Senado dos EUA aprova lei de cibersegurança

Atualização 8 de outubro de 2026: A nota acrescenta que o S.3315 também autorizaria subsídios para hospitais rurais e provedores com poucos recursos, e que a tramitação no Senado ocorreu após uma votação de 22 a 1 no Comitê HELP. Além disso, uma análise do setor lembrou que a aprovação no Senado não transforma o projeto em lei e que o prazo de 36 meses começaria a contar a partir da promulgação.

O Senado dos Estados Unidos aprovou o S.3315, o Health Care Cybersecurity and Resiliency Act of 2026, com uma emenda e por consentimento unânime. O texto já seguiu para a Câmara dos Representantes e, por isso, ainda não é lei. Ao mesmo tempo, a senadora Kirsten Gillibrand reapresentou o S.5594, o Data Protection Act, que cria uma agência federal de proteção de dados e estabelece novas medidas de privacidade.

¿O que o Senado aprovou sobre saúde?

O Senado deu sinal verde ao S.3315 na versão engrossed, e a proposta agora passa para a Câmara dos Representantes. Segundo Congress.gov e GovInfo.gov, o texto amplia exigências e recursos federais para prevenir e responder a incidentes de cibersegurança nos setores de saúde e saúde pública, além de coordenar ações entre o secretário de Saúde e Serviços Humanos e o diretor da CISA.

A American Hospital Association informou que o Senado aprovou o S.3315 por consentimento unânime em 30 de setembro e destacou que o projeto exige que o secretário do HHS desenvolva um plano de resposta a incidentes de cibersegurança. A entidade também apontou que terceiros que tratam informações de saúde devem ficar sujeitos aos mesmos padrões de privacidade e segurança aplicados às entidades cobertas e aos seus parceiros comerciais.

A medida também orienta o Departamento de Saúde e Serviços Humanos a exigir práticas mínimas de cibersegurança de entidades privadas ligadas ao atendimento à saúde. Entre os requisitos citados estão criptografia, autenticação multifator e monitoramento de segurança, sempre com base no risco para organizações cobertas e seus parceiros comerciais, segundo o registro legislativo e o aviso da Govly.

O HIPAA Journal acrescentou que o S.3315 autorizaria subsídios para hospitais rurais e provedores de saúde com recursos insuficientes, destinados a financiar melhorias de cibersegurança. A mesma fonte afirmou que o Comitê HELP avançou o texto com uma votação de 22 a 1.

¿O que mais o S.3315 prevê se virar lei?

A proposta prevê subsídios, treinamento, apoio adicional a provedores rurais e um plano de resposta a incidentes do HHS, além de uma coordenação mais forte entre HHS e CISA. O comunicado do Comitê de Saúde do Senado, do gabinete do senador Bill Cassidy, enquadra a medida como uma forma de melhorar a coordenação entre agências e evitar interrupções ou compromissos no atendimento causados por ataques cibernéticos.

A SecurityWeek informou que a proposta foi apresentada originalmente em 2024, não avançou antes do encerramento daquele período legislativo e foi reapresentada em dezembro de 2025. O veículo também descreveu o projeto como uma tentativa de centralizar a orientação federal de cibersegurança entre marcos já existentes.

O Becker's Hospital Review relatou que organizações rurais com menos recursos seriam um foco específico da iniciativa e citou legisladores que associaram ataques cibernéticos a interrupções de serviços hospitalares e à exposição de prontuários médicos privados.

O comunicado do Comitê HELP do Senado informou que o S.3315 teve coautoria de Bill Cassidy, Maggie Hassan, John Cornyn e Mark Warner, além de Cindy Hyde-Smith e Angus King, e apresentou a coordenação entre agências e o apoio a prestadores rurais como objetivos centrais.

A Tempest Healthcare IT esclareceu que a aprovação no Senado não transforma o projeto em lei e que o prazo de 36 meses para as exigências atualizadas começaria a contar a partir da promulgação, não da aprovação senatorial.

¿O que propõe o novo projeto de privacidade?

O S.5594 foi apresentado por Kirsten Gillibrand e remetido ao Comitê de Comércio, Ciência e Transporte do Senado após a primeira e a segunda leituras. O projeto busca criar uma Agência Federal de Proteção de Dados e estabelecer medidas para proteger a privacidade das pessoas, segundo Congress.gov e o comunicado da senadora.

Gillibrand também disse que a agência teria poder para limitar a coleta, o uso e a divulgação de dados pessoais, supervisionar práticas de alto risco, manter um registro público de intermediários de dados, aplicar sanções civis e medidas cautelares, além de desenvolver padrões-modelo de privacidade. O GovInfo identifica o S.5594 como uma iniciativa do 119º Congresso intitulada Data Protection Agency e não mostra calendário confirmado de votação nem prazo de implementação.

A proposta surge em um momento em que, segundo a Route Fifty, o avanço legislativo federal em privacidade ficou paralisado depois de uma audiência de uma subcomissão da Câmara no começo de junho, enquanto os estados continuaram aprovando suas próprias normas.