Seguro cibernético para pequenas empresas: o que cobre em vazamento e sequestro de dados
Seguro cyber para PME paga resposta a incidente, perícia, defesa em LGPD e perda de receita com sistema fora do ar. Entenda coberturas, exigências e o que fica de fora.
O seguro cibernético para pequenas empresas paga o que acontece depois de um incidente digital: a perícia que descobre como o invasor entrou, a restauração de sistemas e dados, a assessoria jurídica para cumprir a LGPD, a comunicação aos clientes afetados, a defesa em processos movidos por terceiros e, quando contratado, o lucro que a empresa deixou de ter com a operação fora do ar. Ele cobre o prejuízo do ataque, não a falha de segurança em si.
Para uma clínica, uma contabilidade, um e-commerce ou uma distribuidora, a pergunta prática é simples: se amanhã todos os arquivos aparecerem criptografados com um pedido de resgate na tela, quem paga o técnico, quem fala com os clientes e quanto a empresa aguenta ficar parada. A apólice existe para responder essas três perguntas com dinheiro e com equipe especializada.
Quatro incidentes que chegam à corretora com frequência
Os casos que acompanhamos em pequenas e médias empresas se repetem em quatro formatos:
- Sequestro de dados (ransomware). O invasor entra por um acesso remoto mal protegido ou por um anexo, criptografa servidores e estações e cobra para devolver a chave. Às vezes também ameaça divulgar o que copiou.
- Vazamento de dados pessoais. Planilhas de clientes, prontuários, folhas de pagamento ou bases de cadastro acabam expostas, por invasão ou por erro de configuração.
- Invasão de e-mail corporativo. O criminoso assume a conta de um funcionário, observa a rotina e envia boletos ou dados bancários alterados para clientes e fornecedores.
- Indisponibilidade prolongada. Loja virtual, sistema de agendamento ou ERP param por dias, e o faturamento para junto.
Cada um aciona partes diferentes da apólice, e é por isso que a leitura da proposta precisa ir além do nome comercial do produto.
Como a apólice cyber se organiza
As seguradoras dividem as coberturas em duas famílias: as que pagam prejuízos da própria empresa e as que pagam reclamações de terceiros.
| Cobertura | De quem é o prejuízo | O que costuma pagar |
|---|---|---|
| Resposta a incidente | Da empresa | Perícia forense, contenção, assessoria jurídica, gestão de crise e comunicação |
| Restauração de dados e sistemas | Da empresa | Recuperação de arquivos, reinstalação e reconfiguração de sistemas |
| Perda de receita por indisponibilidade | Da empresa | Lucro que deixou de entrar e despesas extras durante a parada, após período de espera |
| Extorsão cibernética | Da empresa | Negociação especializada e, quando previsto e autorizado, o pagamento exigido |
| Notificação de titulares | Da empresa | Envio de comunicados, central de atendimento e monitoramento de crédito dos afetados |
| Responsabilidade por dados | De terceiros | Defesa e indenizações a clientes, parceiros e titulares prejudicados |
| Processos regulatórios | De terceiros | Defesa em processo administrativo e, onde a lei permitir, sanções |
Resposta a incidente é o que se usa primeiro
Nas primeiras horas, a empresa não sabe o tamanho do problema. A seguradora costuma oferecer uma linha de atendimento com prestadores credenciados: técnicos para conter o ataque e preservar evidências, advogados para avaliar obrigações de comunicação e, em casos mais delicados, assessoria de imprensa. Usar a rede da seguradora tende a simplificar a regulação, porque os custos já nascem aprovados. Contratar prestador por conta própria, sem consulta, pode gerar discussão sobre reembolso.
LGPD: o que a lei exige depois do incidente
A Lei 13.709/2018 obriga o controlador a comunicar à Autoridade Nacional de Proteção de Dados e aos titulares o incidente de segurança que possa acarretar risco ou dano relevante. Avaliar se o caso se enquadra, redigir a comunicação e responder a eventuais questionamentos da autoridade exige assessoria jurídica especializada. É uma despesa que a pequena empresa raramente tem orçada e que a apólice costuma cobrir dentro da resposta a incidente.
Perda de receita quando o sistema para
A cobertura de interrupção de negócios cibernética funciona por lógica parecida com a de lucros cessantes do seguro patrimonial, com uma diferença: o gatilho não é um dano físico, e sim a indisponibilidade do sistema causada por evento coberto. Já explicamos o raciocínio do seguro de lucros cessantes em outro texto, e aqui vale olhar três parâmetros específicos.
