Por Isabela Chimelli Stacheski, trainee da área de Seguros do escritório Poletto & Possamai.
A tendência mundial de virtualização das atividades empresariais expõe cada vez mais as empresas a ataques cibernéticos e, consequentemente, agrava financeiramente os riscos a serem eventualmente cobertos pelas companhias seguradoras que comercializam a modalidade de seguro chamada de cyber insurance.
Desse modo, se por um lado há uma maior procura no mercado por seguros contra ataques cibernéticos (pelo aumento das ocorrências), de outro lado há instabilidade nas taxas de prêmios e dificuldade de acesso às apólices, devido à maior cautela das seguradoras e o receio destas com grandes perdas financeiras, selecionando com maior rigor quem e o que será coberto[1]. A variação do custo do cyber insurance pode ser atribuída, por exemplo, à frequência, à severidade e à imprevisibilidade dos ataques; a quem é o segurado (algumas organizações e empresas são de risco maior, como na área de saúde, acadêmica e pública); e ao aumento da ocorrência dos ataques, fatores esses que podem implicar redução das hipóteses de cobertura securitária ou aumento dos prêmios[2].
No Brasil, não diferentemente, a exigência de um ambiente virtual mais seguro – em especial sob a vigência da Lei Geral de Proteção de Dados (LGPD) – impulsionou os programas de segurança digital[3] e a procura pelo seguro cibernético, que, com o aumento dos ataques[4], sofreu o mesmo efeito da limitação de cobertura e do aumento no preço das apólices.
Assim, em um mercado já turbulento, o impacto de um cenário de guerra toma dimensões acentuadas, tensionando a dicotomia cobertura x exclusão.
A atual Guerra na Ucrânia elevou consideravelmente as preocupações ligadas à segurança cibernética. Dentre suas repercussões no mercado securitário brasileiro, uma das mais temidas é o uso de ciberataques, que representam uma dificuldade extra às companhias seguradoras de provar a ligação entre esse conflito e a invasão cibernética, no intento de alegar a perda do direito à indenização securitária[5].
A disrupção de cadeias logísticas, a alta inflação e, principalmente, o aumento do risco cibernético são incertezas trazidas a esse setor pelo conflito, que são agravadas quanto maior a duração deste; portanto, pela percepção de maior risco nesse cenário, aumentam-se também os preços desse tipo de seguro em um mercado já pressionado[6].
Globalmente falando, enquanto as empresas questionam internamente a adequabilidade da sua segurança digital, as companhias seguradoras veem-se em situação instável quanto às alegações cibernéticas em tempo de guerra. O caminho natural de alegação de exclusão de cobertura para terrorismo e guerra nas apólices de seguro hoje é mais instável, especialmente a partir do caso Merck v. Ace, que vira a chave do jogo.
Julgado pela Corte Superior de New Jersey em 06 de dezembro de 2021, Merck v. Ace trata de uma demanda da multinacional contra sua seguradora, que, diante da danificação da rede de computadores por um malware (‘Notpetya’), atribuído à Rússia como parte das hostilidades no conflito com a Ucrânia, negou a indenização securitária sob argumento de exclusão da apólice para acts of war. Após a judicialização do caso pelo Segurado, a Corte entendeu que a seguradora não podia alegar a exclusão de guerra porque a linguagem seria feita para aplicar-se a conflitos armados, não havendo qualquer alteração por parte da seguradora a colocar empresas como Merck a par da exclusão a ataques cibernéticos[7]. Assim, a linguagem deveria ser interpretada a favor da justa expectativa do segurado, concluindo que a exclusão de atos hostis ou bélicos não é aplicável à disputa em questão[8].
Pode-se entender que a posição fixada nesse julgamento levou as seguradoras à revisão dos termos de cobertura das apólices relacionados a perdas cibernéticas[9]. Tanto nesse sentido, o Lloyd’s Market Association recentemente publicou quatro cláusulas de exclusão para apólices de cyber insurance, elaboradas para serem escolhidas pelas seguradoras no caso concreto[10], deixando, em suma, de dar cobertura a riscos cibernéticos em caso de guerra apoiados por Estado. Os clausulados-modelos ampliam significativamente a proteção das seguradoras contra operações cibernéticas de governos, alinhados aos emergentes precedentes legais no tema[11], excluindo todas as perdas causadas por guerra, declarada ou não, operação cibernética realizada no curso de guerra ou de retaliação entre Estados ou de grande impacto funcionalmente prejudicial ao Estado[12].
