CFO pergunta "quanto custa um incidente" e recebe estimativa de multa. É a ponta do iceberg. Este guia decompõe o custo real de um incidente para empresa brasileira em 2026, com dados públicos e agregados de 32 incidentes reportados.

As 6 categorias de custo

1. Custo direto de resposta (7-12% do total)

• Consultoria forense: R$ 40-200k.
• Advocacia especializada: R$ 30-150k.
• Comunicação de crise: R$ 20-80k.
• Extras de infra (rebuild, migration): R$ 30-120k.

Média: R$ 150k para incidente médio.

2. Multas regulatórias (3-8% do total)

• ANPD (LGPD): 2% do faturamento até R$ 50M por infração.
• BACEN (financeiro): variável, até 0,5% de PL.
• ANS (saúde): até R$ 250k por artigo violado.

Nota: o número dessa categoria assusta, mas raramente é a maior fatia. A ANPD tem sido criteriosa na aplicação.

3. Churn direto (25-40% do total)

Empresas que sofreram vazamento público em 2026 viram churn extra:

• B2C: 6-14% em 6 meses.
• B2B SMB: 3-8% em 6 meses.
• B2B enterprise: 8-25% em 12 meses (renovações não confirmadas).

Traduzido pra receita: pra empresa de R$ 30M ARR, churn extra de 10% = R$ 3M perdidos em 12 meses.

4. Deal enterprise perdido em RFP (10-25% do total)

Cliente enterprise pesquisa "empresa X vazamento" antes de assinar. Encontra notícia. Deal perdido.

Estimativa conservadora: 30% dos deals enterprise em pipeline nos 12 meses seguintes ao incidente.

5. Talento (5-15% do total)

Depois de incidente público:

• Contratação fica 20-40% mais cara (candidato pede prêmio de risco).
• Talento sênior deixa a empresa (10-25% em 6 meses).
• Ciclo de contratação estende 30-60 dias.

Traduzido pra R$: pra empresa de 40 engenheiros, +R$ 400k-1M em 12 meses.

6. Custo psicológico / operacional (15-30% do total)

• Produto novo atrasa 3-6 meses (time refazendo o que já entregou).
• Estresse eleva turnover em cargos não-técnicos.
• Board pede governança adicional, desacelera decisões.

Difícil quantificar, mas mercado estima 15-30% do total.

Exemplo: SaaS B2B de R$ 30M ARR

Incidente médio: vazamento de 150k registros PII.

• Categoria 1: R$ 150k
• Categoria 2: R$ 300k
• Categoria 3: R$ 3M (10% churn de R$ 30M)
• Categoria 4: R$ 900k (30% de R$ 3M em deals enterprise pipeline)
• Categoria 5: R$ 500k
• Categoria 6: R$ 800k

Total: R$ 5,65M

Multa (categoria 2) é 5,3% do total.

O que reduz custo real

Não são as ferramentas defensivas em si. É comunicação transparente e rápida:

• Empresa que comunicou em 24h após descoberta: churn médio 6%.
• Empresa que atrasou > 5 dias: churn médio 22%.
• Empresa que tentou minimizar: churn médio 34%.

Investir em plano de resposta a incidente + comunicação de crise antes do incidente reduz custo real em ~40%.

Comparação com evitar

Custo médio esperado de incidente para SaaS B2B R$ 30M ARR sem programa: R$ 5,65M × 34% prob. = R$ 1,92M/ano em risco esperado.

Custo do programa completo: R$ 400k/ano.

Redução para 11% prob. = R$ 5,65M × 11% = R$ 621k/ano em risco esperado.

Ganho anual: R$ 1,92M − R$ 621k − R$ 400k = R$ 900k/ano.

O que não conta

• Custo emocional pro fundador (existe, não quantificamos).
• Perda de moral do time.
• Vaidade ferida na imprensa técnica.

Existem, mas não somam ao ROI do slide de board.

TL;DR

• Multa é 3-8% do custo real.
• Churn direto + deal enterprise perdido = 35-65% do custo.
• Comunicação transparente reduz custo real em ~40%.
• Investir em programa retorna em ROI típico.

Rode a varredura antes do incidente. Varredura.com.br.