O período de espera é o número de horas iniciais sem indenização, equivalente a uma franquia de tempo. Em apólices para PME, ele costuma ser medido em horas, e o valor exato muda de produto para produto.
O período máximo de indenização limita quantos dias de parada a seguradora acompanha.
O critério de apuração define se o prejuízo é calculado pelo lucro, pela margem ou pela receita, e quais documentos comprovam a perda. Sem histórico mensal organizado, a conta vira estimativa.
Uma exclusão recorrente aqui é a indisponibilidade causada por falha do provedor de nuvem ou de serviço terceirizado sem ataque envolvido. Algumas apólices oferecem extensão para dependência de fornecedores de tecnologia, com sublimite próprio.
Ransomware numa clínica: um exemplo com números
As premissas são hipotéticas e mostram só a mecânica. Valores reais dependem do caso, da seguradora e das condições contratadas.
Premissas:
- clínica com três consultórios, sistema de agenda e prontuário em servidor local;
- ataque criptografa o servidor numa sexta-feira à noite;
- apólice com limite de R$ 500.000, franquia de R$ 10.000 por incidente e período de espera de 24 horas para perda de receita;
- lucro diário médio comprovado pela contabilidade: R$ 12.000.
Custos do incidente:
- perícia forense e contenção: R$ 45.000;
- restauração de dados a partir do backup e reconfiguração: R$ 30.000;
- assessoria jurídica e avaliação de comunicação à ANPD: R$ 25.000;
- notificação de pacientes: R$ 8.000;
- clínica parada por 5 dias; descontado o primeiro dia de espera, ficam 4 dias indenizáveis: 4 × R$ 12.000 = R$ 48.000.
Conta final:
- soma dos prejuízos: R$ 45.000 + R$ 30.000 + R$ 25.000 + R$ 8.000 + R$ 48.000 = R$ 156.000;
- menos a franquia de R$ 10.000: indenização estimada de R$ 146.000;
- o primeiro dia de parada (R$ 12.000) e a franquia ficam com a clínica: R$ 22.000 de custo próprio.
O ponto que o exemplo destaca é o backup. Se ele estivesse conectado à mesma rede e tivesse sido criptografado junto, a restauração seria muito mais cara e demorada, e a perda de receita poderia se estender por semanas.
Exclusões e limites que costumam surpreender
| Situação | Tratamento frequente | O que verificar |
|---|---|---|
| Transferência bancária induzida por e-mail falso | Excluída ou com sublimite baixo | Se existe cobertura de fraude por engenharia social |
| Ataque iniciado antes da contratação | Excluído | Data de retroatividade e circunstâncias conhecidas |
| Falha de sistema sem ataque | Muitas vezes excluída | Se a apólice cobre erro operacional ou só ação maliciosa |
| Melhoria do sistema após o incidente | Excluída | A apólice repõe o estado anterior, não paga atualização |
| Dano físico a equipamentos | Geralmente excluído | Fica com a apólice patrimonial |
| Guerra e ataques atribuídos a Estados | Excluídos | Redação da cláusula de guerra cibernética |
| Controles declarados e inexistentes | Pode levar à negativa | Coerência entre questionário e realidade |
A fraude por engenharia social merece atenção especial. Muitas empresas imaginam que o seguro cyber devolve o dinheiro transferido para a conta do golpista, e nem sempre devolve, porque o sistema não foi invadido: um funcionário foi enganado. Essa cobertura existe em alguns produtos, quase sempre separada e com valor limitado.
Os controles que a seguradora pergunta antes de aceitar
O questionário de seguro cibernético para PME é curto, mas cada resposta pesa. As perguntas mais comuns:
- o backup é feito com frequência e fica isolado da rede principal?
- e-mail, acesso remoto e sistemas administrativos exigem autenticação em dois fatores?
- sistemas operacionais e programas recebem atualização regular?
- há antivírus ou solução de detecção em todas as máquinas?
- funcionários passam por orientação sobre golpes por e-mail e mensagem?
- quantos registros de dados pessoais a empresa guarda e de que tipo (saúde, financeiro, cadastral)?
Já vimos proposta preenchida pelo sócio com a melhor das intenções, marcando autenticação em dois fatores que só existia no e-mail dele. No sinistro, o invasor entrou pelo acesso remoto sem essa proteção. A divergência entre o declarado e o verificado pela perícia vira ponto central da regulação.
Seis erros que enfraquecem o seguro cyber da pequena empresa
- Desligar o servidor e formatar tudo antes de avisar a seguradora. A pressa destrói evidências que a perícia precisaria para entender o ataque e sustentar a indenização.
