Seguro de riscos cibernéticos em Portugal: o que cobre mesmo
· Atualizado a · Escrito e mantido por Joaquín Trapero, Nonimo
Um seguro de riscos cibernéticos cobre duas coisas separadas, e convém não as confundir: os prejuízos que a sua empresa sofre, como recuperar sistemas e dados ou deixar de faturar durante dias, e a responsabilidade perante terceiros cujos dados se perderam. A seguir vêm os serviços de resposta, que num gabinete pequeno costumam valer mais do que a indemnização. E depois vêm as exclusões, que é onde o contrato se decide de verdade.
Este guia parte de cinco condicionados portugueses, abertos e lidos a 16 de setembro de 2026, e do regime legal que obriga quem lhos vende a entregar-lhe um documento comparável antes de assinar, e não de páginas de produto.
A lista com que se comparam duas propostas está mais abaixo, para copiar, e não lhe pedimos o email em troca. O que responder quando é o cliente a perguntar ficou no guia do questionário de segurança, e aqui não se repete.
Quanto custa por ano, antes de mais
Não encontrei preço publicado em nenhuma das apólices portuguesas que abri: todas remetem para simulação ou para o mediador. A tabela diz isso sem rodeios e coloca ao lado uma ordem de grandeza, para não ficar sem resposta à pergunta que toda a gente faz primeiro.
| Empresa | O que está mesmo publicado | Estimativa nossa, por ano |
|---|---|---|
| Empresário em nome individual ou 1 a 4 pessoas | nada: o único valor ligado ao preço que encontrei é o desconto de 50 € da MAPFRE para quem passe no seu diagnóstico | 250 a 600 € |
| De 5 a 20 pessoas, com dados de clientes | nada: as páginas de produto remetem para simulação, mediador ou pedido de cotação | 600 a 1.800 € |
| De 21 a 50 pessoas | nada; o prémio depende da faturação, da atividade e das medidas que tiver | 1.800 a 5.000 € |
A coluna do meio está citada da fonte nela nomeada. A da direita é uma estimativa NOSSA, não de uma seguradora e não uma proposta.
De onde vem: junta o pouco que é público aos três patamares de prémio em que coincidem duas fontes europeias independentes, o estudo LUCY da Amrae sobre 20.996 apólices de 2025 (prémios médios de 645, 1.600 e 5.000 euros por dimensão) e os escalões de serviço da AIG na Irlanda (899 euros ou menos, de 900 a 4.999, 5.000 ou mais). O seu prémio sai do seu questionário, não desta tabela.
As cinco apólices que abri, e o que isso muda
Em Portugal, quem procura «seguro de riscos cibernéticos» encontra sobretudo páginas que vendem. Algumas ligam ao condicionado, como a do Cyber ON da MAPFRE, que publica três documentos no fim da página. Noutras não o encontrei, e é pena, porque o condicionado é onde está escrito o que acontece quando alguém participa um sinistro.
Estes são cinco condicionados portugueses de empresas, todos acessíveis em linha a 16 de setembro de 2026. São cinco que qualquer pessoa pode abrir, e não o mercado inteiro.
| Apólice | O que garante, pelo articulado | Onde está escrito |
|---|---|---|
| MAPFRE, Cyber ON | RC, danos aos sistemas, interrupção do negócio, extorsão, proteção de dados, assistência | CG 60020240600 |
| MAPFRE Santander, Proteção Empresas Cyber | As mesmas seis, com o mesmo articulado noutro nome | CG 60020240500 |
| Fidelidade, Cyber Safety | Intrusão de terceiros, recuperação de dados, resgate de ransomware, defesa jurídica | CG 196, março 2022 |
| Ageas, Cyber Risks Empresas | Prevenção e assistência, danos do segurado, RC, e perdas de exploração por prémio adicional | CG0632, maio 2022 |
| Generali, Cyber Risks | RC a terceiros, defesa e cauções, danos morais, sanções pecuniárias, extorsão, seis serviços | Mod. 732.081, outubro 2020 |
A segunda linha é a primeira lição de quem compara. As duas apólices da MAPFRE são vendidas por companhias diferentes, com nomes comerciais diferentes, e o texto é quase o mesmo. Parti os dois ficheiros em frases e pelo menos 78 % das frases de um aparecem, iguais, no outro.
Os requisitos mínimos, as exclusões que este guia cita e as seis condições especiais são os mesmos nos dois. Pedir duas propostas não garante ler dois contratos.
Duas notas antes de continuar. A Hiscox, que é a marca mais conhecida do ramo, não está aqui porque não publica condicionado português: a sua página do CyberClear 360º dirige-se a corretores e lista coberturas, entre elas «fraude e crime financeiro», mas o articulado só chega pelo corretor.
