1. Panorama regulatório: SUSEP 637/2021 e 710/2024
A Circular SUSEP nº 637, de 27 de julho de 2021, foi o marco regulatório que oficializou o seguro cibernético como ramo próprio no Brasil (ramo Responsabilidade Civil Compreensivo Riscos Cibernéticos). Antes dela, o mercado operava com adaptações de apólices tradicionais de RC, muitas vezes com exclusões expressas para eventos cibernéticos. A norma trouxe flexibilidade contratual sem precedentes: hoje uma seguradora pode oferecer cobertura em base claims-made, claims-made com notificação, claims-made com primeira manifestação, ou occurrence basis — algo que impacta diretamente o direito à indenização em eventos descobertos anos após a violação original.
Em dezembro de 2024, a SUSEP publicou a Circular nº 710, atualizando as regras aplicáveis a vários ramos e reforçando orientações de gestão de risco cibernético das próprias seguradoras. No mesmo período, a FGV publicou a Nota Técnica 20 (dezembro 2024) — Seguro Cibernético: uma análise das coberturas —, referência acadêmica que dissecou lacunas típicas de apólices comercializadas no Brasil.
A maioria das apólices cyber brasileiras opera em claims-made: a cobertura vale para reclamações apresentadas durante a vigência, mesmo que o incidente tenha ocorrido antes — desde que dentro da data retroativa declarada. Se você troca de seguradora e não negocia data retroativa igual ou anterior, sinistros de eventos passados ficam descobertos. Casos como Grupo Fleury (ataque REvil em 2021) mostraram que a violação pode ter começado semanas antes da manifestação.
2. Coberturas de primeira parte (danos próprios)
Coberturas de primeira parte indenizam a própria empresa segurada — custos que você paga para responder ao incidente, recuperar dados, cobrir lucros cessantes e restaurar operações. São as coberturas acionadas em quase 100% dos sinistros cyber. As sete principais no mercado brasileiro:
Coberturas complementares crescendo em 2026
Além das sete acima, seguradoras brasileiras têm ampliado o catálogo com: cobertura para violação de dados de funcionários, bricking (substíuíção de hardware inutilizado por firmware corrompido), dependent business interruption (lucros cessantes por incidente em fornecedor crítico — cenário C&M Software/Sinqia em 2025), e system failure (falha não-maliciosa de sistemas críticos, que a apólice cyber pura tradicionalmente excluiria).
3. Coberturas de terceira parte (responsabilidade)
Coberturas de terceira parte respondem a ações movidas contra a empresa segurada por clientes, fornecedores, titulares de dados ou reguladores. Historicamente eram menos acionadas, mas com a intensificação da fiscalização da ANPD e a maturação de ações coletivas LGPD, viraram o vetor de crescimento das indenizações. Quatro grandes blocos:
A cobertura de multas LGPD está expressamente prevista em apólices brasileiras — ver análise do Conjur (janeiro 2023) sobre o tema. Porém, multas por conduta dolosa (ação intencional) ou negligência grave comprovada podem ser excluídas com base no princípio da segurabilidade do Código Civil. Na prática: se a ANPD demonstrar que a empresa sabia da vulnerabilidade e não agiu, a seguradora pode invocar a exclusão de conhecimento prévio.
4. Exclusões críticas que negam sinistro
A Nota Técnica 20 da FGV (dezembro 2024) e a experiência de mercado documentam que cerca de 21% dos sinistros cyber acionados no Brasil são negados ou reduzidos por aplicação de exclusões. As sete que mais causam negações:
Em 2026, todas as principais seguradoras brasileiras exigem no questionário de cotação: MFA em 100% dos acessos remotos, VPN e e-mail corporativo; EDR em todos os endpoints críticos; backup 3-2-1 com cópia imutável testada nos últimos 90 dias; política de acesso privilegiado documentada. Ausentes esses controles: negação de cotação, franquia 50–100% maior, ou exclusões adicionais na apólice.
5. Sublimites e zonas cinzentas
Exclusões são binárias (cobre ou não cobre). Já sublimites reduzem a cobertura para um teto inferior ao limite principal — e são onde a maioria das empresas descobre, tarde demais, que estavam sub-seguradas.
Sublimite de engenharia social e fraude eletrônica
Segundo dados da Biocatch e do IronVest, aproximadamente 70% das perdas de fraude no Brasil em 2024 vieram de engenharia social (BEC, fraude do CEO, phishing direcionado, vishing). Ainda assim, o sublimite típico dessa cobertura em apólices brasileiras é de 10 a 50% do limite principal, com média entre 25 e 30%. Uma apólice de R$ 5 milhões tipicamente terá sublimite de engenharia social entre R$ 500 mil e R$ 1,5 milhão — insuficiente para uma fraude BEC típica que hoje custa em média US$ 4,89 milhões (FBI IC3 2024).
Business Interruption dependente
Se o ataque não é contra você, mas contra seu provedor de nuvem, e-commerce ou fornecedor crítico — a cobertura de dependent BI é ativada. Sublimites típicos: 25 a 50% do limite principal. O episódio da C&M Software (junho/julho 2025) e da Sinqia (agosto 2025) mostrou o cenário: bancos e fintechs indiretamente impactados por ataque em PSTI (Provedor de Serviços de Tecnologia da Informação) do Sistema Financeiro Nacional.
