Seguro Cibernético: Guia para Aprovação no Conselho

Quando a proposta de seguro cibernético chega ao conselho de administração, ela costuma chegar disfarçada de item de orçamento: um prêmio anual, um limite de cobertura, uma recomendação da diretoria. Mas a decisão real que o conselho está tomando é outra, e é bem maior. Aprovar, ou não, uma apólice de seguro cibernético é decidir formalmente qual parcela do risco cibernético a empresa vai reter no próprio balanço e qual parcela vai transferir para terceiros, e essa é uma decisão que nenhum comitê técnico pode tomar sozinho.

Este guia é escrito para conselheiros e executivos que precisam deliberar sobre essa aprovação: o business case, as perguntas que separam uma apólice útil de um papel caro, e a governança que sustenta a decisão depois da assinatura. Ele não explica o funcionamento do produto em detalhe; para coberturas, processo de sinistro e requisitos de subscrição, temos um guia técnico completo de cyber insurance voltado a quem vai operacionalizar a apólice no dia a dia.

Transferir Risco é Decisão do Conselho, Não Compra de TI

Os principais frameworks de governança convergem nesse ponto. O Director's Handbook on Cyber-Risk Oversight da NACD com a Internet Security Alliance, em sua edição de 2026, orienta que o conselho decida explicitamente quais riscos cibernéticos aceitar, quais mitigar e quais transferir, com base em exposição quantificada, não em impressões. Os Principles for Board Governance of Cyber Risk do Fórum Econômico Mundial trazem o mesmo enquadramento, e a ISO 31000 lista a transferência como uma das quatro respostas clássicas a qualquer risco. O seguro cibernético é simplesmente a materialização contratual da opção "transferir" para o risco residual, aquele que sobra depois dos controles.

Há uma segunda razão, menos discutida, para o conselho tratar essa pauta com formalidade: a deliberação documentada sobre reter ou transferir risco compõe a evidência de diligência do próprio conselheiro. Como detalhamos no nosso guia sobre responsabilidade do administrador em incidentes cibernéticos, o dever de supervisão sobre controles internos já alcança a segurança da informação no direito societário brasileiro, e um conselho que analisou exposição, comparou alternativas e registrou a decisão está em posição muito melhor do que um que nunca colocou o tema em ata.

O Mercado Brasileiro em Números

O mercado brasileiro de seguro cibernético é pequeno, mas está em amadurecimento visível. Segundo dados da CNseg compilados pela FenSeg, os prêmios emitidos entre janeiro e setembro saltaram de R$ 70,5 milhões em 2021 para R$ 152,9 milhões em 2023, R$ 165,6 milhões em 2024 e R$ 173 milhões em 2025, um crescimento de 5% sobre o ano anterior e de 145% em quatro anos. No mesmo período de 2025, os sinistros pagos e avisados somaram R$ 28 milhões, cerca de 16% dos prêmios, uma sinistralidade que indica um produto ainda lucrativo para as seguradoras e com espaço para expansão de apetite.

A leitura da corretora Howden Brasil, a partir de dados da Susep, aponta na mesma direção: R$ 132 milhões em prêmios até julho de 2025, alta de 10% sobre 2024, com projeção de mercado acima de R$ 250 milhões por ano à medida que médias empresas entram na carteira. Para o conselho, esses números dizem duas coisas. Primeiro, que o produto deixou de ser exótico no Brasil: há capacidade, concorrência e histórico de sinistros pagos. Segundo, que o mercado inteiro ainda é menor do que o custo de poucos incidentes graves, o que ajuda a dimensionar o quanto de risco cibernético brasileiro ainda está, na prática, retido nos balanços das próprias empresas.

O Momento Favorece o Comprador

Depois do choque de preços provocado pela onda de ransomware de 2020 a 2022, o mercado global entrou em ciclo de queda. O relatório Rebooting Growth, da Howden, mostra taxas globais de seguro cibernético 22% abaixo do pico de 2022, com queda de aproximadamente 6% em 2025 frente a 2024, e um índice combinado em torno de 70%, ou seja, seguradoras operando o produto com folga de rentabilidade e, portanto, com margem para competir por bons riscos. A Marsh registrou queda de 17% nas taxas de seguro cibernético na América Latina apenas no segundo trimestre de 2025, e no Brasil as renovações de 2025 saíram, em média, 10% mais baratas, com taxas para pequenas e médias empresas abaixo de 1% do limite contratado, segundo a Howden Brasil.

Para um conselho avaliando a contratação ou a ampliação de cobertura, isso significa poder de negociação: limites maiores, franquias menores e menos exclusões pelo mesmo orçamento. Ciclos de mercado segurador, porém, revertem, historicamente, depois de grandes eventos de perda agregada. A janela de condições favoráveis é um argumento para decidir agora com disciplina, não para adiar a decisão indefinidamente.

