Seguro de riscos cibernéticos para PME nos 18 distritos do continente e nas Regiões Autónomas
Nenhuma lei obriga uma pequena empresa a ter seguro de riscos cibernéticos. Faz sentido quando a empresa depende do e-mail, da faturação eletrónica ou de dados de clientes e não aguentaria sozinha os custos de um ataque. O seguro pode pagar a resposta ao incidente e as reclamações de terceiros; as coimas do RGPD, a lei proíbe que sejam seguradas.
A empresa guarda dados de clientes ou vende online?Diga-nos quantas pessoas trabalham com computador. Um mediador do seu distrito contacta-o para ver o que a apólice deve cobrir.
Falar do seguro de riscos cibernéticos no WhatsAppO seguro de riscos cibernéticos é um contrato que protege a empresa contra as consequências de um incidente informático: um ataque que bloqueia os sistemas, uma fraude feita por e-mail ou a exposição de dados pessoais. Junta, em regra, coberturas dos prejuízos da própria empresa e da responsabilidade perante clientes e outros terceiros. O conteúdo depende inteiramente da apólice.
Não é um produto definido na lei, ao contrário do seguro automóvel ou do de acidentes de trabalho: não há apólice uniforme nem capital mínimo. Isso tem uma consequência prática para quem compara propostas com o mediador. Dois contratos com o mesmo nome comercial podem cobrir coisas muito diferentes, e as exclusões pesam tanto como as coberturas. A leitura atenta das condições gerais e especiais é a única forma de saber o que a empresa está a contratar.
Os incidentes informáticos que mais pesam numa PME cabem em três cenários: o ransomware que para a atividade, a burla por e-mail que desvia um pagamento e a fuga de dados pessoais de clientes. Cada um tem custos diferentes e deveres legais diferentes, e é por eles que se lê uma apólice de riscos cibernéticos.
| Cenário | O que acontece à empresa | Dever legal a verificar | Cobertura a procurar na apólice |
|---|---|---|---|
| Ransomware | Sistemas bloqueados, faturação parada e ficheiros cifrados | Notificar a CNPD se houver dados pessoais afetados | Resposta ao incidente, recuperação de dados e perda de exploração |
| Burla por e-mail ou fatura falsa | Pagamento feito para uma conta indicada por um burlão | Notificar a CNPD se a caixa de e-mail acedida tinha dados pessoais | Fraude em transferências, se a apólice a incluir expressamente |
| Fuga de dados de clientes | Dados pessoais expostos, copiados ou publicados por terceiros | Notificar a CNPD e, com risco elevado, avisar os clientes | Custos de notificação e reclamações dos titulares dos dados |
A coluna do meio não depende do seguro: os deveres do RGPD existem tenha a empresa apólice ou não. O que o seguro pode fazer é pagar quem ajuda a cumpri-los e a recuperar a atividade. A burla por fatura falsa merece atenção própria, porque o dinheiro sai por uma ordem dada por alguém da empresa, enganado. É uma cobertura que nem todas as apólices incluem, e que convém confirmar por escrito.
Exemplo ilustrativo
Uma empresa de materiais recebe um e-mail, aparentemente do fornecedor habitual, a informar de uma mudança de conta bancária. Paga a fatura seguinte para a conta nova e só dias depois percebe a burla. Se a apólice cobrir fraude em transferências, a indemnização depende das condições dessa cobertura, incluindo a verificação que a empresa fez.
Exemplo ilustrativo
Um comercial perde um portátil com a lista de clientes e os respetivos contactos, sem o disco cifrado. A empresa regista o incidente, avalia o risco e notifica a CNPD dentro das 72 horas. Os custos de avisar os clientes e as reclamações que surgirem cabem na apólice, se estiverem previstos.
Uma violação de dados pessoais tem de ser notificada à CNPD sem demora injustificada e, sempre que possível, até 72 horas depois de a empresa ter conhecimento dela, salvo se não for suscetível de criar risco para as pessoas (RGPD, art. 33.º, n.º 1). Notificada mais tarde, a comunicação tem de explicar o motivo do atraso.
Toda a violação fica documentada internamente, com os factos, os efeitos e as medidas tomadas (art. 33.º, n.º 5).
Perceber que dados foram afetados, de quantas pessoas, e que consequências podem ter para elas.
Comunicar à CNPD sempre que possível dentro do prazo, ou justificar o atraso (art. 33.º, n.º 1).
Com risco elevado para os direitos das pessoas, comunicar-lhes a violação sem demora injustificada (art. 34.º).
Circula a ideia de que a CNPD tem de ser avisada em 24 horas. Não é o que diz o RGPD: o prazo é de 72 horas. As 24 horas pertencem ao regime da NIS2, notificado ao CNCS, e só se aplicam às entidades abrangidas por esse regime.
