Paraguai debate lei de infraestrutura crítica

Atualização 17 de setembro de 2026: A cobertura passou a incluir a relação entre o projeto de infraestrutura crítica e a Lei N.º 7593/2025 de proteção de dados pessoais, promulgada e publicada em 27 de novembro de 2025, com vigência geral a partir de 27 de novembro de 2027. Também foi acrescentado que a norma é a primeira lei integral de dados do país, cria uma Agência Nacional com poderes de fiscalização e sanção e se aplica a toda organização pública ou privada que trate dados de clientes, fornecedores e funcionários.

O Senado do Paraguai tem na pauta da sessão ordinária desta quarta-feira, 16 de setembro de 2026, a análise de um projeto de lei sobre infraestrutura crítica. A proposta busca proteger serviços essenciais como energia elétrica, água potável, hospitais, telecomunicações, bancos e serviços digitais do Estado. O texto define quais ativos entram nessa categoria, obriga operadores públicos e privados a manter planos de segurança e de resposta a falhas ou ataques e determina que o Estado coordene ações para evitar efeitos em cadeia entre setores.

¿Qué incluye el proyecto?

O texto prevê a criação de um registro nacional de infraestruturas críticas categorizadas e exige que essas instalações contem com sistemas de detecção e resposta a incidentes, conhecidos como IDS/IPS, além de protocolos de segurança para tecnologias operacionais e dispositivos de internet das coisas, ou IoT.

A iniciativa foi apresentada originalmente pelo senador oposicionista José Oviedo em 4 de dezembro de 2024 e, após modificações, chega à análise de setembro de 2026 com 17 artigos. Segundo a Última Hora, um dos objetivos é identificar órgãos públicos para melhorar seus níveis de cibersegurança. O projeto também se apoia na Convenção de Budapeste sobre Cibercrime, de 2004.

¿Qué organismo nuevo crea?

A proposta contempla a criação de um Conselho Nacional de Cibersegurança, ainda não instituído, com a tarefa de desenhar uma estratégia nacional de proteção de infraestruturas críticas.

Junto com esse conselho, o projeto forma um grupo de operadores de infraestrutura crítica, públicos e privados, obrigados a notificar incidentes em até 12 horas a partir do evento. Além disso, o texto inclui dispositivos para que o Estado estimule a participação e o investimento do setor privado em tecnologias de segurança ligadas à proteção dessas infraestruturas.

¿Qué cambia con la ley de datos personales?

A Lei N.º 7593/2025 de proteção de dados pessoais complementa a Lei N.º 6534/2020 sobre dados de crédito e estabelece um regime geral de proteção de dados no Paraguai. Segundo El Nacional e Última Hora, ela foi promulgada e publicada em 27 de novembro de 2025, entrará em vigor de forma geral em 27 de novembro de 2027 e se aplica a toda organização pública ou privada que trate dados de pessoas, incluindo clientes, fornecedores e funcionários.

O texto também cria uma Agência Nacional com poderes de fiscalização e sanção e prevê multas que, na faixa mais alta, podem chegar a dez mil jornales mínimos, segundo a Última Hora. Durante a tramitação, participaram de audiências públicas no Congresso representantes de birôs de crédito e entidades do setor financeiro e creditício, de acordo com El Nacional.

¿Por qué se cruzan ambas discusiones?

O ponto em comum entre as duas iniciativas é que o Paraguai avança ao mesmo tempo em regras para proteger serviços essenciais e em uma lei geral para ordenar o tratamento de dados pessoais. Enquanto o projeto de infraestrutura crítica mira a continuidade operacional de setores sensíveis, a Lei 7593/2025 fixa obrigações para empresas e órgãos públicos que lidam com informações de pessoas.

No caso da infraestrutura crítica, a proposta exige sistemas IDS/IPS, protocolos para OT e IoT, a criação de um Conselho Nacional de Cibersegurança e a notificação de incidentes em até 12 horas. O texto também prevê que o Estado incentive o investimento privado em tecnologias de segurança para esses serviços.

Em paralelo, a lei de dados já foi sancionada e publicada, mas sua entrada em vigor geral só ocorrerá em novembro de 2027, o que abre um período de adaptação para empresas e órgãos públicos. Segundo a Última Hora, essa norma é a primeira lei integral de proteção de dados do país e estabelece um padrão que conviverá com o debate sobre infraestruturas críticas.