Seguro cibernético para pequenos negócios: o que conferir antes de contratar

O essencial para o leitor

Incidentes podem atingir a operação e os dados de clientes.
Cobertura, assistência e indenização têm condições próprias.
Acionar o seguro não substitui as comunicações legais.
Prevenção e resposta organizada continuam indispensáveis.

O risco digital também passa pelo balcão

Uma loja que perde acesso ao sistema de vendas, um escritório que envia documentos ao destinatário errado ou uma clínica que tem o cadastro de pacientes comprometido enfrentam problemas diferentes. Todos precisam entender o que ocorreu, conter os efeitos e organizar a retomada. Ter poucos funcionários não elimina a exposição.

O seguro cibernético pode integrar essa preparação, mas a contratação exige mais do que comparar preços. É preciso identificar quais prejuízos a empresa pretende proteger e que ajuda terá disponível quando o incidente acontecer. A existência de uma apólice não garante indenização para qualquer fraude, vazamento ou paralisação.

A Susep reconhece o Seguro de Responsabilidade Civil Compreensivo Riscos Cibernéticos, disciplinado no grupo de responsabilidades pela Circular Susep nº 637/2021. A responsabilidade por danos a terceiros é diferente das perdas da própria empresa: despesas de recuperação e interrupção da atividade devem ser verificadas expressamente na proposta.

Base: [1], [2].

O mercado existe, mas os números precisam de contexto

O relatório do grupo de trabalho da Susep, concluído em dezembro de 2024 e disponibilizado em 2025, registra que o ramo 0327, de riscos cibernéticos, foi introduzido pela Circular nº 579/2018. No recorte de 2023, somou cerca de R$ 203 milhões em prêmios diretos, menos de 0,2% dos prêmios de seguros de danos naquele ano.

Esses são dados históricos do estudo, não uma medição de 2026 nem uma estimativa do prejuízo de pequenas empresas. Prêmio é o valor pago pela contratação: não corresponde ao total de indenizações. Para o empreendedor, a questão prática continua sendo quais riscos a proposta aceita e que parcela do prejuízo fica sob sua responsabilidade.

Base: [8].

Antes da cotação, faça um mapa simples do negócio

Liste os sistemas essenciais, os dados guardados e os fornecedores dos quais depende. Inclua computadores, celulares de trabalho, e-mail, nuvem, plataforma de vendas, meios de pagamento e cópias de segurança. Anote quem tem acesso e quem pode bloquear uma conta comprometida.

Inclua também golpes de engenharia social, nos quais alguém manipula funcionários para obter senhas, alterar dados bancários ou induzir pagamentos. Não é preciso haver invasão de um computador para ocorrer uma fraude.

Pergunte também: quanto tempo a operação consegue ficar sem esses serviços? Existem informações de saúde, documentos, dados financeiros ou credenciais de clientes? O que é armazenado pelo negócio e o que fica com terceiros? Esse levantamento ajuda a apresentar o risco com precisão e a comparar propostas para a mesma necessidade.

Exemplo ilustrativo: perder o acesso ao e-mail e fazer uma transferência a um fraudador não são necessariamente o mesmo evento segurado. Uma proposta pode tratar restauração de sistemas e fraude financeira em cláusulas distintas. Peça que a seguradora indique, por escrito, onde cada situação se enquadra.

Cinco perguntas para fazer sobre a apólice

1. O que está coberto — e para quem?

Confira o CNPJ segurado, as atividades informadas e o alcance territorial. Peça a relação de coberturas e de serviços de assistência. Pergunte separadamente sobre responsabilidade por dados, defesa em reclamações, investigação técnica, recuperação de arquivos e interrupção do negócio. Essa lista é um roteiro de comparação, não uma promessa de que todos esses itens estarão incluídos.

2. Quais são os limites e as exclusões?

Identifique o limite global e os sublimites: um valor anunciado pode não estar disponível integralmente para cada despesa. Confira franquia, participação obrigatória, eventual período de espera para interrupção e forma de indenização. Pergunte se gastos com defesa consomem o mesmo limite da reparação e se há limite agregado para o conjunto de sinistros da vigência.

Não presuma cobertura para golpe por mensagem, transferência via Pix, resgate exigido por criminosos, multa administrativa ou indisponibilidade de um fornecedor. Solicite as cláusulas correspondentes, as exclusões e as condições de eventual cobertura. A possibilidade de contratar uma garantia não torna todo pagamento permitido ou automaticamente reembolsável.