Muitas PME não guardam os dados só nos seus computadores: usam um programa de faturação, uma loja online ou um serviço de e-mail de terceiros. Quando a violação acontece do lado do fornecedor, este, como subcontratante, tem de avisar a empresa sem demora (art. 33.º, n.º 2), mas a responsabilidade de notificar a CNPD continua na empresa, que é a responsável pelo tratamento. A comunicação aos titulares tem exceções previstas na lei (art. 34.º, n.º 3), que devem ser avaliadas caso a caso.
A NIS2 foi transposta pelo Decreto-Lei n.º 125/2025, que aprova o regime jurídico da cibersegurança. Aplica-se, em regra, a entidades dos setores listados nos anexos do diploma que sejam médias empresas ou maiores (regime anexo, art. 3.º, n.º 1). A autoridade nacional de cibersegurança é o CNCS, que também qualifica as entidades abrangidas.
| Notificação | Prazo | Artigo |
|---|---|---|
| Notificação inicial | Até 24 horas depois de a entidade ter conhecimento | Art. 42.º |
| Notificação de fim do impacto | Até 24 horas depois de terminar o impacto | Art. 43.º |
| Relatório final | Em 30 dias úteis | Art. 44.º |
Um incidente resolvido em duas horas dispensa a notificação inicial e basta a de fim do impacto (art. 41.º, n.º 2). As micro e pequenas empresas só ficam abrangidas em casos especiais que o diploma enumera, como os prestadores de comunicações eletrónicas, os serviços de confiança, os serviços de nomes de domínio, o prestador único de um serviço num setor ou a entidade cuja perturbação afete a segurança ou a saúde pública (art. 3.º, n.º 2). Dentro do regime, as entidades dividem-se em essenciais e importantes (art. 6.º).
Não publicamos a lista de setores: lê-se nos anexos do diploma, e a qualificação de cada entidade é feita pelo CNCS (art. 8.º). As coimas por contraordenações muito graves chegam a 10 milhões de euros ou 2 % do volume de negócios nas entidades essenciais e a 7 milhões de euros ou 1,4 % nas importantes (art. 61.º, n.º 2). O regime não impõe às entidades abrangidas a contratação de um seguro.
Em Portugal é proibido segurar a responsabilidade criminal, contraordenacional ou disciplinar (Decreto-Lei n.º 72/2008, art. 14.º, n.º 1, al. a)). As coimas do RGPD e da NIS2 são contraordenacionais, por isso nenhuma apólice as pode pagar. Já a responsabilidade civil ligada ao mesmo facto, como a indemnização a clientes lesados, pode ser segura (n.º 2).
Os máximos das coimas do RGPD explicam porque o tema preocupa: até 10 milhões de euros ou 2 % do volume de negócios anual a nível mundial, o que for mais elevado, para infrações como a falta de notificação de uma violação (RGPD, art. 83.º, n.º 4), e até 20 milhões de euros ou 4 % nas infrações do n.º 5. São máximos, não valores habituais, e a coima concreta depende das circunstâncias. Uma proposta de seguro que prometa pagar coimas em Portugal deve levantar dúvidas.
As apólices de riscos cibernéticos costumam organizar-se em dois blocos: os prejuízos da própria empresa, como a resposta ao incidente, a recuperação de dados e a paragem da atividade, e a responsabilidade perante terceiros, como as reclamações de clientes cujos dados foram expostos. Nenhuma destas coberturas é imposta por lei; cada uma existe só se estiver no contrato.
Peritos informáticos, apoio jurídico e comunicação nos primeiros dias depois do ataque.
Reposição de ficheiros, programas e sistemas afetados, dentro do capital e das franquias.
O lucro perdido enquanto a atividade está parada, se a apólice o incluir de forma expressa.
Indemnizações pedidas por clientes ou trabalhadores cujos dados pessoais foram expostos.
Advogados e processos quando a empresa é demandada por causa do incidente informático.
Custos de avisar os titulares dos dados quando a lei o exige depois de uma violação.
A perda de exploração é a cobertura que mais surpreende quem nunca teve um sinistro. Na regra geral do seguro de danos, os lucros cessantes só são pagos se as partes o tiverem convencionado (Decreto-Lei n.º 72/2008, art. 130.º). Vale a pena confirmar também a partir de que momento a paragem conta e durante quanto tempo é paga. Os danos físicos às instalações e ao equipamento, como um incêndio que destrói os servidores, pertencem ao seguro multirriscos empresarial para instalações e equipamento. O erro técnico de quem presta serviços informáticos a clientes é matéria do seguro de responsabilidade civil profissional por erro no serviço prestado.