E o condicionado da Generali que circula publicamente é de outubro de 2020: a página de produto da Generali Tranquilidade anuncia hoje uma garantia de criminalidade eletrónica que esse articulado de 2020 não lista entre as garantias do artigo 2.º.
Não peça a brochura, peça o modelo
Não se trata de acusar ninguém, e é essa a razão de ser deste guia: a página vende o produto, o articulado define o contrato, e o que vale é o articulado que lhe entregam a si, com o seu número de modelo e a sua data. Peça sempre esse, e não o que encontrou na Internet.
Foi por esta mesma razão que o guia sobre o questionário de segurança do cliente trabalhou sobre um impresso de proposta concreto, com modelo e data, em vez de sobre uma descrição.
O que cobre um seguro cibernético: danos próprios, danos a terceiros e serviços
A divisão que organiza tudo o resto tem duas metades. De um lado, os danos próprios: recuperar dados a partir da última cópia de segurança, descontaminar código malicioso, recuperar o sistema de controlo de acessos, pagar honorários de peritos e compensar os dias parados. Do outro, a responsabilidade civil: aquilo que a empresa tem de pagar a terceiros quando os dados deles saíram pela sua porta.
A segunda metade é a que costuma surpreender um gabinete. Se um cliente sofre um prejuízo porque a contabilidade dele acabou na mão de outra pessoa, quem responde perante ele é o gabinete, e é essa responsabilidade que a apólice transfere. O caminho por onde esses dados costumam sair sem ninguém dar por isso está no guia sobre dados de clientes no ChatGPT.
A extensão geográfica também não é a mesma nas duas metades. Na MAPFRE, a responsabilidade civil cobre a União Europeia e os danos próprios só Portugal, o que importa a quem tenha um servidor, um posto de trabalho ou uma sucursal fora do país.
Os serviços, que numa empresa pequena valem mais do que a indemnização
A Generali garante despesas de notificação, assistência em matéria de privacidade, recuperação de reputação, informática forense, restauro de dados e desinfeção de vírus. A MAPFRE acrescenta serviços de instalação de antirransomware até oito dispositivos por anuidade, análise de vulnerabilidades da rede até duas por anuidade e instalação de antivírus até dez.
Num escritório de três pessoas, isto é a diferença entre saber a quem ligar às nove da noite e passar dois dias a procurar. Quem já tem informático de confiança valoriza menos esta parte, mas convém saber que existe antes de comparar apenas o capital seguro.
Vale a pena olhar bem para estes números. As notificações à CNPD subiram de 332 em 2024 para 472 em 2025, e a causa declarada mais frequente foi a falha humana, e não um ataque sofisticado, com 128 casos, mais 28 % do que no ano anterior. Quando essa falha humana é um texto colado num assistente de IA, a pergunta seguinte é se e quando se notifica a CNPD.
O phishing, que vem logo a seguir com 72, cresceu ainda mais depressa, 41 %. A própria Comissão avisa que esta informação vem das declarações de quem notifica e pode ficar aquém da realidade.
Os requisitos mínimos, que é a parte que decide se está segurado
É aqui que um sinistro se pode perder antes de começar. As apólices cibernéticas portuguesas não garantem a empresa tal como ela está: garantem uma empresa que mantém determinadas medidas, e escrevem isso a preto e branco.
A MAPFRE põe os requisitos no artigo 2.º das Condições Gerais, ou seja, no próprio objeto do contrato, e fecha o parágrafo assim: «As coberturas da apólice não serão válidas se não se cumprirem estes requisitos mínimos para toda a atividade segura e sistemas seguros.» A Generali põe a mesma ideia do outro lado, como exclusões, nas alíneas cc) a gg) do artigo 3.º.
Prometer estas medidas por escrito e não as ter é a pior combinação possível, e é também por isso que a política de utilização de IA se escreve antes de se assinar seja o que for.
| O que é exigido | MAPFRE | Generali |
|---|---|---|
| Antivírus | ativo de forma ininterrupta em todos os equipamentos, móveis incluídos | presente e atualizado no mínimo trimestralmente |
| Atualizações de segurança | aplicadas e documentadas em 30 dias | não especificado |
| Cópias de segurança | não especificado | no mínimo semanais, com processo de recuperação |
| Controlo de acessos | palavras-passe complexas e firewall | obrigatório para quem acede a informação sensível |
| Encriptação | não especificado | de toda a informação sensível, em base de dados, servidores, portáteis e em trânsito |
As duas colunas saem dos artigos 2.º (MAPFRE) e 3.º n.º 1, alíneas cc) a gg) (Generali) dos condicionados ligados acima. «Não especificado» quer dizer que esse condicionado não impõe o requisito, não que o dispense noutro documento.
