Crise política no Reino Unido adia plano nacional de cibersegurança e expõe fragilidade na agenda digital britânica
A turbulência política que tomou conta do Reino Unido nas últimas semanas não afetou apenas a sucessão de lideranças em Westminster. Ela atingiu diretamente uma das principais promessas do governo para fortalecer a defesa digital do país: o National Cyber Action Plan, nova diretriz nacional de cibersegurança, teve mais uma vez seu lançamento adiado em meio à crise interna do Partido Trabalhista após a renúncia do primeiro-ministro Keir Starmer.
O documento, que deveria ser divulgado em uma segunda-feira, foi retirado da agenda oficial diante do clima de incerteza sobre a disputa pela liderança trabalhista, cuja corrida interna está marcada para começar em 9 de julho. Sem um comando político estável, a priorização formal do plano acabou empurrada para um momento posterior, ainda sem nova data confirmada.
Mesmo assim, o governo insiste publicamente que continua comprometido com a publicação do National Cyber Action Plan. Porta-vozes oficiais reiteram que a proteção da segurança nacional permanece no topo das prioridades, mencionando como exemplos o avanço do Cyber Security and Resilience Bill, o compromisso voluntário conhecido como Cyber Resilience Pledge e o suporte técnico oferecido pelo National Cyber Security Centre (NCSC) a instituições de todo o país.
Embora o plano nacional como um todo tenha sido adiado, partes da agenda de cibersegurança seguem em andamento. Empresas que compõem o índice FTSE 350 devem continuar sendo convidadas a aderir ao Cyber Resilience Pledge, um compromisso destinado a reforçar a maturidade de suas defesas digitais. A ideia é fazer com que a cibersegurança deixe de ser um tema meramente operacional e passe a integrar a pauta central dos conselhos de administração, estimulando a adoção do serviço Early Warning, do NCSC, e ampliando a exigência das certificações Cyber Essentials nas cadeias de suprimentos.
Originalmente, o National Cyber Action Plan foi concebido como uma atualização da National Cyber Strategy 2022, que hoje serve como base para a política pública de cibersegurança do Reino Unido. O novo documento havia sido prometido para 2025 por Pat McFadden, então Chancellor of the Duchy of Lancaster, com previsão de ser apresentado ainda naquele ano. Em abril de 2026, o ministro da Segurança, Dan Jarvis, já havia revisado o calendário, prometendo a publicação “no verão”, além de rebatizar a iniciativa: o que antes era descrito como uma “estratégia” passou a ser chamado de “plano de ação”, em tese com foco mais prático e orientado à implementação.
Esse sucessivo rearranjo de prazos ocorre num contexto político particularmente delicado. O anúncio inicial de McFadden foi feito em Manchester, cidade governada à época por Andy Burnham, que acabou despontando como principal favorito para suceder Starmer após a eleição suplementar em Makerfield, evento que antecedeu a renúncia do primeiro-ministro. Até o fechamento da matéria original que deu base a estas informações, nenhum outro integrante de destaque do Partido Trabalhista havia confirmado oficialmente a intenção de disputar a liderança.
A postergação do National Cyber Action Plan não é um episódio isolado, mas parte de uma sequência de atrasos que vem marcando a agenda cibernética do governo britânico. Isso alimenta a percepção de que o tema ainda não conquistou o peso político necessário em Westminster, apesar do aumento da frequência e do impacto dos ataques. Entre as iniciativas mais sensíveis está o Cyber Security and Resilience Bill, projeto que pretende modernizar o arcabouço legal aplicável às infraestruturas críticas do país, substituindo normas hoje consideradas defasadas.
O trâmite desse projeto é emblemático da lentidão. Foram mais de quatro anos até que o texto fosse encaminhado ao Parlamento e, mesmo assim, a expectativa é de que sua implementação plena não ocorra antes de 2028. Na prática, isso significa que as novas regras podem entrar em vigor quase dez anos após as NIS Regulations, o conjunto normativo europeu que o Reino Unido havia transposto e que agora pretende atualizar. Especialistas alertam que esse hiato regulatório é perigoso, já que setores essenciais – energia, saúde, transporte, telecomunicações e serviços digitais – estão cada vez mais dependentes de sistemas conectados e, portanto, vulneráveis a ataques disruptivos.
Chama a atenção o fato de que os principais dispositivos do Cyber Security and Resilience Bill foram concluídos ainda em 2022, durante o governo de Rishi Sunak. Mesmo assim, o texto acabou ficando de fora do King’s Speech daquele ano, discurso que define as prioridades legislativas do governo, e não chegou a ser oficialmente apresentado ao Parlamento. Quando a administração Starmer resolveu resgatar o projeto, em setembro de 2025, a tramitação voltou a ser prejudicada, dessa vez por uma ampla reforma ministerial que redesenhou a estrutura do gabinete.
Outro ponto sensível que acabou ficando para trás diz respeito às medidas específicas contra ransomware. Entre as propostas estavam a obrigatoriedade de notificação para todas as vítimas, a criação de um mecanismo de licenciamento para autorizar pagamentos de resgate em situações excepcionais e a proibição total de quitação de demandas de extorsão por operadores de infraestrutura crítica. Uma consulta pública sobre essas ideias estava prevista para meados de 2024, mas o processo foi abruptamente interrompido quando Sunak decidiu antecipar as eleições gerais.
