Conformidade de cibersegurança e proteção de dados na Índia: DPDP, CERT-In, RBI, SEBI e IRDAI explicados

Por que a Índia exige um manual de conformidade próprio

A Índia não tem uma única regulação de cibersegurança. Tem uma lei transversal de proteção de dados sobre um conjunto de regras cibernéticas setoriais, e o comprador precisa descobrir qual combinação se aplica a ele. Uma fintech em Mumbai enfrenta um arcabouço muito diferente do de um grupo hospitalar ou de uma indústria de capital aberto.

Dois aspectos tornam o arcabouço indiano peculiar. Primeiro, as obrigações são incomumente operacionais: uma janela de notificação de seis horas, retenção de logs no país e expectativas de auditoria prescritivas, e não apenas princípios. Segundo, os reguladores se reforçam mutuamente, de modo que uma única auditoria credenciada ou uma capacidade bem executada de resposta a incidentes pode atender a várias prestações de contas ao mesmo tempo.

Este guia percorre os cinco regimes sobre os quais os compradores mais nos perguntam: o que é cada um, a quem se aplica e as obrigações principais. Quando uma data específica de vigência ou prazo importar para o seu planejamento, trate as datas aqui como ponto de partida e verifique-as na fonte primária ou na publicação oficial antes de se apoiar nelas, porque vigências escalonadas e alterações são comuns na Índia.

Lei DPDP 2023: a lei transversal de proteção de dados da Índia

A Digital Personal Data Protection Act 2023 é a primeira lei abrangente de proteção de dados da Índia. Rege o tratamento de dados pessoais digitais de pessoas (Data Principals) na Índia e alcança certos tratamentos realizados no exterior que envolvam oferta de bens ou serviços a pessoas na Índia. É independente de setor, portanto se sobrepõe às regras financeiras, de saúde ou outras que já se apliquem a você.

A Lei se apoia em consentimento e responsabilização. Todo Data Fiduciary deve dar um aviso claro, obter consentimento válido (ou apoiar-se em certos usos legítimos limitados), implementar salvaguardas de segurança razoáveis, notificar o Data Protection Board e os titulares afetados sobre qualquer violação de dados pessoais e atender direitos como acesso, correção e exclusão. Organizações designadas pelo governo como Significant Data Fiduciaries têm deveres extras: avaliações de impacto, auditorias periódicas e a nomeação de um encarregado de proteção de dados e de um auditor de dados independente.

A Lei foi aprovada em 2023, e as Regras DPDP que a operacionalizam têm vigência escalonada, com várias obrigações substantivas entrando depois das disposições fundacionais. As datas exatas de cada fase mudaram ao longo do processo normativo, então confirme o cronograma vigente na publicação oficial mais recente em vez de supor uma data fixa. As penalidades são fixadas como tetos em rupias por ocorrência, com a faixa mais alta (até 250 crore INR) ligada à falha em adotar salvaguardas de segurança razoáveis.

• Aplica-se a: qualquer organização que trate dados pessoais digitais de pessoas na Índia, incluindo tratamento no exterior que se enquadre
• Deveres centrais: aviso, consentimento válido, salvaguardas de segurança, notificação de incidentes, direitos dos titulares, limitação de finalidade e retenção
• Significant Data Fiduciaries: acrescentam avaliações de impacto, auditoria periódica, encarregado de dados e auditor independente
• Penalidades: tetos em rupias por violação, até 250 crore INR por salvaguardas de segurança insuficientes (verifique a tabela vigente na Lei)

CERT-In: notificação em 6 horas e a política de auditoria de 2025

O Indian Computer Emergency Response Team (CERT-In) é a agência nacional para incidentes cibernéticos sob a Seção 70B da Information Technology Act. Suas Diretivas de 2022 estão entre as regras mais exigentes do mundo em termos operacionais: os incidentes cibernéticos especificados devem ser notificados ao CERT-In em até seis horas do conhecimento, no formato prescrito.

As mesmas Diretivas acrescentam obrigações técnicas que os auditores verificam rotineiramente: reter com segurança os logs dos sistemas de TIC dentro da jurisdição indiana por um período móvel de 180 dias, sincronizar todos os relógios do sistema com servidores NTP do NIC ou do NPL e manter dados de contato organizacionais precisos registrados no CERT-In. Cumprir a janela de seis horas não é burocracia: pressupõe detectar incidentes rapidamente e ter um playbook de notificação acordado, o que na prática significa monitoramento contínuo e um caminho de escalonamento pré-acordado.

