O que os serviços públicos de água precisam saber sobre conformidade de segurança cibernética

À medida que a fiscalização federal torna-se mais rigorosa e os estados começam a intervir com mandatos próprios de segurança cibernética, os serviços públicos de água e esgoto enfrentam uma onda iminente de prazos rígidos de conformidade, agravada por recentes ataques cibernéticos contra serviços públicos estaduais de água.

Como navegar pela nova realidade da regulamentação cibernética da água

Em 2023, a EPA dos EUA implementou uma iniciativa inicial para incorporar avaliações de segurança cibernética nas inspeções sanitárias estaduais. Embora essa iniciativa tenha sido suspensa na justiça e posteriormente retirada, os requisitos estatutários federais subjacentes e os direcionadores de fiscalização permanecem totalmente ativos. Em vez de depender de novas regras de inspeção, os órgãos regulatórios federais e estaduais estão utilizando ativamente a autoridade legal existente e as orientações técnicas para transformar a segurança cibernética da água de recomendações voluntárias em prazos de conformidade obrigatórios.

A urgência de reforçar a segurança cibernética nas instalações hídricas é evidenciada por um recente ataque cibernético coordenado que interrompeu as operações de serviços públicos de água e esgoto em mais de 30 comunidades de Minnesota no final de julho de 2026. 

Regulamentações e mandatos de segurança cibernética para serviços públicos no futuro

A America’s Water Infrastructure Act (AWIA) 2013/Safe Drinking Water Act (SDWA) 1433 continua em pleno vigor. 

Os sistemas comunitários de água que atendem a mais de 3.300 pessoas são legalmente obrigados a certificar uma avaliação de risco e resiliência (RRA) e um plano de resposta a emergências (ERP) junto à EPA em um ciclo de recertificação de cinco anos, e esse ciclo abrange ameaças cibernéticas explicitamente, não apenas riscos físicos e naturais. 

Prazos de recertificação:

• Sistemas que atendem a mais de 100.000 pessoas: 31 de março de 2025
• Faixa de 50.000–99.999: 31 de dezembro de 2025
• Faixa de 3.301–49.999, a grande maioria dos sistemas de água dos EUA: 30 de junho de 2026, com os ERPs previstos para seis meses depois.

A EPA não deixou de pressionar na área cibernética. Ela apenas está fazendo isso por meio de orientações, assistência técnica e aplicação da autoridade existente, em vez da criação de novas normas. 

Em maio de 2024, a EPA emitiu um alerta de fiscalização advertindo que intensificaria as inspeções associadas a lacunas de segurança cibernética encontradas em sistemas de água potável. 

Em 23 de outubro de 2025, a EPA lançou um pacote atualizado de ferramentas cibernéticas: 

• Guia revisado do Plano de Resposta a Emergências
• Modelo de Plano de Resposta a Incidentes de Segurança Cibernética (CIRP)
• Listas de verificação específicas para incidentes
• Lista de verificação de aquisições de segurança cibernética

Essas ferramentas foram desenvolvidas para ajudar os serviços públicos a incorporar a segurança cibernética diretamente ao processo de RRA/ERP que já são obrigados a concluir.

Estados intervêm onde a EPA recuou

Com o fim do mandato nacional de inspeção sanitária da EPA, os estados começaram a elaborar as próprias regras de segurança cibernética para sistemas de água. Nova York é o exemplo mais claro: Em março de 2026, o New York State Department of Environmental Conservation finalizou emendas a seis New York Codes, Rules and Regulations (NYCRR) Parts 616, 650 and 750, adicionando regulamentações vinculativas de segurança cibernética para instalações de tratamento de águas residuais, incluindo a notificação obrigatória de incidentes e requisitos de controle de acesso criados com base nas próprias diretrizes de segurança cibernética da EPA, incorporadas à norma por referência. Os requisitos de notificação entraram em vigor em 26 de março de 2026.

É um modelo que outros estados estão acompanhando de perto. Espere que mais órgãos reguladores estaduais ambientais e de serviços públicos sigam o exemplo de Nova York em 2026 e 2027, especialmente para sistemas de águas residuais, que (ao contrário da água potável) não são cobertos pela AWIA e têm operado, em grande parte, sem qualquer exigência cibernética federal.

A notificação de incidentes está a caminho, estejam os serviços públicos prontos ou não

A U.S. Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) exigirá que as entidades abrangidas, incluindo serviços públicos de água e águas residuais, relatem incidentes cibernéticos significativos à CISA em até 72 horas a partir do momento em que a organização considerar que o incidente ocorreu, e notifiquem pagamentos de resgate em até 24 horas após o desembolso. A expectativa é de que as regras atualizadas sejam finalizadas ainda em 2026. 

Os serviços públicos que esperarem a conclusão da regra para estruturar um processo de notificação e resposta a incidentes terão que correr contra o tempo; a decisão mais sensata é tratar o CIRCIA como se já estivesse em vigor operacionalmente.

