Ato ANATEL 2436/2023: Os Requisitos de Cibersegurança Obrigatórios para Homologação de Roteadores, Modems e CPEs
Resumo rápido
- O Ato ANATEL nº 2.436, de 7 de março de 2023, aprovou os Requisitos Mínimos Mandatórios de Segurança Cibernética para a Avaliação da Conformidade de Equipamentos CPE — em vigor de forma geral desde 01/07/2023 e com aplicação mandatória do Anexo desde 10/03/2024.
- Equipamentos cobertos: cable modems, modems xDSL, ONUs/ONTs, roteadores e modems para acesso fixo sem fio (FWA), roteadores e modems para acesso fixo via satélite, roteadores e pontos de acesso sem fio — quando empregados para conectar assinantes à rede de provedor de Internet.
- Três categorias de requisitos: (1) senhas providas de fábrica e definidas pelo usuário; (2) outros requisitos de segurança cibernética do equipamento; (3) requisitos atendidos pelos fornecedores (suporte ao produto, atualizações gratuitas e canal de notificação de vulnerabilidades).
- Atualização 2024: o Ato ANATEL nº 16.417/2024 (publicado em 22/11/2024) é complementar ao 2436 — aprova procedimento de auditoria da política de segurança cibernética de fornecedores, sem revogar os requisitos de CPE.
- Penalidade por descumprimento: tipos de sanção tipificados no Art. 173 da Lei 9.472/1997 (LGT); multa máxima fixada no Art. 179 — até R$ 50.000.000,00 por infração; e a Lei (Art. 162, §2°) veda a utilização de equipamentos emissores de radiofrequência sem certificação aceita pela ANATEL.
- Ato ANATEL nº 2.436/2023 (vigente em 2026): cibersegurança obrigatória para CPEs (Customer Premise Equipment — roteadores, modems, ONUs etc.). Quatro blocos de requisitos: (1) senhas de fábrica, (2) senhas do usuário, (3) segurança do equipamento, (4) obrigações do fornecedor (CVD — divulgação coordenada de vulnerabilidades + updates gratuitos)
- Categoria de homologação aplicável: Categoria II — CPEs com RF (Wi-Fi, LTE, satélite) + conexão à rede pública. Ensaios incluem RF + elétrica + EMC + cibersegurança
- Ato ANATEL nº 16.417/2024 (vigente desde 26/11/2025) é instrumento cybersecurity adicional, voltado para fornecedores de equipamentos de infraestrutura para operadoras — complementa o 2.436/2023, mas tem escopo e destinatários distintos
- Programa de Supervisão de Mercado: a ANATEL monitora continuamente os CPEs já homologados quanto à conformidade com o Ato 2.436/2023 — produtos em circulação podem ser retirados do mercado se vulnerabilidades críticas forem identificadas e não corrigidas pelo fabricante
O que é CPE e por que a ANATEL regula sua cibersegurança
CPE (Customer Premises Equipment, ou Equipamento na Instalação do Assinante) é a categoria de produto que conecta o cliente final à rede pública de telecomunicações. Em uma residência típica, o CPE é o roteador Wi-Fi entregue pelo provedor de Internet, o modem cable ou o ONT que recebe a fibra óptica. Em pequenos escritórios, é o gateway que termina o link de banda larga e distribui a conexão.
Diferente de um equipamento puramente interno (como um switch ethernet de mesa ou um access point empresarial isolado), o CPE tem uma característica decisiva para a regulação da ANATEL: ele é o ponto de fronteira entre a rede do consumidor e a rede pública. Um CPE comprometido pode servir como porta de entrada para ataques contra a infraestrutura da operadora, contra outros assinantes, e contra serviços críticos. Por isso a homologação ANATEL desses produtos passou a incluir, desde 2023, requisitos explícitos de cibersegurança.
Ato 2436/2023: o que mudou na homologação de roteadores e modems
Antes do Ato 2436/2023, a homologação ANATEL de CPEs cobria principalmente requisitos de radiofrequência (Wi-Fi, Bluetooth) e de compatibilidade eletromagnética — assegurando que o equipamento operasse dentro das faixas autorizadas e sem causar interferência. A segurança cibernética era tratada de forma fragmentada por outros instrumentos (notadamente o Ato ANATEL 77/2021, mais geral).
