A Circular SUSEP nº 638, de 27 de julho de 2021, obriga seguradoras, entidades abertas de previdência complementar, sociedades de capitalização e resseguradores locais a ter uma política de segurança cibernética, processos para detectar e responder a incidentes, um relatório anual sobre incidentes e regras próprias para terceirizar processamento e armazenamento de dados, inclusive em nuvem. Incidentes relevantes devem ser comunicados à Susep em até cinco dias úteis.
Os prazos de adequação já terminaram, o último em 1º de setembro de 2024, para contratos de terceirização anteriores à norma. A novidade é de agosto de 2026: a Resolução Susep nº 90 mudou a regra sobre os contratos com prestadores.
O que mudou com a Resolução Susep 90
Na redação original, o inciso III do art. 10 mandava informar à Susep, em até 30 dias após a assinatura, cada contrato de serviço relevante, com o prestador e os países onde os dados seriam tratados. A Resolução Susep nº 90, de 18 de agosto de 2026, em vigor desde a publicação no DOU de 20 de agosto, trocou isso por outra obrigação: os contratos, com alterações e aditivos, têm de estar acessíveis quando a Susep pedir, junto com os documentos necessários para avaliar o serviço, os riscos e a conformidade.
O trabalho sai do envio periódico e vai para a prontidão. A pergunta deixa de ser «já comunicamos esse contrato?» e passa a ser «conseguimos entregar hoje o contrato, os aditivos e a avaliação desse prestador?». O resto do regime de terceirização segue igual (art. 11): controles do prestador não inferiores aos da supervisionada, segregação dos dados, aviso de subcontratação, devolução e exclusão no fim do contrato, nenhum embaraço à atuação da Susep e uma estratégia de saída documentada. A responsabilidade continua sendo da seguradora.
Tudo depende do que a empresa chama de «relevante»
A palavra aparece em quase todos os artigos: dados relevantes, serviços relevantes, incidentes relevantes. E quem define os parâmetros é a própria supervisionada. Pelo art. 11, § 2º, a política pode até dispensar das exigências mais pesadas os serviços não classificados como relevantes, desde que defina os requisitos mínimos que eles cumprem.
Na nossa leitura, é o ponto mais delicado da norma. Com critérios frouxos, quase nada vira incidente comunicável e quase nenhum contrato entra no regime de terceirização relevante, e a supervisão da Susep pode discordar. Com critérios rígidos demais, a área de segurança passa o ano comunicando eventos sem importância. Vale escrever os critérios com exemplos concretos e levá-los à aprovação junto com a política, para que a decisão tenha dono.
Cinco dias úteis para a Susep, três para a ANPD
O prazo do art. 8º corre a partir do conhecimento do incidente, e a comunicação detalha a extensão do dano, as ações em curso, os responsáveis e os prazos. Se houver dados pessoais, há uma segunda contagem: a Resolução CD/ANPD nº 15/2024 dá três dias úteis para comunicar a ANPD e os titulares quando houver risco ou dano relevante. São avisos diferentes, e o mais curto vence primeiro. O regulamento da ANPD está em comunicação de incidente à ANPD, e o quadro dos prazos de cada setor no artigo sobre a Política Nacional de Cibersegurança.
O relatório anual do art. 9º pede incidentes relevantes com causas e respostas, estatísticas de todos os incidentes, testes de continuidade e principais vulnerabilidades. Ele fica bem mais fácil quando cada coisa é registrada no momento em que acontece, e não reconstruída no fim do exercício.
No GlobalSuite®, o módulo de Riscos de terceiros traz questionários, critérios de criticidade e fluxos de due diligence prontos, e mantém cada prestador com a sua avaliação e o seu risco: é o dossiê que a Resolução 90 pede pronto para entregar.
Fontes oficiais: Circular SUSEP nº 638, de 27 de julho de 2021, e Resolução Susep nº 90, de 18 de agosto de 2026 (DOU de 20 de agosto de 2026, Seção 1), na base normativa da Susep; Relatório final do GT Seguros e Segurança Cibernética da Susep (dezembro de 2024); ANPD, comunicação de incidente de segurança. Conteúdo revisado em outubro de 2026.
