Seguro de Riscos Cibernéticos

A Lei Geral de Proteção de Dados (LGPD) é uma lei federal do Brasil que estabelece as regras para o tratamento de dados pessoais de indivíduos pelas empresas e instituições públicas. A LGPD (Lei 13.709/2018) entrou em vigor em setembro de 2020, e as sanções administrativas passaram a ser aplicáveis pela ANPD a partir de agosto de 2021.

A LGPD visa proteger a privacidade das pessoas e garantir que elas tenham controle sobre os dados pessoais que são coletados, armazenados e utilizados por empresas e instituições. Ela também estabelece regras para o tratamento de dados pessoais sensíveis, como informações sobre saúde, religião e origem étnica, e estabelece penalidades para as empresas que não cumprem as suas disposições.

A LGPD é considerada uma das leis de proteção de dados mais avançadas do mundo e é comparada à Lei de Proteção de Dados da União Europeia (GDPR). Ela se aplica a todas as empresas e instituições que coletam, armazenam ou utilizam dados pessoais de indivíduos no Brasil, independentemente de onde essas empresas estejam localizadas.

Juntamente com a gestão de riscos da empresa (revisão de políticas de segurança e adoção de novas práticas e ferramentas), o Seguro de Riscos Cibernéticos é uma ótima alternativa para a empresa se proteger contra ataques hackers e minimizar eventuais prejuízos, tais como:

• Perdas financeiras decorrentes de ataques virtuais;
• Incidentes decorrentes de erros ou negligências causados internamente na companhia, que resultem em vazamento de dados e outros danos ligados ao sigilo da informação.

O custo do Seguro Cibernético pode variar bastante, dependendo de vários fatores, como o tamanho da empresa, o tipo de atividade que ela exerce, o nível de exposição a riscos cibernéticos e o nível de proteção desejado. Além disso, o custo do Seguro Cibernético também pode ser influenciado pelo tipo de cobertura contratada no seguro e pelo nível de serviços adicionais oferecidos pela seguradora. Por isso, é importante avaliar as suas necessidades e orçamento para obter cotações e comparar os preços e as condições oferecidas.

Existem muitos riscos cibernéticos que uma empresa pode sofrer, alguns dos quais incluem:

• Ataques de malware: são programas maliciosos que podem danificar ou roubar dados da empresa.
• Ataques de phishing: são tentativas de fraudar os funcionários da empresa para que revelem informações confidenciais ou façam login em contas falsas.
• Ataques de ransomware: são programas que criptografam os dados da empresa e exigem um resgate para descriptografá-los.
• Ataques de DDoS (Distributed Denial of Service): são tentativas de sobrecarregar o servidor da empresa com tráfego falso, tornando o site inacessível para os usuários legítimos.
• Roubo de dados: é o furto de informações confidenciais, como números de cartão de crédito ou senhas, por meio de ataques cibernéticos ou de outras táticas.
• Vulnerabilidades de segurança: são falhas no sistema de segurança da empresa que podem ser exploradas por hackers para acessar dados confidenciais ou realizar atividades maliciosas.

Para proteger a empresa contra esses riscos, é importante implementar medidas de segurança cibernética, como firewalls, software de proteção contra malware e treinamento de funcionários para identificar tentativas de phishing. É importante manter os sistemas e aplicativos atualizados com as últimas correções de vulnerabilidade. Além disso, existe o seguro de ataques cibernéticos (seguro cyber) que pode auxiliar a empresa na recuperação destes dados e os custos envolvidos relacionados.

O seguro cyber trata do incidente de segurança na sua operação — invasão, ransomware, vazamento — e das suas consequências: forense, notificação de titulares, sanções administrativas, recomposição de dados. O RC profissional de tecnologia (E&O) trata de outra coisa: a falha do serviço que a sua empresa entregou a um cliente, como um erro de código que gerou prejuízo ou um sistema que não performou como contratado.

Empresas que vendem tecnologia costumam precisar das duas frentes, porque um mesmo evento pode acionar as duas lógicas. Veja a página de RC profissional para empresas de tecnologia.

Sozinho, dificilmente. A Resolução BCB nº 498, de 5 de setembro de 2025, exige dos prestadores de serviços de TI credenciados para acesso à Rede do Sistema Financeiro Nacional a comprovação de seguro de responsabilidade civil e de riscos operacionais, com cobertura mínima definida pelo Banco Central e menção expressa a fraude e incidentes cibernéticos. A apólice cyber cobre parte disso, mas a responsabilidade pela falha do serviço prestado e a fraude interna costumam morar em outras coberturas. Detalhamos a estruturação no artigo sobre a Resolução BCB 498.

Conforme o clausulado, as apólices costumam contemplar as sanções administrativas que o segurado seja obrigado a pagar em decorrência de uma investigação, quando seguráveis pela legislação aplicável — e essa ressalva é importante, porque a segurabilidade de penalidades tem limites no direito brasileiro e é objeto de discussão. Custos de defesa, investigação e notificação, esses sim, são coberturas usuais e costumam representar a maior parte do gasto real de um incidente.

Em geral: faturamento anual, ramo de atividade, volume e tipo de dados tratados (especialmente dados sensíveis), se há operação fora do Brasil, medidas de segurança em uso — autenticação multifator, backup, segmentação de rede, plano de resposta a incidentes — e histórico de incidentes. Para limites maiores, a subscrição tende a ser mais detalhada. Nada disso precisa estar pronto para a primeira conversa.