Prêmio vs. Retenção: o Business Case

A pergunta central do business case não é "quanto custa o seguro", é "quanto custa não ter". Segundo o relatório Cost of a Data Breach 2025 da IBM, o custo médio de uma violação de dados no Brasil atingiu R$ 7,19 milhões, alta de 6,5% sobre os R$ 6,75 milhões de 2024, chegando a R$ 11,43 milhões no setor de saúde e R$ 8,92 milhões no financeiro. Colocado em perspectiva: um único incidente médio equivale a cerca de 4% de todo o prêmio anual do mercado brasileiro de seguro cibernético.

A frequência também não sugere complacência. O Data Breach Investigations Report 2025 da Verizon encontrou ransomware presente em 44% das violações analisadas, um aumento de 37% sobre o ano anterior, e o envolvimento de terceiros em 30% dos casos, o dobro do período anterior. A mediana de pagamento de resgate ficou em US$ 115 mil, e 64% das organizações atingidas não pagaram, o que reforça que o custo relevante raramente é o resgate em si: é a interrupção, a resposta e a reconstrução.

O contraponto legítimo é a retenção deliberada: empresas com caixa robusto e exposição moderada podem racionalmente absorver parte do risco em vez de pagar prêmio por ele. O erro não está em reter, está em reter por omissão, sem quantificar o que está sendo retido. A disciplina recomendada pelo FAIR Institute é comparar explicitamente o retorno de R$ 1 investido em controles com R$ 1 gasto em prêmio, cenário a cenário, e deixar o conselho escolher a combinação, não herdar uma escolha implícita feita por ninguém.

Quanto Contratar: o Limite Sai da Quantificação, Não do Benchmark

A prática mais comum do mercado é dimensionar o limite da apólice por benchmark: contratar o que empresas de porte semelhante contratam. É uma âncora cômoda e quase sempre errada, porque a exposição cibernética de duas empresas do mesmo porte pode diferir em ordem de grandeza dependendo de dados tratados, dependência operacional de tecnologia e concentração de terceiros. Com quantificação de risco cibernético baseada em metodologias como FAIR, o limite passa a ser extraído da cauda da distribuição de perdas da própria organização: o conselho decide contra qual severidade de cenário quer estar protegido e contrata o limite, a franquia e a retenção compatíveis com essa escolha.

Esse é o elo que transforma o seguro de despesa em instrumento de gestão de capital. Explicamos como levar essa quantificação para a mesa do board no nosso artigo sobre cyber risk quantification nas decisões do conselho; para efeito desta pauta, basta o princípio: se a diretoria não consegue explicar de qual cenário de perda saiu o limite proposto, o número veio de benchmark ou de orçamento, e o conselho deve pedir o dever de casa antes de aprovar.

O Que o Conselho Deve Perguntar Antes de Aprovar

Qual é o limite efetivo por cenário, não o limite nominal?

Apólices modernas frequentemente carregam sublimites e cosseguro para os cenários mais prováveis. Um contrato com limite nominal de US$ 5 milhões pode conter um sublimite de US$ 1 milhão para ransomware e uma cláusula de cosseguro em que a seguradora paga 75% e a empresa retém 25% de cada perda. No cenário que motivou a compra, a proteção real seria de US$ 750 mil, 15% do número apresentado ao conselho. A pergunta correta nunca é "qual o limite da apólice", é "quanto a apólice pagaria, em reais, em cada um dos três cenários que mais nos preocupam".

O que as exclusões realmente excluem?

O caso mais instrutivo da história recente do produto é o da Merck. Após o NotPetya, em 2017, a farmacêutica reivindicou cerca de US$ 1,4 bilhão sob uma apólice all-risk de property, e a seguradora negou com base na exclusão de "atos hostis ou de guerra", já que o ataque foi atribuído a um Estado. Os tribunais de Nova Jersey decidiram, em todas as instâncias que examinaram o mérito, que a exclusão de guerra tradicional não alcançava um ciberataque, e o litígio terminou em acordo confidencial em janeiro de 2024. A consequência prática veio na sequência: o mercado de Londres e as grandes seguradoras reescreveram as exclusões de guerra cibernética com linguagem muito mais ampla. O conselho de hoje não pode presumir que teria o mesmo desfecho da Merck; deve exigir que a diretoria explique, por escrito, como as exclusões de guerra, infraestrutura e falha de controles da apólice proposta se comportariam nos cenários priorizados.

A apólice cobre multas da LGPD?

Com honestidade: parcialmente e com controvérsia. A segurabilidade de multas administrativas é juridicamente discutida no Brasil, e as apólices costumam usar a fórmula "quando seguráveis por lei", que empurra a resposta para o momento do sinistro. O conselho deve saber disso, e deve saber também que a multa raramente é o centro do risco: o teto da LGPD é de R$ 50 milhões por infração, mas o enforcement da ANPD ainda é comedido, e o custo dominante de um incidente no Brasil está em resposta, interrupção de operações e dano reputacional, componentes que a apólice cobre com muito menos ambiguidade. Um business case honesto se sustenta sem depender da cobertura de multas.

Quem sustenta os controles que a seguradora exige?

Essa pergunta é importante o suficiente para merecer a próxima seção inteira.