A verificação em dois passos não aparece em lado nenhum
Procurei, nos cinco condicionados, multifator, dois fatores, duplo fator, 2FA, MFA e autenticação forte. Nenhum termo aparece em nenhum dos cinco. A palavra «autenticação» só surge duas vezes, as duas na Generali: uma a descrever a recuperação de acessos depois de um sinistro, outra numa lista de princípios de boas práticas. Nenhuma das duas exige nada ao segurado.
Vale a pena saber isto antes de uma reunião, porque quem acompanha o mercado de fora costuma dar a verificação em dois passos como adquirida. Nestes cinco articulados, o que lhe exigem é antivírus, atualizações, cópias, controlo de acessos e encriptação. Se o seu corretor lhe disser que a seguradora exige dois passos, peça-lhe para lhe mostrar onde está escrito: pode estar nas Condições Particulares, e essas são suas.
As exclusões que apanham um gabinete português
Uma exclusão marca a fronteira do preço, e não é uma armadilha escondida nas letras pequenas. O problema é que quatro destas fronteiras passam exatamente por onde trabalha um gabinete de contabilidade ou um advogado sozinho.
| A exclusão | Onde está | Porque é que lhe toca |
|---|---|---|
| Sigilo profissional | Ageas, cláusula 4.ª p) | Exclui «as violações do dever de sigilo profissional», sem mais |
| Sigilo profissional, com porta aberta | Fidelidade, cláusula 9.ª n) | Exclui a violação «que não seja resultado direto de uma falha de segurança garantida pela apólice» |
| Equipamento de uso pessoal | Fidelidade 9.ª p) e Ageas 4.ª q) | Deixa de fora os sistemas, dispositivos e informações de uso pessoal do segurado e dos colaboradores |
| Erro profissional | MAPFRE, exclusão 21 | Exclui a «assessoria negligente do segurado ou serviços profissionais prestados negligentemente» |
| Dados fora da sua custódia | Fidelidade 9.ª j) e Ageas 4.ª l) | Exclui dados alojados em serviços de terceiros. Só a Fidelidade ressalva as cópias contratadas |
O sigilo profissional, que é o ativo da profissão
Repare na diferença entre as duas primeiras linhas, porque não é subtil. A Ageas exclui a violação do dever de sigilo profissional em três palavras. A Fidelidade exclui a violação que não seja consequência direta de uma falha de segurança coberta, o que significa que, se o sigilo se rompeu por causa de uma intrusão garantida, a exclusão não se aplica.
Para quem vive do sigilo, esta linha vale mais do que dez mil euros de capital adicional. É a exposição da profissão inteira a decidir-se numa alínea, e não costuma aparecer em nenhuma página de produto. Para o advogado, cujo segredo é pessoal e não da sociedade, isso pede que a proteção venha antes do sinistro: o NIF e o NISS do cliente ocultados no seu computador, antes de colar.
O telemóvel pessoal, onde de facto acontece
A segunda linha é a que mais vezes se cruza com o dia a dia. Alguém acaba um balancete em casa, no portátil que também é da família, ou abre uma aplicação de IA no telemóvel pessoal para reescrever um texto. Se o incidente nasce aí, duas das cinco apólices dizem expressamente que não é com elas.
O guia sobre o questionário de segurança do cliente já tinha apanhado esta fronteira pelo outro lado: o impresso de proposta pergunta quantos equipamentos tem a empresa, e o telemóvel pessoal onde alguém abre o ChatGPT costuma ficar de fora dessa conta. É a mesma fronteira, vista do lado da pergunta e do lado da exclusão.
O erro profissional continua a ser de outro contrato
A terceira é a mais fácil de perceber e a mais fácil de esquecer. Se o prejuízo do cliente vem de um erro no trabalho, isso é responsabilidade civil profissional e não risco cibernético, por muito que o erro tenha passado por um computador. Quem contrata um seguro de riscos cibernéticos a pensar que fica com tudo coberto está a comprar o produto errado para metade do seu risco.
O dinheiro que lhe levam por burla quase nunca está coberto
Esta merece secção própria porque é o caso que mais vezes se julga coberto sem o estar. Um fornecedor escreve a dizer que mudou de IBAN, alguém faz a transferência, e o dinheiro desaparece. A pergunta é simples: o seguro cibernético paga?
Nos articulados que abri, em regra não. As Condições Especiais da MAPFRE dizem, antes de começarem, que «não estão cobertos os danos financeiros resultantes de fraude informática ou o reembolso do dinheiro burlado», e a lista de exclusões gerais fecha com «quantias perdidas, desviadas, furtadas ou roubadas por meio de phishing». A Ageas exclui, na alínea bb), qualquer perda decorrente de transferência fraudulenta de fundos, e na alínea u) os pagamentos feitos em caso de sequestro ou extorsão dos dispositivos.
