Qué cubre un seguro de ciberriesgo: coberturas, exclusiones y letra pequeña

Por Kike Gandia · Co-Fundador y CEO, OSCP

Un seguro de ciberriesgo cubre dos cosas: lo que un ciberataque te cuesta a ti (respuesta al incidente, recuperación de sistemas, paralización del negocio, extorsión, fraude) y lo que te pueden reclamar otros por él (datos de clientes expuestos, contagio de malware, defensa jurídica). Pero el título de la garantía dice poco: lo que decide si una póliza paga son sus sublímites, franquicias, periodos de espera, exclusiones y la delimitación temporal. Esta guía repasa cada cobertura, lo que suele quedar fuera y cómo comprobar qué cubre de verdad la tuya.

Qué cubre un seguro de ciberriesgo, de un vistazo

Las pólizas de ciberriesgo agrupan sus garantías en bloques bastante parecidos entre aseguradoras. Lo que cambia, y mucho, es la letra pequeña de cada uno:

Cobertura	Qué incluye	Qué vigilar
Respuesta al incidente	Análisis forense, contención, asesoría legal, gestión de crisis y notificación a afectados	Si es obligatorio usar el panel de proveedores de la aseguradora
Recuperación de datos y sistemas	Restauración de datos, reinstalación y reconfiguración de sistemas	No paga mejorar los sistemas, solo devolverlos a su estado anterior
Pérdida de beneficios	Facturación perdida mientras la actividad está parada	Periodo de espera antes de indemnizar y duración máxima del periodo de indemnización
Ciberextorsión	Negociación y, donde la ley lo permite, pago del rescate	Sublímite propio y aprobación previa de la aseguradora
Fraude por ingeniería social	Fraude del CEO y suplantación de proveedores	A menudo no está en el paquete base o tiene un sublímite bajo
Responsabilidad frente a terceros	Reclamaciones por datos expuestos o por contagio de malware, y defensa jurídica	Delimitación temporal de las reclamaciones
Procedimientos regulatorios	Defensa ante la autoridad de protección de datos	La multa en sí solo cuando sea asegurable, cuestión discutida en España

Daños propios: lo que el ataque te cuesta a ti

Es el bloque que más se usa en un siniestro de pyme, porque cubre los gastos de las primeras horas y días:

Respuesta al incidente: el equipo forense que determina por dónde entró el atacante y qué se llevó, la contención, los abogados que valoran las obligaciones de notificación y, en incidentes con impacto público, la gestión de comunicación y reputación.
Notificación a afectados: el coste de avisar a clientes o empleados cuyos datos se han visto comprometidos y, en algunas pólizas, servicios de vigilancia de identidad para ellos.
Recuperación de datos y sistemas: restaurar desde copias, reinstalar y reconfigurar equipos y aplicaciones. La regla general es devolver los sistemas a su estado anterior al incidente, no pagar una versión mejorada.
Pérdida de beneficios: la facturación que se deja de ingresar mientras la web, el ERP o la producción están parados, normalmente a partir de un periodo de espera de varias horas fijado en la póliza.

La pérdida de beneficios por la caída de un proveedor tecnológico —tu nube, tu software de gestión o tu proveedor de pagos— es otra cobertura distinta, a veces llamada interrupción de negocio dependiente, y muchas pólizas la excluyen o la limitan si no se contrata expresamente.

Responsabilidad frente a terceros: lo que te pueden reclamar

El segundo bloque responde cuando el incidente perjudica a otros y te reclaman por ello:

Datos personales expuestos: el RGPD reconoce en su artículo 82 el derecho de cualquier persona perjudicada por una infracción a reclamar una indemnización al responsable del tratamiento. Si la brecha la causa un proveedor tuyo, primero respondes tú y después puedes repetir contra él.
Contagio a terceros: si el malware se propaga desde tus sistemas a los de un cliente o proveedor, este puede reclamarte los daños.
Defensa jurídica: los honorarios de abogados y procuradores y los gastos del procedimiento, que en muchos casos acaban siendo la partida más relevante de la reclamación.

Algunas pólizas añaden la responsabilidad por contenidos digitales, como infracciones de propiedad intelectual o de imagen en la web o las redes sociales de la empresa. Conviene comprobar si está incluida o si hay que contratarla aparte.

