Portaria nº 7.062/2026
Institui o Plano de Resposta e Comunicação de Incidentes de Segurança com Dados Pessoais no âmbito da Agência Nacional de Energia Elétrica - ANEEL (PRIS-DP/ANEEL).
PORTARIA Nº 7.062, DE 23 DE FEVEREIRO DE 2026
Institui o Plano de Resposta e Comunicação de Incidentes de Segurança com Dados Pessoais no âmbito da Agência Nacional de Energia Elétrica - ANEEL (PRIS-DP/ANEEL).
O DIRETOR-GERAL DA AGÊNCIA NACIONAL DE ENERGIA ELÉTRICA - ANEEL, no uso de suas atribuições regimentais, conforme deliberação da Diretoria, e com fundamento no art. 4º., inciso I, do Regimento Interno, aprovado pela Portaria nº 6.980 , de 16 de junho de 2025, bem como na Lei nº 13.709 , de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD),
considerando a necessidade de estabelecer procedimentos padronizados e coordenados para a resposta a incidentes de segurança envolvendo dados pessoais, e o que consta no Processo nº 48500.003132/2026-26, RESOLVE:
Art. 1º Aprovar o Plano de Resposta e Comunicação de Incidentes de Segurança com Dados Pessoais da Aneel (PRIS-DP/ANEEL), na forma estabelecida no Anexo integrante desta Portaria.
Art. 2º O Anexo desta Portaria encontra-se disponível no endereço eletrônico https://biblioteca.aneel.gov.br/.
Art. 3º Esta Portaria entra em vigor na data de sua publicação.
SANDOVAL DE ARAÚJO FEITOSA NETO
Este texto não substitui o publicado no D.O. de 26.02.2026, seção 1, p. 64, v. 164, nº 38.
ANEXO À PORTARIA Nº 7.062, DE 23 DE FEVEREIRO DE 2026
PLANO DE RESPOSTA E COMUNICAÇÃO DE INCIDENTES DE SEGURANÇA COM DADOS PESSOAIS DA ANEEL (PRIS-DP/ANEEL)
TÍTULO I
DAS DISPOSIÇÕES GERAIS
CAPÍTULO I
DA FINALIDADE E DOS OBJETIVOS
Art. 1º Fica instituído, no âmbito da Agência Nacional de Energia Elétrica (ANEEL), o Plano de Resposta e Comunicação de Incidentes de Segurança com Dados Pessoais (PRIS-DP/ANEEL), na forma desta Portaria e de seus Anexos.
Art. 2º O PRIS-DP/ANEEL complementa os instrumentos institucionais de governança e segurança da informação, em especial:
I - a Política de Segurança da Informação e Comunicação (POSIC), aprovada pela Portaria nº 6.143 , de 2019; e
II - o Programa de Governança em Privacidade (PGP/ANEEL), instituído pela Portaria nº 7.026 , de 2025.
Art. 3º O PRIS-DP/ANEEL tem como referência o Guia de Resposta a Incidentes de Segurança da Secretaria de Governo Digital do Ministério da Gestão e da Inovação em Serviços Públicos (SGD/MGI), bem como as normas e orientações expedidas pela Autoridade Nacional de Proteção de Dados (ANPD), em especial a Resolução CD/ANPD nº 15, de 2024.
Art. 4º O PRIS-DP/ANEEL tem por finalidade estabelecer diretrizes, responsabilidades e fluxos de atuação para assegurar resposta coordenada, ágil, rastreável e eficaz a incidentes de segurança com dados pessoais sob a custódia da ANEEL.
Art. 5º São objetivos do PRIS-DP/ANEEL:
I - orientar as unidades organizacionais quanto à atuação diante de incidentes de segurança com dados pessoais, assegurando respostas documentadas, tempestivas e fundamentadas;
II - padronizar procedimentos internos de registro, análise, comunicação e mitigação de incidentes, em conformidade com a legislação vigente e as boas práticas de segurança da informação e privacidade;
III - assegurar o cumprimento da LGPD e das normas complementares da ANPD;
IV - preservar a integridade institucional, a credibilidade da ANEEL e a confiança dos titulares de dados pessoais;
V - fortalecer a governança em privacidade, em sinergia com o PGP/ANEEL e a POSIC;
VI - estimular a melhoria contínua dos controles técnicos e administrativos, a partir da análise de causas e do registro de lições aprendidas; e
VII - promover a ANEEL como referência em proteção de dados pessoais no âmbito da administração pública.
CAPÍTULO II
DO ESCOPO E DA APLICABILIDADE
Art. 6º Esta Portaria aplica-se a todos os servidores, colaboradores, prestadores de serviço, sistemas, processos e ativos de informação da ANEEL que envolvam o tratamento de dados pessoais, independentemente do meio, suporte ou forma de armazenamento.