3. Como funciona a assistência?

Guarde o canal de emergência fora dos sistemas da empresa. Confirme horários, abrangência, profissionais disponíveis, necessidade de autorização para despesas e existência de atendimento fora do expediente. Assistência técnica, apoio jurídico e indenização são prestações diferentes. Atendimento 24 horas, perícia digital, relações públicas e suporte para avisar clientes não devem ser presumidos: confirme quais serviços o produto oferece, seus custos e suas regras de utilização.

4. Qual é o período protegido?

Confira vigência, eventual data retroativa e regras para comunicar fatos, circunstâncias e reclamações. Pergunte se o contrato é à base de ocorrência ou de reclamações e como funcionam os prazos adicionais previstos. Um fato anterior à contratação não se torna coberto apenas porque foi descoberto depois.

5. Que obrigações a empresa assume?

Leia o questionário de risco e responda conforme a situação real. Verifique compromissos sobre autenticação, atualização de sistemas, backups e gestão de acessos. Na renovação, informe mudanças relevantes pelos canais indicados. Guarde proposta, condições gerais, cláusulas particulares, endossos e respostas recebidas.

O seguro empresarial que já tenho resolve?

Não conclua isso apenas pelo nome do produto. O relatório da Susep descreve a cobertura não afirmativa (silent cyber): contratos tradicionais sem menção clara à inclusão ou à exclusão do risco digital. Essa falta de clareza pode gerar divergências; não equivale, por si só, a cobertura ou a exclusão automática. Solicite esclarecimento escrito sobre sua apólice atual.

Base: [8].

Uma proposta precisa responder a situações concretas

Situação a considerar	Pergunta para a seguradora
Dados de clientes comprometidos	Quais custos de resposta e responsabilidades perante terceiros estão previstos?
Sistema ou arquivos indisponíveis	Há recuperação de dados e interrupção da operação? Com quais limites e critérios?
Fornecedor de nuvem fora do ar	A dependência de terceiros está abrangida? Quais fornecedores e eventos?
Transferência feita após fraude	Existe cobertura específica para essa fraude ou ela está excluída?
Reclamação recebida meses depois	Qual cláusula define quando o fato e a reclamação devem ocorrer e ser comunicados?

Solicite uma comparação com os mesmos limites e franquias. Uma mensalidade menor pode acompanhar proteção mais estreita; um limite maior pode não resolver uma exclusão que atinge justamente a atividade principal.

Seguro e prevenção precisam andar juntos

O guia da ANPD para agentes de pequeno porte recomenda medidas proporcionais ao tratamento realizado. Entre os cuidados estão controle de acessos, senhas, cópias de segurança, atualizações, treinamento e atenção aos serviços em nuvem. Organize uma rotina e teste a recuperação dos arquivos, em vez de apenas presumir que o backup funciona.

Mãos usando notebook com representação gráfica de cadeado e conexões digitais. — A proteção começa pela organização dos riscos e pela leitura das condições contratadas. Imagem ilustrativa gerada por inteligência artificial.

Defina quem toma decisões numa emergência e mantenha contatos alternativos. A proteção dos dados envolve também documentos, compartilhamento por mensagens e a saída de funcionários: retire acessos que não sejam mais necessários. O seguro transfere parcelas do risco financeiro dentro do contrato; não realiza sozinho esses controles.

Base: [7].

Houve um incidente: organize duas frentes ao mesmo tempo

Interromper o dano e preservar evidências exige coordenação. Evite apagar registros ou reinstalar equipamentos sem orientação técnica. Registre quando o problema foi percebido, quais sistemas e pessoas podem ter sido afetados e que providências foram tomadas.

Avise a seguradora conforme o contrato e peça orientação sobre assistência, prestadores e despesas. Paralelamente, a empresa deve avaliar suas obrigações de proteção de dados. Não espere a conclusão da regulação do seguro para cumprir um prazo legal.

Se o incidente ocorrer em fornecedor que trata dados em nome da empresa, o operador deve informar o controlador sem demora injustificada e fornecer os elementos necessários. Organizar essas responsabilidades em contrato ajuda a evitar que cada parte espere uma iniciativa da outra.

Base: [5].

