Requisitos para contratar un seguro de ciberriesgo: qué te van a pedir y cómo prepararlo

Por Kike Gandia · Co-Fundador y CEO, OSCP

Contratar un seguro de ciberriesgo no es rellenar un formulario y pagar. La aseguradora decide si te asegura, a qué precio y con qué exclusiones a partir de tres cosas: tu perfil de empresa, la información que le das y los controles de seguridad que declaras tener. Y lo que declaras forma parte del contrato. Esta guía recorre los requisitos en el orden en que te los van a pedir, con lo que exige una solicitud real publicada por una aseguradora y lo que dice la Ley de Contrato de Seguro.

Los requisitos de un vistazo

Antes del detalle, el mapa completo:

Bloque	Qué te piden	Por qué importa
Elegibilidad	Sector, tamaño, domicilio y volumen de datos sensibles	Decide si entras en una tarifa estándar, en cotización manual o fuera del apetito de la aseguradora
Información de la empresa	Datos identificativos, actividad, facturación consolidada e historial de incidentes	Fija el precio y el límite que te pueden ofrecer
Controles técnicos	Parches, copias de seguridad, doble factor y control de pagos	Son condición para la prima precotizada y para algunas coberturas
Cuestionario	Declaración veraz y firmada de todo lo anterior	Es la base del contrato: una respuesta falsa puede dejarte sin indemnización
Documentación	Ficha del producto, condiciones generales y particulares	Es donde están las exclusiones y los límites reales

Requisitos de elegibilidad: quién puede contratarlo

El primer filtro no es técnico, es de perfil. Las aseguradoras definen su apetito de riesgo y lo aplican antes de mirar tus controles. En la solicitud precotizada que Hiscox publica en su web se ve con claridad:

Quedan fuera de su apetito sectores como banca, aseguradoras y corredurías, entidades supervisadas por la CNMV o el Banco de España, juego y apuestas, defensa, logística, aeropuertos y aerolíneas, pasarelas de pago o medios de comunicación nacionales.
Pasan a cotización manual, en lugar de tarifa estándar, la fabricación, las empresas con sistemas de automatización industrial (ICS, DCS o SCADA), los proveedores de hosting, nube o servicios gestionados de IT, los centros médicos con más de 25 médicos y quienes tratan datos sensibles de más de 500.000 personas, entre otros.
El tamaño se mide por la facturación consolidada, incluidas las filiales, y tener filiales fuera del Espacio Económico Europeo o pertenecer a un grupo de más de 100 millones de euros también saca de la tarifa estándar.

Otras aseguradoras aplican filtros parecidos: Mapfre, por ejemplo, dirige su seguro de ciberriesgos a autónomos y pymes con domicilio social en España que tengan niveles de seguridad adecuados en sus sistemas. Los autónomos también pueden contratarlo: la solicitud de Hiscox los incluye como tipo de tomador.

La información que te van a pedir

Tenla preparada antes de pedir cotización, porque es la misma en casi todas las solicitudes:

Datos del tomador: razón social, CIF, domicilio, web y actividad profesional.
Facturación consolidada del tomador y sus filiales, y la parte que se factura online.
Datos personales que tratas: si incluyen datos sensibles —documentos de identidad, datos bancarios o de tarjetas, salud, biometría, ideología u otras categorías especiales— y de cuántas personas.
Estructura del grupo: filiales, países donde están y facturación consolidada del grupo.
Historial de incidentes: cualquier brecha, caída, extorsión, suplantación o transferencia fraudulenta de los últimos 24 meses que haya causado más de 1.000 € de pérdidas, con sus consecuencias y las medidas correctoras aplicadas.
Proveedores en la nube, si vas a contratar la cobertura de caída de un proveedor tecnológico.

Los requisitos técnicos: los controles que tienes que cumplir

Esta es la parte que más empresas subestiman. En la solicitud precotizada publicada, la prima estándar solo es válida si respondes que sí a estos controles:

Control	Qué se exige exactamente	Cómo demostrarlo
Software con soporte	Todos los programas y sistemas con soporte del fabricante; si alguno no lo tiene, aislado de Internet y de la red o con soporte extendido	Inventario de sistemas con su versión y fin de soporte
Parches	Actualizaciones aplicadas en un máximo de 30 días desde su publicación	Informe de la herramienta de parcheo con fechas
Copias de seguridad	Al menos semanales, en soportes desconectados de una sola escritura o en determinados proveedores de nube con 30 días de retención y doble factor en la consola	Política de copias y registro de pruebas de restauración
Copias inalterables	En empresas de 2,5 a 25 millones, además, copias que no se puedan alterar ni borrar desde los sistemas de origen	Configuración de inmutabilidad o almacenamiento de solo lectura
Doble factor en el correo	Para cubrir el fraude: doble factor en el correo web del 100 % de los usuarios	Informe de cobertura de MFA exportado de la consola
Control de pagos	Para cubrir el fraude: doble autorización de pagos de más de 10.000 €, salvo empresas de 25 empleados o menos con un único firmante	Procedimiento de pagos escrito

Si alguna respuesta es «no», no siempre te quedas sin seguro: la aseguradora pide detalles y pasa a estudiar el caso de forma individual, normalmente con una prima más alta o con exclusiones. En pólizas de mayor tamaño o de cotización manual, los cuestionarios suelen ampliarse a la protección de los equipos (EDR), el acceso remoto, la formación del personal y el plan de respuesta a incidentes.