CAPÍTULO III
DAS DEFINIÇÕES
Art. 7º Para fins desta Portaria, aplicam-se as definições constantes da Lei nº 13.709 , de 2018, das normas da ANPD, incluindo, dentre outras:
I - AGENTES DE TRATAMENTO: de acordo com a LGPD, são agentes de tratamento o Controlador e o Operador. A depender do contexto, uma mesma operação de tratamento de dados pessoais pode envolver mais de um operador ou controlador;
II - AMPLA DIVULGAÇÃO DO INCIDENTE EM MEIOS DE COMUNICAÇÃO: providência que pode ser determinada pela ANPD ao controlador, nos termos do art. 48,
§ 2º, I, da LGPD, no âmbito do processo de comunicação de incidente de segurança, como a publicação no sítio eletrônico, nas redes sociais do controlador ou em outros meios de comunicação;
III - APF: administração pública federal;
IV - AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS: os Arts. 5º inciso XIX, 55-A e seguintes da LGPD definem a Agência Nacional de Proteção de Dados (ANPD) como Autarquia de Natureza Especial, responsável por zelar, implementar e fiscalizar o cumprimento da Lei nº 13.709 , de 14 de agosto de 2018 - LGPD em todo o território nacional, conforme as atribuições descritas no art. 55-J da LGPD e no Decreto nº 10.474 , de 26 de agosto de 2020;
V - CATEGORIA DE DADOS PESSOAIS: classificação dos dados pessoais de acordo com o contexto de sua utilização, tais como dados de identificação pessoal, dados de autenticação em sistemas, dados financeiros;
VI - COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA: ato do controlador que comunica à ANPD e ao titular de dados a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares;
VII - CONTROLADOR: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
VIII - CENTRO DE PREVENÇÃO, TRATAMENTO E RESPOSTA A INCIDENTES CIBERNÉTICOS DE GOVERNO (CTIR GOV): é integrante do Departamento de Segurança de Informação e Cibernética (DSIC) da Secretaria de Segurança da Informação e Cibernética (SSIC) do Gabinete de Segurança Institucional (GSI) da Presidência da República (PR). Tem o papel de coordenar e integrar as ações destinadas à gestão de incidentes de TI em órgãos e entidades da administração pública federal (APF). Os incidentes de segurança e de privacidade estão inclusos no escopo de ação do CTIR. Em caso de incidentes de segurança em redes computacionais, devem-se observar as diretrizes constantes na Norma Complementar nº 21/IN01/DSIC/GSIPR, que trata do registro de eventos, coleta e preservação de evidências de incidentes de segurança em redes;
IX - CENTRO INTEGRADO DE SEGURANÇA CIBERNÉTICA DO GOVERNO DIGITAL (CISC Gov.br): unidade de coordenação operacional das equipes de prevenção, tratamento e resposta a incidentes cibernéticos (ETIR) dos órgãos do Sistema de Administração de Recursos de Tecnologia da Informação (SISP), nos termos do
§ 3º do art. 1º. da Rede Federal de Gestão de Incidentes Cibernéticos - ReGIC, instituída pelo Decreto nº 10.748 , de 16 de julho de 2021;
X - CURADOR NEGOCIAL: servidor efetivo designado pela liderança de sua unidade organizacional como responsável pela curadoria de um conjunto de dados;
XI - DADO: menor unidade de uma estrutura, organizada ou não, com o qual se representa um fato, podendo ser número, gráfico, imagem, texto, som, entre outros, e a partir do qual a informação pode ser inferida;
XII - DADO DE AUTENTICAÇÃO EM SISTEMAS: é qualquer dado pessoal utilizado como credencial para determinar o acesso a um sistema ou para confirmar a identificação de um usuário, como contas de login, tokens e senhas;
XIII - DADO FINANCEIRO: de acordo com a ANPD, dado financeiro é o dado pessoal relacionado às transações financeiras do titular, inclusive para contratação de serviços e aquisição de produtos;
XIV - DADO PESSOAL: toda informação relacionada a pessoa natural identificada ou identificável;
XV - DADO PESSOAL AFETADO: de acordo com a ANPD, é o dado pessoal cuja confidencialidade, integridade, disponibilidade ou autenticidade tenha sido comprometida em um incidente de segurança;
XVI - DADOS PROTEGIDOS POR SIGILO LEGAL OU JUDICIAL: de acordo com a ANPD, é o dado pessoal cujo sigilo decorra de norma jurídica ou decisão judicial;
XVII - DADO PROTEGIDO POR SIGILO PROFISSIONAL: de acordo com a ANPD, é o dado pessoal cujo sigilo decorra do exercício de função, ministério, ofício ou profissão, e cuja revelação possa produzir dano a outrem;
