Em outubro de 2026, vários supermercados franceses tiveram geladeiras e freezers aquecidos a até 50 ºC. Grandes volumes de alimentos precisaram ser descartados e, em alguns estabelecimentos, houve focos de incêndio. Conforme noticiado em jornais, a origem desse problema foi um ciberataque. Os invasores acessaram remotamente os controladores que gerenciam a refrigeração das lojas, acionaram ciclos de degelo e suprimiram os limites que impediriam a elevação da temperatura. Segundo a agência francesa de cibersegurança (Anssi), foram explorados controladores de diferentes fabricantes, entre eles a dinamarquesa Danfoss, que reconheceu que boa parte dos equipamentos atingidos já não recebia atualizações de segurança (Haq, 2026).Prejuízos causados por ataques hackersTrês semanas depois, o episódio se repetiu. Em 2 de novembro de 2026, redes de supermercados na Bélgica, em Luxemburgo, na Suécia e na Estônia experimentaram incidentes semelhantes ao relatarem evaporadores colocados em modo de degelo, e, em algumas lojas, as temperaturas novamente chegaram a 50 ºC (Reuters, 2026). Até o momento, não há indicação de autoria nem confirmação de que os casos estejam conectados. A repetição, porém, sugere que o problema não está em um fornecedor ou em um país, mas na forma como esses equipamentos são colocados no mercado, conectados e mantidos.Se ataques semelhantes atingissem as redes varejistas do Brasil, haveria um regulador responsável por exigir que controladores de refrigeração não ficassem expostos à internet pública, com software sem suporte e acesso remoto mal protegido? Hoje, não há resposta clara. E é essa ausência de uma entidade responsável que merece atenção.Cadeia de suprimentos e dispositivos conectadosOs episódios ilustram o risco da cadeia de suprimentos tecnológica. A vulnerabilidade não estava nos sistemas dos próprios supermercados, mas em componentes e serviços prestados por terceiros. Em 2021, a Enisa apresentou relatório específico aos ataques à cadeia de suprimentos. Um produto digital depende de firmware de fabricantes, bibliotecas de código aberto, mecanismos de atualização automática, e cada dependência é um ponto de entrada que escapa ao controle direto de quem usa o produto final. A expansão da internet das coisas amplia esse risco ao conectar câmeras, sensores industriais, veículos conectados, equipamentos médicos e sistemas de automação a redes digitais, muitas vezes com credenciais padronizadas, software desatualizado e acesso remoto habilitado por padrão.Esse problema não é novo. Em 2016, o malware Mirai varreu a internet testando senhas de fábrica em câmeras IP, roteadores domésticos e gravadores de vídeo e transformou milhares desses aparelhos em uma botnet (rede de dispositivos comprometidos e controlados remotamente). No mesmo ano, essa rede foi usada contra a Dyn, provedora de serviços de DNS, e tornou indisponíveis plataformas como Twitter, Netflix, Spotify e Amazon (Antonakakis et al., 2017; Kolias et al., 2017). A lição que poderia ter sido aprendida é que não se pode esquecer que dispositivos individualmente irrelevantes podem produzir disfunção sistêmica. Dez anos depois, a mesma falha estrutural deixa de afetar apenas a disponibilidade dos serviços e passa a alcançar a distribuição de alimentos.Limites da regulação setorialEsse tipo de lacuna é descrito pela literatura que estuda a coordenação regulatória. Jason Marisam (2011), ao examinar as delegações duplicadas, aponta a abdicação regulatória como um de seus custos mais frequentes, já que agências com competência sobre a mesma matéria deixam de exercê-la, e a aparência de cobertura dupla encobre a ausência de proteção.William Buzbee (2003; 2005) descreve um fenômeno distinto, que denomina regulatory commons, no qual a inação não decorre de uma competência existente e não exercida, mas do descompasso entre um problema social difuso e o recorte jurisdicional de cada regulador. Quando nenhuma instituição detém primazia sobre a questão, todas tendem a negligenciá-la. A lacuna por abdicação pode ser mitigada por arranjos que reduzam o receio de conflito entre instituições, ao passo que a lacuna por ausência de titular dificilmente se resolve sem que algum ator seja expressamente incumbido das matérias que não encontram titular no arranjo setorial.A segurança de dispositivos conectados e da cadeia de suprimentos é um exemplo desse tipo de problema. As causas estão em fabricantes, frequentemente estrangeiros, integradores e prestadores de manutenção, mas os danos se espalham por varejo, saúde, indústria e consumidores. A Anatel olha para equipamentos de telecomunicações e a Aneel para setor elétrico, por exemplo, mas a geladeira conectada do supermercado não é objeto principal de nenhum deles. Não se