Tempo de leitura: 12 min · Atualizado em 08/09/2026
Ataques de ransomware, vazamentos de dados e fraudes digitais deixaram de ser um risco distante para empresas brasileiras de todos os portes. O crescimento constante dos incidentes cibernéticos no país, somado às obrigações impostas pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018 — LGPD), fez com que o ciberseguro empresarial deixasse de ser um produto de nicho para se tornar item de pauta em comitês de risco, jurídicos e financeiros. Mas poucas empresas sabem, de fato, o que essa apólice cobre, o que fica de fora e quais cuidados evitar na hora de contratar. Este artigo detalha a estrutura típica do seguro cyber e sua relação com os deveres legais de segurança da informação.
O novo marco legal do contrato de seguro: Lei 15.040/2024
Desde 11 de dezembro de 2025 está em vigor a Lei nº 15.040/2024 (Lei do Contrato de Seguro), que passou a ser a fonte jurídica central e unificada da relação contratual entre segurado e seguradora no Brasil — inclusive para o ciberseguro empresarial. A nova lei já produz efeitos completos e disciplina, de forma mais detalhada do que o Código Civil de 2002, temas como a declaração do risco pelo segurado, os deveres de informação recíprocos entre as partes e os critérios para regulação e pagamento do sinistro. A Susep mantém competência apenas para regulamentações residuais e de caráter técnico, e as normas infralegais anteriores — como circulares específicas de cada ramo — continuam aplicáveis somente naquilo que for compatível com a nova lei.
O que é o ciberseguro empresarial
O ciberseguro (também chamado de seguro de riscos cibernéticos) é um produto voltado a cobrir prejuízos financeiros decorrentes de incidentes de segurança da informação — ataques hacker, ransomware, invasões de sistemas, falhas que resultem em vazamento de dados pessoais ou corporativos, entre outros eventos. Diferentemente de apólices tradicionais de responsabilidade civil, o seguro cyber costuma combinar, em um único contrato, duas frentes de proteção bastante distintas: os custos que a própria empresa terá para lidar com o incidente (cobertura de primeira parte) e a responsabilidade civil perante clientes, fornecedores e outros terceiros afetados (cobertura de terceiros). Compreender essa estrutura é essencial para avaliar se uma apólice realmente atende às necessidades do negócio.
Cobertura de primeira parte: os custos que a empresa enfrenta sozinha
A primeira frente de cobertura destina-se a reembolsar ou custear despesas que a empresa precisa assumir imediatamente após identificar o incidente, ainda antes de qualquer reclamação de terceiros. Entre os itens mais comuns nas apólices de mercado estão:
- Resposta a incidente e gestão de crise: contratação de especialistas em segurança da informação para conter o ataque e restaurar sistemas, além de assessoria de comunicação para gerenciar a exposição de imagem da empresa;
- Perícia forense digital: custos com peritos para identificar a origem do ataque, a extensão dos dados comprometidos e produzir laudos técnicos que servirão de prova em eventuais processos ou na comunicação à Autoridade Nacional de Proteção de Dados (ANPD);
- Notificação de titulares de dados: despesas para comunicar clientes, funcionários e outros titulares afetados e a própria ANPD, quando o incidente possa acarretar risco ou dano relevante — comunicação que, conforme a Resolução CD/ANPD nº 15/2024, deve ocorrer em até três dias úteis, ressalvado prazo específico previsto em legislação especial;
- Interrupção de negócio: compensação pela perda de receita e por custos extraordinários decorrentes da paralisação de sistemas causada pelo ataque;
- Extorsão cibernética (ransomware): algumas apólices preveem cobertura para custos associados a incidentes de sequestro de dados, dentro de limites e condições contratuais específicas.