XVIII - ENCARREGADO: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);
XIX - EQUIPE DE PREVENÇÃO, TRATAMENTO E RESPOSTA A INCIDENTES DE SEGURANÇA (ETIR/ANEEL): grupo designado por ato formal da ANEEL para lidar com a segurança de dados, prevenindo ataques, analisando falhas (malware, acesso não autorizado, vazamento de dados) e agindo para mitigar danos e restaurar sistemas;
XX - INVENTÁRIO DE DADOS PESSOAIS (IDP): representa um artefato primordial para documentar o tratamento de dados pessoais realizados pela instituição em alinhamento ao previsto pelo art. 37 da LGPD;
XXI - INCIDENTE: interrupção não planejada ou redução da qualidade de um serviço, ou seja, ocorrência, ação ou omissão, que tenha permitido, ou possa vir a permitir, acesso não autorizado, interrupção ou mudança nas operações (inclusive pela tomada de controle), destruição, dano, deleção ou mudança da informação protegida, remoção ou limitação de uso da informação protegida ou ainda a apropriação, disseminação e publicação indevida de informação protegida de algum ativo de informação crítico ou de alguma atividade crítica por um período de tempo inferior ao tempo objetivo de recuperação;
XXII - INCIDENTE COM DADOS EM LARGA ESCALA: de acordo com a ANPD, incidente com dados em larga escala é aquele que abranger número significativo de titulares, considerando, ainda, o volume de dados envolvidos, bem como a duração, a frequência e a extensão geográfica de localização dos titulares;
XXIII - INCIDENTE DE SEGURANÇA: qualquer evento adverso, confirmado ou sob suspeita, relacionado à segurança dos sistemas de computação ou das redes de computadores;
XXIV - INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS: de acordo com a ANPD, incidente de segurança com dados pessoais é um evento adverso confirmado que comprometa a confidencialidade, integridade ou disponibilidade de dados pessoais. Pode decorrer de ações voluntárias ou acidentais que resultem em divulgação, alteração, perda ou acesso não autorizado a dados pessoais, independentemente do meio em que estão armazenados;
XXV - LEI GERAL DE PROTEÇÃO DE DADOS PESSOAIS (LGPD): Lei nº 13.709 , de 14 de agosto de 2018, cujo objetivo é proteger os direitos fundamentais de privacidade e de liberdade de cada indivíduo;
XXVI - MEDIDAS DE SEGURANÇA: de acordo com a ANPD, medidas técnicas e/ou administrativas adotadas para proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
XXVII - NATUREZA DOS DADOS PESSOAIS: de acordo com a ANPD, classificação de dados pessoais em gerais ou sensíveis;
XXVIII - OPERADOR: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
XXIX - PROCEDIMENTO DE APURAÇÃO DE INCIDENTE DE SEGURANÇA: de acordo com a ANPD, é o procedimento instaurado pela ANPD para apurar a ocorrência de incidente de segurança que não tenha sido comunicado pelo controlador;
XXX - PROCEDIMENTO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA: de acordo com a ANPD, é o procedimento instaurado no âmbito da ANPD após o recebimento de comunicação de incidente de segurança;
XXXI - PROCESSO DE COMUNICAÇÃO DE INCIDENTE DE SEGURANÇA: de acordo com a ANPD, processo administrativo instaurado no âmbito da ANPD que abrange o procedimento de apuração incidente de segurança e o procedimento de comunicação de incidente de segurança;
XXXII - RELATÓRIO DE TRATAMENTO DE INCIDENTE: de acordo com a ANPD, é o documento fornecido pelo controlador que contém cópias, em meio físico ou digital, de dados e informações relevantes para descrever o incidente e as providências adotadas para reverter ou mitigar os seus efeitos;
XXXIII - RELATÓRIO FINAL: relatório que contenha todas as evidências e ações realizadas para tratamento do incidente e que deve ser emitido ao final das tratativas;
XXXIV - RELATÓRIO DE IMPACTO A PROTEÇÃO DE DADOS (RIPD): conforme a LGPD, é uma documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que tem o potencial de gerar riscos às liberdades civis e aos direitos fundamentais dos titulares, bem como medidas, salvaguardas e mecanismos de mitigação de risco;
XXXV - UNIDADE CURADORA DO DADO: unidade organizacional interna responsável pela gestão de ativos ou banco de dados realizada em benefício institucional.