O que fazer com esta informação
Há produtos que cobrem esta parte, e há que a pedir pelo nome. A Generali Tranquilidade anuncia uma garantia de criminalidade eletrónica com compensação por instruções fraudulentas de transferência de fundos, e a Hiscox lista «fraude e crime financeiro» entre as coberturas do CyberClear 360º. A pergunta a fazer é sempre a mesma: está no articulado ou está na página? Se não conseguir apontar o artigo, assuma que não está. Os restantes temas estão nos guias sobre IA e dados de clientes.
Os limites e os sublimites: o número grande não é o que lhe pagam
O Cyber ON da MAPFRE é o único dos cinco que publica os seus limites na página do produto, e por isso serve bem de exemplo. O número que salta à vista é 100 000 €. O número que decide um sinistro de interrupção de negócio é outro.
A última barra não é um número publicado: é a soma máxima do sublimite diário, sete dias a 600 €, ou seja 4 200 €. E os 50 000 € por sinistro são um limite conjunto para responsabilidade civil e danos próprios, independentemente de quantas coberturas ou quantos lesados o sinistro envolva. Os gastos de defesa, as fianças e o conflito de interesses têm o seu próprio teto de 6 000 €, que é o que sobra para advogados.
E a franquia deste produto é um valor fixo: só são indemnizáveis ocorrências de valor superior a 250 €, com doze horas de carência antes de a interrupção de negócio começar a contar.
Quanto custa isto, e porque é que ninguém lho diz
Não encontrei preço publicado em lado nenhum. As páginas de produto que abri remetem para simulação, para o mediador ou para pedido de cotação, e o único valor ligado ao preço que encontrei numa página portuguesa é o desconto de 50 € que a MAPFRE oferece, a partir da primeira anuidade, a quem passe no diagnóstico de medidas preventivas que a companhia faz por telefone.
A razão é a de sempre num seguro de empresas: o prémio depende da faturação, da atividade, do número de equipamentos e das medidas que tem. Os valores que circulam em blogues de corretagem aparecem sem fonte e sem data, e não servem para orçamentar. O que serve é pedir duas propostas com os mesmos capitais e comparar o que cada uma exclui.
Faça a conta ao seu caso antes de olhar para o limite grande: quatro dias parados, em plena época de encerramento de contas, valem 2 400 € nesta apólice. Isso não a torna um mau produto, apenas um produto que tem de ser lido antes de assinar, e o mesmo exercício com os limites por cobertura de outro impresso português está no guia do questionário.
O que estas apólices dizem sobre inteligência artificial
Nada. E este é o número mais interessante que este guia tem para dar.
Como contei isto, e o que o zero não quer dizer
Extraí o texto dos cinco documentos e procurei, sem acentos e em minúsculas, sete famílias de termos: «inteligência artificial», a sigla isolada, «artificial» sozinha, «algoritmo», «aprendizagem automática» e «machine learning», «deepfake» e o conjunto «ChatGPT, LLM, chatbot, assistente virtual». As únicas ocorrências dessa raiz são a «aceleração artificial de partículas» da exclusão nuclear e o «artifício» com que a MAPFRE define a fraude informática.
Antes de acreditar nesse zero, pus à prova a própria pesquisa. Inseri a frase «inteligência artificial generativa (IA)» em cada um dos cinco textos e voltei a correr a mesma procura, que a apanhou nos cinco. Um zero que não se testa desta maneira é só um programa que não está a olhar.
| Família de termos | MAPFRE | MAPFRE Santander | Fidelidade | Ageas | Generali |
|---|---|---|---|---|---|
| «inteligência artificial» | 0 | 0 | 0 | 0 | 0 |
| a sigla IA, isolada | 0 | 0 | 0 | 0 | 0 |
| «artificial» sozinha, em sentido de IA | 0 | 0 | 0 | 0 | 0 |
| «algoritmo» | 0 | 0 | 0 | 0 | 0 |
| «aprendizagem automática», «machine learning» | 0 | 0 | 0 | 0 | 0 |
| «deepfake» | 0 | 0 | 0 | 0 | 0 |
| «ChatGPT», «LLM», «chatbot», «assistente virtual» | 0 | 0 | 0 | 0 | 0 |
| Controlo: a frase «inteligência artificial generativa (IA)» inserida no texto | encontrada | encontrada | encontrada | encontrada | encontrada |
O que o zero não quer dizer é que nenhuma seguradora portuguesa trate do assunto. Quer dizer que estes cinco articulados, que são os que estão acessíveis e os que uma empresa pequena tem probabilidade de receber, não lhe dão resposta escrita. Três deles são de 2020, 2022 e 2022, o que explica bastante. Resposta escrita há, mas do lado do fornecedor: a da Anthropic diz quanto tempo guarda, em cinco prazos.