O Ato 2436/2023, publicado em 07/03/2023, consolidou em um único documento os requisitos mínimos mandatórios de cibersegurança aplicáveis especificamente a CPEs. Fonte oficial: gov.br/anatel — publicação Ato 2436/2023. Esses requisitos passaram a integrar o processo de avaliação da conformidade junto com os requisitos técnicos tradicionais.
| Marco | Data | Fonte / Referência |
|---|---|---|
| Publicação do Ato 2436/2023 | 07/03/2023 | DOU / gov.br/anatel |
| Entrada em vigor (geral) | 01/07/2023 | Ato 2436, Art. 3º |
| Aplicação mandatória do Anexo (cibersegurança) | 10/03/2024 | Ato 2436, Art. 3º |
| Ato complementar 16417/2024 (auditoria de fornecedores) | 22/11/2024 | gov.br/anatel — segurança cibernética |
| Alerta ANATEL “Bad Box 2.0” sobre TV Boxes piratas | 12/08/2025 | gov.br/anatel — notícias |
Importante: o Ato 16417/2024, publicado em novembro de 2024, não revoga os requisitos do Ato 2436/2023 — ele os complementa. Enquanto o Ato 2436 estabelece o que o produto CPE precisa fazer (em termos de segurança), o Ato 16417 aprova o procedimento de auditoria da política de segurança cibernética dos fornecedores que vendem equipamentos para prestadoras de telecomunicações. A base CPE residencial segue sendo o Ato 2436/2023.
Vai homologar um roteador, modem ou CPE? Não deixe a cibersegurança para depois.
Avaliamos a aderência do seu produto às três categorias de requisitos do Ato 2436/2023 antes do envio ao laboratório — economizando tempo e reprovações.
Falar com especialista em homologação de roteadoresQuais equipamentos são obrigatoriamente cobertos pelo Ato 2436
O escopo do Ato 2436/2023 está definido em texto literal na fonte oficial gov.br/anatel: aprovam-se “os requisitos mínimos mandatórios de segurança cibernética para avaliação da conformidade de equipamentos CPE (Customer Premises Equipment), abrangendo os seguintes equipamentos CPE de uso do público em geral empregados para conectar assinantes à rede do provedor de serviços de Internet”. A lista é fechada e específica.
| Equipamento | Coberto pelo Ato 2436? | Observação |
|---|---|---|
| Cable modem | SIM | Modem que conecta à rede HFC (cabo coaxial) |
| Modem xDSL (ADSL, VDSL, G.fast) | SIM | Modem para banda larga em par de cobre |
| ONU / ONT (terminais de fibra óptica) | SIM | Equipamentos GPON/EPON na ponta do assinante |
| Roteador ou modem para acesso fixo sem fio (FWA) | SIM | Inclui CPEs 4G/5G fixos para banda larga residencial |
| Roteador ou modem para acesso fixo à banda larga via satélite | SIM | Aplicações tipo Starlink, ViaSat, Hughesnet residencial |
| Roteador ou ponto de acesso sem fio | SIM | Roteadores Wi-Fi residenciais e mesh consumer |
| Switch ethernet sem interface wireless e sem função CPE | NÃO | Fora do escopo — não conecta assinante à rede pública |
| Roteadores enterprise / core network | NÃO | Outras famílias regulatórias; não são CPE residencial |
| Access points corporativos standalone | NÃO | Quando não exercem função de CPE de assinante |
| Equipamentos de backbone de operadoras | NÃO | Infraestrutura de núcleo de rede; outra cadeia regulatória |
O critério orientador do escopo está na expressão “empregados para conectar assinantes à rede do provedor de serviços de Internet”. Se o produto é vendido como CPE residencial / SOHO (small office, home office) e exerce a função de fronteira entre o cliente e a rede pública, ele está dentro do Ato 2436. Se o produto é puramente corporativo (sem função de terminação de link de assinante), ele segue requisitos das famílias específicas — incluindo o Ato 14448/2017 para a parte de RF, quando aplicável.
As 3 categorias de requisitos técnicos mandatórios
O Anexo do Ato 2436/2023 organiza os requisitos em três grandes categorias. A página oficial gov.br/anatel descreve cada uma de forma sumária. Importante: o texto do Anexo não está integralmente reproduzido nas páginas públicas — recomendamos não citar numeração de subitens (ex.: “item 3.2.1”) sem acesso direto ao texto consolidado, pois detalhes podem variar entre versões. As três categorias confirmadas em fonte oficial são:
| Categoria | O que o Ato 2436 exige |
|---|---|
| 1. Senhas providas de fábrica e senhas definidas pelo usuário | Proibição de senhas fracas e padrão iguais entre unidades (como “admin”, “12345”, “password”); cada unidade deve ter senha única ou o produto deve forçar troca de senha na primeira configuração. |
| 2. Outros requisitos de segurança cibernética do equipamento | Inclui aspectos como restrição de portas e serviços abertos por padrão, controle de superfície de ataque, integridade de firmware e mecanismos de atualização segura. |
| 3. Requisitos atendidos pelos fornecedores | Política clara de suporte ao produto; disponibilização gratuita de atualizações de segurança para o software dos equipamentos; canal público para notificação de vulnerabilidades descobertas por usuários ou pesquisadores. |
O efeito prático para o fabricante / importador é direto: não basta o produto ser tecnicamente seguro. A própria empresa precisa demonstrar capacidade de manter o produto seguro ao longo do tempo — o que envolve infraestrutura de release de firmware, processo de tratamento de vulnerabilidades reportadas, e canal acessível para o público comunicar problemas.
