Sinistro cibernético pode ter a cobertura negada quando o ataque é classificado como operação apoiada por Estado. A Lloyd’s, mercado que concentra parte relevante das apólices ciber globais, determinou que contratos autônomos de ciberataque passem a carregar cláusula específica excluindo esse tipo de perda, e a exigência tomou efeito em 31 de março de 2023, valendo na contratação ou na renovação de cada apólice. Quem compra ou renova seguro cibernético hoje herda esse desenho contratual. A ação prioritária é revisar, antes do incidente, como a apólice define guerra cibernética, atribuição estatal e sistemas localizados fora do Estado afetado — três pontos que decidem se a seguradora paga.
O movimento veio do próprio mercado segurador, não de um regulador de segurança. Em 16 de agosto de 2022, a Lloyd’s publicou o boletim Y5381, de autoria do diretor de subscrição Tony Chaudhry, com o título State backed cyber-attack exclusions. A justificativa é sistêmica: a capacidade de atores hostis de disseminar um ataque com facilidade, a propagação de código nocivo e a dependência crítica das sociedades em relação à infraestrutura de TI, inclusive para operar ativos físicos, significam que perdas podem exceder o que o mercado segurador consegue absorver. O boletim recorda que, desde 2020, a Lloyd’s exige de forma faseada que toda apólice especifique se a cobertura ciber é afirmativa ou excluída, e cita as expectativas já expressas pela Prudential Regulation Authority sobre subscrição ciber. Empresas com apólices escritas no mercado de Londres, direta ou indiretamente por resseguro, estão dentro desse perímetro contratual.
O que a Lloyd’s exige
O boletim estabelece requisitos mínimos para a exclusão em apólices dentro dos códigos de risco CY e CZ. Na prática, a cláusula precisa cumprir cinco pontos: excluir perdas de guerra quando não houver exclusão de guerra separada; excluir ataques apoiados por Estado que prejudiquem significativamente a capacidade de um Estado funcionar ou suas capacidades de segurança; deixar claro se sistemas localizados fora do Estado afetado continuam cobertos; definir base robusta, acordada entre as partes, para atribuir o ataque a um ou mais Estados; e garantir que todos os termos-chave estejam definidos. Além disso, os agentes de gestão precisam demonstrar que as exclusões passaram por revisão jurídica.
O requisito vale na contratação e na renovação: apólices vigentes não precisavam de endosso, salvo quando o vencimento ficava a mais de 12 meses de 31 de março de 2023 — o que, na prática, empurrou a maioria dos contratos para o novo padrão nas renovações seguintes. O boletim também pede que o programa de resseguro ofereça cobertura alinhada, sem lacunas entre o contrato frontal e a retrocessão, e que agentes que queiram divergir dos requisitos apresentem justificativa robusta e obtenham acordo da própria Lloyd’s.
Vale ler o escopo com calma: a exclusão mira ataques que prejudiquem significativamente a capacidade de um Estado funcionar ou suas capacidades de segurança. A maior parte dos ransomwares comuns não é atribuída a Estados e permanece no campo de cobertura ordinário; a zona cinzenta aparece quando ferramentas, infraestrutura ou motivação se sobrepõem a operações estatais, e é exatamente aí que a redação da cláusula decide a disputa entre segurado e seguradora.
A atribuição decide o pagamento
Do lado contratual, o detalhe decisivo é a atribuição. Se o ataque precisa ser ligado a um Estado para a exclusão operar, quem decide isso e com qual critério? O boletim exige que o mecanismo esteja na própria cláusula. A Lloyd’s Market Association traduziu isso em modelo: publicou quatro cláusulas de referência, atualizadas em 20 de janeiro de 2023 como LMA5564A até LMA5567B. As versões A atendem aos requisitos do boletim Y5381 para apólices dos códigos CY e CZ; as versões B não tratam de atribuição e, por isso, só são aceitas com acordo prévio da Lloyd’s, acompanhado de evidência de que existe mecanismo equivalente acordado com o segurado.