Enquanto isso não mudar, o que protege o gabinete é o que ele fizer antes de colar, e isso está no guia sobre dados de clientes no ChatGPT.
O desencontro, que é o que devia preocupar
Agora ponha esse zero ao lado do que os empresários portugueses pensam. No Cyber Readiness Report de 2025 da Hiscox, feito pela Wakefield Research entre 29 de julho e 8 de agosto de 2025 com 5 750 respostas, das quais 250 em Portugal, Portugal aparece com 86 % de responsáveis que veem a IA mais como um ativo de segurança do que como uma vulnerabilidade, muito acima dos 58 % dos Estados Unidos e dos 59 % do Reino Unido.
O mesmo relatório mostra que a cobertura cibernética está longe de ser universal nas empresas mais pequenas: 71 % do total tem apólice ou cobertura dentro de outra apólice, mas nas empresas de dez ou menos trabalhadores a percentagem cai para 65 %, contra 82 % nas de 50 a 249. É a franja de empresas a que o Cyber ON da MAPFRE diz dirigir-se: micro e pequenas empresas e empresários em nome individual com sede em Portugal.
Quem lhe pode vender isto, e como confirmar em dois minutos
A atividade de distribuição de seguros em Portugal não é livre. O artigo 8.º, n.º 1, da Lei n.º 7/2019 reserva-a a pessoas registadas junto da ASF, a mediadores registados noutros Estados da União Europeia que tenham cumprido as formalidades, e às próprias seguradoras autorizadas a operar cá.
Para o confirmar não precisa de acreditar em ninguém. O artigo 31.º, n.º 1, alínea b), obriga o mediador a informá-lo, antes do contrato, do «número e da data da inscrição no registo e dos meios para verificar se foi efetivamente registado». E o artigo 59.º manda a ASF pôr a informação do registo ao alcance de qualquer interessado, designadamente por consulta pública através da Internet.
A pergunta sobre a comissão que pode mesmo fazer
Há uma alínea que quase ninguém usa e que muda o tom de uma reunião. A alínea j) do mesmo artigo 31.º dá-lhe o direito de pedir o montante da remuneração que o mediador recebe pela distribuição, e a alínea d) do artigo 37.º obriga a própria seguradora a prestar-lhe essa informação, a pedido, sobre o montante concreto.
Serve para perceber o incentivo quando duas propostas parecidas chegam com entusiasmos diferentes, e não para desconfiar de ninguém.
O mesmo regime, no artigo 30.º, impõe ao mediador atuar em conformidade com os melhores interesses do cliente e informá-lo sobre o contrato mais conveniente à transferência do risco, de modo a permitir uma decisão informada. Quem aconselha é ele. Esta página só lhe dá as perguntas; o que responder quando lhe perguntam a si está nos guias sobre IA e dados de clientes.
O documento que a lei obriga a entregar-lhe antes de assinar
Aqui está a ferramenta de comparação que já existe e é gratuita. O artigo 33.º da Lei n.º 7/2019 obriga o mediador de seguros a entregar ao cliente, antes da celebração e nos ramos Não Vida, um «documento normalizado de informação sobre o produto de seguro», elaborado pelo produtor do produto segundo o formato do Regulamento de Execução (UE) 2017/1469.
Não é um folheto. A lei manda que seja sucinto, autónomo, preciso e não enganoso, que seja legível a preto e branco, que esteja em português ou noutra língua acordada entre as partes, e que diga na primeira página que a informação completa está noutros documentos. E fixa o que tem de conter.
| O que o documento traz | Para que serve ao comparar |
|---|---|
| Síntese das coberturas, capital e âmbito geográfico | Ver se os danos próprios cobrem só Portugal |
| Síntese dos riscos excluídos | Encontrar o sigilo, o uso pessoal e o phishing |
| Principais exclusões sem direito a participação | Saber o que nem vale a pena tentar |
| Obrigações no início do contrato | Ler os requisitos mínimos antes de os prometer |
| Obrigações durante a vigência e em caso de sinistro | Ver os prazos, como os 8 dias da MAPFRE |
| Duração e formas de cessação | Saber quando pode sair sem pagar mais um ano |
Artigo 33.º, n.os 3 e 4, da Lei n.º 7/2019. A coluna da direita é leitura nossa, não do texto legal.
O documento do Cyber ON tem três páginas e traz tudo isto, exclusões incluídas. Se pedir o mesmo documento a duas seguradoras, tem duas propostas no mesmo formato, e é isso que torna a comparação possível sem ser jurista. É o mesmo princípio que o guia do questionário de segurança aplica do outro lado do balcão: pedir o papel antes de discutir o assunto.
A lista para levar à reunião
Estas doze perguntas cobrem o que, como se viu acima, decide os sinistros. Copie, leve impressas e peça para apontarem o artigo ao lado de cada resposta. Uma resposta sem artigo é uma opinião.
