Circular SUSEP 638: segurança cibernética

A Circular SUSEP nº 638/2021 é a norma de segurança cibernética do mercado supervisionado pela SUSEP. Ela pede uma política, controles para prevenir e tratar incidentes, aviso à SUSEP em cinco dias úteis quando um incidente relevante acontece e regras para contratar processamento e armazenamento de dados, inclusive em nuvem. Em agosto de 2026, uma resolução mudou a parte de terceirização. Veja o texto vigente, o que mudou e um checklist.

O que é a Circular SUSEP 638 e a quem se aplica

A Circular SUSEP nº 638, de 27 de julho de 2021, publicada no Diário Oficial da União em 3 de agosto de 2021, dispõe sobre requisitos de segurança cibernética para quatro tipos de entidade, que a norma chama de supervisionadas: sociedades seguradoras, EAPCs, sociedades de capitalização e resseguradores locais. Corretoras de seguros não estão na lista do art. 2º.

A circular não cria uma estrutura paralela. O art. 3º manda inserir a segurança cibernética no Sistema de Controles Internos e na Estrutura de Gestão de Riscos que a supervisionada já mantém. O risco cibernético entra na categoria de risco operacional, e a política de segurança cibernética é tratada como política complementar à de gestão de riscos. Na prática, riscos cibernéticos ficam no mesmo registro dos demais riscos operacionais. No mapa regulatório do guia de plataforma de GRC no Brasil, a 638 é a norma que cobre o setor de seguros.

Três definições que decidem o alcance da norma

Boa parte das exigências só vale para o que é “relevante”, e quem define os parâmetros é a supervisionada. A classificação é o primeiro entregável.

Conceito (art. 2º)	O que a norma diz	Por que importa
Dados relevantes	Dados pessoais, dados de clientes ou de processos críticos e outros que a supervisionada considere sensíveis	Definem quais serviços terceirizados são relevantes
Serviços relevantes de processamento ou armazenamento	Serviços, inclusive em nuvem, que acessam dados relevantes ou sustentam atividades essenciais à continuidade do negócio	Ativam as exigências mais duras de contratação
Incidentes relevantes	Eventos adversos, maliciosos ou não, que comprometam substancialmente dados relevantes ou serviços relevantes, conforme parâmetros da supervisionada	São os que precisam ser comunicados à SUSEP

Critérios objetivos (volume de registros, tempo de indisponibilidade, tipo de dado, sistema afetado) evitam que a decisão de comunicar fique para a hora da crise.

O que a circular exige

A norma só fala em “programa” para a capacitação dos colaboradores; o resto é política, processos e controles:

Tema	Exigência	Onde
Controles	Boas práticas em oito domínios: segurança física, acesso, criptografia, software malicioso, backup, logs, redes e desenvolvimento de sistemas	Art. 3º, I
Cultura	Capacitação contínua conforme a sensibilidade da informação manipulada	Art. 3º, II
Política	Objetivos, compromisso da administração e parâmetros de classificação, controles e terceirização, com alçadas de aprovação de contratos	Art. 4º
Prevenção e resposta	Identificar e reduzir vulnerabilidades de forma proativa; detectar, responder e se recuperar de incidentes	Arts. 5º e 6º
Continuidade	Cenários de incidente no plano de continuidade de negócios	Art. 7º
Comunicação	Comunicar incidentes relevantes à SUSEP em até cinco dias úteis	Art. 8º
Relatório anual	Relatório sobre prevenção e tratamento de incidentes para a administração e os comitês	Art. 9º
Terceirização	Governança da contratação, requisitos mínimos dos prestadores e estratégia de saída	Arts. 10 a 14
Guarda	Versões atuais e anteriores de política, relatórios, contratos e evidências	Art. 15

Incidentes: do registro ao aviso à SUSEP

O art. 6º lista o mínimo: monitoramento contínuo da rede, avaliação do impacto por graus de criticidade definidos antes, contenção, restabelecimento seguro, registro, compartilhamento de informações com as demais supervisionadas, comunicação com os afetados, sobretudo clientes, e tratamento das vulnerabilidades exploradas. Dois detalhes costumam faltar nos playbooks: conciliar o registro de incidentes com o banco de dados de perdas operacionais, quando existir (§ 3º), e avisar prestadores e parceiros durante a contenção (§ 1º).

Pelo art. 8º, o incidente relevante deve ser comunicado à SUSEP em até cinco dias úteis a partir do conhecimento do evento. A comunicação detalha a extensão do dano e as ações em curso, com responsáveis e prazos. O relatório anual do art. 9º reúne incidentes relevantes, estatística de todos os incidentes, testes de continuidade e vulnerabilidades em tratamento, e quem o recebe deve usá-lo para avaliar a efetividade dos controles.

