Seguro cyber empresarial cobre ataque hacker, ransomware ou vazamento de dados?

Um hospital tem o sistema de prontuários sequestrado por ransomware e para de atender por três dias. Uma loja online descobre que um funcionário vendeu a lista de clientes para um concorrente. Em qualquer um desses casos, a empresa enfrenta dois problemas ao mesmo tempo: o prejuízo técnico do incidente e a obrigação legal de responder por ele perante a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares dos dados. É para essa combinação que existe o seguro cyber, também chamado de seguro de riscos cibernéticos.

O que o seguro cyber cobre na prática

A apólice cyber normalmente reúne dois blocos de cobertura. O primeiro é a resposta ao incidente em si: perícia forense para identificar a origem do ataque, custo de recuperação de sistemas e dados, notificação aos titulares afetados, gestão de crise de imagem e, em parte das apólices, a perda de faturamento enquanto a operação fica parada (lucros cessantes por indisponibilidade de sistema).

O segundo bloco é de responsabilidade civil cibernética: a indenização e os custos de defesa quando terceiros — clientes, fornecedores, parceiros — processam a empresa por causa do vazamento dos dados deles. A SUSEP formalizou essa modalidade como ramo próprio, separado do RC tradicional, justamente porque o risco cibernético tem dinâmica diferente de um dano físico comum.

A cobertura alcança multa da LGPD?

Aqui está o ponto que mais gera dúvida. As despesas de defesa no processo administrativo aberto pela ANPD costumam estar dentro da cobertura cyber. Já a multa administrativa em si — a sanção pecuniária que a ANPD pode aplicar — depende da redação da apólice e é tema de discussão jurídica no Brasil sobre se penalidade administrativa pode ser objeto de seguro. Por isso vale ler com atenção a cláusula de "multas e penalidades regulatórias" antes de assumir que está coberta.

O que não muda é a obrigação legal: ter seguro cyber não substitui o dever da empresa de adotar medidas de segurança técnicas e administrativas (art. 46 da LGPD), nem o de comunicar o incidente à ANPD e aos titulares quando houver risco relevante (art. 48). O seguro cobre o prejuízo financeiro; não dispensa o cumprimento da lei.

Exclusões comuns no seguro cyber

• Vulnerabilidade conhecida e não corrigida: se a empresa já sabia de uma falha de segurança antes de contratar — ou antes do ataque — e não corrigiu, a seguradora costuma negar.
• Informação errada na proposta: declarar que usa autenticação multifator, backup ou antivírus corporativo sem efetivamente ter é a causa mais comum de recusa.
• Dolo de sócio ou administrador: ataque interno planejado pela própria liderança da empresa não é coberto.
• Guerra cibernética e ato de Estado: a maioria das apólices exclui incidente atribuído a Estado nacional em contexto de conflito.
• Dado fora do escopo contratado: se a apólice foi feita para proteger dados de clientes e o vazamento envolve dados de um sistema terceirizado não descrito, a seguradora pode negar.

Se a seguradora negar o sinistro alegando falha de segurança, vale revisar com cuidado o que foi declarado na proposta — é um dos pontos em que o seguro empresarial negado exige prova objetiva da seguradora, não apenas suspeita. Nesse momento, buscar um escritório especializado em defesa do segurado ajuda a entender se a negativa realmente se sustenta ou se é desproporcional ao que foi descumprido.

O que diz a lei

• Lei 13.709/2018 (LGPD), art. 46: obriga controladores e operadores a adotar medidas de segurança técnicas e administrativas capazes de proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas.
• Lei 13.709/2018, art. 48: dever de comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante, prazo e conteúdo mínimo regulamentados pela Resolução CD/ANPD nº 15/2024.
• Lei 13.709/2018, art. 52: sanções administrativas da ANPD, incluindo multa simples de até 2% do faturamento, limitada a R$ 50 milhões por infração.
• Circular SUSEP nº 637/2021: classifica o seguro de responsabilidade civil para riscos cibernéticos como ramo próprio dentro do grupo de seguros de responsabilidade.
• Circular SUSEP nº 638/2021: fixa requisitos de segurança cibernética a serem observados pelas próprias seguradoras, reforçando a regulação do setor sobre o tema.
• Lei 12.965/2014 (Marco Civil da Internet), art. 13: dever de guarda de registros de conexão, frequentemente citado nas perícias de incidentes cibernéticos.

Erros que fazem perder o direito

• Pagar o resgate do ransomware antes de avisar a seguradora: negociar ou pagar sem comunicar previamente pode ser tratado como descumprimento do dever de colaboração com a regulação do sinistro.
• Declarar medida de segurança que a empresa não mantém: é a exclusão mais aplicada na prática — confirme o que realmente está em vigor antes de assinar a proposta.
• Demorar para notificar o incidente: tanto para a seguradora quanto para a ANPD, o atraso pode agravar a situação jurídica e esvaziar a defesa da empresa.
• Não seguir o plano de resposta exigido na apólice: muitas apólices cyber exigem acionar fornecedores credenciados (forense, jurídico, comunicação) logo no início; agir por conta própria pode comprometer o reembolso.

Perguntas frequentes