Seguro cyber é obrigatório no Brasil e o que o Banco Central passou a exigir dos provedores de tecnologia

Para a maioria das empresas brasileiras, o seguro cyber não é obrigatório por lei. A LGPD obriga a adotar medidas de segurança, comunicar incidentes relevantes e reparar danos (Lei 13.709/2018, arts. 46, 48 e 42), e nenhum desses artigos manda contratar seguro. A lista de seguros obrigatórios do Decreto-Lei 73/1966 (art. 20) também não inclui o risco cibernético. A exceção apareceu em setembro de 2025. A Resolução BCB nº 498 exige, de quem quer se credenciar no Banco Central como Provedor de Serviços de Tecnologia da Informação, a comprovação da contratação de seguro de responsabilidade civil e de riscos operacionais, com cobertura mínima definida pelo Banco Central do Brasil, incluindo incidentes de fraude e segurança cibernética (art. 3º, XIII). Fora dessa regra, quem exige seguro cyber é o contrato com o cliente.

Existe lei que obrigue toda empresa a ter seguro cyber?

Não. O sistema de seguros brasileiro tem uma lista fechada de seguros obrigatórios no art. 20 do Decreto-Lei 73/1966, com itens como a responsabilidade civil do transportador de cargas e do construtor de imóveis urbanos. Risco cibernético não está lá. A LGPD, que é a lei que mais se aproxima do tema, obriga a proteger os dados (art. 46), a comunicar o incidente que possa causar risco ou dano relevante (art. 48) e a reparar o dano causado (art. 42). Ela diz o que a empresa precisa garantir, não como financiar essa garantia.

O que existe, e pesa tanto quanto lei, é a exigência comercial. Clientes grandes pedem a apólice no contrato de prestação de serviços, com limite mínimo e coberturas nomeadas. Quem presta serviço de tecnologia, guarda dados de terceiros ou acessa sistemas do cliente recebe essa cláusula com frequência. Sem apólice, sem contrato.

O que a Resolução BCB 498 exige e de quem

A norma disciplina o credenciamento do Provedor de Serviços de Tecnologia da Informação, o PSTI, para prestar serviço de processamento de dados com acesso à Rede do Sistema Financeiro Nacional, a RSFN (art. 1º). É a infraestrutura por onde trafegam as mensagens do sistema financeiro, e o PSTI é a empresa que conecta bancos, instituições de pagamento e outras supervisionadas a essa rede (art. 2º, II e III). Não é qualquer software house. É quem opera, por conta de instituições financeiras, uma peça crítica do sistema.

Entre os requisitos do credenciamento está o inciso XIII do art. 3º, que pede a comprovação da contratação de seguro de responsabilidade civil e de riscos operacionais, com cobertura mínima definida pelo Banco Central do Brasil, incluindo incidentes de fraude e segurança cibernética. Dois detalhes importam para quem vai cotar. A norma fala em seguro de RC e de riscos operacionais com cobertura cibernética, e não numa apólice chamada cyber. E o valor mínimo da cobertura fica para ato do Banco Central, que até a data deste texto não localizamos publicado. A cotação, portanto, parte do contrato com a instituição contratante e do porte do PSTI.

A Resolução BCB 547, de 30 de janeiro de 2026, mexeu em vários dispositivos da 498. Entre outras mudanças, revogou o inciso que exigia plano de continuidade de negócios com comprovação anual (art. 3º, XIV), excluiu da norma as entidades que prestam o serviço só a empresas do mesmo grupo econômico (art. 1º, §2º) e redefiniu requisitos de governança. O inciso XIII, do seguro, não foi alterado. A Instrução Normativa BCB 664, de setembro de 2025, fixou prazos para o PSTI que já estava em funcionamento adaptar as políticas de segurança da informação e de gestão de fraudes previstas na Resolução.

Minha fintech, software house ou empresa de TI está nessa regra?

Só se ela for se credenciar como PSTI para dar acesso à RSFN. A grande maioria das empresas de tecnologia, inclusive fintechs que operam por meio de um banco parceiro, não se credencia. Para elas, a Resolução 498 chega de outro jeito, indireto e igualmente concreto. A instituição financeira responde perante o Banco Central pelo que seus fornecedores fazem, e repassa as exigências no contrato. Seguro de RC, cobertura cibernética, certificações e auditoria aparecem na minuta do cliente.

A tabela abaixo organiza as situações mais comuns.