Processo de homologação CPE passo a passo
O Ato 2436/2023 não cria um processo paralelo de homologação — ele integra requisitos de cibersegurança ao procedimento geral de Avaliação da Conformidade da ANATEL, conduzido por Organismo de Certificação Designado (OCD). Para CPE, o fluxo prático é o seguinte:
- Classificação do produto: confirmar que o equipamento é CPE conforme a lista do Ato 2436 e identificar todas as funcionalidades (RF, ethernet, USB, gerenciamento remoto).
- Escolha do OCD designado: selecionar Organismo de Certificação Designado pela ANATEL com escopo para CPE e cibersegurança.
- Documentação técnica: preparar memorial descritivo, datasheet, esquema de blocos, especificações de RF (Ato 14448/2017 e correlatos), evidências da política de senhas, procedimento de atualização de firmware e canal de notificação de vulnerabilidades.
- Ensaios em laboratório: envio de amostra para os ensaios aplicáveis — RF, EMC e os requisitos do Anexo de cibersegurança do Ato 2436. Os ensaios são realizados em laboratório acreditado pela CGCRE (INMETRO) e designado pela ANATEL.
- Análise dos relatórios: o OCD avalia conformidade técnica e documental.
- Emissão do certificado: documento emitido pelo OCD atestando a conformidade do produto.
- Homologação ANATEL: o produto recebe número de homologação e passa a poder ser comercializado no Brasil.
A regra substantiva é clara: a emissão do documento de homologação é pré-requisito obrigatório para a comercialização e a utilização, no Brasil, de produtos para telecomunicações classificáveis nas categorias I, II e III da Resolução ANATEL 715/2019 (RACHP). Sem homologação, o produto não pode ser legalmente colocado no mercado.
Wi-Fi 6 e Wi-Fi 6E: novos requisitos de RF que afetam o roteador moderno
Em paralelo aos requisitos de cibersegurança do Ato 2436, os roteadores Wi-Fi modernos precisam atender requisitos de RF do Ato ANATEL 14448/2017 — base normativa para Equipamentos de Radiocomunicação de Radiação Restrita (Wi-Fi, Bluetooth, Zigbee). O Ato 14448 foi atualizado para incluir o Wi-Fi 6E após decisão do Conselho Diretor da ANATEL em 25/02/2022, passando a contemplar equipamentos que operam na faixa de 5.925 MHz a 7.125 MHz.
| Tecnologia | Faixa de Frequência | Status Regulatório |
|---|---|---|
| Wi-Fi 4 (802.11n) | 2.4 GHz e 5 GHz | Coberto pelo Ato 14448/2017 (versão original) |
| Wi-Fi 5 (802.11ac) | 5 GHz | Coberto pelo Ato 14448/2017 (versão original) |
| Wi-Fi 6 (802.11ax) | 2.4 GHz e 5 GHz | Coberto pelo Ato 14448/2017 |
| Wi-Fi 6E (802.11ax) | + 5.925 a 7.125 MHz | Aprovado pelo Conselho Diretor em 25/02/2022; incluído na atualização do Ato 14448/2017 |
| Wi-Fi 7 (802.11be) | 2.4 / 5 / 6 GHz | Em desenvolvimento — verificar atualizações no gov.br/anatel |
Para o fabricante, a consequência prática é que um roteador Wi-Fi 6E precisa atender ao mesmo tempo:
- Os requisitos de RF do Ato 14448/2017 atualizado (faixas de 2.4, 5 e 6 GHz, com restrições específicas para a banda de 6 GHz).
- Os requisitos de cibersegurança do Ato 2436/2023 (porque é CPE de assinante).
- O processo geral de homologação ANATEL via OCD designado.
Bad Box 2.0: o que o alerta ANATEL de agosto/2025 revela sobre os riscos de CPE não homologado
Em 12 de agosto de 2025, a ANATEL emitiu alerta oficial sobre o malware “Bad Box 2.0” — uma campanha global de infecção de equipamentos não homologados, com forte impacto no Brasil. Fonte oficial: gov.br/anatel — alerta Bad Box 2.0.
