O que é R-Ciber: o regulamento de segurança explicado para provedores
O que é R-Ciber: é o Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações, da Anatel, que obriga as prestadoras a proteger a rede e os assinantes contra ataques e a comunicar incidentes [CONFIRMAR na norma]. Para o provedor regional, ele aparece como senha única nos equipamentos, acesso controlado à gerência e registro de incidentes, com parte das obrigações variando pelo porte.
Resumo
- O R-Ciber nasceu de uma resolução da Anatel publicada no fim de 2020 e foi alterado depois [CONFIRMAR na norma].
- O regulamento trata de política de segurança, riscos, incidentes, equipamentos e fornecedores, e não só de senhas.
- Cada obrigação tem um prazo diferente, e a troca das senhas padrão foi a que ganhou data noticiada em 2026.
- Ele vira problema quando uma ONU invadida faz a sua rede atacar terceiros e não existe registro do que aconteceu.
O que é R-Ciber, em poucas palavras
O R-Ciber é a regra da Anatel que transforma segurança cibernética em obrigação regulatória para quem presta serviço de telecomunicações. Ele foi criado pela Resolução nº 740/2020 [CONFIRMAR na norma a versão em vigor].
Antes dele, segurança era escolha de cada empresa. Com o regulamento, a Anatel passou a esperar que as prestadoras tenham medidas mínimas de proteção, avisem a agência sobre incidentes relevantes e usem equipamentos que atendam a requisitos de segurança [CONFIRMAR na norma].
O nome R-Ciber é só a sigla usada no setor. No texto oficial aparece o nome completo do regulamento, e é por ele que se procura a versão em vigor no portal da agência.
Para o provedor, o regulamento só tem efeito quando vira mudança na OLT, no ACS e na borda. A adequação ao R-Ciber é o trabalho de aplicar essas medidas e guardar a prova de cada uma.
Por que a Anatel criou um regulamento de segurança
Redes de telecomunicações são infraestrutura crítica, e um ataque a elas afeta bancos, hospitais e serviços públicos ao mesmo tempo. Além disso, milhões de equipamentos de assinante com senha de fábrica viraram matéria-prima para redes de máquinas sequestradas, usadas em ataques de negação de serviço.
O regulamento tenta fechar as duas pontas: protege o núcleo das operadoras e reduz o número de equipamentos fáceis de invadir na casa dos clientes [CONFIRMAR na norma].
A quem o R-Ciber se aplica
O regulamento vale para as prestadoras de serviços de telecomunicações, com obrigações mais extensas para as grandes [CONFIRMAR na norma]. Segundo a imprensa do setor, as alterações recentes trouxeram para os provedores de qualquer porte a troca das senhas padrão e o aviso de incidentes [CONFIRMAR na norma].
Como o R-Ciber está organizado
O regulamento se divide em grupos de obrigações que vão da política escrita até o equipamento do assinante. A tabela mostra cada grupo e o que ele costuma significar numa rede regional.
| Grupo | O que o regulamento trata | O que muda num provedor regional |
|---|---|---|
| Política de segurança | Diretrizes escritas e aprovadas pela direção [CONFIRMAR na norma] | Documento curto que diz quem acessa o quê e como |
| Gestão de riscos | Identificar e tratar riscos à rede e aos serviços [CONFIRMAR na norma] | Lista dos pontos frágeis, como borda única ou gerência aberta |
| Incidentes | Registro e comunicação de incidentes relevantes à agência [CONFIRMAR na norma] | Roteiro para detectar, conter, anotar e avisar |
| Equipamentos | Senha padrão trocada e produtos com requisitos de segurança [CONFIRMAR na norma] | ONUs e roteadores com senha única e gerência fechada |
| Fornecedores | Cuidado com a cadeia de suprimentos e com terceiros [CONFIRMAR na norma] | Saber quem tem acesso à rede e por qual caminho |
O grupo dos equipamentos é o que mais aparece nas conversas, porque tem prazo e mexe com o parque inteiro de ONUs. O guia sobre a troca de senha da ONU exigida pela Anatel detalha qual senha entra na regra e quais modelos contam.
