Todo centro de pesquisa aplicada esbarra, cedo ou tarde, no mesmo limite: o que sai do laboratório nem sempre encontra um caminho para chegar comercialmente ao mercado. No CISSA, o Centro de Competência Embrapii em Segurança Cibernética operado pelo CESAR, no Recife, startups interessadas em projetos de Pesquisa, Desenvolvimento e Inovação (PD&I) em cibersegurança são vistas como uma ponte para ultrapassar esse limite e resolver as dores reais do mercado.

Cientistas e pesquisadores do CISSA levam seus projetos até o TRL 6, o nível de maturidade tecnológica de um produto mínimo viável validado em ambiente relevante. Dali em diante, é preciso alguém disposto a transformar resultado de pesquisa em produto, modelo de negócio e cliente pagante.

É nesse ponto que entram as startups e as teses de inovação aberta. “Elas são as principais impulsionadoras dos resultados que saem das pesquisas para o mercado”, explica Ana Karine, design lead responsável pela chamada de inovação aberta do CISSA. “O que sai da pesquisa não sai no nível de maturidade pronto para ser comercializado. A gente não sai com um produto. Enxerga nas startups esse potencial de pegar o que sai da pesquisa, transformar em produto, em modelo de negócio e levar para o mercado.”

CADASTRE-SE GRÁTIS PARA ACESSAR 5 CONTEÚDOS MENSAIS

Já recebe a newsletter? Ative seu acesso

Ao cadastrar-se você declara que está de acordo
com nossos Termos de Uso e Privacidade.

Cadastrar

A primeira chamada de captação de startups foi em março de 2026. Reabriu em agosto e continua recebendo inscrições. É dirigida a dois perfis de startups: aquelas focadas em soluções de cibersegurança e as chamadas cyber driven, startups de outras verticais (como fintechs e healthtechs, por exemplo) nas quais a segurança digital é um componente relevante do produto ou serviço. A contrapartida oferecida é pouco comum no ecossistema de inovação: em vez de um cheque, a startup tem acesso a um time de pesquisadores dedicado a tirar seu produto do papel.

Uma ponte com três pilares

“O grande objetivo do CISSA é conectar pesquisa acadêmica de ponta, startups e empresas”, diz Ana Karine. Cada vértice tem um papel. A academia produz conhecimento novo, mas para no protótipo. As grandes empresas têm os problemas concretos e o poder de compra; o Google, por exemplo, é associado do CISSA e desenvolve pesquisa diretamente com o centro. As startups fazem a travessia entre um lado e outro, convertendo resultado científico em produto. “A ideia é fazer com que esses atores se conversem, se conectem, interajam e façam pesquisa e negócio juntos. Não só pesquisa, mas negócio também.”

O desenho não se limita à cibersegurança. O CISSA busca projetos conjuntos com outros centros de competência Embrapii, como o QuIIN, de tecnologias quânticas, no SENAI CIMATEC, em Salvador. O objetivo, diz Ana Karine, é alavancar essas áreas de conhecimento no território nacional “para trazer soberania de fato para o Brasil, nessas áreas tão críticas que a gente ainda explora tão timidamente”. Porque, completa ela, “ainda tem uma dependência muito grande do mercado externo.”

A preocupação está registrada na política pública. A Estratégia Nacional de Cibersegurança, instituída pelo Decreto nº 12.573, de agosto de 2025, inclui entre suas diretrizes a “redução do débito tecnológico do País em tecnologias emergentes e disruptivas”, o incentivo ao desenvolvimento de produtos, serviços e tecnologias nacionais e o estímulo a parcerias com institutos brasileiros de pesquisa e desenvolvimento, com menção explícita a startups.

Por que a travessia é mais difícil em cyber

Levar pesquisa ao mercado é desafiador em qualquer setor. Em segurança digital, há obstáculos adicionais, que a equipe do CISSA mapeou ao montar o curso Cyber para Empreendedores. O primeiro é a autoridade técnica. “Quando eu lido com o produto de segurança, a autoridade de quem fala sobre aquilo é muito mais relevante”, explica Ana Karine. “Um CISO de uma corporate, um chefe de segurança de uma organização, às vezes pode entender muito mais sobre segurança do que o empreendedor que está ali na porta dele oferecendo o produto ou serviço.” Ou seja, quem vende precisa de lastro técnico muito alto, e é exatamente isso que a proximidade com pesquisadores oferece.

O segundo obstáculo é o caminho da venda. Nem sempre a startup vende direto ao cliente final. Muitas vezes, ela fecha parceria com os times que fazem a segurança de uma empresa, que recomendam o produto ou o incorporam aos serviços que prestam. “A forma como a venda se dá dentro do mercado de cibersegurança é um pouco diferente. Não é uma venda tão direta”, diz Ana Karine. Para quem empreende, isso significa que a rede de relacionamentos pesa tanto quanto o produto, e esse dado molda a forma como o CISSA escolhe com quem trabalhar.

