cliente pergunta se estamos segurados contra danos cibernéticos

O seguro cibernético em si não é uma medida NIS2

Um seguro cibernético não figura na lista do artigo 21.º, n.º 2 da diretiva NIS2. As dez medidas desse artigo tratam de análise de risco, tratamento de incidentes, continuidade de negócios, segurança da cadeia, política de acesso e similares — uma apólice de seguro não é uma medida de segurança, mas uma forma de cobrir danos financeiros residuais. Ainda assim, a pergunta surge frequentemente em questionários de clientes e das próprias seguradoras, porque uma apólice diz algo sobre como uma empresa lida com o risco de forma madura. Na ISO/IEC 27001 vê-se o mesmo: o Anexo A não contém uma medida de controlo "seguro", mas o tratamento do risco — do qual o seguro é uma forma reconhecida, juntamente com redução, prevenção e aceitação — faz parte do sistema de gestão.

Se deve estar segurado ou não depende, portanto, não das dez medidas em si, mas do que o seu cliente quer saber sobre elas na prática: tem cobertura financeira se algo correr mal, ou tem principalmente o essencial em ordem? Estas duas perguntas são feitas separadamente na maioria dos questionários. Reconheça o padrão: se a pergunta está num bloco sobre gestão de risco, frequentemente pergunta-se sobre a fundamentação de a política de análise de risco e segurança dos sistemas de informação. Se a pergunta está separada, como uma linha independente sobre resiliência financeira, uma resposta factual sobre a apólice é suficiente — se não a tem, "não" é a resposta correta, mesmo que isso pareça uma lacuna.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º, n.º 2 da diretiva NIS2 enumera as dez medidas obrigatórias de forma limitativa; um seguro não consta da lista, nem implicitamente sob continuidade — isso diz respeito a cópias de segurança e medidas de contingência para restaurar a prestação de serviços, não a compensação financeira posterior. No Anexo A da ISO/IEC 27001, o tratamento do risco é explicitamente parte do sistema de gestão, e o seguro é dentro disso uma opção de tratamento reconhecida, juntamente com medidas técnicas e organizacionais. A Lei de Cibersegurança, que transpõe a NIS2 nos Países Baixos e entra em vigor em 15 de agosto de 2026, reitera as dez medidas da diretiva sem acrescentar uma obrigação de seguro.