TÍTULO II
DO PROCESSO DE RESPOSTA A INCIDENTES
CAPÍTULO I
DA GOVERNANÇA, DOS PAPÉIS E DAS RESPONSABILIDADES
Art. 8º A resposta a incidentes de segurança com dados pessoais será conduzida de forma colegiada, envolvendo, no mínimo:
I - a Unidade Curadora do Dado;
II - a Equipe de Prevenção, Tratamento e Resposta a Incidentes de Segurança (ETIR/ANEEL); e
III - o Encarregado pelo Tratamento de Dados Pessoais.
Art. 9º Compete à Unidade Curadora do Dado:
I - identificar e registrar incidentes de segurança relacionados aos dados sob sua curadoria;
II - acionar imediatamente o Encarregado e a ETIR/ANEEL; e
III - fornecer informações técnicas e gerenciais necessárias à avaliação e ao tratamento do incidente.
Art. 10. Compete à ETIR/ANEEL:
I - confirmar, analisar e classificar a severidade do incidente;
II - adotar medidas de contenção, erradicação e recuperação;
III - preservar evidências e manter registros técnicos; e
IV - coordenar a resposta técnica e institucional ao incidente.
Art. 11. Compete ao Encarregado pelo Tratamento de Dados Pessoais:
I - coordenar o processo de comunicação do incidente à ANPD e aos titulares de dados, quando aplicável;
II - apoiar a avaliação de riscos aos titulares;
III - orientar as unidades envolvidas quanto às providências de conformidade com a LGPD.
Art. 12. As decisões críticas relativas à classificação de severidade, comunicação externa, contenção, erradicação, recuperação e encerramento do incidente deverão:
I - ser adotadas de forma não unilateral;
II - ser formalmente registradas em ata ou relatório específico; e
III - contar com assinatura eletrônica dos representantes da Unidade Curadora, da ETIR/ANEEL e do Encarregado.
Art. 13. Nos incidentes de segurança com dados pessoais que demandem comunicação formal aos titulares de dados, interação institucional com a imprensa ou outras formas de divulgação pública referentes ao incidente, o processo de comunicação institucional será conduzido pela Assessoria Institucional da ANEEL (ASI), em articulação com os demais atores envolvidos.
§ 1º Compete à ASI:
I - elaborar, revisar e coordenar a divulgação de comunicados, notas, orientações ou quaisquer conteúdos informativos destinados a titulares de dados, imprensa, órgãos públicos ou demais públicos externos;
II - assegurar a coerência e a adequação da comunicação institucional às diretrizes da ANEEL e à legislação aplicável; e
III - manter alinhamento contínuo com a Unidade Curadora do Dado, com a ETIR/ANEEL e com o Encarregado pelo Tratamento de Dados Pessoais quanto ao conteúdo, forma e tempo das comunicações.
§ 2º A ASI somente procederá à divulgação pública após a validação conjunta da Unidade Curadora do Dado, da ETIR/ANEEL e do Encarregado pelo Tratamento de Dados Pessoais, respeitadas as exigências legais de tempestividade perante a ANPD e os titulares.
CAPÍTULO II
DAS FASES DO PROCESSO DE RESPOSTA A INCIDENTES
Art. 14. O processo de resposta a incidentes de segurança com dados pessoais compreende, no mínimo, as seguintes fases:
I - preparação;
II - detecção e identificação;
III - avaliação inicial e preservação de evidências;
IV - classificação e priorização;
V - contenção, erradicação e recuperação;
VI - comunicação e notificações obrigatórias; e
VII - encerramento e atividades pós-incidente.
Art. 15. A fase de preparação envolve o desenvolvimento e a manutenção de capacidades técnicas, operacionais e administrativas, incluindo:
I - definição clara de papéis e responsabilidades;
II - manutenção de inventário de ativos e sistemas críticos;
III - capacitação periódica de servidores e prestadores de serviço; e
IV - monitoramento contínuo e gestão de vulnerabilidades.
Art. 16. A detecção e identificação do incidente poderão ocorrer por monitoramento automatizado ou por comunicação de usuários, fornecedores ou canais institucionais.
Parágrafo único. Identificado o evento, a Unidade Curadora do Dado deverá acionar imediatamente o Encarregado e a ETIR/ANEEL.
Art. 17. A avaliação inicial compreenderá a análise da natureza da vulnerabilidade, das categorias de dados pessoais afetados, da estimativa de titulares envolvidos e do impacto potencial.
§ 1º O incidente deverá ser registrado no Formulário de Abertura e Registro de Incidente, conforme Anexo C.
§ 2º As evidências deverão ser preservadas e registradas na Cadeia de Custódia, nos termos do Anexo D.