- Negociar com o criminoso por conta própria. Qualquer contato ou pagamento sem autorização prévia pode ficar fora da cobertura e criar problemas legais.
- Contratar limite pensando só na perícia. Notificação de titulares, defesa e perda de receita somam rápido.
- Ignorar o período de espera. Uma loja virtual que perde a maior parte das vendas em poucas horas precisa de período curto.
- Tratar o questionário como formalidade. Controle declarado e inexistente é o motivo de negativa mais difícil de contornar.
- Supor que a apólice patrimonial cobre o digital. Sem cobertura específica, o ataque cai na exclusão da apólice tradicional.
Boa-fé na proposta e no aviso de incidente pela Lei 15.040/2024
A Lei 15.040/2024, que passou a disciplinar o contrato de seguro no Brasil no fim de 2025, reforçou deveres que no seguro cibernético têm peso particular. Na contratação, o segurado precisa informar com exatidão o que sabe sobre o próprio risco, e o questionário de controles técnicos é exatamente isso. Durante a vigência, mudanças relevantes, como migrar todo o sistema para outro fornecedor, abrir uma operação de vendas online ou passar a tratar dados de saúde, devem ser comunicadas conforme previsto nas condições.
No incidente, o aviso rápido e a colaboração com a regulação são deveres do segurado, e a seguradora, por sua vez, tem de conduzir a análise com transparência e dentro dos prazos previstos. As condições do produto continuam registradas na SUSEP, e é nelas que estão os sublimites, os períodos de espera e as exclusões que vão decidir o caso.
Por onde começar se a empresa nunca teve seguro cyber
O primeiro passo é um inventário simples: que dados a empresa guarda, onde ficam, quem acessa e quanto tempo ela consegue funcionar sem o sistema principal. Com isso em mãos, dá para escolher limite, período de espera e coberturas adicionais sem pagar por proteção que não serve ao negócio. Para muitas PMEs, a combinação de resposta a incidente, restauração, perda de receita e responsabilidade por dados resolve a maior parte do risco.
Quer saber quanto custaria proteger a sua empresa contra um ataque como o do exemplo? Chame a gente no WhatsApp com o ramo de atividade, o número de funcionários e uma ideia do volume de dados de clientes. Com essas informações, comparamos propostas de seguradoras que trabalham com cyber para pequenas empresas e mostramos, cobertura por cobertura, o que cada uma paga.
Perguntas sobre este tema
Empresa pequena é alvo de ataque hacker ou isso só acontece com grandes companhias?
Ataques automatizados varrem a internet atrás de senha fraca, sistema desatualizado e acesso remoto exposto, sem escolher o porte da vítima. Para o criminoso, a pequena empresa tem a vantagem de costumar ter menos camadas de proteção. O seguro não impede o ataque, mas paga a resposta e parte do prejuízo quando ele acontece.
O seguro cibernético paga o resgate pedido pelos criminosos?
Algumas apólices preveem cobertura de extorsão cibernética, com sublimite e exigência de autorização prévia da seguradora, e outras excluem esse pagamento. Mesmo quando há previsão, a decisão envolve análise jurídica e restrições legais e de sanções. Em muitos casos a cobertura mais útil é a de restauração dos dados a partir do backup e da perícia.
A multa da ANPD por violação da LGPD é coberta?
Depende da apólice e de a lei admitir seguro dessa penalidade. O que costuma estar coberto com mais clareza é a defesa no processo administrativo, a assessoria jurídica e os custos de notificação dos titulares. Verifique a redação exata da cobertura de sanções regulatórias antes de contar com ela.
O seguro empresarial comum já cobre ataque cibernético?
Em geral não. As apólices patrimoniais tradicionais foram desenhadas para dano físico, como incêndio e roubo, e muitas trazem exclusão expressa de eventos cibernéticos. Quem precisa dessa proteção contrata uma apólice específica ou uma extensão com coberturas claramente descritas.
Preciso ter backup e antivírus para contratar?
A seguradora costuma condicionar a aceitação a controles mínimos, como backup isolado da rede, autenticação em dois fatores e atualização de sistemas. Essas informações entram no questionário e servem de base para o preço. Declarar um controle que não existe pode comprometer a indenização no sinistro.
Sócio da Prosperi & Costa
Sócio da Prosperi & Costa, corretora com quarenta anos de mercado e mais de vinte seguradoras parceiras. Trabalha diariamente com contratação, renovação e, principalmente, com o acompanhamento de sinistro, que é onde a apólice deixa de ser papel e vira dinheiro na conta do cliente.