Empresa [nome] · proposta de [seguradora] · data [ ]
Os documentos que tem de pedir
- Documento normalizado Pedi o documento de informação sobre o produto de seguros, das duas propostas? Artigo 33.º da Lei n.º 7/2019, que obriga o mediador a entregá-lo antes da celebração do contrato.
- Modelo e data do articulado Qual é o número de modelo e a data das Condições Gerais que me estão a propor? A versão que circula na Internet pode ser outra.
O que tem de manter para a cobertura valer
- Requisitos mínimos Que medidas tenho de manter para a cobertura valer, e em que artigo estão? Antivírus, atualizações, cópias, acessos, encriptação. Prazos exatos de cada uma.
- Sigilo profissional A violação do dever de sigilo está excluída em termos absolutos, ou só quando não resulta de uma falha de segurança coberta?
- Equipamento pessoal Os portáteis e telemóveis pessoais de quem cá trabalha estão dentro ou fora? Se estão fora, o que é que isso deixa a descoberto no meu caso concreto.
O dinheiro, os limites e a franquia
- Dinheiro levado por burla Uma transferência feita a partir de uma instrução falsa está coberta? Em que artigo, e com que sublimite.
- Erro profissional O que é que esta apólice NÃO cobre por ser trabalho meu mal feito, e que contrato cobre essa parte.
- Limites e sublimites Limite por sinistro, limite por anuidade, e o sublimite de cada cobertura. Perguntar em especial o de interrupção de negócio, em euros por dia e em número máximo de dias.
- Franquia e carência A partir de que valor indemnizam, e quantas horas de paragem têm de passar antes de a interrupção começar a contar.
Prazos, inteligência artificial e quem lhe vende
- Prazos que são meus Quantos dias tenho para participar um sinistro, e a quem. E se sou obrigado a usar os peritos da seguradora.
- Inteligência artificial O articulado diz alguma coisa sobre o uso de ferramentas de IA? Se não diz, peço por escrito que o uso normal de IA autorizada não agrava o risco nem altera a cobertura.
- Quem me está a vender Número e data de registo na ASF, e como o verifico. Artigo 31.º, n.º 1, alínea b). E, se quiser, o montante da comissão, pela alínea j) do mesmo artigo.
Respostas recolhidas por [nome] · [data] · guardar junto da apólice
A pergunta 11 é a que ninguém faz e a que mais provavelmente vai mudar nos próximos anos. Faça-a agora, enquanto o silêncio ainda joga a seu favor, e guarde a resposta por escrito com o resto da documentação da apólice, ao lado da política de utilização de IA do gabinete.
O que muda quando o gabinete usa IA, e o que não muda
Convém separar o que uma ferramenta resolve do que não resolve, porque é aqui que se dizem as maiores asneiras dos dois lados. O tema de fundo, o que se tira de um documento antes de o colar numa IA, está no guia sobre dados de clientes no ChatGPT, e a regra interna que obriga o resto da equipa está na política de utilização de IA.
| O que muda | O que não muda |
|---|---|
| Uma política escrita e assinada é um documento que pode anexar às respostas que dá ao segurador e ao cliente | Nenhuma ferramenta faz cumprir os requisitos mínimos por si |
| Ocultar dados antes de colar reduz o que pode sair | Ocultar não é bloquear: um programa que oculta quando lho pedem não impede ninguém de colar |
| Com o motor a correr no computador, o texto original não sai de lá para ser limpo | A exclusão do equipamento pessoal continua lá |
O Nonimo é uma aplicação de Mac e de Windows que oculta dados quando a pessoa a aciona, com o motor a correr no próprio computador. Não é um sistema de prevenção de perda de dados, não bloqueia envios, e não é condição para se segurar contra o que quer que seja. Dizer o contrário seria vender-lhe uma cobertura que o articulado não lhe dá.
O que esta página não resolve
Não escolhe a apólice. A decisão depende do que o seu gabinete faz, de quantos clientes tem e de que dados guarda, e quem está habilitado a aconselhá-lo é um mediador registado na ASF, não uma página na Internet.
Não substitui o articulado que lhe entregam. As cinco apólices deste guia foram lidas na versão pública que estava acessível a 16 de setembro de 2026, e as Condições Particulares, que são as que fazem o seu contrato, podem derrogar o que aqui se leu.
Não trata do que responder quando lhe perguntam. As perguntas do impresso de proposta e do questionário do cliente, e as consequências de responder mal, ficaram no guia do questionário de segurança e não se repetem aqui. O resto do tema está nos guias sobre IA e dados de clientes.
O Nonimo é o software que faz isto no seu próprio computador: oculta nomes de clientes e números de identificação antes de o texto chegar ao ChatGPT. Sem conta, e os dados dos seus clientes não saem do seu equipamento.