Ransomware: qué paga el seguro y qué no

El ransomware toca casi todas las coberturas a la vez: respuesta al incidente, recuperación de sistemas, pérdida de beneficios y, si hay robo de datos, responsabilidad frente a terceros. La garantía específica de ciberextorsión es la que tiene más condiciones:

Suele tener un sublímite propio, inferior al capital general de la póliza.
Exige la aprobación previa de la aseguradora antes de pagar nada y la intervención de sus negociadores.
No puede pagarse a personas o grupos incluidos en listas de sanciones de la UE, con independencia de lo que diga la póliza.

En la práctica, el pago del rescate es la última opción. La vía preferente es recuperar desde copias limpias y aisladas, que es exactamente por lo que los cuestionarios de suscripción preguntan tanto por las copias y por si la restauración se ha probado.

Fraude del CEO y transferencias fraudulentas

El fraude por ingeniería social —un empleado que transfiere dinero creyendo seguir instrucciones de un directivo o de un proveedor real— es uno de los incidentes más frecuentes en pymes y, a la vez, una de las coberturas que más sorpresas da:

En muchas pólizas no forma parte del paquete base y hay que contratarla como ampliación.
Cuando está incluida, suele tener un sublímite bastante más bajo que el capital general.
Algunas condicionan la cobertura a que existiera un procedimiento de verificación de cambios de cuenta bancaria, como la llamada de confirmación a un teléfono ya conocido.

Como el fraude del CEO no requiere comprometer ningún sistema —basta un correo convincente—, es fácil que quede fuera de una póliza que solo cubre incidentes técnicos. Es la primera pregunta que conviene hacer si tu empresa mueve transferencias a proveedores con frecuencia.

¿Cubre las multas de la AEPD?

Es la pregunta con la respuesta menos clara. Lo que sí suelen cubrir las pólizas es la defensa en el procedimiento sancionador ante la Agencia Española de Protección de Datos y los gastos de notificar la brecha. La multa en sí es otra cuestión: en España se discute si una sanción administrativa de carácter punitivo es asegurable, porque asegurarla vaciaría su efecto disuasorio, y no hay una doctrina firme que lo resuelva.

Por eso muchas pólizas hablan de cubrir las sanciones «cuando sean asegurables» o «donde la ley lo permita», a menudo con un sublímite modesto. Si esta cobertura es importante para tu decisión, lo prudente es pedir a la aseguradora su criterio por escrito antes de contratar y no dar por hecho que la multa estará cubierta.

Qué no cubre: las exclusiones más habituales

Cada condicionado tiene las suyas, pero estas aparecen en la mayoría de pólizas del mercado:

Hechos anteriores o ya conocidos: incidentes ocurridos antes de la fecha de retroactividad o que la empresa conocía al contratar.
Actos dolosos del propio asegurado.
Guerra y ataques atribuidos a un Estado: en el mercado de Lloyd's, por ejemplo, las pólizas cyber independientes deben incluir desde marzo de 2023 una exclusión de ataques respaldados por Estados. Su redacción varía y conviene leerla.
Fallos de infraestructura: cortes de electricidad, de telecomunicaciones o de Internet que no se deben a un ataque contra tu empresa.
Mejoras de sistemas: lo que cueste dejar la seguridad mejor de lo que estaba antes del incidente.
Propiedad intelectual y secretos comerciales: la pérdida de valor de la información robada, salvo cobertura específica.
Daños materiales y personales derivados del incidente, que suelen corresponder a otras pólizas.
Controles declarados que no estaban implantados: no es una exclusión en sentido estricto, pero según el artículo 10 de la Ley de Contrato de Seguro reduce la indemnización en proporción, o la anula si hubo dolo o culpa grave.

La letra pequeña: límites, sublímites, franquicias y periodo de espera

Dos pólizas con el mismo capital pueden pagar cantidades muy distintas por el mismo siniestro. Los conceptos que lo explican:

Concepto	Qué es	Ejemplo ilustrativo
Límite de indemnización	Lo máximo que paga la póliza en total, por siniestro o por año	500.000 €
Sublímite	Tope específico de una cobertura dentro del límite general	Ciberextorsión limitada a 100.000 €
Franquicia	La parte del siniestro que paga siempre la empresa	Los primeros 3.000 € de cada siniestro
Periodo de espera	Horas de paralización que no se indemnizan en la pérdida de beneficios	Las primeras 12 horas de caída
Periodo de indemnización	Tiempo máximo durante el que se cubre la pérdida de beneficios	Hasta 90 días

Las cifras de la tabla son un ejemplo para entender cómo encajan, no valores de mercado: cada póliza fija los suyos. Lo importante es que el sublímite, no el capital, es lo que decide cuánto cobras por un ransomware o por un fraude del CEO.

