Divulgação de cibersegurança SEC 8-K Item 1.05: o que é e o que as empresas devem comunicar

As empresas cotadas enfrentam uma nova realidade: a divulgação aos acionistas de incidentes graves de cibersegurança deixou de ser opcional. Desde 18 de dezembro de 2023, a SEC exige que os incidentes materiais de cibersegurança sejam comunicados através do Form 8-K Item 1.05 no prazo de quatro dias úteis a contar da determinação de materialidade.

Este guia explica o Item 1.05 de forma clara: o que exige divulgação, que informação deve ser incluída, os prazos aplicáveis, os adiamentos permitidos e como manter a conformidade.

Em resumo

O SEC 8-K Item 1.05, denominado «Material Cybersecurity Incidents», exige que as empresas cotadas divulguem incidentes materiais de cibersegurança no prazo de quatro dias úteis a contar da determinação de materialidade, não quatro dias úteis a contar da deteção. «Material» significa que um investidor razoável consideraria o incidente importante ao tomar uma decisão de investimento; em geral, inclui ataques de ransomware, extração de dados de clientes, interrupções de sistemas ou violações da confidencialidade ou integridade de dados pessoais. As empresas devem descrever os aspetos materiais da natureza, do âmbito e do momento do incidente, e o seu impacto material, efetivo ou razoavelmente provável, incluindo a situação financeira e os resultados operacionais. O adiamento só é permitido quando o Procurador-Geral dos EUA determina que a divulgação representaria um risco substancial para a segurança nacional ou a segurança pública e notifica a SEC por escrito. A falta de comunicação pode originar medidas da SEC, coimas, sanções contra dirigentes e danos de reputação.

O que é a divulgação de cibersegurança SEC 8-K Item 1.05?

O Item 1.05, denominado «Material Cybersecurity Incidents», é um novo ponto de divulgação que a SEC acrescentou ao Form 8-K (Current Report) através da sua regra final, Release No. 33-11216, adotada em julho de 2023 e em vigor desde 5 de setembro de 2023, com conformidade exigida a partir de 18 de dezembro de 2023 para a maioria dos declarantes (as smaller reporting companies tiveram até 15 de junho de 2024). O Form 8-K é uma declaração que as empresas cotadas devem apresentar, ao abrigo das Exchange Act Rules 13a-11 e 15d-11, para comunicar determinados «eventos materiais»: acontecimentos empresariais importantes, como fusões, mudanças de liderança, insolvência ou, com a nova regra, incidentes materiais de cibersegurança.

O Item 1.05 exige que a empresa descreva os aspetos materiais da natureza, do âmbito e do momento do incidente de cibersegurança, e o seu impacto material, efetivo ou razoavelmente provável, incluindo a situação financeira e os resultados operacionais, quando a empresa determina que o incidente é material.

Nota: o Item 1.05 não deve ser confundido com o Item 2.05 do Form 8-K, um ponto de divulgação distinto e sem relação, denominado «Costs Associated with Exit or Disposal Activities» (custos associados a atividades de saída ou alienação), que corresponde a encargos de reestruturação, não a incidentes de cibersegurança.

A regra aplica-se a todas as empresas sujeitas aos requisitos de reporte da SEC, aproximadamente mais de 4,000 empresas cotadas nos EUA. Não se aplica a empresas privadas, embora as leis estaduais de notificação de violações e as condições dos seguros cibernéticos possam impor obrigações semelhantes.

Quando deve uma empresa apresentar um 8-K por um incidente de cibersegurança?

O fator desencadeante é a materialidade. Se um incidente de cibersegurança for «material», ou seja, se um investidor razoável o considerar importante, a empresa deve apresentar o documento no prazo de quatro dias úteis a contar dessa determinação.

A SEC não define um único limiar objetivo, como «perdas superiores a $X milhões» ou «mais de Y registos afetados». A empresa deve aplicar uma avaliação qualitativa e quantitativa:

Quantitativa: Impacto financeiro, incluindo custos diretos, recuperação, correção, coimas regulamentares e resgate.
Qualitativa: Impacto nas operações, na confiança dos clientes, na conformidade regulamentar, na propriedade intelectual ou na posição competitiva.

Exemplos de incidentes geralmente considerados materiais:

Ataques de ransomware que impedem as operações durante 24+ horas ou exigem despesas significativas com resgate ou recuperação.
Violações de dados que afetam milhares de registos de clientes ou colaboradores, incluindo dados pessoais como SSN, informações financeiras ou registos de saúde.
Extração de segredos comerciais ou informação empresarial confidencial.
Interrupções de sistemas que afetam funções essenciais, como produção ou serviços prestados aos clientes.
Consequências regulamentares: Perda de licença, intervenção de um state AG ou violações HIPAA/PCI.

