Minuta de regras para data centers de telecom traz exigências técnicas, ambientais e de segurança

A Anatel abre já nesta terça-feira, 23 de dezembro, às 14h, consulta pública sobre a minuta de ato que aprova os Requisitos Técnicos e o Procedimento Operacional para a Avaliação da Conformidade de Data Centers que integram as redes de telecom.

O texto traz regras que as empresas do segmento deverão atender, – e os provedores e as operadoras deverão buscar -, para hospedagem dos serviços digitais que mantêm as redes funcionando.

O documento, que ainda está em versão preliminar e passará por adequações após a consulta pública, prevê entrada em vigor um ano após sua publicação, dando às empresas, portanto, 12 meses para buscar as certificações exigidas e elaborar os relatórios mencionados.

A proposta regulamenta a Resolução Anatel nº 780/25, que colocou os data centers no rol de produtos que devem ser homologados na agência para que sejam utilizados em serviços de telecomunicações.

Infraestruturas abrangidas

O texto delimita o escopo às infraestruturas que exercem funções essenciais à continuidade dos serviços de telecomunicações de interesse coletivo, incluindo:

• hospedagem de sistemas computacionais integrantes do núcleo funcional das redes;
• armazenamento de dados necessários à operação e à fruição dos serviços;
• execução de funções de rede que processam dados de serviços e de usuários.

Ficam excluídas infraestruturas destinadas exclusivamente à transdução, distribuição ou interconexão física de sinais, como pontos de presença (PoPs), estações rádio base e seus equipamentos controladores.

O documento define assim os Data Centers de Telecomunicações (DCTC): “estrutura, ou grupo de estruturas, dedicada à acomodação centralizada, interconexão e operação dos equipamentos de tecnologia da informação e redes de telecomunicações, apta a fornecer serviços de armazenamento, processamento e transporte de dados em conjunto a todas as instalações e infraestruturas de distribuição de energia e controle ambiental, juntamente com os níveis necessários de recuperação e segurança requeridos para fornecer a disponibilidade dos serviços de telecomunicações de interesse coletivo”.

Além das operadoras que tiverem data centers próprios, se enquadram na categoria “fornecedor, provedor ou administrador de infraestrutura de data center, física ou lógica” essenciais à continuidade dos serviços de telecomunicações.

Requisitos técnicos e gestão de riscos

A minuta determina que o operador do DCTC deverá manter um Memorial Descritivo atualizado, com detalhamento da arquitetura de redundância, classes de disponibilidade, proteção física, estratégia de operação e manutenção.

Também é exigida a elaboração de uma Política de Análise de Riscos, contemplando riscos físicos, ambientais, organizacionais, cibernéticos e de telecomunicações, bem como impacto, probabilidade, tempo estimado de recuperação, medidas de mitigação e risco residual.

Segurança, energia e sustentabilidade

Entre os pilares regulatórios estão:

• Resiliência e continuidade, com classes de disponibilidade e proteção física fundamentadas no risco residual;
• Segurança cibernética;
• Eficiência energética, com exigência de Sistema de Gestão de Energia e adoção do indicador PUE (uso de energia);
• Sustentabilidade ambiental, com Sistema de Gestão Ambiental e indicadores WUE (consumo de água) e CUE (emissão de carbono).

O texto estabelece que, enquanto não houver políticas públicas federais específicas sobre melhores práticas ambientais, sustentabilidade e eficiência energética aplicáveis a data centers, permanecem válidos os requisitos técnicos definidos no anexo do ato.

Auditoria e homologação

A avaliação da conformidade se dará de ao menos duas formas. Uma, através da apresentação de certificações do estabelecimento. Serão exigidos:

a) ABNT-ISO/IEC 27001, referente ao Sistema de Gestão de Segurança da Informação (SGSI);
b) ABNT-ISO/IEC 22327, ou ANSI/TIA-942C, referentes a requisitos de infraestrutura física, continuidade e segurança operacional;
c) ABNT-ISO/IEC 14001, referente ao Sistema de Gestão Ambiental (SGA);
d) ABNT-ISO/IEC 50001, referente ao Sistema de Gestão de Energia (SGE).

Há um parágrafo só para os DCTC de IA. Estes, que utilizam Graphics Processing Units – GPUs, deverão declarar a conformidade com as normas ABNT NBR IEC/CISPR 32, ABNT NBR IEC/CISPR 35, IEC 61000-6-2 e IEC 61000-6-4.

Outra forma será buscar uma auditoria, chamada pela Anatel de Organismos de Avaliação de Sistemas (OAS) habilitados pela agência. A OAS vai atestar se o DCTC atende às exigências para homologação. Após a auditoria, o operador poderá solicitar a homologação pelo sistema informatizado da Agência. A avaliação periódica deverá ocorrer a cada três anos, e a homologação poderá ser suspensa em caso de não conformidade identificada em ações de supervisão ou fiscalização.