O R-Ciber é lei ou resolução?
É uma resolução da agência, editada com base na Lei Geral de Telecomunicações, e não uma lei aprovada no Congresso [CONFIRMAR na norma]. Na prática, isso não alivia nada: o descumprimento pode gerar processo e sanção administrativa pela própria agência.
Na prática: o caminho de ataque que o R-Ciber tenta cortar
Cada obrigação do regulamento corta um trecho do caminho que um invasor percorre numa rede de provedor. Ver esse caminho ajuda a entender por que senha, acesso e registro aparecem juntos.
Entrada
ONU com senha de fábrica
O invasor usa a senha do manual do modelo. Corte previsto pela troca da senha padrão.
Controle
Equipamento reconfigurado
DNS trocado, porta aberta ou programa malicioso instalado. Corte previsto pela gerência fechada.
Propagação
Tráfego de ataque saindo da rede
A ONU passa a atacar terceiros e o provedor recebe queixas de abuso. Corte previsto pela gestão de riscos.
Registro
Incidente sem anotação
Ninguém registra data, causa nem medida. Corte previsto pelo roteiro de incidentes e pelo aviso à agência.
O mapeamento acima é didático. A obrigação exata de cada etapa e o alcance por porte precisam ser lidos no texto vigente do regulamento [CONFIRMAR na norma].
O mesmo caminho vale para a gerência da própria rede. Uma OLT ou um concentrador com um login compartilhado pela equipe inteira deixa o invasor entrar com a senha de quem saiu da empresa, e a implantação de TACACS mostra como dar a cada técnico um usuário próprio.
Qual o prazo do R-Ciber?
O regulamento está em vigor desde o início de 2021, mas cada obrigação tem prazo próprio [CONFIRMAR na norma]. A data que mais pesou para o provedor regional foi a da troca das senhas padrão, noticiada para 27 de agosto de 2026 [CONFIRMAR na norma].
Perguntar qual o prazo do R-Ciber é como perguntar o prazo de uma lei inteira: a resposta depende do artigo. Há obrigações com data marcada, obrigações que valem a cada evento e obrigações que valem enquanto a empresa operar.
| Obrigação | Tipo de prazo | Situação em novembro de 2026 |
|---|---|---|
| Vigência do regulamento | Data de entrada em vigor [CONFIRMAR na norma] | Em vigor desde o início de 2021 |
| Troca das senhas padrão nos equipamentos de assinante | Data marcada [CONFIRMAR na norma] | Prazo noticiado de 27/08/2026, já vencido |
| Aviso de incidente relevante à agência | A cada incidente, com prazo contado do conhecimento [CONFIRMAR na norma] | Vale sempre que houver incidente |
| Política, riscos e fornecedores | Contínuo, com escopo que muda pelo porte [CONFIRMAR na norma] | Vale enquanto a empresa operar |
O prazo das senhas passou e a troca ainda não acabou?
A adequação ao R-Ciber troca a senha padrão em lotes, pela OLT ou pelo ACS, fecha a gerência e entrega o relatório por equipamento que serve de prova.
Prazo do R-Ciber vencido não encerra a obrigação
Um prazo que passou não some da lista: a obrigação continua valendo e a pendência fica mais exposta numa fiscalização [CONFIRMAR na norma]. Concluir a medida e guardar a evidência com data é o que muda a conversa com a agência, como mostra o calendário regulatório para provedores.
Quando o R-Ciber vira problema para o provedor?
Vira problema quando um incidente acontece e o provedor não tem medida, registro nem roteiro para mostrar. Antes disso, ele parece só mais uma norma distante.
Os gatilhos mais comuns são invasão em massa de equipamentos de assinante, queixa de abuso vinda de fora, fiscalização com foco em segurança e notificação sobre a troca das senhas [CONFIRMAR na norma].