Para a empresa segurada, a versão da cláusula na apólice muda o risco de litígio. Com mecanismo de atribuição claro, a discussão sobre pagamento segue um caminho definido; sem ele, a classificação do ataque vira disputa aberta entre seguradora e cliente, exatamente no momento em que a operação precisa de caixa para se recuperar. Perguntar ao corretor qual versão está no contrato é uma verificação de cinco minutos que poupa meses de discussão.
Checklist antes de renovar
| Item | O que verificar | Risco se faltar |
|---|---|---|
| Exclusão estatal | Se a apólice tem cláusula de exclusão de ataque apoiado por Estado e qual é o escopo exato | Sinistro negado com base em redação ambígua |
| Mecanismo de atribuição | Como as partes acordam quem atribui o ataque a um Estado e com qual evidência | Disputa sobre a classificação do ataque |
| Sistemas fora do Estado afetado | Se filiais e ativos fora da jurisdição atingida permanecem cobertos | Filial global descoberta no pior momento |
| Definições | Se guerra, Estado e operação cibernética estão definidas na cláusula | Interpretação judicial demorada |
| Revisão jurídica | Se o corretor confirma que a cláusula segue modelo revisado, como as versões A | Cláusula fraca em caso de disputa |
| Vigência | Data da próxima renovação e prazos de aviso de sinistro | Janela sem cobertura adequada |
Evidência técnica que sustenta o aviso
A apólice define quando a exclusão opera; a prova do que aconteceu vem do time defensivo. No aviso de sinistro, a seguradora vai pedir linha do tempo, logs preservados, indicadores de comprometimento e relatório forense capaz de sustentar — ou contestar — a hipótese de ataque estatal. Isso muda o padrão de coleta: preservar logs com integridade verificável e documentar cadeia de custódia desde o primeiro indício. Quando o incidente envolve comunicação de crise com terceiros, coordenar por canal fora de banda evita que a troca de mensagens vaze para os atacantes — tema tratado em detalhe na nossa análise sobre comunicação fora de banda.
O relatório forense contratado deve ser produzido sabendo que ele serve a dois públicos: a operação, que precisa conter o ataque, e o contrato, que precisa classificá-lo. Vale alinhar previamente com o corretor quais artefatos a seguradora espera receber e em que prazo, e registrar essas expectativas no plano de resposta — de nada adianta um perito excelente se a evidência que ele precisa foi sobrescrita na contenção.
O mercado ainda mede o risco
O seguro cibernético também é um tema em construção do lado de quem modela o risco. A ENISA publicou em 21 de fevereiro de 2024 um relatório dedicado a modelos e métodos do seguro cibernético, incluindo o uso de IA, que apresenta as linhas de pesquisa existentes e aponta lacunas a fechar. A leitura prática é que a precificação e a cobertura evoluem mais rápido que a base atuarial: conhecer os limites do contrato vale mais que presumir cobertura ampla. E o seguro nunca substitui a gestão interna — a exposição transferida precisa aparecer no inventário com limite, franquia e exclusões, como mostra o guia sobre registro de risco.
Prioridades para o time defensivo
P1 — esta semana: obter a apólice vigente e localizar a cláusula de exclusão de ataque estatal; confirmar com o corretor qual versão de cláusula modelo está em vigor; verificar se o mecanismo de atribuição está definido e aceito pelas partes. P2 — este trimestre: rodar um exercício de mesa em que o cenário inclui a negativa de cobertura por ataque estatal, testando a rota de decisão financeira quando o caixa da recuperação depende do seguro; documentar o conjunto mínimo de evidência que o time consegue produzir em poucas horas; revisar limites e franquias junto ao registro de riscos da organização. A meta não é reescrever o contrato, e sim eliminar a surpresa: saber antes do incidente o que a apólice paga, o que exclui e quem decide a fronteira entre criminoso comum e operação estatal.