Seguro cibernético: o que cobre e o que não cobre

Um seguro cibernético tem vários nomes no Brasil: seguro cibernético, de riscos cibernéticos, cyber. Por trás da maioria deles há a mesma estrutura: coberturas que se parecem muito de uma apólice para outra e uma lista de exclusões onde elas de fato se diferenciam.

Em 17 de outubro de 2026 lemos as condições gerais de três seguros de riscos cibernéticos publicados por seguradoras, cada um com o seu número de processo SUSEP na capa (estão na lista de fontes). Este guia conta o que cobrem, o que deixam de fora e como comparar duas ofertas sem ser corretor de seguros. Não é uma recomendação de produto: cada seguradora tem várias versões, e a que vale para você é a da sua apólice.

Onde ler as condições antes de assinar

As condições gerais são o contrato-base: coberturas, exclusões, o que fazer em caso de sinistro. Elas vêm com a especificação da apólice, que diz o que você de fato contratou, com limites, franquia e períodos. As duas se leem juntas. Uma das condições que lemos diz que, nos casos que ela não prevê, valem as leis que regulam os seguros no Brasil, e também que o registro do produto na SUSEP é automático e não significa aprovação ou recomendação da SUSEP. Em outras palavras: ter número de processo não dispensa você de ler.

A lei também mudou. A Lei 15.040/2024, que dispõe sobre normas de seguro privado, entrou em vigor um ano depois da publicação (art. 134), ou seja, em dezembro de 2025, e revogou os arts. 757 a 802 do Código Civil, que tratavam do seguro (art. 133). Se sua apólice é anterior, pergunte ao corretor qual regime vale para ela.

O que cobre um seguro cibernético

Com nomes diferentes, as coberturas se agrupam em cinco blocos. Cada apólice contrata uns e outros não, e cada um tem o seu limite.

Resposta ao incidente. É o que se usa na primeira hora. Em uma das condições que lemos, por exemplo, a seguradora paga um especialista de TI para identificar e preservar dados, consultoria jurídica sobre os deveres de comunicar a violação, um call center para os afetados e consultoria de imagem. Detalhe que pesa: esse especialista só entra com o consentimento prévio e por escrito da seguradora.

Recuperação de dados. Recuperar e reconfigurar dados e sistemas. Em uma das condições, a recuperação é uma cobertura básica; em outra, é uma extensão que exige prêmio adicional. Veja qual das duas você tem.

Extorsão cibernética. O resgate e as despesas para encerrar a ameaça. Em uma das condições, a cobertura inclui pagamentos em criptomoedas; em outra, exige notificar e cooperar com as autoridades e agir com consentimento prévio por escrito da seguradora.

Interrupção do negócio. O que você deixa de ganhar enquanto seus sistemas estão fora do ar. Aqui manda a letra miúda: em uma das condições, o lucro líquido perdido é indenizado durante um período indenitário de até três meses, mas só depois de um período de espera em horas, fixado na apólice; em outra, a figura equivalente é a carência.

Responsabilidade perante terceiros. As reclamações de clientes ou pessoas cujos dados foram expostos. Uma das condições inclui cobertura específica para multas e penalidades impostas por órgão regulador, com limite próprio; outra cobre os honorários da assessoria jurídica em uma investigação administrativa.

Duas características da responsabilidade merecem atenção. Primeiro, as apólices que lemos são à base de reclamações: o que conta é a reclamação ter sido feita pela primeira vez contra você durante a vigência (ou no prazo adicional), e o fato gerador ter ocorrido na vigência ou no período de retroatividade. Por isso, deixar a apólice vencer sem renovar pode abrir um buraco. Segundo, o seguro paga a defesa, mas uma das condições prevê que o segurado devolve o que foi pago se ficar provado dolo ou fraude dele.

As exclusões que se repetem

Esta é a parte que vale ler com calma. Estas exclusões aparecem em mais de uma das três condições gerais:

• O que você já sabia antes de contratar. Reclamações, violações ou circunstâncias de que o tomador ou o segurado já tinham conhecimento antes do início da vigência.
• Dolo, fraude e atos desonestos do segurado, de seus sócios ou administradores, ainda que a seguradora arque com a defesa até uma decisão definitiva.
• Falhas de infraestrutura. Eletricidade, telecomunicações, internet, satélite, em termos próprios de cada apólice.
• Guerra, terrorismo e atos de autoridades, em redações que variam.
• Responsabilidade contratual. O que você assumiu por contrato além do que a lei já lhe atribui.
• Propriedade intelectual e segredos comerciais.
• Melhorias. Na apólice que lemos, a melhoria dos sistemas depois de um incidente é uma extensão contratada com prêmio adicional, não parte da cobertura básica.

Há três que pesam mais do que parecem.

A primeira é a do padrão de segurança. Uma das condições exclui o que resulte de falha do segurado em manter a segurança do sistema abaixo do padrão razoável da indústria. Outra traz uma cláusula específica que exclui uma vulnerabilidade conhecida quando existe correção disponível há 30 dias ou mais e ela não foi aplicada, e uma terceira exclui o que se relacione a software ou hardware que perdeu o suporte do fabricante. O que você declarou na proposta é o que você precisa conseguir manter. Veja o que responder sobre IA no questionário de segurança.

A segunda é a da responsabilidade profissional. Uma cláusula específica da apólice de uma seguradora exclui danos relacionados à prestação de serviços profissionais a terceiros e dá como exemplo advogados, contadores, médicos e outros profissionais liberais. Um erro na sua consultoria não é um ataque cibernético, ainda que o texto tenha sido escrito por uma IA.