El cuestionario: un requisito con consecuencias legales

Según el artículo 10 de la Ley de Contrato de Seguro, antes de firmar tienes el deber de declarar a la aseguradora, de acuerdo con el cuestionario que te someta, todas las circunstancias que conozcas y que puedan influir en la valoración del riesgo. Quedas exonerado de ese deber si no te presenta cuestionario o si la circunstancia no está incluida en él.

Lo que respondas tiene efectos concretos:

Si la aseguradora descubre una reserva o inexactitud, puede rescindir el contrato en el mes siguiente a conocerla.
Si el siniestro llega antes, la indemnización se reduce en proporción a la diferencia entre la prima que pagaste y la que habrías pagado declarando el riesgo real.
Si hubo dolo o culpa grave, la aseguradora queda liberada del pago.

Y el deber no termina al firmar. El artículo 11 obliga a comunicar durante la vigencia, tan pronto como sea posible, las circunstancias que agraven el riesgo. La propia solicitud de Hiscox lo recuerda: hay que comunicar cualquier modificación posterior de lo declarado. Si dejas de cumplir un control, avisa antes del siniestro, no después.

Los documentos que debes recibir antes de firmar

Contratar también te da derechos de información. Antes de firmar deberías tener:

El documento de información sobre el producto de seguro (IPID): una ficha de formato normalizado en toda la UE, regulado por el Reglamento de Ejecución (UE) 2017/1469, que resume qué está asegurado, qué no y las principales restricciones.
Las condiciones generales, con las coberturas, las exclusiones y el procedimiento ante un siniestro.
Las condiciones particulares, con tu límite, tus sublímites, la franquicia y el periodo de espera.

Según el artículo 3 de la Ley de Contrato de Seguro, las cláusulas que limitan tus derechos tienen que estar destacadas de modo especial y aceptadas específicamente por escrito. Si una exclusión importante no aparece así, pregunta antes de firmar.

Checklist para contratar sin sorpresas

El orden que recomendamos para llegar a la contratación con todo resuelto:

Comprueba si tu sector y tu tamaño entran en la tarifa estándar o van a cotización manual.
Reúne la información de la empresa: facturación consolidada, datos personales que tratas e historial de incidentes.
Verifica cada control técnico con evidencia, no de memoria: parches, copias, doble factor y control de pagos.
Cierra los huecos antes de pedir cotización, no después de firmar.
Responde el cuestionario con datos verificados y guarda una copia.
Lee el IPID y las condiciones particulares antes de firmar, empezando por las exclusiones y los sublímites.
Establece cómo comunicarás a la aseguradora cualquier cambio en los controles durante la vigencia.

No vendemos seguros. Nuestro papel es la parte técnica: verificar los controles antes de que los declares y ponerte en contacto con corredurías y aseguradoras especializadas con las que colaboramos.

FAQ

¿Qué requisitos hay que cumplir para contratar un seguro de ciberriesgo?

Tres tipos. De elegibilidad: que tu sector y tu tamaño entren en el apetito de la aseguradora. De información: datos de la empresa, facturación, datos personales que tratas e incidentes recientes. Y técnicos: en una solicitud real publicada, software con soporte y parches en 30 días, copias de seguridad al menos semanales y aisladas y, para cubrir el fraude, doble factor en el correo y doble autorización de pagos.

¿Es obligatorio hacer un pentest o una auditoría para contratarlo?

Para la tarifa estándar de pymes, normalmente no: basta con el cuestionario. En cotizaciones manuales, sectores de más riesgo o límites altos, la aseguradora puede pedir evidencias adicionales. En cualquier caso, un análisis de vulnerabilidades o un pentest es la forma más directa de comprobar que lo que vas a declarar es cierto.

¿Puedo contratarlo si no tengo doble factor en el correo?

Puede que sí, pero con limitaciones. En la solicitud publicada por Hiscox, el doble factor en el correo web del 100 % de los usuarios es requisito para la extensión que cubre la suplantación de identidad y el fraude. Sin él, esa cobertura queda fuera de la tarifa estándar.

¿Puede contratarlo un autónomo?

Sí. Hay productos dirigidos a autónomos y pymes, y la solicitud precotizada de Hiscox incluye al autónomo como tipo de tomador. Los requisitos técnicos son los mismos, adaptados a una estructura más pequeña.

¿Qué pasa si he sufrido un ciberataque en los últimos dos años?

No te impide contratar, pero cambia la cotización. Un incidente con más de 1.000 € de pérdidas en los últimos 24 meses saca a la empresa de la tarifa estándar en la solicitud publicada: tendrás que describirlo, explicar sus consecuencias y las medidas correctoras, y la aseguradora estudiará el caso.

¿Tengo que avisar si cambia algo después de contratar?

Sí. El artículo 11 de la Ley de Contrato de Seguro obliga a comunicar durante la vigencia las circunstancias que agraven el riesgo. Si dejas de cumplir un control que declaraste, como el doble factor o las copias aisladas, comunícalo a la aseguradora antes de que ocurra un siniestro.