Guia · Indústria e setor elétrico

IEC 62443 e segurança de OT: guia para indústria e setor elétrico

A série IEC 62443, a REN ANEEL nº 964/2021 e a rotina de segurança cibernética do ONS (RO-CB.BR.01), com um checklist prático e o papel de um SOC OT.

Fale com um especialista

Em resumo: A IEC 62443 é a série de normas internacionais que define requisitos e processos para implementar e manter seguros os sistemas de automação e controle industrial. No setor elétrico, duas regras brasileiras se somam a essa base: a REN ANEEL nº 964/2021, que exige política de segurança cibernética e notificação de incidentes de maior impacto, e a RO-CB.BR.01 do ONS, que fixa controles técnicos mínimos para o ambiente que troca dados com o operador.

A IEC 62443 é a série de normas internacionais que define requisitos e processos para implementar e manter seguros os sistemas de automação e controle industrial (IACS, na sigla em inglês). Ela orienta a cibersegurança industrial e a segurança de OT, a tecnologia operacional que comanda processos físicos por meio de CLPs (controladores lógicos programáveis), sistemas SCADA (supervisão e aquisição de dados) e relés de proteção.

No setor elétrico, duas regras brasileiras se somam a essa base:

REN ANEEL nº 964/2021 Exige uma política de segurança cibernética e a notificação de incidentes de maior impacto.
RO-CB.BR.01 A rotina operacional de cibersegurança do ONS fixa controles técnicos mínimos para o ambiente que troca dados com o operador.

Este guia explica as três referências e mostra onde um SOC OT entra nesse trabalho.

A série IEC 62443

Os quatro grupos de partes

A série é desenvolvida pelo comitê ISA99, da ISA (International Society of Automation), em conjunto com a IEC (Comissão Eletrotécnica Internacional). Em 2021, a IEC a reconheceu como norma horizontal, aplicável a vários setores. Um princípio central é a responsabilidade compartilhada entre dono do ativo, fabricantes, integradores e prestadores de serviço (ISA).

Grupo	Partes principais	Público principal	O que trata
Geral	1-1	Todos	Termos, conceitos e modelos, incluindo os sete requisitos fundamentais
Políticas e procedimentos	2-1, 2-3, 2-4	Dono do ativo e prestadores de serviço	Programa de segurança do dono do ativo (2-1), gestão de patches (2-3) e requisitos para prestadores (2-4)
Sistema	3-2, 3-3	Dono do ativo e integradores	Avaliação de risco com zonas e conduítes (3-2) e requisitos do sistema com níveis de segurança (3-3)
Componente	4-1, 4-2	Fabricantes	Desenvolvimento seguro (4-1) e requisitos técnicos dos componentes (4-2)

Fontes da tabela: lista de partes da ISA e resumo da IEC.

Zonas, conduítes e níveis de segurança

Termo	O que é	Exemplo
Zona	Uma zona agrupa ativos com base no risco (parte 3-2). Na prática, a empresa separa a rede em áreas de risco parecido.	A supervisão de uma subestação. A rotina do ONS aplica esse raciocínio com três zonas mínimas: supervisão, DMZ operativa e corporativa.
Conduíte	A comunicação entre zonas passa por conduítes (parte 3-2). A empresa controla cada caminho entre elas.	Na rotina do ONS, cada passagem entre zonas é um conduíte controlado. A internet não chega direto ao ARCiber, e o acesso externo autorizado passa por rede privada virtual (VPN) ou similar, via gateway com controles (RO 4.1.2 e 4.1.3).
Nível de segurança (SL)	A parte 3-3 define quatro níveis de segurança, de SL 1 a SL 4, que relacionam as contramedidas exigidas à força do adversário potencial. Quanto maior o SL, mais capaz é o atacante que a zona precisa resistir.	Cada zona ou conduíte recebe um nível para cada um dos sete requisitos fundamentais: controle de identificação e autenticação, controle de uso, integridade do sistema, confidencialidade dos dados, fluxo de dados restrito, resposta oportuna a eventos e disponibilidade de recursos.
Nível-alvo e capacidade	A empresa define o nível-alvo de cada zona (SL-T) e o compara com a capacidade do sistema (SL-C).	Para equipamentos antigos, a norma admite contramedidas compensatórias.

Fontes da tabela: IEC, para zonas, conduítes, níveis de segurança e contramedidas compensatórias, e IEC 62443-3-3, para o SL-T e o SL-C.

Regulação do setor elétrico

O que exigem a REN ANEEL 964/2021 e a rotina do ONS

As duas regras já estão valendo. A REN 964 trata da política e da governança da empresa inteira. A RO-CB.BR.01, do Submódulo 5.13 do Manual de Procedimentos da Operação do ONS, trata de controles técnicos no ARCiber, o Ambiente Regulado Cibernético.