Exemplo: ONUs reconfiguradas numa madrugada
Um cenário frequente mostra o regulamento saindo do papel. Numa madrugada, centenas de assinantes passam a abrir páginas estranhas, e o atendimento só percebe de manhã, com a fila cheia.
- O que aconteceu: um robô testou a senha de fábrica de um modelo de ONU com gerência alcançável e trocou o DNS de todas que aceitaram.
- O que o provedor tinha: nenhuma lista de ONUs com senha padrão, nenhum login individual na gerência e nenhum registro de incidente.
- O que o regulamento esperaria: senha já trocada, gerência fechada e o incidente anotado e avaliado para comunicação [CONFIRMAR na norma].
- Resultado: a correção técnica saiu em horas, mas a prova do que foi feito antes simplesmente não existia.
O guia sobre provedor invadido cobre as primeiras horas desse tipo de caso, e o registro feito ali é a base do aviso regulatório.
Erros comuns sobre o R-Ciber
Os enganos mais caros vêm de achar que o regulamento é só para operadora grande ou só sobre senha. Os dois levam a adequações pela metade.
Evite
- Achar que o R-Ciber não chega ao provedor pequeno sem conferir o texto vigente [CONFIRMAR na norma].
- Reduzir o regulamento à troca de senhas e esquecer gerência, incidentes e política.
- Comprar um documento de política sem que nenhuma medida exista nos equipamentos.
- Trocar todas as senhas por uma igual, o que só muda o problema de lugar.
- Resolver incidentes sem anotar data, causa e medida tomada.
Quando vale adequar agora em vez de esperar a fiscalização?
Vale agora quando há ONU com senha de fábrica, gerência acessível de qualquer endereço ou incidente recente sem registro. Esperar a cobrança só faz sentido para quem já tem as medidas aplicadas e falta apenas organizar a pasta.
A Táquion Tech implanta as medidas do R-Ciber por acesso remoto, em lotes com plano de volta, para provedores de todo o Brasil. Para medir o tamanho do trabalho antes, o checklist R-Ciber dá um retrato em poucos minutos.
Perguntas frequentes
Qual o prazo do R-Ciber para provedor pequeno?
Segundo a imprensa do setor, a troca das senhas padrão valeu para qualquer porte, com data noticiada de 27 de agosto de 2026 [CONFIRMAR na norma]. As demais obrigações podem ter escopo menor para quem tem poucos acessos.
O R-Ciber exige política de segurança escrita?
O regulamento trata de política de segurança cibernética, com escopo que varia conforme o porte da prestadora [CONFIRMAR na norma]. Mesmo quando não é exigida por inteiro, ela organiza quem acessa o quê e ajuda na prova.
Qual a relação entre o R-Ciber e a LGPD?
O R-Ciber é da Anatel e trata da segurança da rede de telecomunicações; a LGPD é lei e trata dos dados pessoais, fiscalizada pela ANPD. Um mesmo vazamento pode exigir aviso aos dois órgãos [CONFIRMAR na norma].
Existe certificação oficial de adequação ao R-Ciber?
Não há um selo único da agência para a adequação do provedor [CONFIRMAR na norma]. O que conta é a evidência de cada medida, como relatório de troca de senhas, lista de usuários e registro de incidentes.
O R-Ciber vale para o roteador que o cliente comprou?
O foco do regulamento são os equipamentos fornecidos ou gerenciados pela prestadora [CONFIRMAR na norma]. Mesmo assim, vale orientar o cliente, porque um roteador invadido na sua rede também gera tráfego de ataque.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- Agência Nacional de Telecomunicações (Anatel), portal oficial: texto vigente do Regulamento de Segurança Cibernética Aplicada ao Setor de Telecomunicações e alterações.
- CISO Advisor, alerta sobre segurança e prazos da Anatel para provedores: prazo noticiado de 27 de agosto de 2026 para a troca das senhas padrão.
- CERT.br, Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil: referência técnica sobre incidentes e equipamentos de assinante invadidos.