Aprovar o Seguro é Aprovar os Controles

O consenso de mercado é estável quanto ao que as seguradoras exigem para subscrever um risco cibernético em condições razoáveis: autenticação multifator, detecção e resposta em endpoints (EDR ou MDR), backups imutáveis e testados, plano de resposta a incidentes exercitado e gestão de patches disciplinada. E a forma de verificação mudou: a subscrição migrou do questionário autodeclarado para a evidência, com seguradoras rodando varreduras externas sobre a superfície de ataque do proponente antes de precificar. Segundo a Howden Brasil, boas práticas de segurança reduzem a probabilidade de ataques bem-sucedidos em mais de um terço e os custos de um incidente em até 87%, e se traduzem diretamente em taxas e condições melhores.

Para o conselho, isso muda a natureza da deliberação. Aprovar a apólice é, implicitamente, aprovar e sustentar o investimento contínuo nos controles que a viabilizam, porque a declaração feita na contratação precisa continuar verdadeira durante toda a vigência. Com a Lei nº 15.040/2024 em vigor, o questionário respondido ao subscritor ganhou peso jurídico formal, e deve ser tratado pela administração com o mesmo rigor de uma declaração ao mercado.

O Ambiente Regulatório Vigente

Um fato que surpreende muitos conselheiros: não existe norma da Susep específica para o produto seguro cibernético. O produto é estruturado sob as regras gerais dos seguros de danos, consolidadas na Circular Susep nº 621/2021, e a autarquia manteve um grupo de trabalho dedicado ao tema, "Seguros e Segurança Cibernética", instituído pela Portaria nº 8.323, de agosto de 2024, e já concluído, o que sinaliza atenção regulatória crescente sem, até aqui, uma norma dedicada.

Três normas vigentes, porém, mudam o contexto da decisão do conselho. A primeira é a Lei nº 15.040/2024, o Marco Legal dos Seguros, sancionada em dezembro de 2024 e vigente desde dezembro de 2025: ela estabelece regras mais claras para recusa de cobertura e regulação de sinistro, reduzindo a assimetria histórica entre segurado e seguradora, e formaliza o peso jurídico do questionário de subscrição. A segunda é a Resolução BCB nº 498, de setembro de 2025, que criou o primeiro seguro com componente cibernético compulsório do Brasil: prestadores de serviços de tecnologia da informação com acesso à rede do Sistema Financeiro Nacional passaram a ser obrigados a contratar seguro de responsabilidade civil e de risco operacional cobrindo, entre outros eventos, fraude cibernética. A terceira é o arcabouço de segurança cibernética do CMN para instituições financeiras, a Resolução CMN nº 4.893/2021, alterada pela Resolução CMN nº 5.274/2025 com adequação exigida até março de 2026, que eleva o padrão de gestão de risco cibernético exatamente na população de empresas que mais contrata o produto.

A direção regulatória é uma só: mais formalização, mais exigência de evidência e, em nichos específicos, obrigatoriedade. Conselhos que estruturam a decisão de transferência de risco agora o fazem por escolha; a experiência de outros mercados sugere que, com o tempo, parte dessa escolha vira exigência de reguladores, clientes e contrapartes contratuais.

Governança da Decisão

A aprovação da apólice não encerra a pauta, inaugura um ciclo. A prática recomendada é tratar o seguro cibernético como item recorrente do calendário de governança: a renovação anual volta ao conselho, ou ao comitê de risco cibernético quando ele existe, acompanhada da exposição quantificada atualizada, do estado dos controles declarados e de qualquer mudança material de exclusões ou sublimites proposta pela seguradora. Entre renovações, o acompanhamento entra na cadência regular de supervisão, junto das perguntas que o conselho deve fazer ao CISO a cada trimestre.

O formato de apresentação importa tanto quanto o conteúdo. Limite, retenção, sublimites e estado dos controles devem chegar ao board no mesmo padrão dos demais riscos materiais da empresa, em linguagem financeira e com comparabilidade entre reuniões, disciplina que detalhamos no nosso guia de board reporting em cibersegurança. Um conselho que recebe esse pacote consegue deliberar sobre seguro cibernético com a mesma qualidade com que delibera sobre qualquer outra decisão de alocação de capital, que é exatamente o que essa decisão é.

Perguntas Frequentes

Conclusão

Seguro cibernético não é uma linha de despesa de TI, é a metade contratual de uma decisão de alocação de capital que o conselho já deveria estar tomando de forma explícita: quanto risco cibernético reter, quanto transferir, e a que preço. O mercado brasileiro amadureceu, os preços globais estão no ponto mais favorável ao comprador desde 2022, e o arcabouço vigente, do Marco Legal dos Seguros à primeira obrigatoriedade setorial do Banco Central, formalizou o terreno da decisão. O que o conselho precisa exigir antes de aprovar cabe em uma frase: exposição quantificada que justifique o limite, limite efetivo por cenário em vez de número nominal, exclusões compreendidas, e compromisso orçamentário com os controles declarados. Com esses quatro elementos em ata, a aprovação é uma decisão de governança defensável; sem eles, é uma aposta com aparência de prudência.