Item	REN ANEEL nº 964/2021	RO-CB.BR.01 do ONS
Quem cumpre	Concessionários, permissionários e autorizados de serviços ou instalações de energia elétrica, além das entidades de operação do sistema, comercialização de energia e gestão de encargos setoriais (art. 1º)	Agentes e ONS, no ARCiber: centros de operação dos agentes, equipamentos que trocam dados e voz com o ONS ou outros agentes e o ambiente operativo do ONS (itens 1 e 3.1)
Prazo	Em vigor desde 1º/07/2022 (art. 11). Informações sobre a implementação à ANEEL até 30 de junho de cada ano (Despacho ANEEL nº 427/2025)	Revisão 02, vigente desde 22/03/2023. Implantação até 09/01/2023 ou 09/10/2023, conforme o item (Anexo 1). Os dois prazos já venceram

Fontes: texto da REN 964 no Diário Oficial da União, Despacho ANEEL nº 427/2025 e RO-CB.BR.01, revisão 02.

O que a REN 964 exige

Fonte: texto da REN 964 no Diário Oficial da União.

Política aprovada no topo. Aprovação pelo Conselho de Administração ou órgão colegiado equivalente, dirigente responsável, ponto focal para urgências e revisão periódica (art. 5º).
Conteúdo mínimo. Entre outros: objetivos de prevenir, detectar e responder a incidentes; um modelo de maturidade aplicado todo ano; classificação de dados; capacitação; e simulações para testar resiliência e tempo de resposta (art. 4º).
Operação protegida. Mecanismos para impedir que incidentes na rede corporativa ou na rede das instalações afetem a operação (art. 4º, XI).
Terceiros. Prestadores que manuseiem informações críticas seguem controles compatíveis com os do agente (art. 4º, VII).
Notificação. Incidentes de maior impacto vão à equipe de coordenação setorial assim que o agente souber do incidente e de sua dimensão, com causa, impacto e mitigação (art. 6º). Essa equipe é a Equipe de Coordenação para Tratamento de Incidentes Cibernéticos do Setor Elétrico (ECTIC), com representantes da ANEEL, do ONS e da CCEE (Portaria ANEEL nº 165/2025). O canal é o sistema OSCIP (ANEEL).
Compartilhamento e registros. Troca sigilosa de informações sobre ameaças, também fora do próprio grupo (art. 7º), e registros à disposição da ANEEL sobre maturidade, riscos e equipes de resposta (art. 9º).

O que a RO-CB.BR.01 exige

Área	Controles mínimos (item da rotina)	Prazo
Arquitetura	Zonas de supervisão, DMZ operativa (intermediária) e corporativa, níveis 2, 3 e 4 do modelo de referência ISA-95 e Purdue (4.1.1); ARCiber sem acesso direto à internet (4.1.2); acesso externo só por VPN ou similar, via gateway com controles (4.1.3); antimalware ou lista de aplicações permitidas (4.1.4)	4.1.2 e 4.1.3: 09/01/2023. 4.1.1 e 4.1.4: 09/10/2023
Governança	Gestor e suplente como ponto de contato externo (4.2.1); política de papéis e responsabilidades (4.2.2)	09/01/2023
Inventário	Inventário de hardware e software a cada 24 meses, no mínimo, com tipo, fabricante, função, endereço IP ou MAC, protocolo e firmware (4.3.1); acesso restrito (4.3.2); padrões de configuração segura monitorados (4.3.3)	09/01/2023
Vulnerabilidades	Correções (patches) com cronograma e mapeamento dos ativos (4.4.1); ativo novo só entra com as correções aplicadas (4.4.2)	09/10/2023
Acessos	Credenciais individuais, política de senhas, mínimo privilégio, autenticação multifator (MFA) e trilha de auditoria nas contas privilegiadas, senha distinta por ativo (4.5.1)	09/10/2023
Monitoramento e resposta	Logs de segurança (4.6.1); alertas analisados no prazo da política (4.6.2); resposta tempestiva (4.6.3); plano de resposta (4.6.4) com testes periódicos (4.6.5)	4.6.1: 09/01/2023. Demais: 09/10/2023

Item não implantado vira exceção documentada e aprovada pelo gestor do ARCiber (5.1). A revisão 02 retirou o item 4.6.6, que mandava informar incidentes ao ONS, por redundância com o art. 6º da REN 964 (RO-CB.BR.01, revisão 02).