A terceira é a do aviso: as condições preveem perda do direito à indenização se a seguradora não for avisada logo, como se vê na seção de prazos, mais adiante.

O que essas apólices dizem sobre inteligência artificial

Nada. Nas três condições gerais que lemos, a expressão “inteligência artificial” não aparece, nem para cobrir nem para excluir.

Esse silêncio não é uma cobertura. Se alguém cola o processo de um cliente em um chat e isso termina em uma reclamação, a apólice é lida com as definições de sempre: o que é um incidente, o que é uma violação de dados, o que se exclui. O mais prático é que o problema não comece: que os dados do cliente não cheguem ao chat.

Prazos que correm desde o primeiro dia

A Lei 15.040/2024 diz, no art. 66, que o segurado, ao tomar ciência do sinistro, deve tomar as providências úteis para evitar ou diminuir seus efeitos, avisar prontamente a seguradora, por qualquer meio idôneo, seguindo as instruções dela, e prestar as informações de que disponha. O descumprimento doloso faz perder o direito à indenização, e o culposo, o valor equivalente aos danos decorrentes da omissão (§§ 1º e 2º). O art. 68 veda alterar ou destruir elementos relacionados ao sinistro.

As condições gerais vão na mesma linha, com palavras fortes: avisar “imediatamente” ou “tão logo” se saiba, sob pena de perder o direito à indenização, e preservar os vestígios do evento. Nenhuma das três fixa um número de dias para o aviso, o que é mais um motivo para avisar no mesmo dia.

A prescrição está nos arts. 126 e 127: a pretensão do segurado para exigir a indenização prescreve em um ano, contado da ciência da recusa expressa e motivada da seguradora; a de terceiros prejudicados, em três anos, contados da ciência do fato gerador; e o pedido de reconsideração da recusa suspende o prazo uma única vez.

E o relógio da LGPD corre à parte. O art. 48 manda o controlador comunicar a ANPD e o titular quando houver incidente que possa causar risco ou dano relevante, e a página da ANPD sobre o tema, lida hoje, aponta o prazo de três dias úteis da Resolução CD/ANPD 15/2024. O passo a passo, se o incidente começou em um chat de IA, está em incidente de segurança na LGPD.

Como comparar duas apólices, em oito perguntas

1. Que blocos de cobertura ela traz, e com que limite cada um?
2. Cobre multas e investigações por proteção de dados, ou só a defesa?
3. Qual é a franquia, e qual o período de espera ou a carência da interrupção do negócio?
4. Exige padrões mínimos de segurança? Quais, e em que prazo para aplicar correções?
5. Exclui falhas de provedores de internet ou de nuvem?
6. É à base de reclamações? Qual é a data de retroatividade?
7. Que prazo e que forma pede para avisar o sinistro, e preciso de consentimento antes de contratar um perito?
8. Tem uma linha de resposta a incidentes, e quem atende?

Com as condições gerais, a especificação e a proposta de cada oferta nas mãos, as oito se respondem em uma tarde.

O que um seguro não faz por você

Um seguro paga depois. O que evita a reclamação acontece antes, no dia a dia da sua equipe. A Nonimo é um app para Windows e Mac, com extensão para o navegador, que no seu computador troca por marcadores nomes, e-mails, CPF, CNPJ e telefones com +55 (e data de nascimento e endereço, quando vêm com rótulo), antes de o texto chegar ao ChatGPT, ao Claude, ao Gemini ou ao Copilot. A IA trabalha igual, e os dados dos seus clientes não saem do seu computador. Para deixar essa regra por escrito, apoie-se na política de uso de IA nas empresas.

Se o seu ramo é a advocacia, veja também o sigilo profissional do advogado e a IA.

Fontes

Todas consultadas em 17 de outubro de 2026.

• Condições gerais publicadas pelas seguradoras: Allianz Seguros, Responsabilidade Civil Riscos Cibernéticos, versão dezembro/2025, processo SUSEP 15414.900593/2017-78; Chubb, Riscos Cibernéticos, versão 202312, processo SUSEP 15414.900595/2017-67; AIG Seguros Brasil, condições gerais de riscos cibernéticos, processos SUSEP 15414.901341/2014-13 e 15414.900466/2015-15. PDFs oficiais abertos e conferidos em 17 de outubro de 2026: Allianz, https://www.allianz.com.br/content/dam/onemarketing/iberolatam/allianz-br/doc-para-links/CG_RISCOSCIBERN%C3%89TICOS_1225.pdf; Chubb, versão 202312 com vigência até 12/01/2026 (a Chubb publicou depois versões mais recentes, que não comparamos), https://www.chubb.com/content/dam/chubb-sites/chubb-com/br-pt/condicoes-gerais/responsabilidade-civil-geral-cibernetico-e-ambiental/riscos-ciberneticos-processo-susep-15414-900595-2017-67-versao-12-12-2023-ate-12-01-2026.pdf; AIG, https://www.aig.com.br/content/dam/aig/lac/brazil/pl-29/condi%C3%A7%C3%B5es-gerais/cyber.pdf.coredownload.pdf.
• Câmara dos Deputados, Lei 15.040/2024 (normas de seguro privado): arts. 66, 68, 126, 127, 133 e 134.
• Câmara dos Deputados, Lei 13.709/2018 (LGPD): art. 48.
• ANPD, Comunicado de incidente de segurança: Resolução CD/ANPD 15/2024.