Coberturas de primera parte: gastos propios del asegurado. Investigación forense y contención, restauración de sistemas y datos, lucro cesante por interrupción de negocio, notificación a afectados y autoridades, gestión de crisis y comunicación, y en muchas pólizas los gastos de extorsión (negociación y, en su caso, rescate).
¿Qué es un ciberseguro?
Un ciberseguro es una póliza que transfiere a una aseguradora parte del impacto económico de un incidente de ciberseguridad: costes de investigación forense y respuesta a incidentes, restauración de sistemas y datos, interrupción de negocio, gestión de crisis y reclamaciones de terceros afectados. Es la materialización de una de las cuatro estrategias clásicas de tratamiento del riesgo —evitar, mitigar, transferir, aceptar— y por eso solo tiene sentido como resultado de un análisis de riesgos previo, nunca como sustituto de las medidas de protección. La ola de ransomware de 2019-2021 disparó la siniestralidad y transformó el mercado: hoy las aseguradoras auditan la madurez técnica del cliente antes de firmar, y sus cuestionarios se han convertido, de facto, en una línea base de seguridad para miles de empresas.
¿Por qué importa?
Porque un incidente serio genera costes que la mayoría de organizaciones no puede absorber de golpe: peritos forenses, abogados, notificación a afectados y a la AEPD, semanas de parada operativa y reclamaciones posteriores. Pero el ciberseguro importa también por un motivo menos obvio: se ha convertido en una palanca de madurez. Para asegurar —o para renovar sin que la prima se dispare— la aseguradora exige MFA en accesos remotos y cuentas privilegiadas, EDR desplegado y monitorizado, backups inmutables o desconectados y probados, gestión de parches con plazos definidos y segmentación de red. Muchas empresas han implantado en meses controles que llevaban años pospuestos, simplemente porque el cuestionario de renovación los convertía en condición de póliza. En sentido contrario, quien declara controles que no tiene se arriesga a que la aseguradora rehúse el siniestro justo cuando más lo necesita. Y las exclusiones importan: tras NotPetya y los litigios que enfrentaron a Merck y Mondelez con sus aseguradoras, el mercado de Lloyd's impuso en 2023 cláusulas que excluyen ciberataques atribuibles a actos de guerra o respaldados por Estados, un supuesto menos remoto de lo que parece.
Puntos clave
Coberturas de terceros: responsabilidad frente a quienes resultan dañados por el incidente. Reclamaciones de clientes y socios por fuga de datos, defensa jurídica, indemnizaciones. La asegurabilidad de las multas administrativas (RGPD) es jurídicamente discutida en España y en buena parte de Europa: no conviene contar con ella.
Requisitos de suscripción: el cuestionario de la aseguradora funciona como auditoría previa. MFA, EDR, copias de seguridad inmutables y probadas, parcheo con SLA, cifrado, formación y plan de respuesta. Sin esos controles: prima más alta, franquicia mayor, sublímites agresivos o directamente rechazo.
Exclusiones habituales: actos de guerra y ataques atribuidos a Estados (cláusulas del mercado de Lloyd's desde 2023), incidentes conocidos antes de contratar, incumplimiento de las medidas declaradas en el cuestionario, sistemas fuera de soporte, y a menudo sublímites reducidos para ransomware y fraude por transferencia.
Pago de rescates: las pólizas que lo cubren lo condicionan a autorización previa de la aseguradora, intervención de negociadores especializados y verificación de listas de sanciones (OFAC, UE): pagar a un grupo sancionado es ilegal aunque la póliza lo cubriera. La decisión nunca es solo económica.
Encaje en la gestión de riesgos: transferir el riesgo no lo elimina. La póliza no repone la reputación, los clientes perdidos ni la propiedad intelectual exfiltrada, y siempre queda riesgo residual por encima de los límites contratados. El ciberseguro complementa a la continuidad de negocio, no la sustituye.
Ejemplo: una renovación de póliza que se convierte en plan de seguridad
Una empresa industrial de 200 empleados recibe el cuestionario de renovación de su ciberseguro y descubre que el mercado ha cambiado: la aseguradora exige MFA en la VPN y en todas las cuentas de administración, EDR en servidores y puestos, copias inmutables con pruebas de restauración documentadas y un plan de respuesta a incidentes. La empresa no cumple tres de los cuatro requisitos, y la alternativa es una prima que se duplica con un sublímite de ransomware del 20% del límite general. Dirección aprueba en semanas un plan que llevaba dos años en el cajón: MFA corporativo, despliegue de EDR y repositorio de backup inmutable.