SOC de TI, SOC OT e a convergência IT e OT

Duas operações com prioridades diferentes

Um SOC (centro de operações de segurança) de TI protege dados e sistemas corporativos. Um SOC OT monitora as redes industriais com foco na continuidade do processo físico. A convergência IT e OT junta os dois numa mesma operação.

Aspecto	SOC de TI	SOC OT
Prioridade	Confidencialidade e integridade dos dados	Disponibilidade e continuidade da operação
Ativos	Servidores, estações, nuvem e aplicações	CLPs, IEDs (relés digitais e outros dispositivos inteligentes), IHMs (telas de operação) e SCADA
Protocolos	Protocolos de rede corporativa, web e e-mail	Protocolos industriais, como Modbus, DNP3 e IEC 61850 (comum em subestações)
Coleta de dados	Agentes nas máquinas, logs e varreduras ativas	Logs e leitura do tráfego industrial; testes que enviam pacotes aos equipamentos só com planejamento
Resposta	Isolar a máquina afetada	Decidir com a operação, para não parar a planta nem desligar carga
Atualizações	Ciclos curtos de patch	Janelas de manutenção e controles compensatórios
Equipe	Analistas de segurança	Analistas que também conhecem automação e processos industriais

Por que a convergência IT e OT importa

A REN 964 pede mecanismos para que incidentes na rede corporativa não afetem a operação (art. 4º, XI). Isso exige olhar as duas redes ao mesmo tempo.
A RO-CB.BR.01 coloca uma DMZ operativa entre a zona corporativa e a de supervisão (4.1.1). Essa fronteira é um dos caminhos de um ataque que começa na TI e tenta chegar à OT.
Com SOCs separados, cada equipe enxerga só parte desse caminho. Um SOC convergente correlaciona os eventos das duas redes e coordena uma única resposta.

Onde a Vortex pode apoiar

Obrigação do agente

O cumprimento é do agente A REN 964 atribui a ele a segurança das instalações e a execução da política (art. 8º).

Onde a Vortex entra

Parte técnica e operação contínua A Vortex pode apoiar a parte técnica e a operação contínua e já fez dezenas de projetos de adequação à RO-CB.BR.01.
Cyber Defense Center O Cyber Defense Center é o NG-SOC Convergente da Vortex: IT e OT na mesma operação, com células dedicadas para OT (o SOC OT), 24x7x365, em duas unidades redundantes, no Rio de Janeiro e em São Paulo.
Security Integration Pela linha Security Integration, a Vortex indica, implanta, integra e gerencia tecnologias de OT sem se prender a um fabricante, com parceiros como Claroty, Kaspersky, TXOne, Tenable e Fortinet.

Requisitos e apoio da Vortex

Requisito	O que a empresa precisa ter	Como a Vortex pode apoiar
Zonas e conduítes (RO 4.1.1; IEC 62443-3-2)	Mapa de zonas e regras entre elas	Assessment com base na IEC 62443, que define zonas, conduítes e níveis de segurança; OT-Firewall e Firewall/IPS industrial, para segmentar a rede e controlar o tráfego entre zonas
ARCiber fora da internet; acesso remoto por VPN (RO 4.1.2 e 4.1.3)	Acesso remoto autenticado, autorizado e registrado	OT-Secure Remote Access, que controla, autentica e monitora conexões remotas, com rastreabilidade e criptografia
Antimalware (RO 4.1.4)	Proteção atualizada nos computadores industriais	Anti-malware industrial e OT-EDR
Inventário (RO 4.3.1)	Inventário com os atributos pedidos pela rotina	OT-Inventory, com descoberta automática de dispositivos, redes e protocolos
Patches (RO 4.4)	Cronograma e mapeamento de cada ativo às correções	OT-Vulnerability Management, que aponta falhas em CLPs e SCADA e orienta a prioridade de correção
Logs, alertas e resposta (RO 4.6.1 a 4.6.3; REN 964, art. 4º, XI)	Monitoramento contínuo, com alertas analisados no prazo da política	SOC OT do Cyber Defense Center, 24x7x365, com OT-Threat Detection nos protocolos industriais
Incidentes de maior impacto (REN 964, arts. 4º, VI, e 6º)	Causa, impacto e mitigação documentados para a notificação	Análise forense e resposta do Cyber Defense Center; incidentes e relatórios no Vortex Cockpit. A notificação segue com o agente
Prestadores (REN 964, art. 4º, VII)	Exigências de segurança nos contratos	Operação do Cyber Defense Center certificada em ISO/IEC 27001, ISO/IEC 27701 e ISO 22301
Política, maturidade, plano de resposta, exercícios, capacitação e MFA fora do acesso remoto (REN 964, arts. 4º e 5º; RO 4.2, 4.5, 4.6.4 e 4.6.5)	Documentos aprovados, controles de acesso e testes registrados	Governança de OT pela IEC 62443 (políticas e procedimentos), avaliação de maturidade, exercícios de mesa de resposta a incidentes, plataforma de conscientização e acesso remoto seguro a OT com MFA

Veja como foi um Risk Assessment OT em uma empresa de saneamento e como a Vortex atua com segurança para ambientes industriais. Por setor: infraestrutura crítica e energia e manufatura.