O questionário de segurança é a forma como a seguradora avalia o risco informático antes de aceitar a empresa. As perguntas sobre cópias de segurança e autenticação multifator não resultam de uma lei: são prática de subscrição. Mas as respostas ficam no contrato, e a lei obriga o tomador a declarar com exatidão o que sabe (Decreto-Lei n.º 72/2008, art. 24.º).
| Pergunta típica | Porque interessa à seguradora | O que ter preparado |
|---|---|---|
| Faz cópias de segurança fora da rede? | Permite recuperar sem depender de quem atacou | Frequência das cópias e onde ficam guardadas |
| Usa autenticação multifator? | Dificulta o acesso com uma palavra-passe roubada | Em que contas está ativa: e-mail, acesso remoto, banco |
| Atualiza programas e sistemas? | Fecha falhas conhecidas que os ataques exploram | Quem trata das atualizações e com que regularidade |
| A equipa recebe formação? | Reduz o risco de e-mails fraudulentos com sucesso | Ações feitas e quem participou nelas |
| Como confirma pagamentos? | Trava a burla por alteração de conta bancária | A regra interna para validar um novo IBAN |
| Que dados pessoais guarda? | Mede o impacto de uma fuga de dados | Tipos de dados e número aproximado de pessoas |
Responder "sim" a uma proteção que não existe é o erro mais caro que se pode cometer neste seguro. Se a omissão ou a inexatidão for dolosa, o contrato é anulável (Decreto-Lei n.º 72/2008, art. 25.º); se for negligente, a seguradora pode propor alterar o contrato ou fazê-lo cessar e, num sinistro entretanto ocorrido, a cobertura pode ser proporcional (art. 26.º). Se não sabe a resposta, diga que não sabe e peça ajuda a quem gere a informática antes de assinar.
Um pedido de resgate num ataque de ransomware é o momento em que a empresa menos deve decidir sozinha. O que a apólice diz sobre resgates, sobre a negociação e sobre as despesas associadas deve ser lido antes de contratar, não durante o ataque. Perante um ataque, as autoridades devem ser contactadas, tal como a seguradora, nos termos do contrato.
Um ataque de ransomware não suspende os deveres do RGPD. Se os sistemas bloqueados guardavam dados pessoais, o prazo de 72 horas para avaliar e notificar a CNPD corre em paralelo com a recuperação, e o registo interno do incidente é obrigatório em qualquer caso (RGPD, art. 33.º, n.º 5). Guardar as mensagens recebidas, os registos dos sistemas e as datas de cada passo ajuda a cumprir esse dever, a apresentar queixa e a participar o sinistro à seguradora. Se a empresa estiver abrangida pela NIS2, somam-se as notificações ao CNCS descritas acima.
Respostas curtas sobre prazos, coimas e condições. A leitura da apólice concreta faz-se com o mediador.
Sem demora injustificada e, sempre que possível, até 72 horas depois de ter conhecimento da violação (RGPD, art. 33.º, n.º 1). Se notificar mais tarde, tem de justificar o atraso. Não há notificação quando a violação não é suscetível de criar risco para as pessoas.
Não. A lei portuguesa proíbe segurar a responsabilidade contraordenacional (Decreto-Lei n.º 72/2008, art. 14.º, n.º 1, al. a)). A apólice pode pagar indemnizações a clientes lesados, mas a coima é sempre da empresa.
Em regra, só se for média empresa ou maior e atuar num dos setores dos anexos do Decreto-Lei n.º 125/2025. Micro e pequenas empresas só em casos especiais, como comunicações eletrónicas ou serviços de confiança. A qualificação é feita pelo CNCS.
O fornecedor, como subcontratante, tem de avisar a sua empresa sem demora (RGPD, art. 33.º, n.º 2). A notificação à CNPD cabe à empresa, responsável pelos dados dos clientes, e o prazo de 72 horas conta-se a partir de quando teve conhecimento.
Não há obrigação legal geral de seguro de riscos cibernéticos. A exigência vem do contrato com o cliente, que pode fixar coberturas e capitais. Leve essa cláusula ao mediador antes de pedir propostas.
Corrija a informação junto da seguradora, através do mediador, antes de haver um sinistro. Uma declaração inexata pode levar a uma cobertura proporcional ou, se dolosa, à anulação do contrato (Decreto-Lei n.º 72/2008, arts. 25.º e 26.º).
Depende do que a apólice diz sobre resgates e despesas associadas, e isso tem de ser lido antes de contratar. Perante um ataque, contacte as autoridades e a seguradora, nos termos do contrato.
Contratos com grandes clientes, uma loja online nova ou a renovação de uma apólice são os momentos em que vale a pena confirmar o que está coberto. Um mediador do seu distrito revê consigo a exigência ou a apólice, sem que tenha de enviar documentos agora.