Qué cubre un seguro de ciberriesgo (y qué no)

Un seguro de ciberriesgo cubre los costes económicos y el impacto en el negocio de los incidentes derivados de un ataque informático: la respuesta técnica para contener el ataque y restaurar los sistemas, la recuperación de los datos, el dinero que dejas de ganar mientras estás parado y las reclamaciones de terceros afectados. Lo que no hace es pagar por mejorar tu informática ni responder de riesgos que ya conocías o que no declaraste. En este artículo repasamos cada cobertura con ejemplos de pymes y autónomos, lo que suele quedar fuera y qué mirar en la póliza antes de firmar.

¿Lo necesita de verdad un negocio pequeño?

La idea de que los ciberdelincuentes solo van a por grandes empresas es de las más caras que existen. Muchos ataques son automáticos: se lanzan contra miles de direcciones de correo o de equipos a la vez y entran donde encuentran una puerta abierta, sin mirar el tamaño. Por eso, cualquier empresa o autónomo que utilice correo electrónico, acepte pagos con tarjeta, gestione datos personales, tenga trabajadores en remoto o disponga de dispositivos móviles de uso profesional tiene un riesgo asegurable.

Piensa en una gestoría de La Laguna con cuatro empleados, en un taller de Santa Cruz que factura desde un programa en la nube o en un apartamento turístico del sur de Tenerife que gestiona reservas y cobros online. Ninguno tiene departamento de informática, y los tres dependen por completo de sus datos y de su correo para trabajar.

Las dos caras de la póliza: tus daños y los de otros

Para entender qué cubre, ayuda separar la póliza en dos bloques:

• Daños propios: lo que el ataque te cuesta a ti. Técnicos, recuperación de datos, días sin facturar, el dinero desviado por un fraude o la gestión de una extorsión.
• Responsabilidad frente a terceros: lo que te reclaman otros porque el incidente les ha afectado. Por ejemplo, clientes cuyos datos se han filtrado o una empresa que recibió un virus desde tu correo.

Una buena póliza combina los dos bloques y añade un tercer elemento que muchas veces es el más valioso: el acceso a expertos en ciberseguridad para restaurar los sistemas, y también a abogados y a especialistas en comunicación.

Las coberturas habituales, una a una

Las coberturas concretas y sus límites dependen de la compañía y de la modalidad que contrates, pero estas son las que suelen formar parte de un seguro de ciberriesgo.

Respuesta al incidente y restauración de sistemas

Es la cobertura que se activa primero. Cuando detectas algo raro —archivos cifrados, un programa que no arranca, correos que tú no has enviado— la aseguradora pone a tu disposición técnicos que analizan qué ha pasado, cortan el acceso del atacante y devuelven los equipos a un estado seguro. Para un autónomo sin informático de confianza, tener a quién llamar en ese momento marca la diferencia entre perder un día o perder semanas.

Pérdida y recuperación de datos

Cubre el trabajo de recuperar o reconstruir la información dañada o borrada: la base de clientes, la contabilidad, los expedientes. Si tienes copias de seguridad, el trabajo será restaurarlas con garantías; si no, reconstruir a partir de lo que quede. Pregunta si la póliza cubre también el coste de volver a introducir datos a mano cuando no hay copia.

Interrupción del negocio

Compensa el beneficio que dejas de obtener mientras la actividad está parada o reducida por el ataque. En el caso del apartamento turístico, serían las reservas que no puedes gestionar; en el del taller, los trabajos que no puedes facturar. Revisa dos detalles: el periodo de espera (las horas de parada que deben pasar antes de que empiece a contar) y el periodo máximo de indemnización.

Hay un matiz que a menudo se olvida: el ataque no tiene por qué sufrirlo tu empresa. Si paraliza los sistemas de tu proveedor tecnológico y tú no puedes trabajar, es importante tener cobertura para la pérdida de beneficios, los costes operacionales fijos (incluidos los salarios) y los gastos para mitigar esa pérdida. No todas las pólizas lo incluyen de serie.

Responsabilidad frente a terceros

Si por un fallo de seguridad en tus sistemas se filtran datos de clientes o se propaga un virus a otra empresa, te pueden reclamar. Esta cobertura asume tu defensa y, si procede, las indemnizaciones hasta el límite pactado. Es la parte que conecta el ciberriesgo con la responsabilidad civil clásica, pero aplicada a daños que la póliza de responsabilidad civil general muchas veces excluye.

Fraude informático y suplantación de identidad

Cubre el dinero perdido cuando alguien se hace pasar por ti o por tu empresa, o accede a tus sistemas para desviar pagos. Aquí está la letra pequeña más importante del producto: no es lo mismo que el atacante entre en tu banca online a que un empleado haga una transferencia engañado por un correo falso. Este segundo caso, el de la ingeniería social, unas compañías lo incluyen, otras lo limitan y otras lo dejan fuera. Lo contamos a fondo en fraude del CEO, phishing y facturas falsas.