Bricking — hardware inutilizado
Firmware corrompido por ataque pode inutilizar switches, roteadores, controladores industriais. Sublimite bricking típico: 10 a 20% do limite. Crítico para manufatura (SCADA, PLC) e provedores de infraestrutura.
Gap cyber-físico
Ataque que causa dano físico (ex.: sistema industrial que superaquece equipamento) — apólice cyber pura não indeniza dano patrimonial; apólice patrimonial pura tem exclusão cyber. Solução: endosso de cyber physical damage ou apólice property com cyber write-back.
6. Como ler uma apólice cyber brasileira
Cinco termos que você precisa dominar antes de assinar:
Franquia (retention/deductible). Valor que a empresa segurada paga antes da cobertura começar. No mercado brasileiro varia de R$ 25 mil (PMEs) até R$ 5 milhões+ (grandes contas). Franquias baixas aumentam o prêmio; franquias altas reduzem o prêmio mas concentram risco. Em 2026, a maioria das seguradoras aumentou franquias mínimas em 30–50% após a alta de 253% em indenizações.
Data retroativa (retroactive date). Data a partir da qual eventos podem ser cobertos, mesmo que descobertos durante a vigência. Se você contrata cyber em 2026 com data retroativa início da vigência, ataques que começaram em 2025 e só foram descobertos agora não serão cobertos. Sempre negocie data retroativa igual ou anterior à da apólice anterior.
Waiting period. Tempo mínimo de indisponibilidade antes que a cobertura de lucros cessantes começe. Padrão brasileiro: 8–12 horas. Para fintechs críticas: 4–6 horas com prêmio adicional.
Period of indemnity. Duração máxima da cobertura de lucros cessantes após o incidente. Típico: 90 a 180 dias. Crítico para setores com difícil recuperação (saúde, manufatura pesada).
Limite agregado vs por sinistro. Apólices aggregate têm um teto anual total; apólices per occurrence têm teto por evento. Apólices cyber brasileiras costumam ser em base agregada — o que significa que dois incidentes no mesmo ano compartilham o mesmo limite.
7. Gaps entre cyber e outras apólices
O erro mais caro que empresas brasileiras cometem é assumir que sua apólice de RC Geral, D&O ou Property também cobrirá um incidente cyber. Na prática, essas apólices excluem expressamente eventos cyber desde a Circular SUSEP 637/2021. O mapeamento típico:
- D&O (Directors & Officers) cobre ações contra administradores por falha de dever fiduciário — incluindo falha em supervisionar controles cyber. Complementa cyber, não substitui.
- E&O (Erros e Omissões Profissionais) cobre reclamações de clientes por falha na prestação de serviço — se o serviço envolve TI, sobrepõe cyber (necessário endosso de tech E&O).
- Property (patrimonial) cobre dano físico — exclui perdas puramente digitais. Necessário endosso cyber ou cyber write-back.
- RC Fidelidade / Crime cobre fraude interna e roubo — sobrepõe engenharia social externa que envolve funcionário (Fraude do CEO clássica).
Casos como JBS (2021, US$ 11 milhões de resgate ao REvil), Grupo Fleury (2021, US$ 5 milhões demandados), Renner (2021, e-commerce parado) e Embraer (2020, dados na dark web) mostraram que o custo real de um incidente ultrapassa qualquer limite de apólice não-cyber. Programa moderno requer apólice cyber dedicada com limite proporcional ao risco, mais endossos cruzados nas apólices tradicionais.
8. Como a NextGuard estrutura programas cyber
Atendemos médias empresas e grandes contas corporate no Brasil. Nossa abordagem trabalha em quatro camadas:
- Diagnóstico de exposição. Avaliação de superfície de ataque, controles existentes (MFA/EDR/backup), volume de dados pessoais LGPD, dependência de terceiros críticos, requisitos setoriais (BCB 498 para financeiro, LGPD Art. 11 para saúde).
- Design de limite e franquia. Modelagem de cenários de perda (ransomware, violação de dados, BEC, dependent BI), dimensionamento de limite primário e excesso, calibração de franquia por capacidade financeira e faturamento anual.
- Colocação com as principais seguradoras do Brasil. Cotação comparativa com as seguradoras brasileiras líderes em cyber, com construção de torres de R$ 10 milhões a R$ 500 milhões+, incluindo endossos específicos para engenharia social ampliada, cyber-physical e dependent BI.
- Ativação e sinistro. Suporte na notificação à seguradora nas primeiras 24 horas, coordenação com panel de forense e advocacia, negociação de indenização e disputa de exclusões indevidas.
Circular SUSEP 637/2021 e 710/2024; FGV Nota Técnica 20 (dezembro 2024); IBM Cost of a Data Breach Brazil 2025 (R$ 7,19 milhões); CNseg dados de mercado (indenizações +253% jan–abr 2026, R$ 30 milhões); Lei 13.709/2018 (LGPD); Biocatch Digital Banking Fraud Trends Brazil 2025; FBI IC3 2024 Report (BEC US$ 4,89 milhões média); Conjur (jan 2023) sobre cobertura de multas ANPD.