Se a empresa tiver dúvidas sobre a materialidade, a SEC espera que opte pela divulgação. Esperar para ver se a violação «aumenta» não justifica uma apresentação tardia.

Que informação específica deve ser divulgada ao abrigo do Item 1.05?

A regra final reduziu a lista de divulgação proposta para se concentrar no impacto, não no pormenor do incidente. O Item 1.05 exige que a empresa descreva:

Natureza, âmbito e momento do incidente: o que aconteceu e quando, com um nível de detalhe que permita a um investidor compreender o incidente.
Impacto material, efetivo ou razoavelmente provável, sobre a empresa, incluindo a sua situação financeira e os resultados operacionais. A SEC esclareceu que isto não se limita a valores financeiros; fatores qualitativos como o dano à reputação, às relações com clientes ou fornecedores, ou à competitividade, e a possibilidade de litígios ou medidas regulamentares, também podem fazer parte do impacto material.

Se a informação exigida ainda não estiver determinada ou disponível quando o prazo vence, a Instrução 2 do Item 1.05 indica à empresa que o declare no 8-K e apresente depois uma alteração com a informação em falta, no prazo de quatro dias úteis a contar do momento em que for determinada ou ficar disponível.

A SEC optou expressamente por não exigir a divulgação do estado das medidas corretivas, se a resposta ainda está em curso, ou se os dados foram comprometidos, embora a própria análise de materialidade da empresa a possa levar a abordar esses pontos. A Instrução 4 do Item 1.05 também estabelece que a empresa não precisa de divulgar informação técnica ou específica sobre a sua resposta planeada ao incidente, nem sobre os seus sistemas, redes e dispositivos de cibersegurança, nem sobre potenciais vulnerabilidades, com um nível de detalhe que dificulte a sua resposta ou as medidas corretivas.

A divulgação deve ser suficientemente específica para um investidor compreender o risco, mas não tão detalhada que sirva de guia para outros atacantes.

O que torna um incidente de cibersegurança «material»?

A materialidade é a questão central. A SEC aplica o critério do investidor razoável: esta informação influenciaria a decisão de comprar, manter ou vender as ações?

Fatores que a SEC considera materiais:

Violação da confidencialidade: Acesso não autorizado ou extração de dados pessoais, financeiros ou exclusivos; 10,000+ registos costuma fazer pender a avaliação.
Compromisso da integridade: Alteração ou eliminação de sistemas, inventários ou registos essenciais, mesmo sem extração de dados.
Perda de disponibilidade: Ataques de ransomware ou DoS que interrompem serviços durante 24+ horas ou prejudicam operações essenciais.
Impacto financeiro: Custos diretos, despesas de recuperação e de correção, e efeito nos resultados operacionais. A SEC não fixou um limiar financeiro objetivo; trata-se de um juízo baseado nos factos e nas circunstâncias, não numa percentagem ou valor fixo.
Impacto na marca ou no mercado: Divulgação pública da violação, risco de perda de clientes ou contratos.
Consequências regulamentares: Investigações de state AG, coimas HIPAA, incumprimento PCI ou sanções setoriais.

Casos-limite que podem NÃO ser materiais:

Tentativas de phishing bloqueadas pelos filtros de email, sem que tenha ocorrido uma violação.
Credenciais isoladas de um colaborador comprometidas, se forem corretamente isoladas e substituídas.
Incidentes de fornecedores que não afetem os seus sistemas ou dados.
Exposição de baixo volume, por exemplo, 50 registos numa base de 500,000 clientes.

Boa prática: Em caso de dúvida, documente internamente a análise de materialidade e considere divulgar. A SEC trata a omissão de um incidente material com maior severidade do que uma divulgação antecipada ou prudente.

Quais são os prazos das declarações 8-K Item 1.05?

Quatro dias úteis é o prazo estrito, mas conta-se a partir da data em que a empresa determina que o incidente é material, não da data em que o incidente foi descoberto ou ocorreu. Descobrir um incidente e determinar que é material são dois passos distintos, e a regra final da SEC espera que a empresa faça essa determinação de materialidade «sem demora injustificada» após a descoberta, pelo que uma empresa não pode adiar indefinidamente a determinação para atrasar o início do prazo.

Cronologia:

Descoberta: o incidente é detetado e a investigação começa.
Investigação: a empresa reúne informação suficiente para a análise de materialidade, sem demora injustificada.
Determinação de materialidade: a empresa conclui que o incidente é (ou não é) material. É aqui que começa o prazo de quatro dias úteis.
Apresentação: o Form 8-K Item 1.05 vence quatro dias úteis após a determinação de materialidade.