trata, portanto, de competência existente e não exercida, mas de matéria sem titular.Não se pode dizer que o Brasil está completamente desprovido de regulação. Conforme antes mencionado, há a regulação setorial. Neste ponto, a Anatel editou, em 2021, o Ato 77, que fixa requisitos de segurança cibernética para homologação de equipamentos de telecomunicações, entre eles a vedação de credenciais iguais entre todos os dispositivos, a troca obrigatória de senha inicial na primeira utilização, a oferta de atualizações de segurança e a manutenção de canal de reporte de vulnerabilidades.Seu alcance, contudo, é limitado, pois alcança equipamentos com função de telecomunicação, como terminais conectados à internet ou infraestrutura de rede. Além disso, o regime é essencialmente declaratório, isto é, o requerente informa quais requisitos atende, e a agência pode verificar a declaração na supervisão de mercado e, diante de vulnerabilidades, exigir correções ou suspender a homologação. Um controlador de refrigeração, um sensor industrial ou um dispositivo médico conectado tende a ficar fora dele ou, na melhor das hipóteses, em uma zona cinzenta.O mesmo recorte se repete no dever de segurança desde a concepção. Esse princípio existe no direito brasileiro, mas é aplicado limitadamente no âmbito da Lei Geral de Proteção de Dados, quando o artigo 46 § 2º exige medidas de segurança desde a fase de concepção do produto ou serviço até sua execução, e no âmbito do Eca Digital (Lei 15.211/2025), quando o artigo 6º exige medidas desde a concepção para prevenir riscos a crianças e adolescentes, voltadas sobretudo a conteúdos e contatos nocivos e no âmbito setorial, como no caso do Ato 77 da Anatel, a equipamentos de telecomunicações.Para o consumidor adulto que compra um dispositivo conectado, caso o aparelho esteja fora do recorte da regulamentação da Anatel, restam o Código de Defesa do Consumidor e a responsabilidade pelo produto que não oferece a segurança legitimamente esperada, remédios que operam depois do dano. Em pesquisa recente do Centro de Tecnologia e Sociedade da FGV Direito Rio, foi demonstrado que a maior parte das ações à disposição do consumidor diante de ameaças cibernéticas tem essa natureza posterior e que, por isso, a lógica de segurança desde a concepção precisa ser estendida por via regulatória. Exigir design seguro desde a concepção, porém, pressupõe um regulador com competência para fazê-lo.Quadro institucional brasileiroO quadro institucional brasileiro torna o diagnóstico mais preocupante. Em artigo anteriormente publicado, foi sustentado que a cibersegurança no Brasil é marcada pela fragmentação regulatória. Na falta de uma lei geral, entidades reguladoras, como a Anatel, a Aneel, Banco Central, CVM, Susep e a Secretaria de Prêmios e Apostas, editam normas para seus setores, a partir de previsões gerais de competência, enquanto o GSI coordena a atividade no âmbito federal. Fragmentação, nesse sentido, designa o espaço regulatório em que múltiplos atores detêm competência sobre um mesmo problema, sendo cada um responsável por apenas uma parcela dele (Marisam, 2011; Freeman; Rossi, 2012).No plano regulatório, a fragmentação permanece. No plano operacional, não há uma rede nacional, com base legal e coordenação estatal, que integre o setor privado à resposta a incidentes. O CERT.br, mantido pelo NIC.br, atua há anos no tratamento de incidentes envolvendo redes brasileiras, mas não integra uma estrutura estatal de coordenação. A Rede Federal de Gestão de Incidentes Cibernéticos (Decreto 10.748/2021) é obrigatória apenas para a administração pública federal direta, autárquica e fundacional; para estatais, a adesão é voluntária, e entidades privadas dependem de convite do GSI. A criação de centros de análises e compartilhamento de informações (ISACs) foi estimulada pela Portaria GSI/PR nº 148/2025, e o CNCiber instituiu grupo de trabalho para elaborar um guia sobre o tema (Resolução CNCiber nº 10/2025), mas essas estruturas ainda não possuem corpo no país.O próprio Estado não está em situação confortável. No Acórdão 2.829/2026, aprovado em 14/10/26, o TCU concluiu que a situação “continua de alto risco”, pois nenhuma das 239 organizações do Sisp com avaliação completa atende ao conjunto básico de controles de higiene cibernética adotado como referência, segundo dados de autoavaliação. O tribunal registrou que, embora a Secretaria de Governo Digital alegue não dispor de competência para sancionar os órgãos que descumprem a política, falta sobretudo um mecanismo que vincule o descumprimento a consequências concretas, de modo que o programa permanece “dependente da voluntariedade dos gestores” (Brasil, 2026).Minuta da Lei Geral de CibersegurançaA agenda legislativa oferece uma