Pesquisadores no lugar do cheque

O CISSA foi credenciado pela Embrapii, em parceria com o Ministério da Ciência, Tecnologia e Inovação, com um aporte de R$ 60 milhões para um período de 42 meses. Pelo modelo dos centros de competência, a Embrapii não injeta dinheiro na startup. Os recursos pagam bolsas de pesquisadores e profissionais do próprio CISSA, que passam três ou seis meses alocados no projeto selecionado. “A startup não precisa se preocupar em ter um time de pesquisa interno para trabalhar no projeto. Nós entramos com os pesquisadores”, explica Ana Karine.

Os projetos podem partir de qualquer estágio entre o TRL 2, o da concepção tecnológica, e o TRL 6. Propostas alinhadas às quatro linhas de pesquisa do CISSA (gestão de identidade e acesso, proteção e privacidade de dados, inteligência de ameaças cibernéticas e aspectos legais, éticos e comportamentais) ganham pontuação adicional, e a startup pode concorrer em parceria com outras startups, empresas demandantes ou entidades representativas. Se, ao fim do primeiro ciclo, a equipe enxergar espaço para evoluir, o projeto é ressubmetido à Embrapii e pode chegar a um ano de duração.

Entre a seleção e o início do trabalho, há um rito formal. O CISSA escreve com a startup a síntese do projeto, documento que segue para aprovação da Embrapii; aprovado o recurso, as partes firmam um termo de convênio validado pelos jurídicos dos dois lados, e só então os pesquisadores são alocados.

Para executar projetos de pesquisa, desenvolvimento e inovação com o CISSA, a startup precisa se associar e permanecer associada por pelo menos um ano. A associação abre várias portas, incluindo descontos adicionais em cursos da CESAR School, acesso ao portfólio de cursos do CISSA, conexão com os demais associados, consultorias com pesquisadores em outros temas de segurança e um selo para exibir nos próprios canais. Qualquer startup pode se associar sem ter um projeto em andamento; o contrário é que não vale.

Para Ana Karine, a exigência é uma prova de compromisso, já que o resultado da pesquisa poderá ser licenciado pela startup. Segundo ela, o CISSA estuda inclusive liberar esse licenciamento de forma gratuita para quem participou do projeto. “É um recurso no qual a gente está investindo. Então, para nós, é importante que essa startup faça parte do nosso ecossistema, que esteja comprometida em fazer essa área de conhecimento crescer.”

Rede de mercado pesa mais que faturamento

A lógica da ponte aparece com clareza nos critérios de seleção. A avaliação de negócio deixa em segundo plano o estágio da startup: empresas que ainda não faturam são bem-vindas. O que conta é quem está em volta delas. “A fase em que ela está não importa tanto quanto se ela tem parceiros para fazer conexão com o mercado, para conseguir esses potenciais clientes”, diz Ana Karine. “Ter contatos relevantes para fazer essa conexão é fundamental para ela conseguir validar, para ela conseguir testar.”

Entram na conta também o perfil dos empreendedores (se são dedicados integralmente ao negócio, se já empreenderam ou passaram por outros programas), o potencial de escala da solução, o tamanho do mercado e as evidências de que a empresa conhece o público que quer atingir.

A outra metade da nota fica com os próprios pesquisadores do CISSA, que avaliam a proposta pelo lado da ciência. Eles examinam se o problema de cibersegurança apresentado é relevante ao mesmo tempo para a academia e para o mercado, se há referências bibliográficas e dados que sustentem a proposta e se a inovação é incremental ou capaz de transformar o setor. As notas são somadas e formam um ranking com uma nota de corte.

O desafio de encontrar startups

Desde agosto, o CISSA passou a receber novas inscrições de startups em fluxo contínuo, sem limite de vagas. A janela de inscrições, explica Ana Karine, deve ir até início de dezembro, quando então encerra para que a equipe faça um balanço antes de uma nova edição em 2027.

Até o final de outubro, a segunda rodada somava cinco projetos inscritos. Dois sinais animaram a equipe. Uma das startups aprovadas na primeira rodada, com projeto ainda em andamento, submeteu uma nova proposta. E startups recusadas na primeira edição voltaram com projetos revistos, após reuniões de devolutiva que a equipe fez com todas as não selecionadas. “A gente não está só dizendo ‘você não foi selecionado e acabou’. A gente quer que você entenda por que não foi selecionado, que estruture melhor e traga de novo, porque o projeto é bacana”, diz Ana Karine.

No entanto, todas as inscritas na segunda rodada, por enquanto, são deep techs de cibersegurança. Encontrar startups de segurança já não é simples, mas, segundo Ana Karine, mais difícil ainda é atrair fintechs, healthtechs e outros negócios que lidam com dinheiro ou dados sensíveis de clientes. “Elas existem. Elas só não parecem estar olhando para a cibersegurança com tanta prioridade.”

As cyber driven são estratégicas justamente pela lógica da ponte: nem toda pesquisa acadêmica precisa se transformar no produto de uma cybertech. Muitas vezes, a solução serve para reforçar a proteção de uma vertical econômica, e é a startup desse setor que pode levá-la ao mercado. A hipótese da equipe é que falta a essas empresas maturidade para traduzir as próprias fragilidades em um problema de pesquisa. “Se a cibersegurança não é o meu produto core e eu não tenho conhecimento de cibersegurança no meu time, fica mais difícil estruturar um projeto de pesquisa para explicar o que eu preciso em relação à segurança digital.”

