Questionário de subscrição do seguro cyber: como preencher sem riscos

O questionário de subscrição (também chamado de proposta ou formulário de avaliação de risco) é o documento em que a empresa descreve seus controles de segurança e seu perfil de risco. Ele não é burocracia: é a base sobre a qual a seguradora calcula o preço e decide se aceita o risco, e suas respostas integram o contrato. A Lei nº 15.040/2024, que rege os contratos de seguro, exige boa-fé e dever de informar na contratação e regula as consequências de declarações inexatas ou omissões que influam na aceitação ou no valor do prêmio, o que pode afetar a garantia. Por isso, o preenchimento exige método, evidências e a participação do TI.

Quem deve preencher

Idealmente, um trabalho em equipe:

• Diretoria ou gestão: dados de negócio, faturamento, contratos e apetite de risco.
• TI ou fornecedor de segurança: controles técnicos, com evidências.
• Jurídico/DPO: LGPD, volume e tipos de dados, incidentes e comunicações.
• Corretor: orientação sobre o que cada pergunta significa e como a seguradora interpreta.

Evite que uma única pessoa responda tudo "de cabeça". Se você não sabe a resposta, não chute: consulte o responsável.

Perguntas típicas e o que elas verificam

Boas práticas de preenchimento

1. Responda com evidências. Para cada controle declarado, tenha um comprovante: relatório do console de EDR, tela da política de MFA, relatório do último teste de restauração, plano de resposta versionado.
2. Seja preciso com palavras como "todos", "sempre" e "nunca". Se o MFA cobre 90% dos usuários, não responda "todos"; descreva a abrangência e o plano para completar.
3. Distinga o que existe do que está planejado. Controles futuros devem ser declarados como plano com data, não como fato.
4. Revele incidentes anteriores e as correções feitas. Omitir é muito pior que declarar.
5. Guarde cópia do questionário enviado e das versões assinadas, com data.
6. Use linguagem do seu ambiente. Se a pergunta for ambígua, peça esclarecimento por escrito ao corretor e registre a resposta.
7. Atualize as respostas se algo mudar relevantemente entre a cotação e a emissão da apólice.

Exemplo ilustrativo de resposta bem feita

Pergunta: "Há autenticação multifator em acessos remotos?"

Resposta ruim: "Sim." (Sem detalhe, e se a VPN de um fornecedor não tem MFA, a resposta é inexata.)

Resposta melhor: "Sim, para VPN e e-mail corporativo, via aplicativo autenticador, para todos os colaboradores; contas de dois prestadores externos ainda usam apenas senha, com migração prevista até a data X." Anexar a política e o relatório de usuários com MFA.

Consequências de respostas inexatas

Se a seguradora, ao regular um sinistro, constatar que o que foi declarado não correspondia à realidade, pode discutir a redução ou a perda da cobertura, a depender da gravidade, do nexo com o sinistro e da boa-fé do segurado, conforme a Lei nº 15.040/2024 e a legislação de seguros em vigor (apólices antigas podem levantar questões de transição, conforme a data do contrato). Em muitos casos, a análise considera se a inexatidão foi intencional e se influenciou o risco. A forma mais segura de evitar essa disputa é declarar com exatidão e documentar. Veja também negativa de sinistro.

Varreduras externas e informações públicas

Algumas seguradoras realizam varreduras externas dos seus domínios e serviços expostos (por exemplo, acesso remoto aberto à internet, certificados vencidos, software desatualizado) e comparam com o declarado. Antes de enviar o questionário, verifique você mesmo o que está exposto e corrija. Veja também os requisitos mínimos.

Proteção de dados no próprio processo

O questionário e as evidências contêm informações sensíveis sobre a sua infraestrutura. Compartilhe por canais seguros, limite o detalhamento ao necessário e, se envolver dados pessoais, observe a LGPD e peça confirmação de confidencialidade ao corretor e à seguradora.

Roteiro de preenchimento em uma semana

1. Dia 1: corretor envia o questionário; defina responsáveis.
2. Dias 2 a 3: TI coleta evidências; jurídico revisa dados e histórico.
3. Dia 4: reunião para consolidar respostas e identificar lacunas.
4. Dia 5: corrija o que for possível e ajuste as respostas com plano e data.
5. Dia 6: revisão final por um segundo par de olhos; peça ao corretor para revisar a coerência.
6. Dia 7: assinatura pelo representante legal e arquivo de cópia com evidências.

Quando procurar ajuda profissional

Peça ao corretor para explicar as perguntas ambíguas e a um consultor de segurança que valide as respostas técnicas. Se houver incidentes anteriores ou dúvida jurídica sobre o que declarar, consulte advogado.

Perguntas frequentes

Posso corrigir uma resposta depois de enviar?

Sim, e deve. Comunique a seguradora por escrito assim que identificar a imprecisão, antes de qualquer sinistro.

Quem assina o questionário?

Em geral, um representante legal da empresa. Ele responde pela veracidade das informações, então precisa ser bem informado pelo TI.

Preciso anexar evidências?

Nem sempre é exigido, mas guardá-las protege a empresa. Algumas seguradoras pedem relatórios.

Se eu não tenho um controle, devo ser rejeitado?

Não necessariamente. Declarar a lacuna com um plano pode levar a condições alternativas.

Fontes e referências

• SUSEP — regulação e orientações ao consumidor de seguros.
• Planalto — Lei nº 15.040/2024 — deveres do segurado e consequências de declarações inexatas; veja também a SUSEP.
• ANPD — proteção de dados e segurança da informação.