oportunidade. Tramita no Senado o PL 4.752/2025, que institui o Marco Legal da Cibersegurança, e o CNCiber tornou pública, em abril, uma minuta da Lei Geral de Cibersegurança, proposta técnica não vinculante destinada a subsidiar esse debate. A minuta traz luz ao debate tratado aqui. Inclui entre os serviços essenciais a produção, a comercialização e a distribuição de alimentos (artigo 2º, parágrafo único, X), estende a aplicação da lei aos fornecedores diretos e indiretos da cadeia de suprimentos dos agentes obrigados (artigo 6º, § 1º), autoriza a autoridade nacional a expedir e reconhecer certificação de produtos e esquemas de etiquetagem (artigo 17, III) e, sobretudo, atribui a essa autoridade a regulação e a fiscalização da cibersegurança no país (artigo 16), com competência residual em relação às autoridades setoriais (artigo 18, § 3º).Interpretados em conjunto, esses dispositivos oferecem uma resposta ao regulatory commons, já que indicam quem responde pelo que não tem dono. Aplicada aos casos europeus, a minuta alcançaria os supermercados, como prestadores de serviço essencial, e seus fornecedores de refrigeração, em um setor sem autoridade de cibersegurança evidente.Há, contudo, limites que o debate legislativo ainda precisa enfrentar. É o exemplo de dispositivos vendidos a consumidores domésticos, como os explorados pelo Mirai, que continuariam fora das obrigações da lei. E justamente o consumidor, que possui menor capacidade de avaliar a segurança do que compra, que ficaria sem proteção preventiva. Um segundo limite é o risco de abdicação.O artigo 18, § 1º, da minuta permite que autoridades setoriais flexibilizem ou dispensem as normas gerais da autoridade nacional, desde que de forma motivada e mediante comunicação, cabendo-lhes avaliar a necessidade de medidas alternativas (§ 2º). A calibração setorial é desejável, mas, sem transparência e algum controle sobre essas dispensas, o dispositivo pode reproduzir sob nova roupagem a lacuna descrita por Marisam. O terceiro limite é que está em branco o capítulo que deveria designar ou instituir a autoridade nacional, que mantém em aberto a necessidade, defendida em artigo anterior, de um arranjo institucional com competências regulatórias e de coordenação.Os ataques aos supermercados europeus mostram que a superfície de ataque se expande justamente onde ninguém regula. Coordenação regulatória em cibersegurança, portanto, não se resume a harmonizar o estoque de normas de setores já regulados. Exige atribuir competência regulatória sobre o que nenhum setor enxerga e adotar mecanismos de coordenação conhecidos pela literatura, como consultas obrigatórias, acordos interinstitucionais, normatização conjunta e revisão centralizada (Freeman; Rossi, 2012). Para isso, a futura lei precisa definir com clareza a autoridade que exercerá a competência residual e dotá-la de capacidade técnica e de enforcement, além de incorporar deveres de segurança desde a concepção para produtos conectados.___________________________________________Referências bibliográficas:ANTONAKAKIS, Manos et al. Understanding the Mirai Botnet. In: 26th USENIX Security Symposium, 2017. Vancouver: USENIX Association, 2017. p. 1093-1110BUZBEE, William W. Recognizing the Regulatory Commons: A Theory of Regulatory Gaps. Iowa Law Review, v. 89, 2003. Disponível aqui.BELLI, Luca; MEDEIROS, Breno Pauli; COUTO, Natália; BAKONYI, Erica. Governança e Regulação da Cibersegurança no Brasil. Rio de Janeiro: Lumen Juris. 2025. Disponível aqui.BRASIL. Tribunal de Contas da União. Acórdão nº 2.829/2026 – Plenário. TC 005.618/2025-8. Relator: Min. Augusto Nardes. Sessão de 14 out. 2026.BUZBEE, William W. The Regulatory Fragmentation Continuum, Westway, and the Challenges of Regional Growth. SSRN, 2005. Disponível aqui.COMITÊ NACIONAL DE CIBERSEGURANÇA (CNCiber). Minuta de Lei Geral da Cibersegurança. Brasília: GSI/PR, abr. 2026. Disponível aquiENISA. Threat Landscape for Supply Chain Attacks. Atenas, jul. 2021. Disponível aquiFREEMAN, Jody; ROSSI, Jim. Agency Coordination in Shared Regulatory Space. Harvard Law Review, v. 125, n. 5, 2012.HAQ, Sana Noor. Entenda o que aconteceu em ataque hacker a geladeiras de mercados na França. CNN Brasil. 14 de outubro de 2026. Disponível aquiKOLIAS, Constantinos; KAMBOURAKIS, Georgios; STAVROU, Angelos; VOAS, Jeffrey. DDoS in the IoT: Mirai and Other Botnets. Computer, v. 50, n. 7, p. 80-84, 2017.MARISAM, Jason. Duplicative Delegations. Administrative Law Review, v. 63, n. 2, p. 181-244, 2011.REUTERS. Supermercados europeus são atingidos por novo ataque cibernético a refrigeradores. InfoMoney, 2 nov. 2026. Disponível aquiO post Vazios regulatórios da cibersegurança: desafio de coordenar e preencher lacunas apareceu primeiro em Consultor Jurídico.