Exclusões do seguro cyber: o que normalmente não é coberto

Toda apólice de seguro cyber traz uma lista de riscos excluídos, ou seja, situações em que a seguradora não indeniza mesmo que haja um incidente. Conhecer as exclusões antes de contratar é tão importante quanto comparar o prêmio, porque é nelas que costumam estar as maiores diferenças entre produtos parecidos. Este guia descreve as exclusões típicas do mercado, explica por que existem e sugere como negociá-las ou mitigá-las. A redação exata varia por seguradora, então trate o texto como um roteiro de perguntas ao corretor.

Por que existem exclusões

Seguro funciona por mutualismo e cálculo de risco. A seguradora exclui eventos que considera não seguráveis (porque dependem da vontade do segurado), sistêmicos (afetam muitas empresas ao mesmo tempo e poderiam gerar perdas gigantescas) ou já cobertos por outros ramos. Também exclui perdas que decorrem de descumprimento de condições que a empresa se comprometeu a manter. A Lei nº 15.040/2024 estabelece a base: o segurado deve agir com boa-fé e prestar informações verdadeiras na contratação, e o agravamento do risco pode afetar a garantia, conforme as regras da lei e da apólice.

Exclusões mais comuns

1. Atos dolosos ou fraudulentos do segurado. Se a empresa, seus sócios ou administradores causaram o incidente de propósito, não há cobertura. Em muitas apólices, a exclusão só se aplica após decisão definitiva e não afeta quem não participou.

2. Guerra, ataques estatais e ciberguerra. Exclusão de danos decorrentes de guerra e, em versões recentes, de operações cibernéticas atribuídas a Estados. A redação importa: algumas excluem apenas quando há atribuição formal, outras são mais amplas.

3. Falhas de infraestrutura geral. Interrupção de energia, internet, telecomunicações e outros serviços públicos, fora do seu controle. Algumas apólices oferecem cobertura limitada para falhas de provedores específicos, como nuvem.

4. Melhorias e atualização de sistemas. A seguradora repõe o que havia, não paga para modernizar. Após um ataque, é comum a empresa querer aproveitar para trocar sistemas, mas o upgrade é custo próprio.

5. Danos físicos e lesões corporais. Incidentes que causem dano material ou lesão (por exemplo, em sistemas industriais) são tratados por outros ramos, e muitas apólices cyber os excluem.

6. Perdas decorrentes de falta de manutenção de controles. Exclusões ou limitações quando a empresa não mantinha controles declarados no questionário (multifator, backups, patches), ou não aplicou atualizações críticas em prazo previsto.

7. Fatos conhecidos antes da contratação. Incidentes, vulnerabilidades exploradas ou circunstâncias que a empresa já conhecia na data de início ou antes da retroatividade.

8. Multas e sanções. Podem ser excluídas total ou parcialmente, ou cobertas apenas "quando segurável por lei". Veja LGPD, incidentes e a comunicação à ANPD.

9. Contratual e garantias. Responsabilidades assumidas por contrato além da que existiria por lei, como multas contratuais e garantias de desempenho.

10. Propriedade intelectual e segredos comerciais. Frequentemente excluídos ou limitados, salvo em coberturas específicas de conteúdo.

11. Valor de ativos digitais, criptomoedas e dinheiro. Perdas de criptoativos, moedas e títulos por incidente cibernético podem ser excluídas ou limitadas.

12. Falha de dispositivos ou de equipamento antigo. Desgaste, obsolescência e falhas sem relação com ataque ficam de fora.

Exclusões que dependem de comportamento

Algumas exclusões não se referem ao tipo de evento, mas a como a empresa agiu:

• Descumprimento do dever de aviso: comunicar o sinistro tardiamente pode prejudicar a cobertura. Veja como acionar o seguro.
• Contratação de prestadores não autorizados: reembolso restrito a prestadores da rede.
• Pagamento de resgate sem autorização: pode perder o direito ao reembolso.
• Declaração inexata no questionário: a Lei nº 15.040/2024 regula as consequências de declarações inexatas ou omissões que possam influir na aceitação da proposta ou no valor do prêmio, o que pode incluir redução ou perda da garantia, conforme o caso. Veja como preencher o questionário.

Tabela: exclusão, risco para a empresa e mitigação

Como negociar exclusões

1. Peça a lista de exclusões antes da cotação final e compare entre propostas.
2. Questione cláusulas amplas e peça redação mais específica ou carve-backs (exceções à exclusão).
3. Peça endossos para cobrir dependências críticas, como nuvem.
4. Garanta a separação de conhecimento (severability): o ato de um executivo não deveria anular a cobertura para a empresa inteira.
5. Registre por escrito qualquer interpretação importante.

Quando procurar ajuda profissional

Peça a um corretor com experiência em riscos cibernéticos que explique as exclusões em linguagem simples e, em contratos relevantes, solicite revisão jurídica. Em disputas, procure advogado especializado em seguros.

Perguntas frequentes

Todas as apólices excluem ciberguerra?

Muitas incluem alguma forma dessa exclusão, mas a redação difere bastante. Compare as definições.

Posso ser negado se não instalei um patch?

Se a apólice condicionar a cobertura à aplicação de atualizações críticas em prazo determinado, sim. Mantenha registro das rotinas.

Exclusões podem ser retiradas?

Algumas podem ser modificadas por endosso, mediante análise da seguradora e possível ajuste de prêmio.

Onde estão as exclusões?

Nas condições gerais e nas condições particulares ou especiais da apólice. As particulares prevalecem sobre as gerais quando conflitantes, conforme a hierarquia contratual.

Fontes e referências

• SUSEP — condições contratuais e canal de reclamações.
• Planalto — Lei nº 15.040/2024 — texto integral da Lei nº 15.040/2024 (contrato de seguro); veja também a SUSEP.
• ANPD — sanções e dosimetria na LGPD.