Fontes
Cada fonte vai com o dado concreto que sustenta, e todas as ligações foram abertas a 16 de setembro de 2026.
- MAPFRE Seguros Gerais, «Cyber ON», documento de informação sobre o produto de seguros, referência 01062024, três páginas. Os limites de 50 000 € por sinistro e 100 000 € por anuidade como limite conjunto de responsabilidade civil e danos próprios; o sublimite de 6 000 € de gastos de defesa e o de interrupção de negócio de 600 € por dia até sete dias; a franquia de 250 € e as doze horas de carência; a síntese de exclusões, incluindo as quantias roubadas por meio de phishing e a assessoria negligente; os três requisitos mínimos; o âmbito, União Europeia na responsabilidade civil e Portugal nos danos próprios; e o prazo de oito dias para participar. PDF · página do produto
- MAPFRE Seguros Gerais, «Seguro de Cyber», Condições Gerais 60020240600, 41 páginas. O artigo 2.º, com os três requisitos mínimos cumulativos e a frase «As coberturas da apólice não serão válidas se não se cumprirem estes requisitos mínimos para toda a atividade segura e sistemas seguros»; as exclusões 21, 25 e 26; e a frase que abre as Condições Especiais, «não estão cobertos os danos financeiros resultantes de fraude informática ou o reembolso do dinheiro burlado». PDF
- MAPFRE Santander Portugal, «Proteção Empresas Cyber», Condições Gerais 60020240500, 44 páginas. Serve aqui para uma coisa só: mostrar que duas companhias diferentes podem vender o mesmo articulado. Parti os dois ficheiros da MAPFRE em frases e pelo menos 78 % das frases de um aparecem, iguais, no outro, com os mesmos requisitos mínimos, as mesmas exclusões citadas neste guia e as mesmas seis condições especiais. O mesmo exercício contra o condicionado da Fidelidade devolve 0,2 %, que é o controlo negativo desta medida. PDF
- Fidelidade, «Cyber Safety», Condições Gerais 196, março de 2022, referência RC009, onze páginas. A cláusula 2.ª, n.º 2, que limita a garantia aos sistemas e dados de fins profissionais; a cláusula 4.ª, que subordina a recuperação por ransomware e o reembolso do resgate à instalação prévia da aplicação antissequestro; e a cláusula 9.ª, com a exclusão n) do sigilo profissional que não resulte de falha de segurança garantida, a exclusão p) dos sistemas e informações de uso pessoal e a exclusão j) dos dados fora da custódia do segurado. PDF
- Ageas Portugal, «Responsabilidade Civil, Cyber Risks», Condições Gerais e Especiais CG0632, maio de 2022, distribuído através do Millennium bcp. A cláusula 3.ª, com as quatro coberturas e as perdas de exploração sujeitas a prémio adicional; e a cláusula 4.ª, com as exclusões p) das violações do dever de sigilo profissional, q) dos equipamentos de uso pessoal do segurado e dos colaboradores, u) dos pagamentos por sequestro ou extorsão, bb) da transferência fraudulenta de fundos e v), que exclui as coimas mas cobre os custos de gestão e defesa perante a CNPD. PDF
- Generali Seguros, «Cyber Risks», Condições Gerais, modelo 732.081, outubro de 2020, 27 páginas. O artigo 2.º, com a responsabilidade civil por dados de terceiros, a defesa jurídica, os danos morais, as sanções pecuniárias, a extorsão cibernética e os seis serviços; e o artigo 3.º, n.º 1, alíneas cc) a gg), que exclui os danos ocorridos sem antivírus atualizado no mínimo trimestralmente, sem controlo de acessos, sem cópias de segurança no mínimo semanais e sem encriptação da informação sensível, e o n.º 2, que deixa o outsourcing fora salvo convenção expressa. PDF · página do produto
- Hiscox, CyberClear 360º, página de produto portuguesa. A lista de coberturas que a marca anuncia em Portugal, incluindo «fraude e crime financeiro», e o facto de a página se dirigir a corretores e não ao cliente final. Página
- Lei n.º 7/2019, de 16 de janeiro, que aprova o regime jurídico da distribuição de seguros e de resseguros. O artigo 8.º, n.º 1, sobre quem pode distribuir seguros em território português; o artigo 30.º, n.º 1, alíneas a) e c), sobre os deveres do mediador para com o cliente; o artigo 31.º, n.º 1, alíneas b) e j); o artigo 33.º, com as seis características e as nove informações do documento normalizado e a remissão para o Regulamento de Execução (UE) 2017/1469; o artigo 37.º, alínea d); e o artigo 59.º, sobre a consulta pública do registo. A página do Diário da República monta-se em JavaScript e o articulado foi lido em navegador. Diário da República
