Quando uma PME descobre numa segunda-feira de manhã que seus backups foram criptografados durante o fim de semana, a questão não é mais saber se a cibersegurança é um assunto prioritário. O ransomware atacou, a equipe de TI improvisa, e a direção percebe que o plano de recuperação estava escrito em um post-it. Esse cenário é cada vez mais comum, inclusive em estruturas que pensavam ter coberto as bases.
A atualidade cibernética de 2026 não se resume a uma lista de falhas corrigidas ou de grupos de hackers desmantelados. Ela destaca descompassos concretos entre o que as regulamentações exigem, o que as ferramentas prometem e o que as equipes de campo podem realmente absorver.
NIS2 na França: uma obrigação que ainda não existe no papel
Fala-se de NIS2 em todos os webinários há dois anos. Os consultores vendem auditorias de conformidade, os editores exibem crachás “NIS2 ready” em suas soluções. No campo, a realidade jurídica é bem diferente.
A diretiva europeia NIS2 (UE 2022/2555) deveria ser transposta para o direito nacional antes de 17 de outubro de 2024. No entanto, em 11 de setembro de 2026, nenhuma lei francesa de transposição foi promulgada. O projeto de lei Resiliência ainda está em exame parlamentar, sem um cronograma firme para a publicação dos decretos de aplicação.
A consequência direta para as empresas francesas: as obrigações NIS2 não são juridicamente exigíveis enquanto a lei e seus decretos não forem publicados. É possível acompanhar as notícias no Cyber Vista para medir a discrepância entre os anúncios regulatórios e sua tradução operacional.
Isso não significa que é preciso esperar. As empresas que já trabalham com parceiros europeus sujeitos ao NIS2 em seus países (Alemanha, Bélgica, Países Baixos) enfrentam uma pressão contratual real. Seus clientes e contratantes exigem garantias de conformidade, seja a lei francesa ou não.
DORA e setor financeiro: a regulamentação que realmente se aplica desde 2025
Enquanto o NIS2 patina na França, outro texto europeu já produz seus efeitos. O regulamento DORA (UE 2022/2554) é diretamente aplicável desde 17 de janeiro de 2025, sem necessidade de transposição. Ele se aplica a bancos, seguradoras, gestores de ativos, prestadores de pagamento e seus fornecedores de TIC críticos.
No campo, o DORA impõe exigências precisas de resiliência operacional digital. As equipes de TI das instituições financeiras devem mapear suas dependências em relação a prestadores terceiros, testar regularmente suas capacidades de recuperação e documentar cada incidente significativo.
Para as fintechs e prestadores de cloud que atendem ao setor financeiro, a mudança é tangível. Um fornecedor de serviços de hospedagem que não puder demonstrar sua conformidade com o DORA corre o risco de perder seus contratos bancários. Os retornos variam sobre a carga real de conformidade dependendo do tamanho da estrutura, mas o quadro jurídico não deixa margem para ambiguidades.
Ransomware em 2026: o roubo de dados substitui a criptografia pura
O relatório mundial de 2026 sobre resposta a incidentes da Unit 42 da Palo Alto Networks documenta uma evolução notável. A criptografia de dados aparece em 78% dos casos de extorsão registrados em 2025, uma queda em relação aos níveis superiores a 90% entre 2021 e 2024.
Essa queda na criptografia não significa que a ameaça esteja diminuindo. O roubo puro de dados se impõe como método de extorsão por si só. Os atacantes exfiltram arquivos sensíveis e ameaçam publicá-los, sem se dar ao trabalho de criptografar nada. A pressão recai sobre a reputação e a conformidade regulatória da vítima, não sobre a indisponibilidade de seus sistemas.
Para as equipes de defesa, essa mudança altera a dinâmica operacional:
- A detecção de exfiltrações de dados (movimentos laterais, transferências volumosas para fora) se torna mais crítica do que a simples proteção anti-ransomware clássica
- Os planos de recuperação após incidentes devem incluir um componente de comunicação de crise e notificação regulatória, não apenas a restauração dos backups
- A segmentação de rede e o controle de acessos privilegiados limitam a superfície de exfiltração de forma muito mais eficaz do que as soluções de descriptografia a posteriori
O que isso muda na postura de segurança diária
Não se pode mais contentar em verificar se os backups estão funcionando. Monitorar os fluxos de saída da rede se torna uma prioridade operacional. Um pico de transferência para um servidor externo às 3 horas da manhã deve acionar um alerta, não um log que ninguém consulta antes de segunda-feira.
IA ofensiva e phishing direcionado: a ameaça que mais cresce
O phishing personalizado por IA generativa e os deepfakes vocais estão entre os vetores de ataque que mais crescem rapidamente.
No campo, observa-se que os ataques de phishing gerados por IA são gramaticalmente impecáveis e contextualizados. Um e-mail fraudulento pode usar o nome de um projeto interno, o estilo de escrita de um colega, ou até mesmo imitar a voz de um executivo durante uma chamada telefônica. Alguns segundos de gravação vocal são suficientes para treinar um modelo convincente.
Diante desse aumento de poder, os treinamentos clássicos de conscientização sobre phishing mostram seus limites. Pedir aos colaboradores que identifiquem erros de ortografia não funciona mais quando a IA não comete nenhum.
- As simulações de phishing devem incluir cenários gerados por IA, com pretextos contextuais realistas
- A verificação de identidade por um segundo canal (retorno de chamada, confirmação por mensagem interna) continua sendo a defesa mais confiável contra deepfakes vocais
- As ferramentas de detecção comportamental em mensagens (análise de padrões de envio, anexos incomuns) complementam de forma útil os filtros anti-spam tradicionais
Cibersegurança das PME: um abismo que se aprofunda em relação às grandes empresas
As grandes empresas investem em SOCs, contratam analistas, implantam soluções EDR em cada estação. As PME, por sua vez, muitas vezes funcionam com um prestador de serviços de TI generalista que gerencia tanto a impressora de rede quanto a política de senhas.
A maioria das PME francesas não tem nem um CISO dedicado nem um plano de resposta a incidentes formalizado. Quando um ransomware ataca, a primeira reação é ligar para o prestador habitual, que nem sempre possui as competências forenses necessárias.
Os dispositivos de apoio existem (Cybermalveillance.gouv.fr, diagnósticos regionais), mas sua adoção continua lenta. O principal obstáculo não é o orçamento de software, mas sim o tempo humano. Em uma estrutura de 30 pessoas, ninguém tem três dias para dedicar a uma auditoria de maturidade cibernética.
A discrepância regulatória em torno do NIS2 não ajuda em nada. Sem uma obrigação legal clara, a cibersegurança continua sendo percebida como um centro de custo, não como uma condição de sobrevivência operacional. Os incidentes recentes, como vazamentos de dados que afetaram quase metade dos franceses segundo o Cybermalveillance.gouv.fr, deveriam ser suficientes para mudar essa percepção.
