VORIK LABS

Início › Setores › Seguros e previdência

Setores regulados · Seguros e previdência

Seguros: o risco cibernético também é risco do negócio.

Seguradoras, entidades abertas de previdência, sociedades de capitalização e resseguradores locais seguem a Circular SUSEP nº 638/2021. Em 2026, o CNSP criou regras próprias para as administradoras de proteção patrimonial mutualista, e a SUSEP publicou um manual de orientações sobre segurança cibernética.

Em uma frase: quem é supervisionado pela SUSEP precisa ter política de segurança cibernética integrada aos controles internos e à gestão de riscos, plano de resposta a incidentes no plano de continuidade, relatório anual, controle rigoroso dos fornecedores de dados e nuvem e comunicação de incidentes relevantes em até 5 dias úteis.

Quem precisa cumprir

A Circular 638 vale para as supervisionadas tradicionais. As novas administradoras de proteção patrimonial seguem regras equivalentes da Resolução CNSP nº 491/2026.

Sociedades seguradorasEntidades abertas de previdência complementar (EAPC)Sociedades de capitalizaçãoResseguradores locaisAdministradoras de operações de proteção patrimonial mutualistaSociedades cooperativas de segurosFornecedores de processamento, armazenamento de dados e nuvem dessas empresas

As regras que importam

O que cada norma pede, em linguagem direta.

SUSEP

Circular SUSEP nº 638/2021

É a regra principal e continua em vigor. Exige política de segurança cibernética aprovada, controles para reduzir vulnerabilidades e responder a incidentes, previsão dos cenários cibernéticos no plano de continuidade e relatório anual sobre prevenção e tratamento de incidentes.

SUSEP

Resolução SUSEP nº 90/2026

Alterou a Circular 638 na parte de terceirização: os contratos de processamento e armazenamento de dados, com aditivos, devem estar acessíveis e ser apresentados à SUSEP quando solicitados, com os documentos para avaliar o serviço e seus riscos.

CNSP

Resolução CNSP nº 491/2026

Marco da proteção patrimonial mutualista, publicado em 6 de maio de 2026. A administradora deve ter política de segurança cibernética aprovada pelo conselho ou pela diretoria, controles mínimos (acesso, criptografia, backup, logs, redes, nuvem) e plano de resposta a incidentes. Não revogou a Circular 638.

CNSP

Resolução CNSP nº 492/2026

Publicada junto com a 491, regulamenta as cooperativas de seguros, que também estão no alcance do manual de segurança cibernética da SUSEP.

SUSEP

Manual de orientações de segurança cibernética (2026)

Documento orientativo divulgado em julho de 2026. Traz boas práticas observadas na supervisão sobre política, dados relevantes, resposta a incidentes, continuidade, terceirização, nuvem e relatório anual. Não cria obrigações novas, mas mostra o que a SUSEP espera ver.

Lei

LGPD e Agência Nacional de Proteção de Dados

Os dados de segurados e participantes estão protegidos pela LGPD. Incidente com risco ou dano relevante deve ser comunicado à ANPD e aos titulares em até 3 dias úteis (Resolução CD/ANPD nº 15/2024), além da comunicação à SUSEP.

Os três erros mais comuns

O que mais aparece nos diagnósticos do setor.

Política que não conversa com os controles internosA Circular 638 exige que a segurança cibernética esteja integrada ao sistema de controles internos e à gestão de riscos, e não apenas em um documento isolado de TI.
Fornecedor de nuvem sem cláusulas obrigatóriasContratos sem acesso garantido à SUSEP, sem segregação de dados ou sem regra de saída são achados frequentes de supervisão.
Contar só um prazo de comunicaçãoIncidente com dados pessoais pode exigir aviso à SUSEP em 5 dias úteis e à ANPD em 3 dias úteis. Esperar o maior prazo é um erro comum.

