Uma seguradora lida diariamente com CPF, hist\u00f3rico de sinistros, dados de sa\u00fade e informa\u00e7\u00f5es financeiras de milh\u00f5es de segurados. Esse volume de dados sens\u00edveis, somado a integra\u00e7\u00f5es constantes com corretoras, prestadores e plataformas de terceiros, faz da seguran\u00e7a cibern\u00e9tica em seguradoras um tema que j\u00e1 n\u00e3o cabe apenas \u00e0 \u00e1rea de TI.<\/p>\n\n\n\n
Em 2026, o assunto ganhou outro peso regulat\u00f3rio. Em julho, a Susep publicou um manual de orienta\u00e7\u00f5es sobre seguran\u00e7a cibern\u00e9tica consolidando boas pr\u00e1ticas identificadas em supervis\u00e3o. Em agosto, uma nova norma alterou a Circular Susep n\u00ba 638\/2021, endurecendo exig\u00eancias sobre terceiriza\u00e7\u00e3o de processamento e armazenamento de dados. <\/p>\n\n\n\n
Para seguradoras que ainda tratam seguran\u00e7a como um projeto pontual de TI, esse movimento regulat\u00f3rio exp\u00f5e uma lacuna: falta de pol\u00edtica formal, de rastreabilidade sobre fornecedores e de estrutura para responder a incidentes dentro do prazo exigido.<\/p>\n\n\n\n
Este artigo organiza o que uma lideran\u00e7a de tecnologia, opera\u00e7\u00f5es ou compliance precisa entender para avaliar o cen\u00e1rio atual da sua seguradora: onde o risco realmente se concentra, o que a regula\u00e7\u00e3o exige, o que costuma dar errado na pr\u00e1tica e quais crit\u00e9rios orientam a decis\u00e3o entre manter, ajustar ou reestruturar a arquitetura de seguran\u00e7a.<\/p>\n\n\n\n
\u26a0\ufe0f Ponto de aten\u00e7\u00e3o:<\/strong> quando a pol\u00edtica de seguran\u00e7a cibern\u00e9tica de uma seguradora existe apenas no papel, sem processos de identifica\u00e7\u00e3o de dados relevantes, resposta a incidentes e gest\u00e3o documentada de terceiros, o risco tende a permanecer invis\u00edvel \u2014 at\u00e9 que um evento force a demonstrar, em poucos dias, o que deveria estar estruturado com anteced\u00eancia.<\/p>\n\n\n\n Seguran\u00e7a cibern\u00e9tica em seguradoras \u00e9 a combina\u00e7\u00e3o de tr\u00eas camadas: uma pol\u00edtica formal que define objetivos e responsabilidades; controles t\u00e9cnicos que protegem sistemas, dados e integra\u00e7\u00f5es; e processos de governan\u00e7a que garantem rastreabilidade, resposta a incidentes e gest\u00e3o de fornecedores.<\/p>\n\n\n\n A diferen\u00e7a em rela\u00e7\u00e3o a outros setores est\u00e1 na natureza do dado e na cadeia de terceiros. Uma seguradora concentra dados de sinistro, sa\u00fade, patrim\u00f4nio e hist\u00f3rico financeiro \u2014 informa\u00e7\u00f5es de alto valor para fraude e extors\u00e3o. Ao mesmo tempo, opera com uma cadeia extensa de corretoras, prestadores de servi\u00e7o, resseguradoras e plataformas de pagamento, cada uma representando um ponto adicional de exposi\u00e7\u00e3o.<\/p>\n\n\n\n Por isso, no setor segurador brasileiro, seguran\u00e7a cibern\u00e9tica n\u00e3o \u00e9 sin\u00f4nimo de infraestrutura de TI protegida. \u00c9 a capacidade de demonstrar, com documenta\u00e7\u00e3o e processo, que a opera\u00e7\u00e3o identifica riscos, monitora incidentes e responde dentro dos prazos que a regula\u00e7\u00e3o exige \u2014 inclusive quando o incidente ocorre em um fornecedor terceirizado.<\/p>\n\n\n\n A base regulat\u00f3ria da seguran\u00e7a cibern\u00e9tica para seguradoras no Brasil n\u00e3o \u00e9 recente, mas foi refor\u00e7ada de forma relevante ao longo de 2026.