Art. 18. A classificação do incidente observará critérios de severidade definidos no Anexo A desta Portaria, considerando, entre outros fatores, a natureza dos dados, o volume, o impacto potencial, a probabilidade de exploração e a capacidade de contenção.
Parágrafo único. A classificação poderá ser revista a qualquer tempo, à medida que novas informações forem identificadas.
Art. 19. Confirmado o incidente, serão adotadas medidas de contenção, erradicação e recuperação, com preservação das evidências e validação da integridade dos sistemas e dados.
Art. 20. Nos casos em que houver risco ou dano relevante aos titulares, o Encarregado deverá comunicar o incidente à ANPD e aos titulares, no prazo máximo de 3 (três) dias úteis, observados os requisitos da Resolução CD/ANPD nº 15, de 2024.
§ 1º Incidentes envolvendo infraestrutura tecnológica deverão ser comunicados ao CTIR Gov, conforme normas aplicáveis.
§ 2º Havendo indícios de prática criminosa, a ANEEL comunicará o fato à Polícia Federal.
Art. 21. Encerrado o tratamento do incidente, deverá ser elaborado o Relatório Final de Tratamento do Incidente, conforme Anexo E, contendo lições aprendidas e recomendações de melhoria.
TÍTULO III
DAS DISPOSIÇÕES FINAIS
Art. 22. O compartilhamento de informações sobre incidentes de segurança ocorrerá com a ANPD, o CTIR Gov e órgãos de controle, observados os princípios da necessidade, da finalidade e do sigilo funcional.
Art. 23. O PRIS-DP/ANEEL será revisado:
I - sempre que houver alterações normativas, tecnológicas ou organizacionais relevantes; ou
II - após a ocorrência de incidentes significativos.
Art. 24. O Encarregado de Dados Pessoais coordenará as revisões, a disseminação interna das atualizações e a realização de treinamentos e simulados periódicos.
Art. 25. Os Anexos A a E integram este Plano para todos os fins.
ANEXO A DO PRIS-DP/ANEEL
MATRIZ DE SEVERIDADE E PRIORIZAÇÃO DE INCIDENTES DE SEGURANÇA COM DADOS PESSOAIS Nível de Severidade Critérios Prazo de Resposta Instâncias Envolvidas Ações Principais
Crítica Incidentes que envolvem dados sensíveis, financeiros, de autenticação, ou dados de crianças, adolescentes ou idosos, com risco ou dano relevante aos titulares e/ou impacto institucional grave. Podem comprometer a continuidade de serviços essenciais ou a imagem pública da ANEEL. Início imediato (≤ 4h); contenção ≤ 12h; comunicação ≤ 3 dias úteis. Alta Administração, Curador do dado, ETIR/ANEEL, Encarregado, SGI e ASI. Ativação imediata do plano; contenção e preservação de evidências; avaliação de risco; e comunicação formal à ANPD e aos titulares.
Alta Envolve dados pessoais não sensíveis, mas com risco concreto de uso indevido ou repercussão negativa. Afeta número moderado de titulares ou sistemas importantes, sem comprometer serviços críticos. Início ≤ 8h; contenção ≤ 24h; comunicação ≤ 3 dias úteis. Curador do dado, ETIR/ANEEL, Encarregado, SGI e ASI. Contenção rápida; análise técnica; comunicação à ANPD e decisão sobre comunicação aos titulares.
Média Incidente de impacto limitado e rapidamente contido, sem risco relevante aos titulares nem afetação significativa dos serviços institucionais. Início ≤ 24h; resolução ≤ 5 dias úteis; comunicação ≤ 3 dias úteis. Curador do dado, ETIR/ANEEL e Encarregado. Correção da falha; orientação aos envolvidos; registro; e comunicação à ANPD.
Baixa Evento de baixo impacto ou falsos positivos, sem comprometimento efetivo de dados pessoais ou com potencial mínimo de risco. Até 5 dias úteis. Curador do dado. Ajuste operacional; registro histórico; ação preventiva; e ciência ao Encarregado.
ANEXO B DO PRIS-DP/ANEEL
CHECKLIST PARA VERIFICAÇÃO DO TRATAMENTO DE INCIDENTES Ação Realizado?
