma vulnerabilidade.

É entender a mudança de escala.

Um único equipamento comprometido pode ter consequências limitadas. Mas milhares de equipamentos coordenados por uma mesma plataforma, fornecedor ou infraestrutura digital criam dependências que precisam ser consideradas na análise de risco.

Isso coloca questões de cibersegurança muito antes da operação:

Quem controla esses equipamentos?

Como os comandos são autenticados?

Quais plataformas possuem capacidade de atuar sobre vários ativos simultaneamente?

Como terceiros acessam esses ambientes?

O que acontece caso uma plataforma central seja comprometida?

Quanto maior a capacidade de controle digital sobre ativos distribuídos, mais importante se torna entender quem pode exercer esse controle e sob quais condições.

Telecomunicações Também Fazem Parte da Superfície de Risco

Outra evolução relevante é reconhecer que a segurança da rede elétrica depende de infraestruturas que nem sempre pertencem diretamente às empresas do setor.

No roadmap de 2026, a NERC apresenta como cenário de risco o comprometimento de empresas de telecomunicações que poderia permitir interceptação, modificação, exfiltração ou interrupção de tráfego associado à infraestrutura de operadores da rede elétrica.

Essa interdependência muda a pergunta de segurança.

Não basta perguntar:

“Nossos sistemas estão protegidos?”

Também é necessário perguntar:

“De quais sistemas externos nossa operação depende para continuar funcionando?”

Telecomunicações, serviços digitais, fornecedores, plataformas remotas e componentes tecnológicos passam a fazer parte dessa equação.

Fabricantes Também Participam da Segurança da Operação

Esse é um ponto que merece mais destaque do que recebia no artigo antigo.

O MoU entre NERC e NEMA não representava apenas uma cooperação institucional. Ele aproximava uma organização responsável pela confiabilidade do sistema elétrico de uma entidade que representa fabricantes de equipamentos e tecnologias elétricas.

Essa aproximação continua fazendo sentido porque parte do risco cibernético entra na organização junto com a tecnologia adquirida.

Em janeiro de 2025, CISA, NSA e parceiros publicaram o Secure by Demand, recomendando que proprietários e operadores de OT considerem requisitos de segurança já durante a seleção de produtos digitais, incluindo aspectos como configuração segura, logging, identidade, vulnerabilidades e suporte do fabricante.

Portanto, a segurança da rede não começa apenas quando um equipamento entra em produção.

Ela começa na definição de requisitos, passa pela escolha do fornecedor e continua durante todo o ciclo de vida da tecnologia.

Cadeia de Suprimentos Passa a Ser Risco Operacional

A própria NERC coloca supply chain attacks entre os riscos cibernéticos considerados em seu planejamento estratégico para 2026, ao lado de ransomware, malware, ameaças internas e externas, vulnerabilidades em dispositivos conectados, cloud security e riscos envolvendo inteligência artificial.

Isso amplia a discussão sobre infraestrutura crítica.

Uma empresa pode possuir controles maduros dentro de seu próprio ambiente e ainda assim depender de:

fabricantes;

integradores;

softwares de terceiros;

firmwares;

serviços de manutenção;

acessos remotos;

componentes;

plataformas externas.

A questão deixa de ser apenas:

“Nosso fornecedor é seguro?”

E passa a ser:

“Se esse fornecedor ou essa tecnologia for comprometido, até onde esse incidente pode chegar dentro da nossa operação?”

Zero Trust Precisa Ser Adaptado à Realidade OT

O artigo anterior colocava Zero Trust praticamente como uma recomendação direta para reduzir riscos.

Em 2026, eu deixaria esse ponto mais preciso.

Em abril, CISA, DOE, FBI e outros parceiros publicaram uma orientação específica sobre adaptação dos princípios de Zero Trust para ambientes OT.

O documento reforça redução da confiança implícita, visibilidade de ativos, gestão de identidade e acesso, segurança da cadeia de suprimentos, segmentação e comunicações seguras, mas reconhece que a aplicação em OT precisa considerar infraestrutura legada, restrições operacionais e requisitos de segurança física e disponibilidade.

Isso é importante porque Zero Trust não significa simplesmente instalar uma nova tecnologia ou bloquear qualquer atividade considerada suspeita.

Em OT, uma decisão de segurança também precisa considerar:

“O que acontece com o processo físico se esse acesso for interrompido?”

A proteção precisa reduzir caminhos de ataque sem criar novos riscos para a própria operação.

