Foi apresentada no Senado Federal a proposta de emenda à Constituição de iniciativa do Senador Eduardo Gomes para incluir a competência privativa  da União Federal para legislar sobre defesa territorial, defesa aeroespacial, defesa marítima, defesa civil, defesa cibernética e mobilização nacional, modificando-se o art. 22, inc. XXVIII, da Constituição Federal.

Também, propõe-se a modificação da competência comum dos entes federativos para fins de exclusão do seguinte dispositivo: “zelar pela segurança cibernética dos serviços públicos”. Apresenta-se texto modificativo da competência legislativa concorrente da União e Estados-membros, prevista no art. 24, inc. XVII, para legislar sobre normas de segurança cibernética aplicável à prestação de serviços públicos. Segundo a justificativa da PEC, a evolução das tecnologias de informação e comunicação tem impactado o Estado brasileiro, sobretudo a digitalização dos serviços públicos.

Igualmente, o cenário de guerras cibernéticas,  crimes cibernéticos e ciberterrorismo demanda a atualização das ações do Estado brasileiro. No âmbito internacional, a justifica cita o Cybersecurity Systems and Risks Reporting Act (Lei de Relatórios de Riscos de Sistemas de Segurança Cibernética), o qual obriga as empresas incluir sistemas de segurança cibernética em empresas de capital aberto, como forma de proteção aos investimentos de investidores. Além disto, destaca a Convenção sobre Crimes Cibernéticos, assinada em Budapeste, o qual trata de modalidades de cooperação internacional para o combate de crimes virtuais, em vias de adesão pelo Brasil.

Assim, segundo a PEC, é necessário estabelecer a repartição de competências legislativas para disciplinar o tema da segurança cibernética.  Por um lado, a competência privativa legislativa da União para legislar sobre defesa cibernética, tema de interesse estratégico da soberania nacional, em sintonia com o Programa de Defesa Cibernética na Defesa Nacional, ora em andamento. Por outro lado, a competência concorrente ente União e Estados para legislar sobre normas de segurança cibernética aplicável à prestação dos serviços públicos.

Neste aspecto, competirá à União estabelecer as normas gerais e aos Estados e Municípios definir estruturas e funções relacionadas à infraestrutura crítica cibernética.