O que o seguro cyber cobre? Coberturas mais comuns explicadas

O seguro de riscos cibernéticos costuma combinar coberturas de custos próprios (o que a empresa gasta para responder ao incidente e retomar a operação) com coberturas de responsabilidade (o que a empresa pode ter de pagar a terceiros). Quais delas existem, com que limite e sob que condições varia de apólice para apólice, e é justamente nessa variação que moram as surpresas. Este guia explica as coberturas mais comuns, em linguagem prática, e como verificar cada uma no documento.

Como o mercado brasileiro ainda é relativamente novo nesse produto, os nomes das coberturas mudam entre seguradoras. Use este guia como mapa de conceitos, e não como descrição de uma apólice específica.

Coberturas de custos próprios (first party)

Resposta a incidentes e perícia forense. Cobre contratação de especialistas para investigar o que aconteceu, conter o ataque e restaurar sistemas. Muitas apólices oferecem uma linha de atendimento e uma rede de prestadores. Confirme se você é obrigado a usar os prestadores indicados e se o custo conta dentro do limite geral.

Restauração de dados e sistemas. Cobre custos para recuperar, reconstruir ou reinstalar dados e programas danificados. Atenção a exclusões para melhoria de sistemas: a apólice geralmente repõe o que existia, não paga upgrade.

Interrupção de negócios (perda de receita). Indeniza o lucro cessante e despesas extras durante uma parada causada por incidente coberto. Quase sempre há período de carência em horas e um prazo máximo de indenização. Também é comum cobrir apenas interrupção de sistemas próprios, e não de fornecedores, a não ser que haja cobertura específica para dependência de terceiros.

Extorsão cibernética. Cobre negociação e, conforme a apólice e a legislação aplicável, eventual pagamento de resgate. Em geral exige que a seguradora seja avisada antes e participe da decisão. Leia com cuidado: a cobertura pode existir apenas para o custo de especialistas, sem pagamento do resgate.

Notificação e monitoramento. Cobre custos de comunicação a titulares e autoridades, call center e monitoramento de crédito ou de identidade para afetados, quando aplicável.

Gerenciamento de crise e imagem. Cobre consultoria de comunicação e reputação após um incidente.

Coberturas de responsabilidade (third party)

Responsabilidade por privacidade e violação de dados. Cobre defesa e eventuais indenizações decorrentes de ações de titulares ou de clientes por vazamento ou uso indevido de dados.

Responsabilidade por segurança de rede. Cobre danos que um incidente na sua rede cause a terceiros, como propagação de malware para clientes.

Responsabilidade por conteúdo digital. Alguns produtos cobrem difamação, violação de direitos autorais ou de marca em conteúdo publicado no seu site e redes.

Custas de defesa e processos administrativos. Cobre honorários e custos em procedimentos perante autoridades. Multas e sanções podem ou não estar cobertas. Dependem da apólice e do que a legislação permite segurar. Veja a relação entre LGPD, incidentes e apólice.

Coberturas que variam muito

Fraude de transferência e engenharia social: muitas vezes têm sublimite baixo ou exigem procedimentos de verificação documentados.
Fraude telefônica e uso indevido de recursos: raras e restritas.
Dano a equipamentos (bricking): cobre hardware inutilizado por ataque; nem sempre incluso.
Falha de provedor de nuvem ou de serviços críticos: normalmente exige cobertura de dependência de terceiros, com limites próprios.

Tabela: cobertura, o que perguntar e armadilhas

Cobertura	O que perguntar ao corretor	Armadilha comum
Resposta a incidentes	Há equipe 24x7? Os prestadores são obrigatórios?	Custos fora da rede indicada podem não ser reembolsados.
Interrupção de negócios	Qual a carência em horas e o prazo máximo?	Carência longa reduz muito a utilidade em paradas curtas.
Extorsão	Cobre pagamento ou só negociação? Exige aviso prévio?	Pagar sem aviso pode causar perda do direito.
Responsabilidade por dados	Cobre custos de defesa e acordos? Qual o sublimite?	Limite menor que o necessário para uma ação coletiva.
Multas e sanções	Há cobertura e em que condições?	Exclusão para multas ou para o que não for legalmente segurável.
Notificação	Quantos titulares e que serviços?	Limite por titular ou por evento baixo.
Fraude de transferência	Exige dupla checagem? Qual sublimite?	Perda por falha em procedimento previsto na apólice.

Como conferir se a cobertura serve para a sua empresa

Liste os cenários realistas. Ransomware que para o ERP por cinco dias; vazamento de base de clientes; fraude por e-mail que desvia um pagamento; falha de fornecedor de nuvem.
Para cada cenário, identifique quais coberturas da proposta seriam acionadas e com qual sublimite.
Calcule o custo próprio da empresa: faturamento diário, horas de equipe extra, custos de comunicação, perícia, eventual notificação. Use a calculadora de cotações para comparar propostas em cada cenário.
Verifique as condições: carência, retroatividade, base de cobertura e exclusões. Leia as cláusulas das condições gerais.
Confirme por escrito com o corretor qualquer interpretação que seja decisiva para a contratação.

Seguro patrimonial e RC tradicionais cobrem ataque cibernético?

Muitas apólices tradicionais (patrimonial, responsabilidade civil geral, D&O) trazem exclusões de riscos cibernéticos ou limitam danos a dados. Em algumas, a cobertura pode existir de forma implícita, o que gera disputas. Antes de assumir que está protegido, peça ao corretor uma análise formal das apólices atuais. Leia também seguro cyber ou serviço de segurança: o que escolher.

Quando procurar ajuda profissional

Se a empresa depende muito de sistemas, trata dados sensíveis ou tem contratos que exigem limites mínimos de seguro, peça apoio de um corretor especializado e, se houver dúvida jurídica, de um advogado de seguros.

Perguntas frequentes

O seguro cobre um ataque que começou antes da contratação?

Depende da data de retroatividade e do conhecimento prévio da empresa. Incidentes já conhecidos na contratação costumam ser excluídos.

Extorsão sempre inclui o pagamento do resgate?

Não. Pode haver cobertura apenas para negociação e especialistas. Pagar resgate também envolve considerações legais e éticas, e a decisão deve ser tomada com orientação.

O limite é por evento ou por vigência?

Pode ser qualquer um dos dois, e há apólices com limite agregado. Confirme na proposta.

O seguro paga a multa da LGPD?

Depende da apólice e da possibilidade de segurar sanções administrativas. Leia a cláusula e confirme por escrito.

Fontes e referências

SUSEP — regulação do mercado de seguros e consulta de condições contratuais.
ANPD — LGPD e incidentes de segurança.
Planalto — legislação federal — Lei nº 15.040/2024 (contrato de seguro), LGPD (Lei nº 13.709/2018) e demais normas.