Monte uma pasta de emergência acessível fora do sistema afetado

Apólice, condições contratuais e canais de acionamento.
Responsáveis internos, substitutos e contatos dos fornecedores.
Inventário dos sistemas e bases de dados essenciais.
Procedimento de recuperação e resultado dos testes de backup.
Registro de decisões, horários e instruções recebidas.
Roteiro de comunicação que possa ser adaptado aos fatos confirmados.

Evite enviar senhas ou bases inteiras de clientes por canais improvisados. Compartilhe apenas o necessário com profissionais autorizados e por meios adequados. Um comunicado preparado previamente ajuda, mas precisa refletir o incidente real.

Quando comunicar à ANPD e aos clientes?

O artigo 48 da LGPD atribui ao controlador o dever de comunicar incidentes capazes de causar risco ou dano relevante aos titulares. Nem uma vulnerabilidade sem exploração confirmada nem todo problema de informática exige esse aviso. É necessário avaliar o envolvimento de dados pessoais e os impactos sobre as pessoas.

A Resolução CD/ANPD nº 15/2024 considera a possibilidade de afetar significativamente interesses e direitos fundamentais, combinada com ao menos um critério como dados sensíveis, financeiros, de autenticação, de crianças, adolescentes ou idosos, protegidos por sigilo ou tratados em larga escala. A avaliação deve ser fundamentada.

Os prazos de comunicação à ANPD e aos titulares contam do conhecimento, pelo controlador, de que o incidente afetou dados pessoais, ressalvada legislação específica. Ser uma empresa pequena, por si só, não assegura o prazo em dobro: é preciso verificar o enquadramento na Resolução nº 2/2022, inclusive as restrições para tratamento de alto risco.

Como encaminhar: o canal oficial da ANPD orienta o peticionamento eletrônico pelo SEI!ANPD, com formulário e comprovação de representação. Aos titulares, a comunicação deve ser clara, direta e individualizada sempre que possível, com informações úteis para reduzir os riscos. Um aviso à seguradora não cumpre essas duas comunicações.

Quando faltarem elementos, a norma admite comunicação preliminar à ANPD com complementação fundamentada em até 20 dias úteis da comunicação — prazo também contado em dobro para os agentes elegíveis. A falta de informações completas não deve ser usada como motivo para simplesmente ignorar o prazo inicial.

O que informar, sem especular sobre os fatos

Organize a natureza e as categorias de dados afetados, os riscos às pessoas, as medidas de proteção adotadas antes e depois do evento e um contato para orientações. Identifique as datas conhecidas e justifique eventual atraso. O formulário da ANPD detalha os campos necessários; a mensagem aos titulares deve ser compreensível e trazer recomendações úteis quando cabíveis.

Se não for possível identificar ou contatar individualmente os titulares, o regulamento prevê divulgação pelos meios disponíveis, com fácil visualização por pelo menos três meses. A impossibilidade de contato direto precisa ser tratada conforme a norma, não como dispensa de comunicação.

O controlador deve manter registro do incidente, inclusive quando decidir não comunicá-lo, por pelo menos cinco anos a partir do registro, sem prejuízo de obrigação de guarda maior. Inclua os fundamentos da decisão, as medidas adotadas e a documentação pertinente, protegendo o próprio arquivo contra acessos indevidos.

Base: [4], [5], [6].

A melhor proposta é a que você consegue entender e acionar

Antes de contratar, peça ao corretor e à seguradora respostas por escrito para os cenários relevantes do seu negócio. Confirme quem será chamado na emergência, quais gastos podem ser autorizados e como as responsabilidades se dividem entre a empresa e seus fornecedores.

O seguro cibernético pode apoiar a continuidade da atividade e o tratamento de responsabilidades dentro das condições contratadas. Seu valor aparece quando está integrado a prevenção, resposta técnica e cumprimento da lei. A leitura da apólice começa antes da assinatura — e o plano de resposta também.

Veja também as opções de seguros e outras orientações na página de notícias da BWL Corretora.

Perguntas frequentes

A empresa pequena está dispensada da LGPD?

Não. Existem regras diferenciadas para agentes elegíveis, mas elas não eliminam o dever de proteger dados pessoais.

A franquia é o único valor que pode ficar com a empresa?

Não necessariamente. Também podem existir participação obrigatória, sublimites, despesas não cobertas e perdas acima do limite contratado.

Acionar a seguradora substitui comunicar à ANPD?

