O cibercrime industrializado desloca a pergunta da empresa vítima para os seus administradores — mas a posição estatutária situa; não imputa. Em setores regulados, a resposta passa pela governança documentada, pela gestão de crises e pela defesa penal técnica.
Levantamentos recentes do mercado segurador e de segurança cibernética descrevem uma mudança de natureza, não apenas de grau. O cibercrime deixou de operar apenas em modelos artesanais e passou a incorporar lógica industrial: ambientes digitais dedicados a fraudes, invasões e distribuição de malware multiplicaram-se em poucos anos, enquanto ferramentas de inteligência artificial passaram a automatizar etapas que antes exigiam equipes altamente qualificadas. Há registros de operações em que tarefas como reconhecimento, intrusão, movimentação lateral e extração de dados foram executadas por sistemas de IA com alto grau de automação e mínima intervenção humana.
O fenômeno não se limita ao sistema financeiro. Empresas de saúde, varejo, tecnologia, indústria, energia, educação e serviços também passaram a conviver com incidentes cibernéticos capazes de gerar exposição regulatória, reputacional, patrimonial e, em determinadas circunstâncias, penal. A diferença é que, nos setores regulados — especialmente nas instituições financeiras, fintechs e instituições de pagamento — essa discussão se torna mais aguda, porque os deveres de prevenção, resposta, comunicação e governança já estão positivados em normas específicas.
Para o sistema financeiro, o dado tem consequências que ultrapassam a segurança da informação e alcançam o Direito Penal econômico. Quando o ataque se torna escalável, veloz e quase autônomo, a pergunta relevante deixa de ser apenas se a instituição foi vítima. Passa a ser outra, dirigida para dentro da própria organização: a instituição se preparou na medida do exigível, e quem respondia por isso pode ser pessoalmente responsabilizado?
O deslocamento do olhar: da vítima ao administrador
A pergunta não é retórica, porque o padrão de exigência já está positivado. Para as instituições autorizadas a funcionar pelo Banco Central sujeitas à Resolução CMN nº 4.893/2021 — recentemente reforçada pela Resolução CMN nº 5.274/2025 —, impõem-se política de segurança cibernética, plano de ação e de resposta a incidentes, designação de diretor responsável e comunicação tempestiva de incidentes relevantes ao Banco Central. Para as instituições de pagamento, bem como para as corretoras e distribuidoras de títulos e valores mobiliários e as corretoras de câmbio, a disciplina própria está na Resolução BCB nº 85/2021, atualizada, em dezembro de 2025, pela Resolução BCB nº 538/2025. Esse par normativo, editado em conjunto ao fim de 2025, reforçou os requisitos de segurança em contexto de crescente digitalização do setor, expansão do Pix e maior exposição das infraestruturas de comunicação de dados do Sistema Financeiro Nacional e do Sistema de Pagamentos Brasileiro, com a incorporação ou especificação de exigências como autenticação multifatorial, isolamento dos ambientes Pix e do Sistema de Transferência de Reservas (STR), rastreabilidade, testes e controles. No mercado de valores mobiliários, a Comissão de Valores Mobiliários impõe arquitetura convergente: a Resolução CVM nº 35/2021 exige dos intermediários política de segurança da informação e programa de segurança cibernética, com diretor estatutário responsável e comunicação tempestiva de incidentes relevantes à área de supervisão competente e aos órgãos de administração; e a Resolução CVM nº 21/2021 sujeita os administradores de carteiras de valores mobiliários a controles internos, mecanismos de proteção de informações confidenciais, testes periódicos de segurança para os sistemas de informação — especialmente os mantidos em meio eletrônico — e guarda da documentação exigida por cinco anos. A lógica, como se vê, repete-se de regulador a regulador: deveres de prevenção, resposta, documentação, responsabilização interna e preservação de evidências.
Diante de um incidente de grande repercussão, a investigação raramente se contenta com o atacante — frequentemente anônimo, fora do país ou inalcançável. O olhar regulatório e investigativo desloca-se, então, para dentro: para as políticas vigentes, os controles existentes e as pessoas que ocupavam posição de decisão. O administrador da instituição vítima passa a ser examinado não pelo ataque que sofreu, mas pela conduta que adotou antes e depois dele. E aqui se impõe a fronteira que organiza toda a análise: a diferença entre situar e imputar. A posição estatutária — e os deveres de diligência, lealdade e informação que a Lei nº 6.404/1976 impõe ao administrador (arts. 153, 155 e 157) — indica onde a pessoa estava e o que dela se esperava; não substitui, porém, a demonstração de conhecimento concreto do ato, de poder decisório efetivo sobre a falha específica e de dolo ou culpa. Confundir as duas coisas — tratar o cargo como prova da conduta — é a responsabilidade penal objetiva que o art. 5º, XLV, da Constituição veda.
A omissão imprópria e a posição de garante
No incidente cibernético, a tese acusatória raramente é de ação: é de omissão. Imputa-se ao administrador não ter feito o que deveria para evitar o resultado. É um terreno que merece rigor, porque é onde o atalho costuma se instalar.