Números para não esquecer

5 dias úteispara comunicar à SUSEP um incidente relevante, a partir do conhecimento do evento
1 por anorelatório sobre prevenção e tratamento de incidentes, com testes de continuidade
24 mesespara as associações de proteção patrimonial se adequarem à Resolução CNSP 491, contados de 6/5/2026
3 dias úteispara comunicar à ANPD e aos titulares incidente com dados pessoais de risco relevante
5 anosde registro dos incidentes com dados pessoais, comunicados ou não

O que precisa existir na prática

Itens que a SUSEP pode pedir em uma supervisão, com base na Circular 638 e no manual de 2026.

Política de segurança cibernéticaAprovada pelos órgãos de administração, integrada ao sistema de controles internos e à gestão de riscos, com diretrizes para classificar dados, incidentes e serviços por relevância.
Dados e serviços relevantes mapeadosInventário dos dados pessoais, dados de clientes e processos críticos, e dos serviços de processamento e armazenamento classificados como relevantes.
Monitoramento e detecçãoMonitoramento contínuo da rede, avaliação da criticidade de cada incidente e registro conciliado com a base de perdas operacionais, se houver.
Resposta no plano de continuidadeCenários de ataque e de vazamento previstos no plano de continuidade de negócios, com contenção coordenada com fornecedores e parceiros.
Relatório anualIncidentes relevantes, estatísticas, resultados dos testes de continuidade e vulnerabilidades tratadas, levado à administração, aos comitês e ao diretor de controles internos.
Terceirização e nuvem sob controleCertificação independente ou due diligence do fornecedor, cláusulas obrigatórias, segregação dos dados, acesso garantido à SUSEP e estratégia de saída documentada.
Restabelecimento seguroRetorno à operação sem abrir novas brechas, com backups protegidos e testados.
Comunicação com clientesProcedimento para avisar segurados e participantes afetados, como pede a Circular 638.
Documentos guardadosVersões atuais e anteriores da política, dos relatórios anuais e dos contratos relevantes de terceirização, pelo prazo da regulamentação vigente.

Se acontecer um incidente

A Circular 638 fixa prazo próprio para a SUSEP, e a LGPD fixa prazo próprio para a ANPD. Os dois correm em paralelo.

  1. Acione o plano de respostaSiga o plano de continuidade e classifique a criticidade do incidente desde o início.
  2. Contenha e preserve evidênciasIsole o que foi afetado, avise fornecedores envolvidos e registre tudo com horários.
  3. Comunique a SUSEPIncidente relevante em até 5 dias úteis, com a extensão do dano, as ações em curso, os responsáveis e os prazos.
  4. Avalie os dados pessoaisSe houver risco ou dano relevante aos titulares, comunique a ANPD e os titulares em até 3 dias úteis.
  5. Registre e leve ao relatório anualDocumente causa, impacto e correções, e inclua o caso no relatório anual de incidentes.

Como a VORIK LABS atende, pilar por pilar

Cada exigência ligada a um pilar e a um serviço concreto.

VORIK REGULATÓRIODiagnóstico de aderência à Circular 638, à Resolução SUSEP 90 e, para administradoras, à Resolução CNSP 491, com plano de ação priorizado.
VORIK COMPLIANCEPolítica de segurança cibernética, plano de resposta, relatório anual e cláusulas para contratos de dados e nuvem, integrados aos controles internos.
VORIK INTELIGÊNCIAAcompanhamento das normas e orientações da SUSEP e do CNSP e due diligence de fornecedores de processamento e armazenamento.
VORIK CYBERPentest, varreduras de vulnerabilidades, exercícios de mesa com a diretoria e campanhas antiphishing contra golpes de falso corretor e falsa seguradora.

Conteúdo informativo, atualizado em 18 de outubro de 2026. Ele resume as normas em linguagem simples e não substitui a leitura do texto oficial nem uma análise do seu caso.

Fontes oficiais:

Quer saber quanto falta para a sua organização cumprir essas regras?

Solicitar diagnósticoAutoavaliações gratuitas