Financiamento para serviços públicos e proteções de compartilhamento de informações estão de volta, por enquanto

Outros dois elementos do âmbito federal em que os serviços públicos se apoiam expiraram e foram restabelecidos, mas nenhum deles está totalmente definido:

• O State and Local Cybersecurity Grant Program (SLCGP), que muitos estados usam para ajudar a financiar trabalhos de segurança cibernética em sistemas de água menores, expirou em 30 de setembro de 2025, juntamente com a Cybersecurity Information Sharing Act of 2015 (CISA 2015), a lei que oferece aos serviços públicos proteção de responsabilidade quando compartilham threat intel com a Cybersecurity and Infrastructure Security Agency (CISA) e parceiros. Ambos foram restabelecidos em 12 de novembro de 2025 como parte do acordo para encerrar a paralisação do governo, expiraram novamente por um breve período e foram estendidos mais recentemente até 30 de setembro de 2026, pela Consolidated Appropriations Act, 2026. 
  • Os serviços públicos que dependem de verbas do SLCGP ou das proteções de compartilhamento de informações da CISA devem tratar isso como um programa a ser acompanhado, não como uma garantia definitiva, e devem planejar os investimentos cibernéticos para não depender exclusivamente de um ciclo de subsídios que frequentemente entra na mira dos cortes de resoluções contínuas.
• Os fundos rotativos estaduais para água potável e água limpa ainda contam com os US$ 11,7 bilhões adicionais fornecidos individualmente pela Bipartisan Infrastructure Law, e a EPA continua incentivando explicitamente os estados a usarem esses recursos em projetos de resiliência de segurança cibernética. Novos programas de subsídios competitivos, como o Midsize and Large Drinking Water System Infrastructure Resilience and Sustainability Program da EPA, também abriram caminhos adicionais de financiamento específicos para a mitigação de perigos cibernéticos.

O cenário de ameaças não esperou a atualização das políticas

• A análise de 2024 do U.S. Government Accountability Office (GAO) constatou que quase 170 mil sistemas de água dos EUA enfrentam riscos cibernéticos e estão cada vez mais automatizados. 
• Um relatório do Inspetor Geral da EPA identificou vulnerabilidades de severidade crítica ou alta em 97 sistemas de água potável que atendem a 27 milhões de pessoas, enquanto agentes afiliados ao Irã continuam visando à infraestrutura de água dos EUA, incluindo esta alegação de violação divulgada contra um serviço público de água da Califórnia no início deste ano. 
• As atividades maliciosas recentes também incluem o ataque cibernético coordenado aos serviços públicos de água de Minnesota, conforme detalhado na nossa publicação mais recente do blog, Ataque cibernético coordenado aos serviços públicos de água de Minnesota: O que você precisa saber.

O padrão observado desde 2023 continuou em alta enquanto o quadro regulatório tentava se equiparar.

Como a Tenable pode ajudar

Seja qual for a motivação de uma concessionária — um prazo para recertificação RRA/ERP, uma exigência estadual como a de Nova York, a preparação para o CIRCIA ou simplesmente a defesa contra um cenário de ameaças cada vez mais agressivo —, o trabalho fundamental é o mesmo: saber o que está na rede, saber o que é vulnerável e ser capaz de provar isso.

O Tenable One OT Exposure oferece aos serviços públicos de água e esgoto:

• Visibilidade profunda em ambientes convergidos de TI/OT, substituindo os inventários baseados em planilhas que a EPA e os auditores estaduais cada vez mais solicitam que os serviços públicos abandonem, fornecendo a esses serviços públicos a linha de base documentada de ativos de OT/TI que as RRAs, as regras cibernéticas estaduais e a prontidão para a CIRCIA pressupõem existir.
• Gerenciamento de vulnerabilidades desenvolvido especialmente para OT/ICS por meio da abordagem proprietária de descoberta híbrida da Tenable, incluindo monitoramento passivo de rede e recursos de consulta ativa segura para identificar e priorizar portas expostas, credenciais padrão e firmware desatualizado que os inspetores procuram.
• Detecção e monitoramento contínuos de ameaças por meio de detecção baseada em políticas, anomalias e assinaturas ajustada a protocolos de OT, oferecendo aos serviços públicos a base de evidências (não apenas uma política no papel) que as orientações atualizadas da EPA e os órgãos reguladores estaduais agora exigem.
• Documentação que os serviços públicos podem entregar a um auditor ou órgão regulador, incluindo rastreamento de alterações de configuração, armazenamento centralizado de logs e documentação da topologia de rede que atendem diretamente aos requisitos de relatório de RRA, ERP e CIRCIA.

A Cidade de Raleigh, por exemplo, a empresa usa o Tenable One OT Exposure para empregar menos tempo buscando manualmente o inventário de ativos e mais tempo investigando ameaças reais e corrigindo vulnerabilidades nos seus sistemas de água.

A Tenable é reconhecida como líder em segurança de sistemas de controle industrial e conta com a confiança de mais de 40 mil organizações no mundo todo. À medida que o cenário de conformidade passa de “incentivado” para “obrigatório”, prazo após prazo, estado por estado, a Tenable oferece aos serviços públicos de água e esgoto a visibilidade e as evidências necessárias para se manterem à frente.

Saiba mais

• Soluções de segurança de OT da Tenable para serviços públicos de água
• State and Local Cybersecurity Grant Program (SLCGP)
• Estudo de caso da cidade de Raleigh
• Segurança cibernética da EPA para o setor de água