Os números do alerta são duros: cerca de 1,8 milhão de dispositivos infectados no Brasil — o país mais afetado do mundo pela campanha. Os equipamentos comprometidos eram majoritariamente TV Boxes piratas e CPEs sem homologação, vendidos a preços baixos sem certificado ANATEL. Após infectados, esses dispositivos eram usados para:
- Roubo de credenciais bancárias e de redes sociais.
- Fraude publicitária em larga escala (cliques fantasmas em anúncios online).
- Ataques DDoS contra alvos arbitrários.
- Composição de redes ilegais para encaminhamento de tráfego anônimo.
O alerta foi reconhecido pelo FBI nos Estados Unidos e pelos centros nacionais de cibersegurança da Irlanda e de Portugal. O Google chegou a ingressar com ação judicial em Nova York contra os operadores da rede Bad Box 2.0.
Penalidades — Lei 9.472/1997 (Arts. 173 e 179) + apreensão e interdição
Comercializar ou utilizar CPE sem homologação ANATEL é infração administrativa direta da Lei Geral de Telecomunicações (LGT), Lei nº 9.472/1997. O texto literal do Art. 162, §2° (Planalto): “É vedada a utilização de equipamentos emissores de radiofrequência sem certificação expedida ou aceita pela Agência.” Os tipos de sanção estão tipificados no Art. 173; o limite máximo da multa está fixado no Art. 179 da mesma Lei, em até R$ 50.000.000,00 (cinquenta milhões de reais) por infração.
| Tipo de Sanção (Art. 173) | Aplicação Típica |
|---|---|
| Advertência | Primeira infração de menor potencial; obrigação de regularizar |
| Multa (limite no Art. 179) | Até R$ 50 milhões por infração, dosada conforme gravidade, vantagem econômica auferida e capacidade econômica do infrator |
| Suspensão temporária | Suspensão de comercialização do produto não homologado |
| Caducidade / apreensão / interdição | Recolhimento de produto em estoque ou em fiscalização aduaneira; interdição da atividade |
| Declaração de inidoneidade | Em casos extremos, perda de habilitação para operar como fornecedor ANATEL |
Importante destacar a cadeia de responsabilidades: o importador é o responsável legal pela homologação do produto importado para o mercado brasileiro; o fabricante nacional responde diretamente pelo produto fabricado no Brasil; e a operadora ou ISP que distribui CPE sem homologação aos seus assinantes pode ser corresponsabilizada na fiscalização. Por isso, contratos de fornecimento entre operadoras e fornecedores de CPE costumam exigir cópia do certificado de homologação ANATEL antes da entrega física dos lotes.
Pronto para homologar seu roteador ou modem com segurança regulatória?
Conduzimos todo o processo: classificação do escopo do Ato 2436, escolha de OCD, organização da documentação técnica das três categorias de cibersegurança, acompanhamento dos ensaios e gestão até o número de homologação ANATEL.
Iniciar projeto de homologação de roteadorPerguntas Frequentes (FAQ)
1. Roteador empresarial standalone (sem função de CPE de assinante) precisa atender ao Ato 2436/2023?
Não. O Ato 2436/2023 cobre especificamente CPEs empregados para conectar assinantes à rede do provedor de Internet. Roteadores enterprise / core network e access points corporativos standalone que não exercem função de fronteira com a rede pública ficam fora do escopo. Esses equipamentos seguem regulatórios próprios — incluindo o Ato 14448/2017 para a parte de RF, quando aplicável.
2. Quem é o responsável legal pela homologação de um roteador importado: fabricante estrangeiro, importador brasileiro ou operadora?
O responsável primário é o importador brasileiro. O fabricante estrangeiro pode dar suporte documental, mas não responde formalmente perante a ANATEL. A operadora ou ISP que distribui CPE sem homologação aos seus assinantes pode ser corresponsabilizada — daí a praxe contratual de exigir cópia do certificado antes da entrega.
3. Atualização de firmware “menor” exige nova homologação?
Não toda mudança exige reapresentação ao OCD, mas mudanças que afetem (a) política de senhas de fábrica, (b) mecanismo de atualização, (c) abertura de portas/serviços, ou (d) características de RF, são candidatas a reavaliação. A boa prática é documentar formalmente cada release de firmware, manter rastreabilidade junto ao OCD e consultá-lo sempre que houver dúvida sobre a relevância da mudança.