Un año después, un afiliado de ransomware entra por unas credenciales robadas, pero la historia es distinta: el EDR corta el cifrado en dos servidores, las copias inmutables permiten restaurar sin negociar y la empresa activa la póliza para cubrir el forense, las horas extra de recuperación y el lucro cesante de tres días de parada parcial. La aseguradora pone a disposición su panel de respuesta a incidentes y el siniestro se liquida sin fricción porque los controles declarados en el cuestionario existían de verdad y dejaron evidencia en logs. El ciberseguro no evitó el ataque: convirtió un evento potencialmente existencial en un mal trimestre.
Errores habituales
- Comprar la póliza como sustituto de las medidas de seguridad. La transferencia del riesgo sin mitigación sale carísima (prima, franquicia, sublímites) y no repone lo que ninguna póliza cubre: reputación, clientes y propiedad intelectual.
- Rellenar el cuestionario de suscripción con optimismo. Declarar MFA 'desplegado' cuando faltan las cuentas de servicio, o backups 'probados' que nunca se han restaurado, es dar a la aseguradora un motivo contractual para rehusar el siniestro.
- No leer exclusiones ni sublímites hasta el día del incidente. Un límite general amplio con un sublímite de ransomware o de fraude por transferencia muy inferior cambia por completo el valor real de la póliza.
- Dejar a la aseguradora fuera del plan de respuesta a incidentes. Las pólizas imponen plazos de notificación y paneles propios de forense y abogados; activar proveedores por tu cuenta o avisar tarde puede comprometer la cobertura.
- Contar con que la póliza cubrirá las multas del RGPD. Su asegurabilidad es discutida y muchas pólizas la limitan a 'donde sea legalmente asegurable': una fórmula que traslada el problema al juzgado, no lo resuelve.
Términos relacionados
Servicios relacionados
Este concepto puede tener relación con servicios como:
Preguntas frecuentes
Dirijo una pyme sin equipo de seguridad: ¿me compensa más contratar un ciberseguro o invertir ese dinero en protección?
No es una disyuntiva real: sin un mínimo de protección nadie te va a asegurar en condiciones razonables. El camino práctico es usar el cuestionario de la aseguradora como hoja de ruta: MFA, EDR, copias inmutables probadas y parcheo al día son los cuatro controles que más reducen tanto la prima como la probabilidad de sufrir el siniestro. Implanta primero esa base —con ayuda externa si no tienes equipo— y contrata después la póliza para el impacto que no puedes absorber: forense, parada de negocio y reclamaciones. Así el seguro cubre la cola del riesgo, no tu falta de deberes.
¿Qué requisitos me va a exigir la aseguradora antes de darme una póliza?
El estándar de mercado actual incluye MFA en accesos remotos, correo y cuentas privilegiadas; EDR desplegado en servidores y puestos (idealmente monitorizado 24x7); copias de seguridad inmutables o desconectadas con pruebas de restauración; gestión de parches con plazos para vulnerabilidades críticas; segmentación básica de red; formación anti-phishing; y un plan de respuesta a incidentes. Cuanto mayor sea la facturación o más sensible el sector, más profundo el escrutinio: en pólizas grandes hay escaneo externo de tu superficie de ataque e incluso entrevistas técnicas. Mentir en el cuestionario es la vía más rápida a un siniestro rehusado.
Si pago el rescate de un ransomware, ¿lo cubre el ciberseguro?
Depende de la póliza y de las circunstancias. Muchas cubren gastos de extorsión, pero siempre condicionados: autorización previa de la aseguradora, negociadores especializados y comprobación de que el grupo criminal no está en listas de sanciones (OFAC, UE), porque pagar a un actor sancionado es ilegal con o sin seguro. Además suele haber sublímites específicos para extorsión. La lección operativa es tener la decisión preparada en frío —criterios legales, técnicos y de negocio— y, sobre todo, backups inmutables que te permitan no depender del descifrador del atacante.
¿En qué casos puede la aseguradora negarse a pagar un siniestro?
Los motivos más frecuentes son cuatro. Primero, la discrepancia entre lo declarado y lo real: si el cuestionario decía MFA en toda la organización y la intrusión entró por una cuenta sin MFA, hay problema. Segundo, las exclusiones: ataques atribuidos a Estados o calificados como acto de guerra (cláusulas tipo Lloyd's), incidentes anteriores a la contratación, sistemas sin soporte. Tercero, la notificación tardía o la contratación de proveedores fuera del panel sin autorización. Y cuarto, los sublímites: la aseguradora paga, pero mucho menos de lo esperado. Revisar la póliza con asesoramiento técnico y jurídico antes de firmarla evita la mayoría de estas sorpresas; un análisis de riesgos serio ayuda a dimensionar límites y franquicias.