O CERT-In também deslocou suas expectativas de auditoria da verificação de caixas para a resiliência, com orientações de auditoria de TIC abrangente que enfatizam revisão independente, resultados de auditoria assinados e cobertura de nuvem, IA, blockchain e risco de terceiros. Trate a data exata de emissão e de vigência da política de auditoria atual como algo a confirmar nas diretrizes publicadas pelo CERT-In. Importante: os reguladores financeiros a seguir geralmente esperam auditores credenciados pelo CERT-In, de modo que uma única auditoria credenciada pode sustentar várias prestações de contas regulatórias.

• Aplica-se a: provedores de serviços, intermediários, data centers, pessoas jurídicas e órgãos públicos que operam na Índia
• Regra principal: notificar os incidentes especificados em 6 horas do conhecimento
• Além disso: retenção de logs na Índia por 180 dias, sincronização NTP NIC/NPL, dados de contato registrados
• Auditorias: auditorias de TIC abrangentes com revisão independente (confirme as datas da política vigente com o CERT-In)

RBI: auditoria IS e resiliência cibernética para o setor financeiro

O Reserve Bank of India define expectativas de cibersegurança e resiliência para as entidades que supervisiona: bancos, NBFCs, operadores de sistemas de pagamento e demais participantes do setor financeiro. Em vez de uma regra única, as expectativas do RBI se distribuem por master directions e circulares que tratam de governança de TI, segurança da informação e resiliência cibernética, reforçadas pela revisão supervisória.

Um requisito central e recorrente é a auditoria de sistemas de informação (IS audit): uma auditoria estruturada e periódica dos controles de TI, da gestão de mudanças, da gestão de acessos e da postura de segurança, normalmente conduzida por auditores qualificados, muitas vezes credenciados pelo CERT-In, e reportada ao conselho ou ao seu comitê de TI/riscos. Entidades reguladas também devem notificar incidentes ao RBI, manter uma política de cibersegurança aprovada pelo conselho e, cada vez mais, demonstrar resiliência operacional e cibernética em vez de verificações pontuais de controles.

A cadência exata de auditoria, os limiares de aplicabilidade e as expectativas de resiliência variam por tipo de entidade e vêm sendo endurecidos em sucessivas circulares e master directions do RBI. Como são atualizados com frequência, confirme a master direction vigente e sua aplicabilidade à sua categoria de licença nas publicações do próprio RBI antes de dimensionar o trabalho.

• Aplica-se a: entidades reguladas pelo RBI — bancos, NBFCs, operadores de sistemas de pagamento e similares
• Expectativa central: auditoria IS periódica reportada ao conselho, mais política de segurança aprovada pelo conselho
• Além disso: notificação de incidentes ao RBI e resiliência cibernética demonstrável
• Cadência e limiares variam por tipo de entidade — verifique na master direction do RBI aplicável

CSCRF da SEBI: cibersegurança e resiliência para entidades do mercado de capitais

O Securities and Exchange Board of India criou o Cybersecurity and Cyber Resilience Framework (CSCRF) para consolidar os requisitos cibernéticos das entidades que regula — bolsas, depositárias, corretoras, fundos, escrituradores e outros intermediários — em um único arcabouço graduado. Ele substitui um mosaico de circulares anteriores por um conjunto estruturado de controles organizado em torno de identificar, proteger, detectar, responder e recuperar.

O CSCRF se destaca por ser graduado: as entidades são classificadas em categorias conforme porte e criticidade, e a profundidade das obrigações — auditorias, VAPT, arranjos de SOC e comunicações — escala com essa classificação. Elementos comuns incluem VAPT e auditorias cibernéticas periódicas, operações e monitoramento de segurança, notificação de incidentes à SEBI e governança no nível do conselho.

O CSCRF tem aplicabilidade escalonada por categorias de entidades reguladas, com datas de conformidade distintas por grupo, e a SEBI publicou esclarecimentos e prorrogações desde então. A categoria que se aplica a você, e a data em que passa a valer, devem ser conferidas na circular vigente do CSCRF e em alterações posteriores, e não presumidas.

• Aplica-se a: entidades reguladas pela SEBI — bolsas, depositárias, corretoras, fundos, escrituradores, intermediários
• Estrutura: arcabouço graduado; as obrigações escalam com a classificação da entidade
• Deveres centrais: VAPT e auditoria cibernética periódicos, monitoramento/SOC, notificação de incidentes, governança do conselho
• Aplicabilidade escalonada por grupo — confirme sua categoria e data na circular vigente da SEBI

IRDAI: segurança da informação e cibersegurança para seguradoras

A Insurance Regulatory and Development Authority of India define expectativas de segurança da informação e cibersegurança para seguradoras, resseguradoras e intermediários de seguros por meio de suas diretrizes específicas. O arcabouço exige uma estrutura de governança, uma política de cibersegurança aprovada pelo conselho e um Chief Information Security Officer designado e responsável pelo programa.