Não. O aviso do seguro segue o contrato. A comunicação à ANPD e aos titulares decorre da LGPD, quando presentes os critérios legais.

É preciso ter uma loja virtual para contratar?

A exposição não se limita ao comércio eletrônico. A aceitação e o produto adequado dependem da atividade e da análise do risco pela seguradora.

Meu seguro empresarial já cobre riscos cibernéticos?

Não é possível concluir apenas pelo nome da apólice. Verifique a previsão contratual e peça esclarecimento escrito sobre inclusão, exclusões e limites.

O fornecedor de tecnologia comunica o incidente por mim?

Não automaticamente. O operador informa o controlador sem demora injustificada. A obrigação legal de comunicação é do controlador, ainda que conte com apoio contratado.

O seguro cobre golpe por Pix ou ransomware?

Não há resposta universal. Confira o evento, a cobertura específica, as exclusões e as condições. Não presuma indenização nem autorização para pagar um resgate.

O seguro substitui controles de segurança?

Não. Backups, controle de acesso, atualizações e treinamento continuam necessários.

Preciso contratar uma equipe própria de resposta?

Não necessariamente. É possível organizar apoio externo. Confirme quem pode ser mobilizado, os custos e as regras da assistência, mantendo responsáveis e substitutos dentro do negócio.

Qual é o prazo de comunicação à ANPD?

Em regra, três dias úteis do conhecimento de que o incidente afetou dados pessoais, quando a comunicação for exigível. Agentes de pequeno porte elegíveis têm prazo em dobro, ressalvada legislação específica.

Todo incidente está coberto?

Não. A indenização depende dos fatos, das garantias, dos limites e das condições contratadas.

Todo incidente precisa ser comunicado à ANPD?

Não. A obrigação considera incidente com dados pessoais capaz de causar risco ou dano relevante aos titulares. A decisão deve ser avaliada e registrada.

Glossário

ANPD: Agência Nacional de Proteção de Dados, responsável por zelar pela proteção de dados pessoais e fiscalizar a LGPD.
Apólice: Documento que formaliza o contrato de seguro e suas condições.
Autenticação multifator: Verificação de acesso que combina fatores distintos, como senha e uma confirmação adicional.
Backup: Cópia de segurança que permite recuperar informações, conforme sua integridade e disponibilidade.
Cobertura não afirmativa: Situação em que uma apólice tradicional não explicita a inclusão ou a exclusão de riscos cibernéticos, podendo gerar divergências de interpretação.
Controlador: Pessoa natural ou jurídica que decide sobre o tratamento de dados pessoais.
Dado pessoal: Informação relacionada a pessoa natural identificada ou identificável.
Dado pessoal sensível: Dado sujeito a proteção especial na LGPD, como informação sobre saúde ou biometria vinculada a uma pessoa.
Engenharia social: Manipulação de pessoas para obter informações, acesso ou pagamentos indevidos.
Franquia: Parcela do prejuízo atribuída ao segurado conforme o contrato.
Incidente de segurança: Evento adverso confirmado que compromete a segurança de dados pessoais, como sua confidencialidade ou disponibilidade.
LGPD: Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018.
Limite agregado: Teto contratual para o conjunto de perdas ou sinistros considerado durante o período definido na apólice.
Logs: Registros de eventos, acessos e operações em sistemas, úteis à investigação de um incidente.
Lucros cessantes: Resultados que deixam de ser obtidos em razão de uma interrupção; eventual cobertura depende dos critérios e condições do contrato.
Operador: Pessoa natural ou jurídica que trata dados pessoais em nome do controlador.
Perícia digital: Exame técnico de sistemas, dispositivos e registros para investigar um evento.
Prêmio: Valor pago pela contratação do seguro.
Ransomware: Programa malicioso que pode bloquear sistemas ou dados e ser usado para exigir resgate.
Responsabilidade civil: Obrigação de reparar danos nas hipóteses aplicáveis.
Sinistro: Ocorrência relacionada a um risco previsto no contrato, cuja cobertura e consequências serão analisadas.
Sublimite: Teto específico de uma cobertura ou despesa dentro dos limites do contrato.
Titular: Pessoa natural a quem os dados pessoais se referem.

Fontes e locais de consulta

Informações consultadas em 2 de novembro de 2026. As coberturas dependem do produto e do contrato; as obrigações de proteção de dados devem ser avaliadas conforme o incidente e a regulamentação aplicável.