4. Quanto tempo leva o processo de homologação de um roteador Wi-Fi 6E novo?
Para um produto bem documentado e enviado a um laboratório com slots disponíveis, o processo costuma tomar 60 a 120 dias entre contratação do OCD e emissão do número de homologação. Documentação incompleta, ensaios reprovados na primeira tentativa ou pendências de cibersegurança (sem evidência de canal de vulnerabilidades, por exemplo) podem estender o prazo em mais 30 a 60 dias.
5. Que documentos a ANATEL exige sobre as três categorias do Ato 2436?
Para cada uma das três categorias, é preciso evidência objetiva: (1) senhas — política formal de senhas únicas por unidade ou de força de troca na primeira configuração, com prova de implementação na linha de produção; (2) segurança do equipamento — relatórios de ensaios de segurança, controle de portas/serviços, mecanismo de atualização segura; (3) requisitos do fornecedor — política pública de suporte, política de atualizações gratuitas, e canal acessível (URL, e-mail, formulário) para notificação de vulnerabilidades.
6. CPE sem homologação ANATEL pode ser importado para uso pessoal?
A regra é: uso individual privado, em quantidade compatível com uso pessoal e sem comercialização, em geral não exige homologação. Mas a importação para revenda — mesmo que via marketplace internacional — é vista pela ANATEL como comercialização e exige produto homologado. A fiscalização aduaneira tem poder de reter lotes de CPE sem homologação destinados a comércio.
7. Como o consumidor verifica se um roteador é homologado?
O selo ANATEL no produto traz o número de homologação. Para confirmar a vigência, basta consultar o sistema oficial em sistemas.anatel.gov.br com o número impresso no equipamento. Se o produto não traz selo ou se o número não retorna registro válido, o equipamento não está homologado — e o consumidor pode (e deve) denunciar à ANATEL via canal oficial.
8. O Ato 16417/2024 substituiu o Ato 2436/2023?
Não. O Ato ANATEL 16417/2024 (de 22/11/2024) é complementar, não substituto. Ele aprova o procedimento de auditoria da política de segurança cibernética dos fornecedores que vendem equipamentos para prestadoras de telecomunicações — tem escopo de auditoria de fornecedor / operadora, diferente do escopo de produto do Ato 2436. Os requisitos sobre o CPE em si seguem disciplinados pelo Ato 2436/2023.
9. O que aconteceu de fato com a campanha Bad Box 2.0 e por que ela legitima a regulação ANATEL?
Bad Box 2.0 foi uma campanha de infecção de equipamentos sem homologação que, segundo o alerta ANATEL de 12/08/2025, atingiu cerca de 1,8 milhão de dispositivos no Brasil — o país mais afetado do mundo. Os aparelhos comprometidos eram usados para roubo de credenciais, fraude publicitária, ataques DDoS e composição de redes ilegais. O caso explica, na prática, por que o Ato 2436/2023 introduziu requisitos de senhas seguras, atualizações controladas e canal de vulnerabilidades — pontos exatos que produtos sem homologação não têm e que o malware explorou em escala.
Quer evitar autuação por roteador ou modem não homologado?
Avaliamos seu produto, classificamos o escopo do Ato 2436/2023, organizamos a documentação técnica e conduzimos o processo de homologação ANATEL com OCD designado — em prazo e custo previsíveis.
Falar com nossa equipe agoraFontes consultadas: Ato ANATEL nº 2.436, de 07/03/2023 — Requisitos Mínimos Mandatórios de Segurança Cibernética para Avaliação da Conformidade de Equipamentos CPE — fonte oficial em gov.br/anatel; página de requisitos de segurança cibernética para equipamentos em gov.br/anatel/seguranca-cibernetica; Ato ANATEL nº 16.417, de 22/11/2024 (procedimento de auditoria de fornecedores — complementar ao 2436/2023); Ato ANATEL nº 14.448/2017 — Requisitos Técnicos para Equipamentos de Radiocomunicação de Radiação Restrita (atualizado para incluir Wi-Fi 6E após decisão do Conselho Diretor em 25/02/2022, faixa 5.925-7.125 MHz); Resolução ANATEL nº 715/2019 (RACHP) — base do procedimento de homologação; Lei nº 9.472/1997 (Lei Geral de Telecomunicações) — Art. 162 §2° (vedação de uso sem certificação), Art. 173 (tipos de sanção) e Art. 179 (limite de multa em R$ 50.000.000,00 por infração) — texto literal em planalto.gov.br/l9472; Alerta ANATEL “Bad Box 2.0” sobre TV Boxes piratas — publicado em 12/08/2025 em gov.br/anatel — notícias. Validação cruzada via loop iterativo Perplexity Deep Research em 2 rondas (45 fontes, todas gov.br) na thread 729c5b43, em 05/05/2026.