Detecção e Análise
1. Determinar se ocorreu um incidente
1.1 Analisar os precursores e os indicadores
1.2 Buscar por informações correlatas
1.3 Realizar pesquisa do incidente (via mecanismos de busca e bases de conhecimento)
1.4 Documentar, investigar e reunir evidências assim que a equipe identificar a ocorrência do incidente
2. Priorizar o tratamento com base em sua relevância (impacto de negócio, impacto de informação e recuperabilidade)
3. Comunicar o incidente às equipes internas envolvidas e, quando necessário, aos atores externos
Contenção, erradicação e recuperação
4. Adquirir, preservar, proteger e documentar as evidências
5. Conter o incidente
6. Erradicar o incidente
6.1 Identificar e mitigar todas as vulnerabilidades exploradas
6.2 Remover malware, materiais impróprios e outros componentes
6.3 Se mais hosts afetados forem descobertos (por exemplo, novas infecções por malware), repetir as etapas de detecção e análise (1.1, 1.2) para identificar todos os outros hosts afetados, para então conter (5) e erradicar (6) o incidente em tais hosts
7. Recuperar-se do incidente
7.1 Retornar os sistemas afetados ao estado operacional
7.2 Confirmar se os sistemas afetados estão funcionando normalmente
7.3 Se necessário, implementar monitoração adicional para encontrar futuras atividades relacionadas
Atividades pós-incidente
8. Criar o relatório de acompanhamento
9. Realizar uma reunião de lições aprendidas (tal reunião é obrigatória para incidentes graves e opcional para os demais incidentes)
10. Realizar análise pós-incidente para prevenir sua recorrência por meio da identificação de lições aprendidas e ações de acompanhamento
ANEXO C DO PRIS-DP/ANEEL
FORMULÁRIO DE REGISTRO INICIAL DE INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS
1. Identificação do Incidente Número do registro / Protocolo:
Data e hora da ocorrência:
Data e hora da ciência pela ANEEL:
Unidade responsável / solicitante:
Sistema ou ativo afetado:
Responsável pelo registro (nome e contato):
Origem do incidente: ☐ Interna; ☐Externa; ☐Terceirizado; ☐ Indefinida
Status inicial: ☐ Suspeita; ☐ Confirmado; ☐ Em análise
2. Descrição do Evento Resumo do incidente: (descrição objetiva dos fatos, contexto e descoberta do evento)
Local ou sistema afetado: (ex.: CDA2, SOPHIA, repositório compartilhado etc.)
Tipo de vulnerabilidade identificada: ☐ Acesso indevido; ☐ Erro humano; ☐ Falha de sistema; ☐ Ataque cibernético; ☐ Perda/roubo de mídia; ☐ Outra: _____________
Categoria dos dados pessoais afetados: ☐ Dados gerais; ☐ Dados sensíveis; ☐ Financeiros; ☐ De autenticação; ☐ De crianças/adolescentes/Idoso; ☐ Outros: _________
Estimativa de titulares afetados:
Abrangência do incidente: ☐ Individual; ☐ Setorial; ☐ Institucional; ☐ Nacional
Descrição detalhada (quando, como, onde, quem identificou): (relato técnico e gerencial detalhado)
3. Avaliação Inicial e Impacto Potencial Impactos potenciais aos titulares: ☐ Violação de privacidade; ☐ Dano financeiro; ☐ Dano moral; ☐ Risco de discriminação; ☐ Outro: _________
Impactos à ANEEL: ☐ Reputacional; ☐ Operacional; ☐ Legal; ☐ Tecnológico; ☐ Outro: _________
Probabilidade de exploração indevida: ☐ Alta; ☐ Média; ☐ Baixa
Capacidade de contenção imediata: ☐ Sim; ☐Não; ☐ Parcial
Observações adicionais:
4. Ações Iniciais Adotadas Medidas de contenção imediata: (ex.: bloqueio de acesso, retirada de arquivo, isolamento de sistema etc.)
Responsável pela ação:
Data e hora da execução:
Preservação de evidências realizada? ☐ Sim; ☐Não; ☐ Parcial
Evidências preservadas: ☐ Logs; ☐Prints; ☐Capturas forenses; ☐ Atas; ☐ E-mails; ☐ Outras: ________
Local de armazenamento das evidências / Cadeia de Custódia (Anexo D):
5. Classificação e Priorização (ETIR/ANEEL + DPO/ANEEL) Nível de severidade atribuído: ☐ 1 - Crítica; ☐2 - Alta; ☐3 - Média; ☐ 4 - Baixa;
Justificativa da classificação:
Prazo de resposta definido:
Responsável técnico pela análise:
Data e hora da classificação:
6. Comunicação e Encaminhamentos Comunicação à ANPD necessária? ☐ Sim; ☐Não
Comunicação aos titulares necessária? ☐ Sim; ☐Não
Outros órgãos notificados: ☐ CTIR Gov; ☐CISC Gov.br ☐ Polícia Federal; ☐Outro: ___________________
Data da comunicação (se aplicável):
Meio utilizado (protocolo, e-mail, sistema):
7. Encerramento e Lições Aprendidas Data de encerramento do incidente:
Resumo das ações corretivas e preventivas:
Atualização do RIPD necessária? ☐ Sim; ☐Não; ☐ Em avaliação
Responsável pelo relatório final:
Aprovação final (DPO/ANEEL e ETIR/ANEEL):
8. Assinaturas e Controle Função Nome / Cargo
Curador negocial
Técnico (ETIR/ANEEL)
Encarregado (DPO/ANEEL)
Validação da SGI
Observações Finais: este formulário deve ser utilizado para registrar qualquer suspeita, ocorrência ou confirmação de incidente envolvendo dados pessoais, conforme previsto no Plano de Resposta a Incidentes da ANEEL. O registro deverá ser realizado imediatamente após a ciência do evento, com envio à ETIR/ANEEL e ao Encarregado para análise e classificação.