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
Cobertura de terceiros: a responsabilidade civil perante clientes e parceiros
A segunda frente cobre a exposição da empresa perante quem sofreu prejuízo em razão do incidente — clientes cujos dados foram vazados, parceiros comerciais impactados pela interrupção de serviços, ou fornecedores que tiveram sistemas comprometidos por contaminação cruzada. Normalmente, essa parte da apólice inclui:
- custos de defesa em ações judiciais movidas por titulares de dados ou empresas parceiras;
- indenizações por danos materiais e morais reconhecidos judicialmente, até o limite contratado;
- defesa em processos administrativos sancionadores, inclusive perante a ANPD;
- em alguns produtos, cobertura para multas regulatórias, quando e na medida em que a legislação aplicável permitir a segurabilidade desse tipo de penalidade — ponto que varia conforme a redação da apólice e exige análise jurídica caso a caso.
A relação entre o ciberseguro e os deveres de segurança da LGPD
A LGPD não é apenas pano de fundo do risco cibernético: ela impõe deveres jurídicos concretos que dialogam diretamente com a apólice. O art. 46 exige que agentes de tratamento adotem medidas técnicas e administrativas de segurança “desde a fase de concepção do produto ou do serviço até a sua execução”, capazes de proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda ou alteração. O art. 47 estende esse dever mesmo após o encerramento do tratamento, e o art. 49 determina que os sistemas sejam estruturados para atender a padrões de boas práticas e governança.
Na prática, isso significa que sofrer um ataque hacker não afasta, por si só, a responsabilidade da empresa perante os titulares de dados prejudicados: cabe a ela demonstrar que adotou as medidas de segurança exigidas pela lei. É justamente nesse cenário que o ciberseguro ganha relevância — ele não substitui a obrigação de investir em segurança da informação, mas funciona como instrumento de gestão financeira do risco residual que mesmo empresas diligentes não conseguem eliminar por completo.
Exclusões comuns que merecem atenção
Como em qualquer contrato de seguro, a apólice cyber tem limites que precisam ser lidos com cuidado antes da contratação. Entre as exclusões mais frequentes no mercado estão:
- Vulnerabilidades conhecidas e não corrigidas: falhas de segurança que a empresa já conhecia (por exemplo, apontadas em auditoria ou alerta de fornecedor) e deixou de corrigir dentro de prazo razoável costumam ser excluídas da cobertura;
- Atos dolosos de funcionários ou administradores: conduta intencional de pessoas com acesso legítimo aos sistemas, voltada a causar o próprio incidente, é tipicamente excluída, embora o tratamento contratual desse tema varie entre seguradoras;
- Guerra cibernética e atos de Estado: ataques atribuíveis a conflitos entre nações ou a agentes estatais frequentemente estão fora do escopo, cláusula que tem ganhado destaque no mercado internacional após grandes incidentes globais;
- Uso de softwares desatualizados, sem suporte ou sem licença: a manutenção de infraestrutura tecnológica minimamente atualizada costuma ser condição para a manutenção da cobertura.
Cuidados na contratação: o questionário de subscrição
Um dos pontos mais sensíveis — e mais frequentemente subestimados — na contratação do ciberseguro é o questionário de subscrição preenchido pela empresa antes da emissão da apólice. Perguntas sobre uso de autenticação multifator, política de backups, existência de plano de resposta a incidentes e histórico de ataques anteriores não são meras formalidades: com base nessas respostas, a seguradora calcula o risco e define prêmio, limites e condições. Respostas imprecisas, desatualizadas ou incompletas podem configurar violação do dever de boa-fé que rege os contratos de seguro — tema hoje disciplinado de forma mais completa pela Lei 15.040/2024, que estabelece critérios próprios para as consequências de declarações inexatas ou incompletas conforme exista boa ou má-fé do segurado — dando à seguradora fundamento para negar cobertura, a depender do caso, justamente no momento em que a empresa mais precisa dela. Por isso, o preenchimento do questionário deve envolver as áreas de tecnologia, segurança da informação e jurídico em conjunto, com revisão cuidadosa antes do envio.
Ciberseguro também faz sentido para pequenas empresas?
