Curaçao coloca a cibersegurança no centro da próxima fase da reforma do jogo
A reformulação do setor de apostas em Curaçao está deixando de focar apenas na mecânica de licenciamento para avançar sobre a segurança dos sistemas que sustentam a indústria de jogos online da ilha. Um novo rascunho de exigências da Curaçao Gaming Authority propõe a adoção obrigatória de um padrão mínimo de cibersegurança para operadores B2C e fornecedores B2B.
As diretrizes preliminares de segurança da informação surgem após meses de endurecimento regulatório em torno da Landsverordening op de Kansspelen (LOK), a nova legislação de jogos de Curaçao. O processo incluiu revisões nas regras de taxas e análises mais extensas de licenças provisórias. O novo documento afirma que as regras têm como objetivo “garantir que o operador ofereça um ambiente de jogo seguro e protegido aos seus jogadores” e confirma que “o cumprimento desses requisitos constitui uma condição obrigatória para o licenciamento sob a LOK”.
Segurança passa a ser critério de licenciamento
O programa de reforma de Curaçao já não gira apenas em torno de quem possui licença, quais taxas devem ser pagas ou quem aparece no registro público. Agora, o foco também está em como as empresas protegem dados de jogadores, fluxos de pagamento, RNGs, feeds de dados esportivos, registros operacionais, backups, contas privilegiadas e plataformas terceirizadas.
De acordo com as regras de cibersegurança propostas pela Curaçao Gaming Authority, todas as empresas licenciadas no setor de apostas em Curaçao — incluindo operadores B2C e fornecedores B2B — terão de atender a um padrão mínimo obrigatório de segurança conhecido como CIS Controls Implementation Group 1 (IG1).
O conjunto de requisitos inclui inventário de ativos, configuração segura de sistemas, controles de acesso, gerenciamento de vulnerabilidades, registros de auditoria, proteção antimalware, backups, segurança de rede, treinamento de equipes, supervisão de fornecedores, resposta a incidentes, segurança física, continuidade operacional e controles criptográficos.
Na prática, isso significa que empresas licenciadas em Curaçao precisarão comprovar quais tecnologias utilizam, quem possui acesso a elas, como estão protegidas, com que rapidez falhas são corrigidas e quais procedimentos são adotados em caso de incidentes.
Para operadores menores, as novas exigências transformam a cibersegurança de uma preocupação geral de TI em uma obrigação regulatória vinculada ao licenciamento. Já para grandes grupos e fornecedores, as regras criam um processo de auditoria mais transparente: os controles de segurança deverão ser documentados, testados e disponibilizados para análise do regulador.
Fornecedores também entram no radar
As novas diretrizes também reforçam a divisão de responsabilidades entre operadores e fornecedores. Provedores de tecnologia B2B passam a ser tratados como licenciados independentes, e não apenas como fornecedores terceirizados atuando nos bastidores de uma marca B2C.
A Curaçao Gaming Authority afirma que as regras se aplicam “a todos os titulares de licença da CGA, independentemente de atuarem em operações B2C ou B2B”. O órgão acrescenta ainda que fornecedores de tecnologia para jogos B2B estão sujeitos às exigências “por direito próprio, como licenciados da CGA”.
Para operadores B2C que utilizam plataformas de terceiros, o regulador não chega a exigir controle direto sobre os sistemas internos dos fornecedores. No entanto, passa a exigir processos de diligência, garantias contratuais e monitoramento contínuo. O documento afirma: “A delegação contratual de controles operacionais a um fornecedor B2B não isenta o licenciado B2C de sua responsabilidade regulatória sob a LOK.”
Essa abordagem acompanha a transição regulatória mais ampla promovida pela LOK. As regras de cibersegurança chegam após a divulgação da Versão 2.0 da estrutura de taxas do novo regime, confirmando que o modelo de licenciamento se aplica tanto a operadores B2C quanto a prestadores de serviços B2B.
Notificação de incidentes terá prazo rígido
O projeto das regras cibernéticas também introduz um padrão rigoroso para comunicação de incidentes. Os licenciados deverão informar a Curaçao Gaming Authority “sem demora indevida e, em qualquer caso, dentro de 24 horas” sobre qualquer incidente de segurança que comprometa a integridade dos jogos, afete fundos ou dados pessoais de jogadores, ou possa impactar relatórios regulatórios, disponibilidade dos sistemas ou a imparcialidade dos jogos.
Para uma indústria fortemente baseada em plataformas terceirizadas, feeds de odds ao vivo, agregadores de jogos e processadores de pagamento, esse pode se tornar um dos pontos mais desafiadores do novo regime. Operadores de apostas esportivas, em especial, deverão monitorar a integridade dos feeds de dados de eventos ao vivo, implementando controles de autenticação, criptografia, detecção de anomalias e suspensão de mercados quando a integridade das informações não puder ser garantida.
As medidas fazem parte do esforço de Curaçao para posicionar o regime LOK como uma estrutura regulatória mais robusta e alinhada aos padrões internacionais, tratando licenciamento, conformidade financeira e cibersegurança como obrigações interligadas. Para os operadores, o efeito prático é claro: a aprovação dentro do novo sistema poderá depender não apenas de verificações corporativas e financeiras, mas também da capacidade de seus controles tecnológicos resistirem ao escrutínio regulatório.
Não acompanhe apenas as notícias — antecipe-se ao mercado. Inscreva-se AQUI para a contagem regressiva com as 10 principais notícias da SiGMA e receba semanalmente conteúdos que estão moldando o futuro do iGaming, insights da maior comunidade global do setor e ofertas exclusivas para assinantes.