Quando o contrato exige, o que costuma ser pedido

A cláusula de seguros de um contrato de tecnologia costuma pedir três coisas. Um limite mínimo de indenização, em reais ou atrelado ao valor do contrato. Coberturas nomeadas, em geral responsabilidade civil por vazamento de dados, custos de resposta a incidentes e, às vezes, erros e omissões na prestação do serviço. E a prova, por certificado ou cópia da apólice, com a renovação anual enviada ao cliente.

Aqui mora uma confusão frequente. Vazamento de dados e indisponibilidade de sistemas são assunto do seguro cyber. Erro no serviço de tecnologia entregue ao cliente, como uma falha que causou prejuízo a ele, é assunto do seguro de responsabilidade civil profissional, o E&O. Contratos com bancos costumam pedir os dois, e a Resolução 498 fala em RC e riscos operacionais, o que aponta para uma combinação. A corretora lê a cláusula e monta o programa com as apólices que respondem a cada exigência, sem duplicar cobertura.

O questionário da seguradora faz parte do contrato de seguro. A Lei 15.040/2024 obriga quem contrata a prestar as informações necessárias à aceitação e ao preço (art. 44), e a omissão dolosa leva à perda da garantia (§1º). Autenticação em dois fatores, backup isolado, controle de acessos e plano de resposta a incidentes são as perguntas de sempre. Para quem já atende ao Banco Central, as respostas tendem a ser boas, e isso aparece no preço.

Como se preparar para a cotação

• Separe o contrato ou a minuta do cliente com a cláusula de seguros marcada ou, no caso do PSTI, o requerimento de credenciamento.
• Liste os sistemas críticos, os dados tratados, o volume de titulares e os fornecedores de nuvem.
• Reúna as políticas de segurança da informação, o último teste de restauração de backup e as certificações existentes.
• Defina com a corretora o limite por duas contas, o custo de ficar parado e a exposição a terceiros.
• Peça a cotação em mais de uma seguradora e compare sublimites, franquia e a cesta de resposta a incidentes, não só o prêmio.

Leia também

• O que o seguro cyber cobre numa pequena ou média empresa e o que a LGPD exige
• O que fazer nos três dias úteis depois de um ataque hacker e onde o seguro cyber entra
• Seguro de responsabilidade civil profissional para médicos, advogados, contadores e engenheiros

Perguntas frequentes

Seguro cyber é obrigatório por lei no Brasil?

Para a empresa em geral, não. A LGPD obriga a adotar medidas de segurança e a comunicar incidentes relevantes (arts. 46 e 48), e o seguro cibernético não está na lista de seguros obrigatórios do Decreto-Lei 73/1966 (art. 20). A exceção é o PSTI credenciado no Banco Central (Resolução BCB 498/2025, art. 3º, XIII).

O que é PSTI?

Provedor de Serviços de Tecnologia da Informação, a entidade credenciada pelo Banco Central para prestar serviço de processamento de dados com acesso à Rede do Sistema Financeiro Nacional às instituições supervisionadas (Resolução BCB 498/2025, art. 2º, III).

Que seguro a Resolução BCB 498 exige?

Seguro de responsabilidade civil e de riscos operacionais, com cobertura mínima definida pelo Banco Central do Brasil, incluindo incidentes de fraude e segurança cibernética (art. 3º, XIII). Na prática, um programa que combina RC, cobertura cibernética e, conforme o contrato, erros e omissões.

A Resolução 498 vale para fintechs e software houses?

Diretamente, só para quem se credencia como PSTI. Indiretamente, chega a fornecedores de bancos e instituições de pagamento pelos contratos, que repassam exigências de seguro, auditoria e segurança da informação.

O que a Resolução BCB 547 mudou?

Alterou vários dispositivos da Resolução 498 em janeiro de 2026, como a revogação da exigência de plano de continuidade com comprovação anual e a exclusão das entidades que atendem só o próprio grupo econômico. O inciso que exige o seguro não mudou.

Qual é a cobertura mínima do seguro do PSTI?

A Resolução diz que será definida pelo Banco Central do Brasil (art. 3º, XIII). Até a data deste texto não localizamos o ato que fixa o valor; a cotação parte das exigências do contrato e do porte do provedor.

Meu cliente pediu seguro cyber no contrato. O que apresento?

Em geral, um certificado ou cópia da apólice mostrando limite, coberturas e vigência, renovado a cada ano. A corretora confere se a cláusula pede RC por vazamento de dados, custos de resposta, E&O ou os três, e monta o programa sem duplicar cobertura.

Felipe Porto