Até pouco tempo, o ciberseguro era percebido como produto voltado a grandes bancos ou multinacionais. Esse cenário mudou: pequenas e médias empresas — clínicas, escritórios, lojas virtuais, indústrias de pequeno porte — têm demonstrado interesse crescente por esse tipo de apólice, por razões concretas:
- Pequenas empresas deixaram de ser “alvos improváveis”: muitas vezes são o elo mais fraco em cadeias de fornecedores de empresas maiores, o que as torna porta de entrada para criminosos;
- As obrigações da LGPD não fazem distinção de porte: qualquer empresa que trate dados pessoais — de clientes, funcionários ou fornecedores — está sujeita à lei, independentemente do tamanho do negócio;
- O art. 52 da LGPD prevê multa simples de até 2% do faturamento da empresa (ou do grupo econômico) no Brasil, limitada a R$ 50 milhões por infração, além de sanções não pecuniárias — para um negócio de pequeno porte, mesmo uma fração desse teto pode representar valor desproporcional à sua capacidade financeira;
- O custo direto de um incidente — peritos, advogados, consultoria de comunicação e eventual indenização a terceiros — tende a corroer rapidamente o caixa de uma empresa menor, que normalmente não conta com estrutura jurídica e técnica interna para responder com rapidez às obrigações de notificação da LGPD.
Por isso, mais do que exclusividade de grandes corporações, o ciberseguro vem se consolidando como instrumento de gestão de risco também para negócios de menor porte — desde que a contratação leve em conta a real exposição e a capacidade financeira da empresa, e não apenas o preço do prêmio.
Ciberseguro como parte da gestão de risco da empresa
O ciberseguro empresarial é uma peça importante — mas não isolada — da estratégia de gestão de riscos digitais de qualquer empresa que trate dados pessoais em volume relevante. Sua efetividade depende de uma leitura atenta das coberturas, exclusões e condições da apólice, bem como de sua articulação com os deveres de segurança da informação impostos pela LGPD. Contar com orientação jurídica especializada tanto no momento da contratação — para negociar cláusulas, revisar o questionário de subscrição e alinhar a apólice à realidade da empresa — quanto no momento de um eventual sinistro, é o caminho mais seguro para que a cobertura contratada cumpra sua função quando mais importa.
Perguntas frequentes
Ciberseguro cobre todo ataque hacker?
Não. A cobertura depende dos riscos expressamente contratados, limites, franquias e exclusões da apólice. “Seguro cyber” não é um pacote legal padronizado que cubra automaticamente qualquer incidente.
Ransomware costuma estar coberto?
Pode estar, mas é necessário verificar a apólice. Custos de resposta, restauração, interrupção e negociação podem receber tratamentos diferentes — o pagamento do próprio resgate é item controverso e cada vez mais restrito nas condições contratuais.
Vazamento de dados de clientes pode ser coberto?
Algumas apólices incluem despesas de resposta e responsabilidade perante terceiros decorrentes de incidentes com dados. A extensão concreta depende do produto contratado e das condições do sinistro.
Ter seguro elimina as obrigações da LGPD?
Não. O seguro transfere determinados riscos financeiros; não substitui medidas de segurança, governança, comunicação de incidentes ou outros deveres legais da empresa.
Multa da ANPD é automaticamente coberta?
Não. Eventual cobertura depende da redação da apólice e da possibilidade jurídica de seguramento daquela penalidade. A empresa não deve contratar supondo que toda sanção administrativa será reembolsada.
O que verificar antes de contratar?
Limites, sublimites, franquia, período retroativo, incidentes anteriores, ransomware, interrupção de negócios, resposta a incidentes, cobertura perante terceiros, exclusões e as obrigações de segurança impostas ao segurado como condição da cobertura.
Fontes oficiais consultadas
Seu caso envolve uma situação semelhante?
Cada caso possui particularidades e deve ser analisado individualmente. Para informações sobre análise jurídica do seu caso, entre em contato com o escritório.