Pormenores importantes:

Os fins de semana e feriados não contam: O prazo inclui apenas dias úteis, excluindo feriados federais.
O prazo conta a partir da determinação, não da descoberta: uma empresa que adia injustificadamente a sua determinação de materialidade não evita o prazo; a SEC pode continuar a avaliar se a própria determinação foi feita sem demora injustificada após a descoberta.
A informação preliminar é aceitável: se a informação exigida ainda não estiver determinada ou disponível, a Instrução 2 do Item 1.05 permite à empresa declará-lo no 8-K inicial e apresentar depois uma alteração com essa informação, no prazo de quatro dias úteis a contar do momento em que for determinada ou ficar disponível.

Uma empresa pode obter uma exceção para adiar a divulgação 8-K?

Sim, mas a decisão não cabe à empresa. Ao abrigo do Item 1.05(c), uma empresa só pode adiar a apresentação se o Procurador-Geral dos EUA determinar que a divulgação representaria um risco substancial para a segurança nacional ou a segurança pública, e notificar essa determinação por escrito à SEC.

Como funciona o adiamento:

O período de adiamento inicial é especificado pelo Procurador-Geral, até um máximo de 30 dias a contar da data em que a divulgação era originalmente devida.
Esse adiamento pode ser prorrogado por um período adicional máximo de 30 dias se o Procurador-Geral voltar a determinar, por escrito, que a divulgação continua a representar um risco substancial.
Em circunstâncias extraordinárias, é possível um último adiamento adicional até 60 dias, novamente mediante notificação escrita do Procurador-Geral, se o risco para a segurança nacional persistir.
Para além disso, qualquer adiamento adicional exige uma dispensa (exemptive relief) da própria SEC.

O mecanismo de adiamento não isenta a empresa das suas restantes obrigações, incluindo a Regulation FD e as disposições antifraude da legislação de valores mobiliários. Uma empresa não pode invocar por si própria um adiamento com base numa investigação interna ou externa em curso, numa investigação policial que ela própria tenha iniciado, no sigilo entre advogado e cliente, ou na sua própria opinião de que a divulgação é inconveniente. O mecanismo só funciona através da determinação escrita do Procurador-Geral à SEC.

Se uma empresa invocar indevidamente um adiamento, ou apresentar a declaração fora de prazo sem uma determinação válida do Procurador-Geral, fica exposta a medidas por apresentação tardia.

O que acontece se uma empresa não divulgar ao abrigo do Item 1.05?

O incumprimento implica sanções significativas.

Medidas da SEC:

Sanções civis: a SEC pode requerer sanções pecuniárias civis por infrações de divulgação; os limites máximos por infração são fixados por lei e atualizados periodicamente por inflação. Consulte a tabela de sanções civis atual da SEC em sec.gov antes de citar um valor.
Sanções contra dirigentes: A SEC pode impedir executivos de exercer funções de officer ou director.
Disgorgement: Recuperação de ganhos ilícitos se os executivos negociarem com conhecimento não público da violação.
Ordens de cessação: Proibição de voltar a infringir as regras de divulgação.

Consequências secundárias:

Litígios de acionistas: Os investidores podem apresentar ações coletivas de valores mobiliários, alegando que foram privados de informação material.
Impacto no preço das ações: quando uma violação se torna pública, seja através da própria declaração da empresa, de terceiros ou de medidas regulamentares, a reação do mercado varia consoante a empresa e o incidente; a própria análise económica da SEC sobre a regra cita investigação académica que constata que a divulgação tardia de incidentes de cibersegurança pode originar uma avaliação incorreta dos valores mobiliários.
Descida da notação de crédito: As agências consideram uma violação não divulgada uma falha de governação.
Recusa do seguro cibernético: A seguradora pode recusar a participação se o segurado não tiver divulgado previamente a violação à SEC.
Confiança dos clientes e fornecedores: Clientes, parceiros e colaboradores perdem confiança na governação e na postura de segurança da empresa.

Para conhecer as medidas de fiscalização que a SEC efetivamente aplicou ao abrigo do Item 1.05, consulte diretamente as medidas de fiscalização e processos da SEC em vez de se basear num resumo de terceiros.

Como cumprir o Item 1.05

1. Estabeleça um plano de resposta a incidentes cibernéticos

Defina os fatores de materialidade, com limiares quantitativos e qualitativos.
Atribua responsabilidades: equipa IR, assessoria jurídica, CFO para a estimativa de custos e Investor Relations.
Crie um fluxo de notificação que informe a administração poucas horas após a descoberta.

2. Monitorize e detete incidentes rapidamente

Implemente SIEM, EDR e ferramentas de deteção de intrusões.
Realize regularmente testes de intrusão e exercícios tabletop.
Forme os colaboradores para comunicarem imediatamente atividades suspeitas.