ANEXO D DO PRIS-DP/ANEEL
FORMULÁRIO DE CADEIA DE CUSTÓDIA DE EVIDÊNCIAS
1. Identificação do Incidente Número do registro / protocolo: (vincular ao formulário inicial - Anexo C)
Data e hora da ocorrência: (vincular ao formulário inicial - Anexo C)
Data e hora da ciência pela ANEEL: (vincular ao formulário inicial - Anexo C)
Unidade responsável / solicitante: (vincular ao formulário inicial - Anexo C)
Sistema ou ativo afetado: (vincular ao formulário inicial - Anexo C)
Responsável técnico (ETIR/ANEEL):
Tipo de evidência: ☐ Digital; ☐ Física; ☐ Mista
Número de itens coletados:
2. Descrição das Evidências Coletadas Nº Tipo de Evidência Descrição Detalhada Local de Coleta Data e Hora Coletado por (nome / cargo)
1
2
3
Exemplos de evidências: arquivos de log, capturas de tela, discos, mídias removíveis, relatórios de antivírus, e-mails, documentos físicos, backups, registros de sistema etc.
3. Armazenamento e Preservação Local de armazenamento inicial: (sala/cofre, repositório seguro, servidor dedicado etc.)
Identificação do lacre / envelope / mídia:
Condições de preservação: ☐ Integridade verificada; ☐ Ambiente controlado; ☐ Criptografia aplicada; ☐ Backup realizado
Responsável pela guarda inicial:
Data e hora do início da custódia:
4. Transferências de Custódia Nº Data e Hora da Transferência De (nome/ cargo) Para (nome/ cargo) Motivo da Transferência Meio de Transporte / Repositório
1
2
3
Cada movimentação deve ser documentada e assinada por ambas as partes envolvidas, assegurando rastreabilidade completa da evidência.
5. Análise Técnica da Evidência Data de início da análise:
Responsável pela análise (nome / cargo):
Local / laboratório de análise:
Ferramentas utilizadas: (ex.: SIEM, EnCase, Autopsy, FTK, scripts, varredura de rede etc.)
Resumo dos resultados obtidos: (descrição técnica objetiva dos achados)
Integridade da evidência após análise: ☐ Mantida; ☐ Parcial;☐ Comprometida - justificar: ________________________
6. Encerramento da Custódia Destino final da evidência: ☐ Arquivamento; ☐ Descarte seguro; ☐Entrega à autoridade policial; ☐Outro: ____________
Data e hora do encerramento:
Responsável pelo encerramento (nome / cargo):
Procedimento de descarte (se aplicável): (ex.: destruição física, exclusão segura, trituração, wipe digital etc.)
Confirmação de encerramento: ☐ Sim; ☐ Não
Assinatura do responsável final pela custódia:
7. Controle e Validação Função Nome / Cargo
Técnico (ETIR/ANEEL)
Auditor interno (quando aplicável)
Observações Finais: este formulário tem por objetivo garantir a rastreabilidade, integridade e autenticidade das evidências coletadas durante o tratamento de incidentes de segurança com dados pessoais, servindo como instrumento de comprovação da diligência da ANEEL perante auditorias internas, externas e a Autoridade Nacional de Proteção de Dados (ANPD).