No plano operacional, espera-se que as seguradoras reguladas realizem auditorias periódicas de segurança da informação e VAPT, mantenham detecção e notificação de incidentes, gerenciem risco de terceiros e de terceirização e comuniquem incidentes cibernéticos conforme os requisitos do IRDAI e do CERT-In. Como nos demais reguladores financeiros, espera-se em geral que as auditorias sejam feitas por avaliadores qualificados e credenciados pelo CERT-In.

As diretrizes do IRDAI foram revisadas ao longo do tempo, inclusive com consolidação e atualização para alinhamento às expectativas cibernéticas nacionais mais amplas. Confirme a versão vigente das diretrizes de segurança da informação e cibersegurança do IRDAI, e as obrigações específicas do seu tipo de entidade, nas diretrizes publicadas pelo IRDAI antes de se apoiar em um requisito ou data determinados.

• Aplica-se a: seguradoras, resseguradoras e intermediários de seguros regulados pelo IRDAI
• Governança: política cibernética aprovada pelo conselho e CISO designado
• Operacional: auditoria IS e VAPT periódicos, notificação de incidentes, risco de terceiros/terceirização
• As diretrizes são revisadas periodicamente — verifique a versão vigente com o IRDAI

Como as peças se encaixam

Para a maioria dos compradores indianos o arcabouço é em camadas, não excludente. A Lei DPDP se aplica horizontalmente aos seus dados pessoais, onde quer que você atue. As obrigações do CERT-In sobre incidentes, logs e sincronização de horário alcançam praticamente qualquer organização que opere sistemas de TIC na Índia. Acima disso, seu regulador setorial — RBI, SEBI ou IRDAI — acrescenta deveres de auditoria, resiliência e comunicação calibrados pela sua licença.

A boa notícia é que os controles se sobrepõem bastante. Uma capacidade sólida de resposta a incidentes atende à regra das seis horas do CERT-In e alimenta suas comunicações ao RBI, à SEBI e ao IRDAI. Uma única auditoria abrangente alinhada ao CERT-In pode sustentar várias prestações de contas a reguladores financeiros. Construir uma vez os mecanismos de consentimento, incidentes e auditoria e depois mapeá-los entre regimes é muito mais eficiente do que tratar cada regra como um projeto separado.

• Horizontal: Lei DPDP para dados pessoais; CERT-In para notificação de incidentes, logs e sincronização de horário
• Vertical: obrigações setoriais do RBI, da SEBI ou do IRDAI por cima, conforme sua licença
• Eficiência: construir uma vez, mapear entre regimes, reutilizar resposta a incidentes e evidências de auditoria
• Verifique sempre as datas de fase e os limiares de aplicabilidade na fonte primária

Como a IntelligenceX ajuda

A IntelligenceX assessora, avalia e prepara organizações para o arcabouço regulatório indiano; não emitimos os certificados nem assinamos as auditorias regulatórias, e ainda não somos credenciados pelo CERT-In. Onde um auditor credenciado ou um organismo acreditado é exigido, preparamos você para esse trabalho e atuamos ao lado dele para que a assinatura formal ocorra sem percalços.

Nossos serviços de conformidade correspondem diretamente aos regimes acima. A prontidão para a Lei DPDP cobre avaliação de lacunas, revisão da arquitetura de consentimento, avaliações de impacto e a preparação da auditoria independente esperada dos Significant Data Fiduciaries. O apoio à auditoria do CERT-In monta seu playbook de notificação em seis horas, valida a retenção de logs na Índia por 180 dias e a configuração NTP e prepara você para auditorias de TIC abrangentes. O apoio à auditoria IS do RBI prepara seus controles de TI e segurança para a auditoria IS periódica e o reporte ao conselho. O apoio ao CSCRF da SEBI ajuda a posicionar sua entidade na categoria correta e a cumprir seus deveres graduados de VAPT, monitoramento e comunicação. O apoio à auditoria do IRDAI prepara seguradoras para sua auditoria de segurança da informação, VAPT e obrigações de notificação de incidentes.

Nos cinco regimes o padrão é o mesmo: avaliamos a lacuna, construímos os controles e as evidências e acompanhamos você na auditoria ou prestação de contas formal, mapeando controles compartilhados para que o trabalho seja feito uma só vez. Fale com nossa equipe para definir o escopo dos regimes que se aplicam a você.