- CNPD, Relatório de Atividades 2025. As 472 violações de dados pessoais notificadas em 2025, contra 332 em 2024; a falha humana como causa declarada mais frequente, com 128 casos e um aumento de 28 %; o phishing com 72; e a ressalva da própria Comissão de que esta informação vem das declarações dos responsáveis pelos tratamentos e pode ficar aquém da realidade. PDF
- Hiscox, Cyber Readiness Report 2025, dezasseis páginas. A metodologia, com trabalho de campo da Wakefield Research entre 29 de julho e 8 de agosto de 2025 sobre 5 750 respostas, das quais 250 em Portugal, em empresas de um a 249 trabalhadores; os 86 % de responsáveis portugueses que veem a IA mais como ativo de segurança do que como vulnerabilidade, contra 58 % nos Estados Unidos e 59 % no Reino Unido; e os 71 % de empresas com cobertura cibernética, que descem a 65 % nas de dez ou menos trabalhadores e sobem a 82 % nas de 50 a 249. PDF
- ASF, Autoridade de Supervisão de Seguros e Fundos de Pensões, pesquisa de entidades autorizadas. A consulta pública do registo de mediadores de seguros, de resseguros e de mediadores a título acessório, que é o meio previsto no artigo 59.º da Lei n.º 7/2019. Pesquisa
Perguntas frequentes
O que cobre, afinal, um seguro de riscos cibernéticos?
Duas coisas separadas: os prejuízos da própria empresa, como recuperar sistemas e dados ou parar de faturar, e a responsabilidade perante terceiros cujos dados se perderam. Além disso, serviços de resposta ao incidente, que numa empresa pequena costumam valer mais do que a indemnização.
O seguro cibernético cobre o dinheiro que me tiram por burla?
Em regra não, e convém confirmá-lo. As Condições Especiais do Cyber ON da MAPFRE dizem que não estão cobertos «os danos financeiros resultantes de fraude informática ou o reembolso do dinheiro burlado», e a Ageas exclui a transferência fraudulenta de fundos na alínea bb) da cláusula 4.ª.
E se a fuga de dados vier de um erro de um colaborador?
Depende do que estava a usar. A Fidelidade exclui os sistemas e informações de uso pessoal do segurado e dos seus colaboradores, e a Ageas exclui o mesmo na alínea q). Um texto colado a partir do telemóvel pessoal cai nessa fronteira.
O que são os requisitos mínimos de uma apólice cibernética?
Medidas de segurança que tem de manter para a cobertura valer. A MAPFRE exige antivírus ininterrupto em todos os equipamentos, atualizações aplicadas e documentadas em 30 dias e palavras-passe complexas com firewall, e diz que sem isso as coberturas não são válidas.
Quanto custa um seguro de riscos cibernéticos em Portugal?
Não encontrei preço publicado. As páginas que abri remetem para simulação, para o mediador ou para cotação, e o único valor ligado ao preço é o desconto de 50 € da MAPFRE para quem passe no seu diagnóstico. O prémio depende da faturação, da atividade e das medidas que tiver.
A minha apólice diz alguma coisa sobre inteligência artificial?
Nos cinco condicionados portugueses que abri a 16 de setembro de 2026, não. Procurei sete famílias de termos ligados a IA e o resultado foi zero em todos, depois de confirmar que a pesquisa encontrava os termos quando lá estavam. Três desses documentos são de 2020, 2022 e 2022.
Como confirmo que quem me vende o seguro está registado?
O artigo 31.º da Lei n.º 7/2019 obriga o mediador a dar-lhe o número e a data do registo e os meios para o verificar, e o artigo 59.º obriga a ASF a manter consulta pública na Internet. A pesquisa de mediadores está no sítio da ASF.
Que documento devo pedir antes de assinar?
O documento normalizado de informação sobre o produto de seguros. O artigo 33.º da Lei n.º 7/2019 obriga o mediador a entregá-lo antes da celebração nos ramos Não Vida. Traz a síntese das coberturas, as principais exclusões e as suas obrigações no início, durante e em caso de sinistro.
Posso saber quanto ganha o meu mediador com a apólice?
Pode. O artigo 31.º, n.º 1, alínea j), dá-lhe o direito de pedir o montante da remuneração que o mediador recebe pela distribuição, e o artigo 37.º, alínea d), obriga a seguradora a informar desse montante concreto a pedido do cliente.
Um seguro cibernético substitui o seguro de responsabilidade civil profissional?
Não. A MAPFRE exclui expressamente a «assessoria negligente do segurado ou serviços profissionais prestados negligentemente», e a Fidelidade exclui a responsabilidade civil profissional não garantida pelas coberturas contratadas. São contratos diferentes para riscos diferentes.