O Código Penal admite a figura — o crime comissivo por omissão —, mas a delimita estritamente no art. 13, § 2º: o dever de agir recai apenas sobre quem ostenta a posição de garante, isto é, sobre quem tem por lei obrigação de cuidado, proteção ou vigilância; quem de outra forma assumiu a responsabilidade de impedir o resultado; ou quem, com seu comportamento anterior, criou o risco da sua ocorrência. A tentação, no ambiente regulado, é ler a designação do diretor responsável pela política de segurança cibernética como fonte automática dessa posição e, dela, extrair responsabilidade penal por qualquer incidente.
O atalho é indevido. A posição de garante é pressuposto da omissão imprópria, não a sua conclusão. Mesmo presente o dever, a imputação penal por omissão ainda exige o poder concreto de agir, o dolo ou a culpa quanto àquele resultado específico e o nexo de evitação — a demonstração de que a conduta exigível teria aptidão concreta para evitar o resultado. Converter a titularidade de um dever regulatório em garantia de resultado é transformar o diretor em segurador penal da incolumidade da instituição, o que o Direito Penal não admite. A designação regulatória situa o diretor; não o imputa pelo ataque que terceiro, muitas vezes externo ou infiltrado, executou.
Onde nasce o risco penal
Os vetores concretos são conhecidos. A falha de governança pode, em tese, ser invocada em apurações relacionadas aos crimes contra o sistema financeiro — sobretudo em discussões sobre gestão fraudulenta ou temerária, previstas no art. 4º da Lei nº 7.492/1986, cujo art. 25 inclui o controlador e os administradores entre os possíveis sujeitos ativos, o que define quem pode responder, não que respondeu — quando se pretenda sustentar que a deficiência deixou de ser incidente isolado e passou a revelar padrão decisório incompatível com os deveres de administração da instituição. Pode atrair a Lei nº 9.613/1998 quando a instituição figura no fluxo de recursos desviados: integrar de forma lícita a infraestrutura por onde transitaram valores de origem ilícita situa a instituição na cadeia, mas a imputação por lavagem reclama o dolo de ocultar ou dissimular — jamais presumido do simples recebimento, sob pena de se converter a cegueira deliberada, categoria de aplicação excepcional e individual, em responsabilidade objetiva disfarçada. Os tipos cibernéticos próprios — a invasão de dispositivo informático do art. 154-A do Código Penal, introduzido pela Lei nº 12.737/2012 e recrudescido pela Lei nº 14.155/2021 — atingem, em regra, o atacante, situando a instituição como vítima. E a exposição de dados pessoais convoca o regime sancionador da Lei nº 13.709/2018, com possíveis reflexos civis, regulatórios e reputacionais, sem conversão automática em imputação penal.
Em todos esses vetores, convém não confundir os planos. O descumprimento de deveres regulatórios atrai, antes de tudo, a competência sancionadora dos próprios reguladores — o Banco Central e a Comissão de Valores Mobiliários, no exercício do poder de polícia setorial (quanto à CVM, com fundamento na Lei nº 6.385/1976), e o Conselho de Controle de Atividades Financeiras, no campo da inteligência financeira e da supervisão administrativa de PLD/FT. Essa esfera administrativa não se confunde com a imputação penal nem a antecipa de forma automática: a falha apta a gerar sanção administrativa não rende, por si, ação penal. Tratá-las como equivalentes apaga a fronteira entre o ilícito regulatório e o ilícito penal — e é nessa confusão que a presunção costuma se instalar.
O ponto mais sensível é a passagem da ciência para a imputação. A notoriedade do risco cibernético — hoje amplamente divulgado — é, quando mal conduzida, transformada em presunção de conhecimento; e a presunção de conhecimento, somada à posição do administrador, é convertida em responsabilidade pessoal. Mas saber que o risco existe, como todos sabem, não equivale a ter o dever individual e o poder concreto de haver evitado aquele ataque específico. Entre a ciência genérica do risco e a imputação penal há toda a distância que separa situar de imputar.
Os dois lados da mesma fronteira
Há um ponto que costuma escapar ao debate: a mesma distinção que protege o administrador diligente é a que permite responsabilizar corretamente quem de fato concorreu para o dano. A instituição é vítima — e a defesa de seus dirigentes não se confunde com impunidade. Distinguir, na cadeia do incidente, quem apenas integrou de forma lícita a infraestrutura de quem efetivamente participou da dinâmica ilícita — o atacante externo, o agente interno aliciado, o terceiro que se valeu da estrutura — é o que separa a investigação legítima da imputação por presunção.
Por isso a resposta penal a um ataque tem duas direções complementares. De um lado, a proteção da diretoria e da instituição vítima contra a imputação automática. De outro, a apuração técnica e a responsabilização daqueles que efetivamente romperam a confiança institucional, inclusive a partir de dentro. Quem domina a fronteira entre situar e imputar opera nas duas frentes sem contradição: protege quem cumpriu seu dever e ajuda a alcançar quem o violou.
