Um ransomware criptografa o servidor de faturamento numa sexta-feira à noite, a equipe de TI está em plantão reduzido, e o prestador de serviços de backup leva 48 horas para restaurar um backup parcial. Enquanto isso, os pedidos dos clientes não são enviados, a linha telefônica fica saturada, e o seguro multirrisco profissional não prevê cobertura para esse tipo de sinistro.
Esse cenário é cada vez mais comum em empresas de todos os tamanhos, incluindo aquelas que pensavam ter “segurança de TI suficiente” internamente.
Provas exigidas pelos seguradores cibernéticos: o que realmente impede a indenização
A maioria dos dirigentes imagina que um seguro de riscos cibernéticos funciona como um seguro de automóvel: declara-se o sinistro e espera-se o pagamento. A realidade no campo é bem diferente. Os seguradores endureceram suas exigências nos últimos anos, e sem provas materiais detalhadas, a indenização pode ser negada.
Concretamente, no momento da declaração do sinistro, é solicitado que forneçamos um inventário preciso dos ativos afetados, os registros de incidentes datados, as certificações de treinamento do pessoal em cibersegurança e a prova de que os patches de software foram implantados antes do ataque. Se os testes de backup não foram documentados, o segurador pode invocar a “negligência caracterizada” para reduzir ou cancelar a cobertura.
Antes mesmo de comparar os contratos, é necessário entender as vantagens do seguro de riscos cibernéticos em relação ao que cada apólice exige como pré-requisitos técnicos. Um contrato barato com exclusões amplas custa mais caro do que um contrato rigoroso que realmente indeniza.
- Manter um registro atualizado dos fornecedores e subcontratados que têm acesso ao sistema de informação, com seus níveis de autorização
- Documentar cada teste de restauração de backup (data, escopo testado, resultado) para provar que o plano de recuperação funciona
- Conservar as provas de implantação das atualizações de segurança em estações e servidores críticos
- Arquivar os materiais e certificações de treinamento em cibersegurança fornecidos aos funcionários, mesmo as sessões curtas
Diretiva NIS2 e responsabilidade pessoal dos dirigentes
Fala-se muito sobre conformidade com o RGPD, mas a diretiva NIS2 muda a situação em um ponto específico. O artigo 20 da NIS2 impõe aos órgãos de direção a aprovação pessoal das medidas de gestão de riscos cibernéticos, a supervisão da implementação e a participação em treinamento adequado.
Isso não é simbólico. Para as entidades qualificadas como importantes, os dirigentes podem ser suspensos temporariamente de suas funções em caso de descumprimento. A cibersegurança não é mais um assunto delegado ao departamento de TI: é uma obrigação de governança que envolve pessoalmente o dirigente.
Essa responsabilidade pessoal reforça o interesse em um seguro cibernético que também cobre a responsabilização dos dirigentes. As apólices de RC para dirigentes clássicas nem sempre incluem esse aspecto. É preciso verificar se o contrato cobre explicitamente as sanções administrativas e os custos de defesa relacionados ao descumprimento das obrigações de cibersegurança.
Transposição em direito francês: antecipar apesar do atraso
A transposição francesa da NIS2 está atrasada, mas as obrigações estão chegando. Esperar pela publicação do texto nacional para agir equivale a preparar suas provas de conformidade na urgência, exatamente o cenário que os seguradores penalizam. Antecipar a conformidade com a NIS2 melhora diretamente as condições do seguro, pois os seguradores já estão integrando esses critérios em seus questionários de subscrição.
Seguro cibernético e cadeia de subcontratação: um ângulo morto frequente
A NIS2 também impõe uma responsabilidade na cadeia de suprimentos. Se um subcontratado sofrer um ciberataque e isso impactar sua atividade, você deve ser capaz de demonstrar que avaliou seu nível de segurança. As respostas variam nesse ponto de acordo com os setores, mas a tendência é clara: os contratantes exigem cada vez mais certificações de seguro cibernético de seus prestadores.
O seguro cibernético se torna um critério comercial, não apenas uma proteção financeira. Alguns editais de licitação já incluem uma cláusula que impõe uma cobertura cibernética mínima ao prestador. Não estar segurado pode significar perder um contrato, mesmo antes de sofrer um ataque.
O que realmente cobre um contrato cibernético sobre subcontratação
Um bom contrato de seguro cibernético cobre as perdas operacionais causadas por uma falha de TI em um fornecedor vinculado por contrato. Ele cobre os custos de notificação aos clientes se dados pessoais tiverem transitado pelo subcontratado comprometido. Por outro lado, se não houver um contrato formal ligando as duas partes, a cobertura é frequentemente excluída.
Custos de um ciberataque sem seguro: perdas diretas e indiretas
Segundo o escritório Asterès, 385.000 ciberataques bem-sucedidos atingiram organizações francesas em 2022, com um custo total estimado em 2 bilhões de euros. Esses números agregam as perdas diretas (resgates, restauração de sistemas, substituição de equipamentos) e os custos indiretos frequentemente subestimados.
Os custos indiretos representam a parte mais pesada: interrupção da atividade por vários dias, perda de clientes que não retornam após uma violação de dados, despesas jurídicas relacionadas a queixas e danos à reputação que nenhuma campanha de comunicação repara rapidamente. Uma empresa não segurada absorve a totalidade dessas perdas em seu fluxo de caixa.
- Custos de gestão de crise: especialistas forenses, comunicação de crise, linha direta dedicada aos clientes afetados
- Perdas operacionais durante o período de indisponibilidade do sistema de TI
- Responsabilidade civil em relação a terceiros cujos dados foram comprometidos
- Sanções administrativas (CNIL, e em breve NIS2) que podem atingir valores significativos dependendo do tamanho da empresa
A proteção de TI (firewall, antivírus, treinamento) reduz a probabilidade de um ataque. O seguro cibernético cobre as consequências financeiras quando a proteção falha. Ambos funcionam juntos, não um no lugar do outro. Mesmo um sistema bem protegido continua exposto a ataques bem-sucedidos, e é precisamente isso que torna a cobertura de seguro necessária para qualquer empresa que dependa de seu sistema de informação diariamente.