Visibilidade e Segmentação Continuam Fundamentais

Quanto mais distribuído e conectado se torna o ambiente, maior a necessidade de conhecer seus ativos e suas comunicações.

Isso envolve saber:

quais equipamentos existem;

quais funções executam;

com quais sistemas se comunicam;

quais possuem acesso externo;

quem pode acessá-los remotamente;

de quais serviços dependem;

e qual seria o impacto caso fossem comprometidos.

A segmentação continua sendo uma camada importante, mas precisa estar conectada a essa compreensão do ambiente.

A orientação da CISA para OT publicada em 2025 recomenda reduzir conexões desnecessárias à internet, fortalecer acesso remoto e autenticação e melhorar a separação entre ambientes para diminuir a possibilidade de uma intrusão evoluir até sistemas operacionais.

Portanto, o objetivo não é simplesmente separar IT e OT.

É controlar quais caminhos existem entre sistemas, quem pode utilizá-los e até onde cada caminho permite chegar.

Do Compliance para a Gestão de Risco

Eu também mudaria bastante a antiga seção de governança e conformidade.

Normas e requisitos continuam importantes, mas conformidade não é sinônimo automático de segurança.

Frameworks como a IEC 62443 podem apoiar arquitetura, processos e controles para ambientes industriais, enquanto requisitos regulatórios estabelecem expectativas mínimas para determinados setores.

Mas o objetivo final precisa continuar sendo a redução do risco operacional.

No Brasil, a RO-CB.BR.01 do ONS estabelece controles mínimos de segurança cibernética para o Ambiente Regulado Cibernético. Entre os temas abordados estão arquitetura tecnológica, governança, inventário de ativos, gestão de vulnerabilidades, gestão de acessos, monitoramento e resposta a incidentes. A rotina foi originalmente introduzida em 2021 e passou por revisões posteriores; portanto, eu retiraria do artigo qualquer ideia de que se trata de uma iniciativa recente.

O próprio ONS iniciou novo processo de discussão para aprimoramento da rotina, com evolução regulatória prevista para continuar em 2026.

Isso mostra que governança de segurança não deveria ser tratada como um projeto concluído após a adequação a determinado requisito.

À medida que arquitetura, ameaças e tecnologias mudam, os riscos precisam ser reavaliados.

Resiliência Significa Preparar a Operação para o Incidente

O artigo anterior associava resiliência principalmente à prevenção.

Em 2026, eu ampliaria esse conceito.

Nenhuma arquitetura consegue garantir que um incidente nunca acontecerá.

Por isso, resiliência também significa possuir capacidade para:

detectar → compreender → conter com segurança → manter funções críticas → recuperar a operação.

Isso exige que segurança, IT, engenharia e operação saibam antecipadamente quais sistemas são indispensáveis e quais alternativas existem caso determinados recursos se tornem indisponíveis.

Em ambientes elétricos, essa discussão ganha ainda mais importância porque uma indisponibilidade pode ultrapassar a organização responsável pelo ativo e afetar outros serviços dependentes de energia.

A pergunta deixa de ser apenas:

“Como impedimos um ataque?”

E passa a incluir:

“Se um incidente acontecer, quais funções precisam continuar disponíveis para que a operação permaneça segura?”

Segurança da Rede Elétrica em 2026

O memorando assinado por NERC e NEMA em 2024 continua sendo um bom exemplo de uma tendência que se tornou ainda mais clara: a proteção da infraestrutura elétrica não pode ser responsabilidade isolada de uma única área ou organização.

Operadores, fabricantes, fornecedores, integradores, empresas de telecomunicações, equipes de segurança, IT, engenharia e OT fazem parte de um mesmo ecossistema.

Em 2026, a NERC já incorpora em seu planejamento cenários envolvendo DERs, telecomunicações, dispositivos conectados, cadeia de suprimentos, cloud e até riscos associados à IA.

Para a Cyrex Security, isso reforça uma visão importante: cibersegurança no setor elétrico precisa estar conectada à continuidade operacional.

Não basta proteger cada tecnologia individualmente.

É preciso entender como ativos, acessos, fornecedores, plataformas e dependências se conectam às funções que mantêm a operação funcionando.

Porque a pergunta mais importante não é:

“Nossa rede está conectada?”

É:

“Se uma dessas conexões for comprometida, até onde um atacante pode chegar e qual seria o impacto para a operação?”