3. Avalie a materialidade com prontidão (normalmente em 24 a 48 horas)

Recolha os primeiros factos: que sistemas foram atingidos, que dados e quantos registos?
Estime o impacto financeiro, incluindo custos diretos de recuperação, eventuais coimas e resgate.
Consulte assessoria jurídica: é material? Aplica-se uma exceção de adiamento?

4. Redija a declaração 8-K Item 1.05

Use linguagem clara e evite jargão.
Inclua a data, o tipo, a dimensão e o impacto do incidente.
Descreva as medidas imediatas, como correções, isolamento da rede e substituição de credenciais.
Estime os custos e indique se o seguro poderá cobrir uma parte.
Assinale se a investigação continua e será apresentado um 8-K alterado.

Para ver o que outras empresas divulgaram, consulte o nosso artigo com exemplos de divulgação de incidentes de cibersegurança em 8-K durante 2026.

5. Apresente no prazo de quatro dias úteis

Coordene com Investor Relations a apresentação através do EDGAR.
Mantenha um registo das datas de divulgação para auditorias de conformidade.

6. Atualize os acionistas se os factos mudarem

Se a análise forense revelar uma violação maior do que a inicialmente divulgada, apresente um 8-K alterado (Form 8-K/A).
Se os custos forem superiores à estimativa, divulgue a atualização.
A SEC espera que declarações materiais incorretas sejam corrigidas prontamente.

7. Comunique externamente, em separado da declaração à SEC

A declaração à SEC destina-se aos investidores; a notificação aos clientes é exigida pela legislação estadual, não pela regra da SEC.
Programe a carta de notificação aos clientes para coincidir com a declaração 8-K ou ser enviada depois.
Para violações de dados dos colaboradores, verifique também os requisitos de legislação laboral do seu estado.

Para compreender a regra dos quatro dias úteis no seu contexto, consulte Regras de divulgação de cibersegurança da SEC: explicação dos quatro dias úteis.

Coordenação com outros requisitos de conformidade

A divulgação do Item 1.05 não substitui outras obrigações:

Leis estaduais de notificação de violações: A maioria dos estados exige a notificação dos clientes afetados num prazo de 30 a 60 dias, consoante o estado.
Notificação de violações HIPAA: As entidades de saúde abrangidas devem notificar as pessoas afetadas no prazo de 60 dias.
Incidentes PCI DSS: Os processadores de pagamentos devem comunicar aos bancos adquirentes e às redes de cartões.
Participações ao seguro cibernético: O segurado deve notificar a seguradora nos termos da apólice, normalmente no prazo de 30 dias.

A declaração à SEC ocorre frequentemente primeiro, em 4 dias, seguida das notificações aos clientes e às entidades reguladoras.

Para a conformidade multiestadual ou setorial, considere ferramentas ou serviços que acompanhem tanto os requisitos da SEC como as regras estaduais. Se a sua empresa opera no setor de RH ou emprego, consulte o HR Compliance Watch para verificar as regras estaduais sobre violações de dados dos colaboradores.

Aviso jurídico

Este artigo tem fins meramente informativos e não constitui aconselhamento jurídico, financeiro ou de investimento. As determinações de materialidade dependem dos factos e exigem consulta com assessoria jurídica qualificada e o seu disclosure counsel. Confirme sempre os requisitos nas orientações atuais da SEC, nas instruções mais recentes do Form 8-K e na legislação estadual aplicável. A regra final da SEC sobre o Item 1.05 e as interpretações posteriores estão disponíveis em sec.gov. Se a sua empresa sofreu um incidente de cibersegurança, consulte imediatamente um advogado especializado em valores mobiliários.

Quer acompanhar as declarações 8-K?

Monitorizar manualmente as declarações à SEC é lento e propenso a erros. O BreachTrigger avisa em tempo real as suas equipas de IR, cibersegurança e MSSP sobre divulgações materiais 8-K apresentadas por concorrentes e empresas comparáveis. Assim, pode comparar práticas de comunicação, acompanhar ameaças do setor e detetar incidentes regulamentares ou capazes de movimentar o mercado antes de chegarem às notícias.

Saiba como profissionais de IR e subscritores de seguros cibernéticos utilizam o BreachTrigger para monitorizar declarações 8-K Item 1.05: Explore o BreachTrigger.

Última atualização: 5 de agosto de 2026. Orientações da SEC consultadas com base na SEC Release No. 33-11216, a regra final de 2023 sobre divulgação de cibersegurança no Form 8-K Item 1.05 (em vigor desde 5 de setembro de 2023; conformidade exigida a partir de 18 de dezembro de 2023 para a maioria dos declarantes).