A documentação como defesa
É aqui que a experiência prática confirma a tese. A experiência em defesas de instituições financeiras e de pagamento em incidentes dessa natureza — inclusive em caso de grande repercussão envolvendo o sistema de pagamentos brasileiro — demonstra que a diferença entre ser situado na cadeia do evento e afastar uma imputação indevida reside, muitas vezes, na capacidade de reconstruir documentalmente a conduta institucional.
E o ponto tem uma elegância própria: os documentos que afastam a imputação são, em larga medida, os mesmos que a regulação já exige. A política de segurança cibernética vigente, o plano de resposta a incidentes acionado, o relatório anual submetido ao conselho de administração ou à diretoria (art. 8º da Resolução CMN nº 4.893/2021), a diligência documentada sobre fornecedores de tecnologia, os registros de monitoramento e a comunicação tempestiva às autoridades compõem a trilha que demonstra que a instituição agiu como dela se esperava. A revisão de dezembro de 2025 tornou esse acervo ainda mais robusto: passou a exigir trilhas de auditoria do processamento fim a fim, com retenção segura de logs, e testes de intrusão anuais, realizados por terceiro independente, documentados e mantidos à disposição do Banco Central por cinco anos. São, por desenho regulatório, registros datados, formais e auditáveis — precisamente a matéria-prima de uma defesa que reconstrói a conduta institucional. No mercado de valores mobiliários, a lógica é semelhante: políticas, controles internos, comunicações, testes, registros e guarda documental formam a trilha que permite demonstrar a atuação diligente do intermediário, do gestor ou de seus administradores. Esse conjunto não é confissão de culpa — é o seu oposto. A documentação do cumprimento é defesa, não confissão. Relê-la, retrospectivamente, como prova automática de responsabilidade inverte a lógica da governança: pune-se justamente quem documentou que se preparou.
Duas camadas que não se substituem
Há, por fim, uma distinção que o mercado ainda assimila. O seguro — nas modalidades cibernética e de responsabilidade civil de administradores (D&O) — pode transferir ou mitigar riscos patrimoniais, mas sempre nos limites do que foi contratado. O que está coberto não decorre da categoria da apólice, e sim do contrato: do clausulado, das definições de sinistro e de despesas de defesa, das exclusões, dos sublimites e das condições de adiantamento de honorários efetivamente pactuados. A depender desse desenho, podem estar cobertos custos de resposta a incidentes, despesas de defesa, responsabilidade civil pela privacidade, interrupção de negócios, investigações regulatórias, multas seguráveis e, conforme o clausulado aplicável, custos de defesa em procedimentos de natureza penal. Daí a primeira regra prática: a extensão da cobertura se afere lendo a apólice concreta, não presumindo o que o produto em tese ofereceria.
A distinção essencial, contudo, está em outro ponto, e independe do clausulado: o seguro pode custear a defesa, mas não transfere a responsabilidade penal pessoal. A imputação penal continua submetida à pessoalidade da pena, à demonstração de conduta, nexo, elemento subjetivo e poder concreto de evitação. A apólice pode financiar a resposta; não substitui a defesa técnica nem desloca para terceiro a responsabilidade pessoal do administrador.
A proteção do administrador diante do cibercrime industrializado opera, portanto, em planos que não se substituem: o seguro pode mitigar impactos patrimoniais e suportar despesas de defesa, nos limites contratados; a defesa penal técnica preserva a posição jurídica pessoal do administrador.
Essa distinção fica mais nítida quando se observa a cadeia que um incidente costuma mobilizar: a primeira resposta técnica e forense, a comunicação de crise, a eventual recomposição patrimonial nos limites da apólice e a defesa nas frentes regulatória, cível e penal. Nessa arquitetura, a defesa penal da diretoria e a atuação criminal em favor da instituição vítima não se confundem com o seguro nem são por ele substituídas; ocupam uma camada própria: a de proteger a posição jurídica pessoal dos administradores e preservar a capacidade da empresa de responsabilizar os verdadeiros envolvidos. E há um dado de realidade que torna essa camada ainda mais decisiva: em muitos casos não há apólice; em outros, a cobertura encontra exclusões, sublimites, controvérsias de enquadramento ou divergências na regulação do sinistro. Daí a conclusão, válida nos dois cenários: quando há seguro, ele pode custear respostas e despesas de defesa na medida do que a apólice efetivamente preveja; na ausência de cobertura, quando ela não alcança determinado evento ou quando o enquadramento do sinistro é controvertido, a defesa penal técnica passa a ocupar posição ainda mais central.
Entre situar e imputar, a defesa começa antes do incidente — na coerência documentada da resposta institucional.
Luiz Felipe Mallmann de Magalhães
Advogado. Sócio-Fundador e Diretor do LFMM Advogados. Especializado na defesa jurídica de instituições financeiras, fintechs e instituições de pagamento, nas esferas cível, criminal, regulatória e de gestão de crises. Conselheiro Seccional Titular da OAB/RS e ex-Vice-Presidente da Comissão de Direito Penal Econômico do Conselho Federal da OAB.