Cuándo cubre: la delimitación temporal

Las coberturas de responsabilidad frente a terceros suelen funcionar por reclamación: cubren las reclamaciones que se presentan mientras la póliza está en vigor, aunque el incidente que las origina fuera anterior. El artículo 73 de la Ley de Contrato de Seguro admite estas cláusulas en dos modalidades: o se cubren las reclamaciones presentadas hasta al menos un año después de terminar el contrato, o se cubren las presentadas durante su vigencia por hechos ocurridos al menos desde un año antes de su inicio.

Son cláusulas limitativas, así que tienen que estar destacadas en la póliza y aceptadas específicamente por escrito. Al cambiar de aseguradora, revisa la fecha de retroactividad de la nueva póliza: si es la fecha de contratación, un incidente que se esté gestando antes del cambio puede quedar sin cobertura en ninguna de las dos.

Cómo comprobar qué cubre tu póliza

Antes de firmar o en la próxima renovación, estas son las preguntas que conviene llevar respondidas por escrito:

¿Qué sublímites tienen la ciberextorsión, el fraude por ingeniería social y la pérdida de beneficios?
¿Cuál es el periodo de espera de la pérdida de beneficios y cuánto dura el periodo de indemnización?
¿Está cubierta la caída de un proveedor tecnológico del que dependo?
¿Tengo que usar el panel de proveedores de la aseguradora o puedo llamar a mi equipo de seguridad habitual?
¿Cuál es la fecha de retroactividad y cómo se delimitan en el tiempo las reclamaciones?
¿Qué criterio tiene la aseguradora sobre las sanciones de protección de datos?
¿Qué controles declaré en el cuestionario y puedo demostrar hoy que siguen activos?

La última pregunta es la que más siniestros decide y la única que depende por completo de ti. El resto las responde la correduría o la aseguradora.

FAQ

¿Un seguro de ciberriesgo cubre el ransomware?

Normalmente sí, a través de varias coberturas a la vez: respuesta al incidente, recuperación de sistemas, pérdida de beneficios y, si hay robo de datos, responsabilidad frente a terceros. El pago del rescate, cuando está incluido, tiene un sublímite propio, exige la aprobación previa de la aseguradora y no puede hacerse a personas o grupos sancionados por la UE.

¿Cubre el fraude del CEO?

Depende de la póliza. En muchas no forma parte del paquete base y hay que contratarlo como ampliación, y cuando está incluido suele tener un sublímite bajo. Algunas aseguradoras exigen además que existiera un procedimiento de verificación de cambios de cuenta bancaria.

¿Cubre las multas del RGPD?

La defensa en el procedimiento sancionador y los gastos de notificación, normalmente sí. La multa en sí es discutible: en España se debate si una sanción administrativa punitiva es asegurable y muchas pólizas solo la cubren «cuando sea asegurable». Pide el criterio de la aseguradora por escrito antes de contratar.

¿Qué pasa si el ataque llega a través de un proveedor?

Los daños que el incidente te causa a ti suelen estar cubiertos aunque el origen sea un proveedor. Lo que cambia es la pérdida de beneficios por la caída del propio proveedor —tu nube, tu software de gestión—, que muchas pólizas excluyen o limitan salvo que contrates expresamente la cobertura de interrupción de negocio dependiente.

¿Cubre los errores de un empleado?

Por lo general sí cuando el error desencadena un incidente de seguridad cubierto, como abrir un adjunto malicioso o caer en un phishing. Los errores humanos que no son un incidente de seguridad, como borrar datos por accidente, solo están cubiertos en las pólizas que lo incluyen expresamente.

¿En qué se diferencia de un seguro de responsabilidad civil?

Un seguro de responsabilidad civil general cubre los daños que causas a terceros en tu actividad, pero cada vez más pólizas de este tipo excluyen de forma expresa los riesgos cibernéticos y los datos. Además, no cubre tus propios daños: ni la recuperación de sistemas, ni la paralización del negocio, ni la extorsión. Por eso el ciberseguro existe como producto aparte.

¿Qué pasa si declaré en el cuestionario un control que no tenía?

Según el artículo 10 de la Ley de Contrato de Seguro, si la declaración era inexacta y el siniestro llega antes de corregirla, la indemnización se reduce en proporción a la prima que se habría cobrado conociendo el riesgo real, y si hubo dolo o culpa grave la aseguradora queda liberada del pago. Por eso conviene verificar los controles antes de declararlos.