ANEXO E DO PRIS-DP/ANEEL
RELATÓRIO FINAL DE TRATAMENTO DO INCIDENTE DE SEGURANÇA COM DADOS PESSOAIS
1. Identificação do Incidente Número do registro / protocolo: (vincular ao formulário inicial - Anexo C)
Data e hora da ocorrência: (vincular ao formulário inicial - Anexo C)
Data e hora da ciência pela ANEEL: (vincular ao formulário inicial - Anexo C)
Unidade responsável / solicitante: (vincular ao formulário inicial - Anexo C)
Sistema ou ativo afetado: (vincular ao formulário inicial - Anexo C)
Origem do incidente: ☐ Interna; ☐ Externa; ☐ Terceirizado; ☐ Indefinida
Status atual: ☐ Tratamento concluído; ☐ Em monitoramento; ☐ Encerrado
2. Análise Técnica e Cronologia dos Eventos Resumo técnico do incidente: (síntese do evento e da vulnerabilidade explorada, incluindo logs e evidências)
Causa raiz identificada: (erro humano, falha de configuração, ataque cibernético, vulnerabilidade de sistema etc.)
Cronologia detalhada das ações: (relacione datas, horários, responsáveis e medidas adotadas em cada etapa)
Ferramentas e métodos utilizados na análise: (ex.: SIEM, antivírus, forense digital, varredura de vulnerabilidade etc.)
Evidências preservadas e cadeia de custódia: (descrição das evidências, local de armazenamento e responsáveis)
3. Classificação e Avaliação de Impacto Nível de severidade confirmado: ☐ 1 - Crítica; ☐ 2 - Alta; ☐ 3 - Média; ☐ 4 - Baixa
Tipo de dado pessoal afetado ☐ Geral; ☐ Sensível; ☐ Financeiro; ☐ Autenticação; ☐ De vulneráveis; ☐Outro: __________________________
Número estimado de titulares afetados:
Probabilidade de uso indevido dos dados: ☐ Alta; ☐ Média; ☐ Baixa
Risco de dano ao titular: ☐ Elevado; ☐ Moderado; ☐ Mínimo
Impactos à ANEEL: ☐ Reputacional; ☐ Operacional; ☐ Legal; ☐ Tecnológico; ☐ Outro: _____
Medidas de mitigação aplicadas: (descrição das medidas implementadas para reduzir o impacto ou o risco)
4. Contenção, Erradicação e Recuperação Ações de contenção imediata: (bloqueio de acessos, isolamento de sistema, retirada de conteúdo etc.)
Ações de erradicação da causa: (correção da falha, atualização de sistema, redefinição de senhas etc.)
Ações de recuperação: (restauração de dados e serviços, validação de integridade, normalização de rotinas)
Data e hora da normalização:
Confirmação de restauração segura: ☐ Sim; ☐Não; ☐ Parcial
Responsável técnico pela validação:
5. Comunicação e Providências Externas Comunicação à ANPD realizada? ☐ Sim; ☐ Não - Justificar abaixo
Data e meio da comunicação:
Protocolo de comunicação (SEI/ANPD):
Comunicação aos titulares realizada? ☐ Sim; ☐ Não - Justificar abaixo
Forma de comunicação aos titulares: ☐ Individual; ☐ Pública; ☐ Desnecessária; ☐ Outro: ______________
Outros órgãos notificados: ☐ CTIR Gov; ☐ CISC Gov.br; ☐ Polícia Federal; ☐ N/A; ☐ Outro: ___________
Observações / justificativas:
6. Lições Aprendidas e Recomendações Pontos fortes na resposta ao incidente: (ações bem-sucedidas ou eficazes no tratamento)
Pontos de melhoria identificados: (gaps de processo, falhas de comunicação, deficiências de controle)
Ações corretivas e preventivas propostas: (ex.: revisão de procedimentos, atualização de políticas, novos controles técnicos)
Atualização necessária em documentos internos: ☐ PGP/ANEEL; ☐ RIPD; ☐ Política de Privacidade; ☐ Outro: _______________
Treinamentos ou capacitações recomendadas:
7. Encerramento e Validação Data de encerramento do incidente:
Responsável pelo relatório técnico:
Unidade gestora envolvida:
Parecer final do DPO/ANEEL: (análise conclusiva sobre conformidade, impacto e recomendações finais)
Encerramento validado pela ETIR/ANEEL: ☐ Sim; ☐ Não; ☐ Pendente
8. Assinaturas e Controle Função Nome / Cargo
Curador negocial
Técnico (ETIR/ANEEL)
Encarregado (DPO/ANEEL)
Validação SGI
Observações Finais: este relatório consolida todas as informações relativas ao incidente, devendo ser arquivado com o Formulário de Abertura (Anexo C) e a Cadeia de Custódia (Anexo D). A documentação servirá para demonstrar diligência e conformidade da ANEEL perante auditorias internas, órgãos de controle e a Autoridade Nacional de Proteção de Dados (ANPD).
Atos que alteram, regulamentam ou revogam esta Portaria:
Nenhum Ato.
Atos que são alterados, regulamentados ou revogados por esta Portaria:
Nenhum Ato.