A demora em avançar com essas políticas ganha ainda mais relevância à luz de incidentes recentes que tiveram desdobramentos de alcance nacional. Durante a campanha eleitoral de 2024, um ataque de ransomware contra a empresa Synnovis, fornecedora de serviços de patologia, paralisou hospitais de Londres e levou as autoridades de saúde a declararem um incidente crítico. O ataque, atribuído ao grupo Qilin, com ligações à Rússia, forçou o cancelamento de cirurgias, exames e consultas, afetando diretamente milhares de pacientes. Apesar da gravidade e do potencial político desse episódio, o tema foi tratado de forma periférica durante a campanha pelos principais partidos.
Naquele contexto, especialistas chamaram atenção para a distância entre o impacto real dos ataques e a prioridade que a cibersegurança recebe na pauta política. Jamie MacColl, pesquisador do Royal United Services Institute, destacou que, enquanto não ocorre um incidente verdadeiramente catastrófico, o assunto tende a não despertar nem a cobertura midiática nem a determinação política necessárias para mudanças estruturais. Já Tim Stevens, líder de um grupo de pesquisa em cibersegurança em uma importante universidade de Londres, vem apontando de forma recorrente que o tema costuma ser discutido no Reino Unido de forma reativa, fragmentada e com foco em crises específicas, em vez de ser tratado como um componente estratégico de longo prazo da política de segurança nacional.
O adiamento do National Cyber Action Plan reforça essa percepção de abordagem reativa. Planejado para articular metas claras, cronogramas de implementação e responsabilidades governamentais e setoriais, o plano deveria atualizar a visão britânica sobre ameaças provenientes tanto de Estados-nação quanto de grupos criminosos organizados. A postergação empurra para a frente decisões importantes sobre investimentos em infraestrutura digital segura, incentivo à inovação em segurança cibernética e fortalecimento da cooperação entre governo, empresas e academia.
Do ponto de vista econômico, a instabilidade regulatória e a falta de clareza sobre as diretrizes futuras geram custos adicionais para o setor privado. Companhias que atuam em segmentos críticos dependem de previsibilidade normativa para estruturar seus programas de conformidade, planejar investimentos em tecnologia e dimensionar equipes de segurança. Sem um plano nacional atualizado, muitas delas acabam recorrendo a padrões internacionais ou a frameworks privados, o que cria um mosaico desigual de práticas e níveis de maturidade.
Para os cidadãos, o atraso em políticas estruturantes de cibersegurança se traduz em maior exposição a vazamentos de dados, interrupções de serviços públicos e golpes digitais cada vez mais sofisticados. A expansão de serviços governamentais online, prontuários eletrônicos, pagamento digital de benefícios e integração de bases de dados exige políticas de proteção consistentes, que orientem desde o desenho dos sistemas até a resposta a incidentes. Sem essa arquitetura clara, o risco de falhas de grande escala aumenta.
Outro efeito da instabilidade política é a dificuldade de manter continuidade em equipes técnicas e em estruturas de governança cibernética. Mudanças de liderança frequentemente trazem alterações de prioridades, reorganizações de departamentos e substituição de quadros experientes. Em áreas tão especializadas quanto a cibersegurança, essa rotatividade pode atrasar projetos críticos, interromper negociações com o setor privado e comprometer iniciativas de cooperação internacional.
Apesar do cenário adverso, há um consenso crescente entre especialistas de que o Reino Unido ainda tem condições de retomar a dianteira em cibersegurança, desde que consiga estabilizar a liderança política e dar sequência a projetos que estão prontos ou em estágio avançado de formulação. A existência de instituições técnicas robustas, como o NCSC, e a experiência acumulada em iniciativas anteriores colocam o país em boa posição para reagir, desde que a cibersegurança deixe de ser tratada como tema acessório.
Um caminho apontado por analistas é vincular metas de cibersegurança a objetivos econômicos mais amplos, como aumento de produtividade, atração de investimentos em tecnologia e fortalecimento da indústria local de segurança digital. Ao mostrar que a resiliência cibernética não é apenas um custo, mas também um fator de competitividade, o governo poderia criar mais incentivos políticos para acelerar a aprovação de leis, planos de ação e programas de capacitação.
Também ganha força a ideia de incluir exigências de segurança digital de forma mais explícita em contratos públicos e políticas de compras governamentais. Como grande comprador de tecnologia, o Estado britânico pode usar seu poder de mercado para elevar o patamar mínimo de segurança exigido de fornecedores, irradiando boas práticas por toda a cadeia de suprimentos e reduzindo vulnerabilidades sistêmicas.
O desfecho da disputa pela liderança trabalhista e a formação do próximo governo serão decisivos para definir o futuro do National Cyber Action Plan e de todo o conjunto de iniciativas associadas a ele. A forma como a próxima liderança irá enquadrar o tema – seja como prioridade de segurança nacional, de política industrial ou apenas como um item técnico – indicará se os atrasos recentes foram meramente conjunturais ou se refletem uma dificuldade mais profunda em incorporar a cibersegurança ao centro da agenda política britânica. Enquanto essa definição não vem, o país segue sujeito a um cenário em que as ameaças avançam mais rápido do que as respostas institucionais.