Nesse cenário de constantes e crescentes riscos concomitantes à instabilidade de posicionamento da garantia, importa atenção aos movimentos internacionais do mercado de cyber insurance, tendente à expansão. Alinhadamente ao incentivo de adoção de boas técnicas de segurança informacional, parece ser esse o caminho à incrementação do modelo de gestão de riscos cibernéticos.
Diante do contexto acima apresentado, portanto, recomenda-se às empresas que desejam contratar apólices de cyber risks que contem com assessoria jurídica especializada, revisando as cláusulas do seguro no momento da contratação e assegurando que as coberturas estejam bem dimensionadas. O apoio jurídico especializado é ainda mais importante no momento da regulação de um eventual sinistro, tanto na interpretação dos riscos cobertos e excluídos da apólice como nas tratativas e negociações com a seguradora.
[1] Rising Cyberthreats Increase Cyber Insurance Premiums While Reducing Availability. GAO – U.S. Government Accountability Office, 19 jul. 2022. Disponível em: < Rising Cyberthreats Increase Cyber Insurance Premiums While Reducing Availability | U.S. GAO >.
[2] Ibid.
[3] SOUZA, Pedro Guilherme Gonçalves de. Riscos cibernéticos e o mercado de seguros brasileiro. Consultor Jurídico, 01 ago. 2022. Disponível em < https://www.conjur.com.br/2022-ago-01/pensando-lapis-riscos-ciberneticos-mercado-seguros-brasileiro >.
[4] “O Brasil sofreu mais de 88,5 bilhões de tentativas de ataques cibernéticos em 2021, um aumento de mais de 950% com relação a 2020 (com 8,5 bi)” (FortiGuard Labs. Relatório, 2021. Disponível em < https://www.fortinet.com/br/corporate/about-us/newsroom/press-releases/2022/fortiguard-labs-relatorio-ciberataques-brasil-2021 >).
[5] Os efeitos da guerra para o Setor de Seguros. Sindseg PR/MS, 31 mar. 2022. Disponível em: < https://sindsegprms.org.br/os-efeitos-da-guerra-para-o-setor-de-seguros/?doing_wp_cron=1666531720.5824890136718750000000 >.
[6] Os impactos da Guerra na Ucrânia no mercado de seguros. CNSeg, 08 abr. 2022. Disponível em: < Os impactos da Guerra na Ucrânia no mercado de seguros | CNseg – O Portal do Seguro >.
[7] VITTORIO, Andrea. Merck’s $1.4 Billion Insurance Win Splits Cyber From ‘Act of War’. Disponível em: < https://news.bloomberglaw.com/privacy-and-data-security/mercks-1-4-billion-insurance-win-splits-cyber-from-act-of-war >.
[8] Merck & Co, Inc. et al. v. Ace American Insurance Co. et al. Civil Action. Superior Court of New Jersey. 2021.
[9] BARSKY, Noah. Wartime Cyber Insurance Wobbled By New Fine Print. Do Boards Know? Forbes, 22 mar. 2022. Disponível em: < https://www.forbes.com/sites/noahbarsky/2022/03/22/wartime-cyber-insurance-wobbled-by-new-fine-print/?sh=3e1768a2177e >.
[10] Cyber War and Cyber Operation Exclusion Clauses. Lloyd’s Market Association Bulletin. Disponível em: < https://www.lmalloyds.com/LMA/News/LMA_bulletins/LMA_Bulletins/LMA21-042-PD.aspx >.
[11] BARSKY, Noah. Wartime Cyber Insurance Wobbled By New Fine Print. Do Boards Know? Forbes, 22 mar. 2022. Disponível em: < https://www.forbes.com/sites/noahbarsky/2022/03/22/wartime-cyber-insurance-wobbled-by-new-fine-print/?sh=3e1768a2177e >.
[12] War, Cyber War and Cyber Operation Exclusion No. 1; War, Cyber War and Cyber Operation Exclusion No. 2; War, Cyber War and Cyber Operation Exclusion No. 3; War, Cyber War and Cyber Operation Exclusion No. 4. LMA Cyber Business Panel. Disponíveis em: < https://www.lmalloyds.com/LMA/News/LMA_bulletins/LMA_Bulletins/LMA21-042-PD.aspx >.