Ciberseguro para PYMEs: qué exige la aseguradora antes de cubrirte

Por Kike Gandia · Co-Fundador y CEO, OSCP

Cada vez es más habitual que una aseguradora rechace una reclamación de ciberseguro, o directamente deniegue emitir la póliza, porque la empresa no tenía implementados los controles mínimos que había declarado en el cuestionario de contratación. El ciberseguro ya no es un cheque en blanco: es un contrato con condiciones técnicas concretas que hay que cumplir antes, durante y en el momento del incidente. Esta guía explica qué controles se exigen hoy y cómo evitar sorpresas.

Los controles mínimos que exige casi cualquier aseguradora

Autenticación de doble factor (MFA) en correo, VPN y accesos administrativos; copias de seguridad periódicas y probadas, idealmente con al menos una copia offline o inmutable; un antivirus/EDR gestionado en todos los equipos; un plan de respuesta a incidentes documentado; y formación anti-phishing del personal. Sin estos cinco puntos, muchas aseguradoras directamente no emiten la póliza o la emiten con exclusiones que la vacían de contenido.

Por qué pueden denegar una reclamación aunque tengas póliza

El cuestionario de contratación que rellenaste al contratar el seguro es una declaración vinculante. Si declaraste que tenías MFA activado en todos los sistemas y el ataque entró por una cuenta sin MFA, la aseguradora puede alegar declaración inexacta y denegar la cobertura del siniestro completo, no solo la parte relacionada. Es el motivo más común de rechazo de reclamaciones en ciberseguros para PYMEs.

Cómo verificar que cumples lo que declaraste

Antes de renovar o contratar, conviene hacer una revisión rápida de los controles que vas a declarar: ¿el MFA está activo en TODOS los sistemas críticos, no solo en algunos? ¿Las copias de seguridad se prueban de verdad, o solo se generan? ¿El inventario de activos que entrega la aseguradora está actualizado? Un análisis de vulnerabilidades básico antes de la renovación detecta estas discrepancias antes de que las descubra la aseguradora en un siniestro.

Cómo reducir la prima sin bajar la cobertura

Cuantos más controles puedas demostrar (no solo declarar) con evidencia documental, mejor prima consigues. Un informe de pentest o análisis de vulnerabilidades reciente, una política de seguridad documentada y un registro de formación anti-phishing suelen traducirse en descuentos reales en la renovación, porque reducen el riesgo percibido por el asegurador.

Qué evidencia acepta la aseguradora para cada control

Declarar un control y poder demostrarlo son cosas distintas, y la diferencia solo se nota cuando hay siniestro. Esta tabla resume qué suele aceptarse como prueba de cada control y cuál es el error que más veces invalida la declaración:

Control declarado	Evidencia que sostiene la declaración	Error típico que la invalida
MFA en correo y accesos administrativos	Informe de cobertura de MFA exportado de la consola, con fecha y porcentaje de cuentas	Excluir a dirección o a cuentas de servicio "por comodidad"; dejar activa la autenticación básica o los protocolos heredados
Copias de seguridad probadas	Registro de la última restauración real, no solo del último backup completado	Nunca haber restaurado; tener las copias en el mismo dominio o cuenta que el sistema de origen
EDR o antivirus gestionado	Listado de equipos con agente activo frente al inventario de dispositivos	Equipos personales, servidores antiguos o portátiles de directivos fuera de la consola
Plan de respuesta a incidentes	Documento con roles, teléfonos y árbol de decisión, revisado con fecha	Un plan escrito hace años que nombra a personas que ya no trabajan en la empresa
Formación anti-phishing	Registro por empleado con fecha y resultado de simulaciones	Una única sesión inicial sin repetición ni cobertura de las nuevas incorporaciones

El patrón es siempre el mismo: la aseguradora no discute si el control existía en general, sino si existía en el punto concreto por el que entró el atacante.

FAQ

¿El ciberseguro sustituye a tener medidas de seguridad?

No, es complementario. Cubre parte del impacto económico de un incidente (forense, notificación, posibles sanciones, pérdida de negocio), pero no evita el incidente ni te exime de tener controles básicos.

¿Qué pasa si no tengo ninguno de los controles exigidos?

Puedes contratar igualmente en algunos casos, pero con una prima mucho más alta o exclusiones específicas para los escenarios relacionados con el control que falta. Vale la pena implementarlos antes de contratar, no después.

¿Necesito un análisis de vulnerabilidades antes de contratar el seguro?

No es obligatorio, pero es la forma más rápida de saber si lo que vas a declarar en el cuestionario es cierto, y de detectar huecos antes de que los detecte la aseguradora en un siniestro.

¿Qué documentación me va a pedir la aseguradora justo después de un incidente?

Lo primero, el parte de siniestro dentro del plazo que fije el condicionado, que suele ser muy corto: conviene leerlo antes de necesitarlo, no durante. Después, la cronología del incidente, los registros de auditoría del sistema afectado, evidencia de que los controles declarados estaban activos en ese momento y el informe forense. Por eso importa la retención de logs: si tu plataforma solo conserva registros unas pocas semanas y el compromiso empezó antes, pierdes la capacidad de demostrar tanto qué pasó como que cumplías.

¿Puedo tocar los sistemas afectados antes de que llegue el perito?

Contener sí —aislar de la red, cortar accesos, invalidar sesiones—; borrar o reinstalar, no. Reconstruir un servidor comprometido destruye la evidencia que sostiene tanto la reclamación como la notificación a la AEPD si hubo datos personales. La secuencia que no da problemas es: aislar, preservar (imagen forense o al menos exportar los registros), avisar a la aseguradora y solo entonces recuperar.

¿Quién elige al proveedor que gestiona el incidente, la aseguradora o nosotros?

Muchas pólizas trabajan con un panel de proveedores propio, y usar uno de fuera sin autorización previa puede dejar ese gasto sin cubrir. Es una de las cláusulas que conviene revisar antes de firmar, sobre todo si ya trabajas con un equipo de seguridad que conoce tu entorno: en algunas pólizas se puede solicitar que tu proveedor habitual quede incorporado al panel.

¿La póliza exige un pentest o basta con un análisis de vulnerabilidades?

Depende del perfil de riesgo y del importe asegurado. Para una PYME con exposición estándar, un análisis de vulnerabilidades periódico suele cubrir lo que pregunta el cuestionario. Cuando hay una aplicación propia expuesta a internet que trata datos de clientes, o el capital asegurado es elevado, es más habitual que se pida un informe de pentest y evidencia de la remediación de los hallazgos críticos.