← Artigos e guias sobre fraudes, cibersegurança, LGPD e lavagem
Regra da SEC sobre incidentes cibernéticos: o que o 8-K revelou
Desde 2023, empresas abertas nos EUA devem reportar incidentes cibernéticos materiais em 4 dias úteis. Veja o que os 8-K mostram e as lições para conselhos.
Desde 18 de dezembro de 2023, empresas listadas nos EUA precisam informar investidores sobre um incidente cibernético material em até quatro dias úteis após concluírem que ele é material, pelo Item 1.05 do Formulário 8-K. Quase três anos depois, os registros formam um retrato público raro de como as empresas vivem e descrevem ataques.
O que a regra exige
- Divulgar natureza, escopo, momento e impacto material (ou provável) do incidente.
- Prazo de quatro dias úteis a partir da decisão sobre materialidade, e não da detecção.
- Atualizações posteriores por emendas ao 8-K.
- Descrição anual da gestão de risco e da governança cibernética no relatório anual.
Em 21 de maio de 2024, a área técnica da SEC esclareceu que o Item 1.05 é só para incidentes materiais; divulgações voluntárias devem usar o Item 8.01. Segundo análise do escritório Debevoise & Plimpton, 17 empresas usaram o Item 1.05 antes do esclarecimento e 9 depois, enquanto o Item 8.01 saltou de 6 para 28.
O que as empresas relataram
| Primeiro ano do Item 1.05 | Resultado |
|---|---|
| Empresas que usaram o Item 1.05 | 26 |
| Acesso ou perda de dados | cerca de 77% |
| Interrupção operacional | cerca de 65% |
| Identificaram o atacante | cerca de 23% |
| Fizeram emendas | cerca de 50% |
| Tempo médio da detecção ao registro | 7,9 dias úteis (mediana 4,5) |
| Admitiram pagar resgate | nenhuma |
O volume caiu. Levantamento da Board Cybersecurity com todos os 8-K de cibersegurança aponta 64 em 2023, 55 em 2024, 32 em 2025 e 8 até 19 de abril de 2026. Os picos vieram de ondas de fornecedores, como MOVEit (2023), CDK Global e Snowflake (2024), quando um único incidente gerou registros de muitos clientes.
Os dados também mostram a incerteza dos primeiros dias: só sete empresas apontaram impacto material já no registro inicial, e outras duas o fizeram em emendas. Apenas cerca de um quarto identificou o atacante; três citaram de início um possível ator estatal, e uma depois corrigiu a atribuição para um grupo criminoso comum. Também chama atenção que nenhuma empresa admitiu pagar resgate, e só uma mencionou essa possibilidade.
A análise da Board Cybersecurity faz uma ressalva importante: menos registros não significam necessariamente menos incidentes, e sim menos casos que ultrapassam o limite de materialidade. Os registros feitos por causa de terceiros caíram de 17 em 2023 para 7 em 2025.
O pano de fundo da fiscalização
- Out/2024: acordos com Unisys, Avaya, Check Point e Mimecast, cerca de US$ 7 milhões no total.
- Dez/2024: Flagstar Bancorp pagou US$ 3,5 milhões por divulgação enganosa.
- Jul/2024: a Justiça derrubou a maior parte da ação contra a SolarWinds; em 20/11/2025, a SEC encerrou o caso de vez.
Sob o presidente Paul Atkins, a SEC criou em fevereiro de 2025 uma unidade de cibernética e tecnologias emergentes (CETU). Mesmo com menos casos novos, as regras do 8-K e do 10-K continuam em vigor.
Lições para empresas e conselhos
- Separe detecção de materialidade e documente quem decidiu e quando.
- Vá além do financeiro: reputação, clientes, fornecedores e risco regulatório contam.
- Use o item certo: 1.05 para incidentes materiais, 8.01 para os demais.
- Planeje emendas: metade das empresas precisou atualizar o registro.
- Integre as equipes de resposta a incidentes, jurídico e relações com investidores.
- Cobre os fornecedores por contrato: as maiores ondas vieram de terceiros.
- Revise declarações públicas sobre segurança, mesmo fora de documentos da SEC.
Outro ponto: a SEC já mostrou que olha para a forma como o impacto é descrito. Nos acordos de 2024, a acusação era de minimizar o efeito de invasões, e não de deixar de divulgá-las.
Para empresas brasileiras com ações ou ADRs nos EUA, a regra vale integralmente e convive com a obrigação de comunicar a ANPD e o mercado local.
Fonte
- Debevoise & Plimpton – Lessons learned: one year of Form 8-K material cybersecurity incident reporting
- Board Cybersecurity – SEC cybersecurity 8-K filings peaked in 2023 and have declined since
- Harvard Law School Forum – SEC dismisses SolarWinds lawsuit: what CISOs need to know
- Vaquill – SEC cyber disclosure 2026 enforcement update