Contratação de processamento, armazenamento e nuvem

O capítulo de terceirização vale para qualquer serviço de processamento e armazenamento de dados, inclusive computação em nuvem. A única exceção é o registro de operações em sistema homologado pela SUSEP e administrado por registradora credenciada (art. 14). A supervisionada deve exigir dos prestadores (art. 11):

cumprimento da legislação e da regulamentação;
informações e recursos de gestão que permitam monitorar o serviço;
controles de segurança não inferiores aos da própria supervisionada para o mesmo grau de sensibilidade;
segregação dos dados da supervisionada e de seus clientes;
notificação de subcontratação de serviços relevantes;
transferência e depois exclusão dos dados ao fim do contrato;
nenhum embaraço à atuação da SUSEP, inclusive acesso de consulta aos dados, informações e contratos quando ela pedir.

Para serviços relevantes, os controles do prestador se comprovam por certificação independente do serviço ou por diligência prévia; a norma não exige uma certificação específica. Os contratos, salvo os de adesão, devem trazer essas exigências, e a supervisionada precisa documentar uma estratégia de substituição do prestador ou de execução própria (art. 13). A terceirização não transfere a responsabilidade (art. 12), mesma lógica da norma bancária, discutida no artigo sobre risco de terceiros na CMN 4.893.

O que mudou em 2026: a Resolução SUSEP nº 90

A Resolução SUSEP nº 90, de 18 de agosto de 2026, publicada no DOU de 20 de agosto e em vigor desde a publicação, deu nova redação ao inciso III e ao parágrafo único do art. 10. Na redação original, a supervisionada tinha de informar à SUSEP, em até 30 dias da assinatura, os serviços relevantes contratados, a empresa contratada e as subcontratadas e, sempre que possível, os países e as regiões onde os dados poderiam ser tratados.

Pelo texto novo, a obrigação passa a ser assegurar que os contratos, incluindo alterações e aditivos, estejam acessíveis quando a SUSEP pedir, mantendo arquivados e apresentando as informações e os documentos necessários para avaliar o serviço, os riscos e a conformidade. A mudança estava prevista no plano de regulação da SUSEP para 2026 como “pequenas alterações/inclusões” sobre contratos de serviços relevantes. Na prática, o trabalho sai do envio e vai para a prontidão: contrato, aditivos, localização dos dados e avaliação do prestador reunidos e prontos para entrega. Os demais incisos do art. 10 e o art. 11 não mudaram.

Proporcionalidade e prazos

A política deve ser compatível com o porte, a natureza e a complexidade das operações e o grau de exposição ao risco cibernético (art. 4º, parágrafo único). A segmentação prudencial em S1 a S4, criada pela Resolução CNSP nº 388/2020 para a aplicação proporcional da regulação prudencial, aparece na circular só nos prazos de adequação. O conteúdo mínimo vale para todos os segmentos.

Marco	Data	Dispositivo
Entrada em vigor	1º de setembro de 2021	Art. 18
Adequação dos segmentos S1 e S2	30 de junho de 2022	Art. 17, I
Adequação dos segmentos S3 e S4	1º de setembro de 2022	Art. 17, II
Adequação dos contratos firmados antes da vigência	1º de setembro de 2024	Art. 16
Nova redação do art. 10 (Resolução SUSEP nº 90/2026)	20 de agosto de 2026	Art. 2º da resolução

Como a 638 convive com a LGPD

Dados pessoais estão, por definição, entre os dados relevantes da circular. Por isso, um mesmo incidente pode gerar duas comunicações com relógios diferentes. A SUSEP recebe a comunicação de incidentes relevantes em até cinco dias úteis do conhecimento do evento. A ANPD e os titulares recebem a comunicação de incidentes que possam acarretar risco ou dano relevante (art. 48 da LGPD) em até três dias úteis contados do conhecimento de que o incidente afetou dados pessoais, conforme a Resolução CD/ANPD nº 15/2024. A ANPD também exige guardar o registro dos incidentes por cinco anos.

O playbook deve separar as duas trilhas desde a triagem, com um dono para cada decisão e cada comunicação. Os controles do art. 3º da circular também servem de evidência das medidas de segurança do art. 46 da LGPD. O checklist de adequação à LGPD detalha o lado da privacidade.