<\/p>\n\n\n\n A Circular Susep n\u00ba 638\/2021 segue sendo a norma central: estabelece a obrigatoriedade de uma pol\u00edtica formal de seguran\u00e7a cibern\u00e9tica, proporcional ao porte e \u00e0 complexidade da opera\u00e7\u00e3o, com processos de identifica\u00e7\u00e3o de vulnerabilidades, resposta a incidentes, continuidade de neg\u00f3cio e comunica\u00e7\u00e3o \u00e0 Susep em at\u00e9 cinco dias \u00fateis ap\u00f3s a ci\u00eancia de um evento relevante. <\/p>\n\n\n\n Ela tamb\u00e9m exige que contratos de terceiriza\u00e7\u00e3o de processamento e armazenamento de dados sejam comunicados \u00e0 Susep e que fornecedores mantenham padr\u00e3o de seguran\u00e7a equivalente ao da pr\u00f3pria seguradora.<\/p>\n\n\n\n Em 20 de agosto de 2026, uma nova norma alterou pontos dessa circular, refor\u00e7ando especificamente as exig\u00eancias sobre terceiriza\u00e7\u00e3o: contratos, aditivos e altera\u00e7\u00f5es relacionados a processamento e armazenamento de dados passam a precisar estar acess\u00edveis \u00e0 Susep sempre que solicitados, junto da documenta\u00e7\u00e3o necess\u00e1ria para avaliar o servi\u00e7o, os riscos envolvidos e a conformidade regulat\u00f3ria. Na pr\u00e1tica, isso eleva o padr\u00e3o de rastreabilidade exigido sobre qualquer fornecedor que toque dados sens\u00edveis da opera\u00e7\u00e3o.<\/p>\n\n\n\n Poucas semanas antes, em 10 de julho de 2026, a Susep havia publicado um manual de orienta\u00e7\u00f5es sobre seguran\u00e7a cibern\u00e9tica, fundamentado nas Resolu\u00e7\u00f5es CNSP n\u00ba 416\/2021, 491\/2026 e 492\/2026 e nas Circulares Susep n\u00ba 638\/2021 e 700\/2024. O documento tem car\u00e1ter orientativo \u2014 n\u00e3o substitui as normas vigentes \u2014 mas consolida boas pr\u00e1ticas identificadas pela supervis\u00e3o em temas como governan\u00e7a, gest\u00e3o de riscos, terceiriza\u00e7\u00e3o e computa\u00e7\u00e3o em nuvem, servindo como refer\u00eancia pr\u00e1tica de “o que a Susep espera ver” em uma auditoria.<\/p>\n\n\n\n Esse movimento tamb\u00e9m est\u00e1 conectado a uma pol\u00edtica mais ampla: o Decreto federal n\u00ba 11.856\/2023 instituiu a Pol\u00edtica Nacional de Ciberseguran\u00e7a, e a pr\u00f3pria Susep formalizou, em 2024, um grupo de trabalho dedicado a estudar seguran\u00e7a cibern\u00e9tica no setor supervisionado \u2014 sinal de que o tema seguir\u00e1 recebendo aten\u00e7\u00e3o regulat\u00f3ria crescente, e n\u00e3o apenas em ciclos pontuais.<\/p>\n\n\n\n Para uma lideran\u00e7a de tecnologia ou compliance, o recorte pr\u00e1tico \u00e9 este: a regula\u00e7\u00e3o j\u00e1 n\u00e3o avalia apenas se existe um firewall ou um antiv\u00edrus. Ela avalia se existe pol\u00edtica documentada, processo de resposta a incidente com prazo definido e controle sobre o que terceiros fazem com os dados da opera\u00e7\u00e3o.<\/p>\n\n\n\n Vale diferenciar dois planos regulat\u00f3rios que se complementam: as normas da Susep tratam especificamente da seguran\u00e7a cibern\u00e9tica da opera\u00e7\u00e3o supervisionada, enquanto a LGPD estabelece as regras gerais de tratamento de dados pessoais que incidem sobre qualquer dado de segurado processado nesse caminho. <\/p>\n\n\n\nO que \u00e9 seguran\u00e7a cibern\u00e9tica em seguradoras, na pr\u00e1tica<\/h2>\n\n\n\n
O que mudou na regula\u00e7\u00e3o em 2026 e por que isso importa agora<\/h2>\n\n\n\n