Checklist prático

Cada item aponta a regra de origem.

Confirme se a empresa está sujeita à REN 964 (art. 1º), liste os ativos do ARCiber (RO 3.1) e nomeie seu gestor e suplente (RO 4.2.1).
Nomeie o dirigente responsável e aprove a política no Conselho de Administração ou órgão equivalente, com revisão periódica (REN 964, art. 5º).
Inventarie o ARCiber e atualize o inventário em até 24 meses (RO 4.3.1).
Separe ao menos as zonas de supervisão, DMZ operativa e corporativa (RO 4.1.1).
Tire o ARCiber da internet e leve o acesso remoto para VPN com gateway controlado (RO 4.1.2 e 4.1.3).
Defina padrões de configuração segura e o cronograma de patches; registre as exceções aprovadas (RO 4.3.3, 4.4 e 5.1).
Exija MFA e trilha de auditoria nas contas privilegiadas (RO 4.5.1.5).
Ligue logs e alertas a um monitoramento contínuo, com prazo de análise na política (RO 4.6.1 e 4.6.2).
Teste o plano de resposta e a lista de acionamento (call tree) e registre as lições aprendidas (RO 4.6.4 e 4.6.5).
Defina o que é incidente de maior impacto e cadastre no OSCIP quem notifica a ECTIC (REN 964, arts. 2º e 6º).
Aplique um modelo de maturidade por ano e envie as informações à ANEEL até 30 de junho (REN 964, art. 4º, II; Despacho nº 427/2025).
Se adotar a IEC 62443, defina o nível-alvo (SL-T) de cada zona (IEC 62443-3-3).

Perguntas frequentes

A IEC 62443 é obrigatória no setor elétrico?

Não pelo nome. A REN 964 manda adotar normas, padrões e referências de boas práticas (art. 3º, I), sem citar uma norma. A RO-CB.BR.01 usa os níveis do modelo ISA-95 e Purdue para definir as zonas. A IEC 62443 é uma das referências que a empresa pode adotar.

Quem precisa cumprir a REN ANEEL 964?

Concessionários, permissionários e autorizados de serviços ou instalações de energia elétrica, além das entidades de operação do sistema, comercialização de energia e gestão de encargos setoriais (art. 1º).

Qual é a diferença entre a REN 964 e a RO-CB.BR.01?

A REN 964 define a política de segurança cibernética da empresa inteira. A RO-CB.BR.01 define controles técnicos mínimos no ARCiber, para os agentes e para o ONS. Um agente com ativos no ARCiber segue as duas.

Quais são os prazos?

A REN 964 vale desde 1º de julho de 2022, e as informações sobre a implementação vão à ANEEL até 30 de junho de cada ano. Os prazos da RO-CB.BR.01 venceram em 9 de janeiro ou 9 de outubro de 2023, conforme o item; o que não for implantado precisa de exceção aprovada (5.1).

Como notificar um incidente cibernético de maior impacto?

Pelo sistema OSCIP, à ECTIC, assim que o agente souber do incidente e de sua dimensão. A notificação traz causa, impacto e ações de mitigação (art. 6º) e não substitui outras comunicações exigidas por lei ou norma (art. 6º, § 2º).

O que é um SOC OT e por que integrá-lo ao SOC de TI?

Um SOC OT monitora redes industriais e responde a incidentes com cuidado para não interromper o processo. Integrado ao SOC de TI, ele acompanha um ataque que passa de uma rede para a outra. No Cyber Defense Center da Vortex, o NG-SOC Convergente, o SOC OT é uma célula dedicada na mesma operação 24x7x365.

Indústrias fora do setor elétrico precisam seguir essas regras?

Depende do enquadramento. Uma indústria com autorização da ANEEL, como uma usina própria, pode estar no art. 1º da REN 964; confirme com o jurídico. As demais podem usar a IEC 62443 como referência.

Fontes

Páginas consultadas em 01/11/2026.

Quer avaliar o seu ambiente OT pela IEC 62443 e pela rotina do ONS?

Conte o momento da sua operação e um especialista da Vortex entra em contato.

Diagnóstico gratuito
Resposta rápida
Atendimento personalizado

Atualizado em 1 de novembro de 2026