Grupos com banco e seguradora: 638 e CMN 4.893

Em um grupo financeiro, cada entidade responde ao seu regulador. O banco e as demais instituições autorizadas pelo Banco Central seguem a Resolução CMN nº 4.893/2021, alterada pela Resolução CMN nº 5.274/2025. A seguradora, a EAPC e a capitalizadora seguem a 638. Os detalhes mudam:

Ponto	Circular SUSEP nº 638/2021	Resolução CMN nº 4.893/2021
Política única de grupo	Sem previsão equivalente	Admitida para conglomerado prudencial e sistema cooperativo de crédito (art. 2º, § 2º)
Aviso de incidente	Incidentes relevantes, em até cinco dias úteis (art. 8º)	Comunicação tempestiva de incidentes relevantes e interrupções que configurem crise (art. 20, III)
Contratação de serviços relevantes	Contratos e documentos acessíveis quando a SUSEP pedir (art. 10, III, desde 2026)	Comunicação ao Banco Central em até dez dias da contratação (art. 15)
Relatório anual	Sobre prevenção e tratamento de incidentes (art. 9º)	Sobre o plano de ação e de resposta a incidentes, com data-base de 31 de dezembro (art. 8º)

Um modelo de controles comum ao grupo evita retrabalho, desde que cada requisito esteja mapeado para a evidência de cada entidade. Para o lado bancário, veja o que mudou com a Resolução CMN 5.274.

Checklist prático

Classifique dados, serviços e incidentes com critérios objetivos e registre-os na política.
Revise a política contra o conteúdo mínimo do art. 4º, inclusive alçadas para aprovar e alterar contratos.
Mapeie os oito domínios de controle do art. 3º para controles existentes, com responsável e evidência.
Registre os riscos cibernéticos como risco operacional e formalize a capacitação por perfil.
Teste o playbook com o relógio de cinco dias úteis da SUSEP e o de três dias úteis da ANPD na mesma simulação.
Concilie incidentes com a base de perdas e inclua os cenários do art. 7º no plano de continuidade.
Inventarie os prestadores de processamento e armazenamento, marque os relevantes e guarde a certificação ou a diligência de cada um.
Revise os contratos contra o art. 11 e monte o dossiê de cada contrato relevante, pronto para entrega à SUSEP.
Prepare o relatório anual do art. 9º e guarde as versões exigidas pelo art. 15.

O Eagle e a Circular SUSEP 638

O módulo de GRC do Eagle, da Futture, foi desenhado para centralizar requisitos, políticas, controles, evidências e planos de ação, com requisitos personalizados e crosswalk entre normas, o caminho para cadastrar a 638 ao lado da LGPD e da 4.893. O módulo de risco de terceiros cobre criticidade, contratos e revisões de fornecedores. O Eagle não comunica incidentes à SUSEP nem à ANPD, e a classificação de relevância continua sendo decisão da supervisionada. Se quiser testar esse mapeamento com um caso seu, solicite uma demonstração.

Perguntas frequentes

A Circular SUSEP nº 638/2021 ainda está em vigor?

Sim. Ela entrou em vigor em 1º de setembro de 2021 e não foi revogada. A única alteração publicada no Diário Oficial da União até 30 de outubro de 2026 é a Resolução SUSEP nº 90/2026, que mudou o inciso III e o parágrafo único do art. 10, sobre a contratação de serviços relevantes de processamento e armazenamento de dados.

Qual é o prazo para comunicar um incidente à SUSEP?

Cinco dias úteis a partir do conhecimento do evento, para incidentes relevantes (art. 8º). Se houver dados pessoais, a comunicação à ANPD e aos titulares segue a Resolução CD/ANPD nº 15/2024, com prazo próprio de três dias úteis.

Ainda é preciso informar à SUSEP a contratação de nuvem em 30 dias?

Pelo texto da Resolução SUSEP nº 90/2026, em vigor desde 20 de agosto de 2026, não. O aviso em 30 dias do inciso III do art. 10 deu lugar ao dever de manter os contratos, inclusive alterações e aditivos, acessíveis à SUSEP quando ela pedir, com os documentos necessários para avaliar o serviço. Confirme a leitura com o seu jurídico.

Uma seguradora de grupo bancário pode usar a política de segurança cibernética do banco?

A Circular SUSEP nº 638/2021 não tem regra equivalente à da Resolução CMN nº 4.893/2021, que admite política única por conglomerado prudencial. Uma política de grupo pode servir de base, mas a seguradora precisa demonstrar que ela cobre o conteúdo mínimo da 638 e os seus próprios parâmetros de relevância.

Circular SUSEP 638: segurança cibernética para seguradoras