A IA pede mais foco na cibersegurança

Para Ana Karine, a inteligência artificial está ressuscitando problemas de segurança que a engenharia de software havia resolvido há muito tempo, além de abrir caminho para ataques que simplesmente não existiam. “Do mesmo jeito que a gente tem a IA como ferramenta para criar melhores produtos, o hacker tem a IA como ferramenta para melhorar o seu ataque.”

A percepção acompanha os dados globais. No Global Cybersecurity Outlook 2026, do Fórum Econômico Mundial, 94% dos líderes ouvidos apontam a IA como a principal força de transformação da cibersegurança neste ano, e 87% afirmam que as vulnerabilidades ligadas à IA foram o risco que mais cresceu em 2025. Para Ana Karine, isso vale tanto para startups com IA no núcleo do produto quanto para as que a usam como diferencial. Em ambos os casos, a segurança precisa estar presente desde o primeiro dia de desenvolvimento, no modelo security by design. “Se eu lanço um produto de inteligência artificial no mercado e não garanto a segurança daquele produto, isso pode destruir completamente a reputação daquela startup antes mesmo de ela dar o primeiro respiro.”

Do Acre a Santa Catarina

>O CISSA fica no Recife, mas a chamada tem alcance nacional. Na primeira rodada, a maior parte das inscrições veio de São Paulo, seguida por Bahia, Paraíba e estados do Sul. Pernambuco, curiosamente, apareceu pouco, embora o estado tenha um caso exemplar de ponte entre pesquisa e mercado. A Tempest Security Intelligence, uma das maiores empresas de cibersegurança do país, nasceu dentro do próprio CESAR, em 2000, e em setembro de 2026 anunciou a fusão com a Vision Cybersecurity, operação que cria um grupo com faturamento anual acima de R$ 700 milhões. A explicação encontrada pela equipe para a baixa presença pernambucana é que empreendedores do estado estão à frente de startups, mas abrem o CNPJ em São Paulo para facilitar o acesso a programas da região. “A gente quer startups de todas as regiões”, reforça Ana Karine.

Uma ponte de mão dupla

Encerrada a fase de pesquisa, a ida ao mercado é responsabilidade da startup. O CESAR oferece sua rede de parceiros, fundos e investidores, além de uma plataforma de conexão entre startups e grupos de investimento, mas o ritmo já não é o mesmo. “A gente vai estar aqui para dar suporte, mas não vai estar pegando na mão dela como na pesquisa, em que é o CISSA que executa a pesquisa inteira”, diz Ana Karine, que acompanha a chamada de ponta a ponta, da orientação a startups em dúvida sobre submeter ou não um projeto até as reuniões de entrega com os pesquisadores.

A ponte, porém, não funciona só no sentido da startup para o CISSA. Também parte do CISSA em direção às empresas. Recentemente, um associado que não veio pela chamada foi apresentado a um projeto de pesquisa em curso com aderência ao seu negócio e incentivado a propor um projeto próprio para explorar aqueles resultados. “Eu tenho uma startup do mercado financeiro e a gente tem um projeto de pesquisa que pode beneficiar o mercado financeiro. A gente está o tempo todo olhando para fazer essa conexão”, afirma Ana Karine. Para a startup associada, é uma vantagem competitiva: acompanhar, em tempo real, os avanços da pesquisa em cibersegurança e enxergar antes dos concorrentes o que pode virar produto.

Do laboratório ao CNPJ

A área em que Ana Karine trabalha atende pela sigla ACS, de atração e criação de startups, eixo previsto pela própria Embrapii no modelo dos centros de competência. A criação completa a ponte pelo outro lado: em vez de esperar que uma startup externa tire proveito de uma pesquisa feita no CISSA ou no CESAR, o próprio pesquisador pode empreender. O curso Cyber para Empreendedores foi aberto também a todos os pesquisadores do CISSA/CESAR justamente como uma espécie de convite para quem não quer “ficar só na pesquisa, só na academia”, diz Ana Karine. Ela cita ainda o Órbita, programa do núcleo de empreendedorismo do CESAR voltado a alunos da CESAR School, como canal possível para pesquisadores que queiram transformar projetos em negócios.

Há também uma razão de sobrevivência. O financiamento da Embrapii tem prazo, e a sustentabilidade financeira de longo prazo é critério considerado no eventual recredenciamento dos centros de competência. “Em algum momento, o CISSA vai precisar aprender a caminhar com as próprias pernas”, diz Ana Karine. Daí o esforço de entender quais resultados de pesquisa podem virar negócios, licenças ou mesmo produtos do próprio CISSA.

No fim, a chamada é um teste prático da tese que justifica a existência do CISSA: a de que conhecimento produzido no Brasil pode virar tecnologia de segurança feita no Brasil. O CISSA já tem os pesquisadores, a infraestrutura e o financiamento. Falta, sobretudo, que mais empresas, dentro e fora da cibersegurança, decidam atravessar a ponte.