Asesoramiento legal y gestión reputacional

Tras un incidente con datos personales hay que tomar decisiones con plazos cortos: a quién hay que notificar, cómo informar a los afectados, qué decir si un cliente pregunta o si el asunto llega a la prensa local. La póliza suele cubrir abogados especializados y consultores de comunicación para que no improvises.

Extorsión cibernética

Es el caso del secuestro de datos: cifran tus archivos y te piden un pago para liberarlos, o amenazan con publicarlos. La cobertura suele incluir la gestión de la crisis con expertos. El alcance respecto al pago en sí varía mucho entre compañías y tiene condiciones propias, así que nunca negocies ni pagues nada sin hablar antes con la aseguradora.

Lo que un seguro de ciberriesgo no suele cubrir

Cada compañía redacta sus exclusiones, pero hay algunas que aparecen con frecuencia y conviene conocer antes de firmar:

• Mejoras de tus sistemas. El seguro te devuelve a la situación anterior al ataque; renovar equipos o instalar un programa mejor corre de tu cuenta.
• Hechos anteriores a la contratación que ya conocías, o ataques que ya estaban en marcha cuando firmaste.
• Actos intencionados del propio asegurado o de sus administradores.
• Incumplir lo declarado. Si dijiste que hacías copias de seguridad o que el acceso remoto iba por VPN y no era así, la compañía puede discutir el siniestro.
• Averías sin ataque, como el fallo de un disco duro por desgaste, que según la modalidad pueden quedar fuera o tratarse aparte.
• Sanciones administrativas: su cobertura es limitada y depende de la póliza y de lo que permita la ley en cada caso.

Tabla rápida: qué parte de la póliza responde

Situación	Cobertura que suele responder	Qué comprobar
Un virus cifra los ordenadores y no puedes facturar	Respuesta al incidente, recuperación de datos e interrupción del negocio	Periodo de espera y límite diario o total
Tu programa de gestión en la nube cae por un ataque al proveedor	Interrupción del negocio por incidente del proveedor	Que esté incluida de forma expresa
Un cliente reclama porque se han filtrado sus datos	Responsabilidad frente a terceros y asesoramiento legal	Límite y gastos de defensa
Un empleado paga una factura con la cuenta bancaria cambiada	Fraude informático o suplantación	Si incluye la ingeniería social y con qué sublímite
Te piden un rescate por no publicar tus datos	Extorsión cibernética	Qué gastos cubre y cómo se autoriza

El cuestionario y lo que tienes que comunicar después

Para emitir la póliza, la compañía suele pedir información sobre copias de seguridad, antivirus, accesos remotos, pagos con tarjeta o número de equipos. Contéstalo con quien lleve tu informática y guarda una copia. Esas respuestas forman parte del contrato.

Si después cambias tu forma de trabajar, eso puede ser una agravación del riesgo. Si ya tienes seguro ciber, recuerda comunicar a tu mediador cuando haya trabajadores que se conectan en remoto sin cumplir los mismos estándares de seguridad, cuando antes no había acceso remoto y ahora sí, cuando procesas pagos con tarjeta en remoto o cuando se usan dispositivos personales que no cumplen las medidas de seguridad de la empresa. Lo recogimos en nuestro artículo sobre ciberseguridad y teletrabajo.

Autónomo o pyme: qué cambia

Para un autónomo, lo prioritario suele ser la asistencia técnica, la recuperación de datos y el fraude, porque un solo día sin ordenador o una transferencia desviada pesan mucho en su economía. Para una pyme con plantilla, ganan peso la interrupción del negocio, la responsabilidad frente a terceros y el asesoramiento legal, porque maneja más datos y más relaciones con clientes y proveedores. La póliza es personalizable: se pueden añadir o eliminar coberturas para adaptarla a cada caso.

Errores frecuentes al contratar

• Comparar solo el precio sin mirar los sublímites del fraude y de la extorsión.
• Dar por hecho que el multirriesgo o la responsabilidad civil ya cubren lo informático.
• Contestar el cuestionario de memoria y sin la persona que lleva la informática.
• No revisar la póliza cuando cambia la forma de trabajar: teletrabajo, tienda online, nuevo programa en la nube.
• No tener a mano el teléfono o el canal para avisar de un incidente. En las primeras 48 horas tras un ciberataque te explicamos por qué es lo primero.

Cómo te ayudamos en Retuerto y Asociados

Como corredores, comparamos varias compañías y te ponemos por escrito qué cubre cada propuesta, con sus límites y exclusiones, para que decidas con la información completa. También revisamos tus pólizas actuales para evitar duplicidades y huecos, dentro de nuestra gerencia de riesgos. Tienes toda la información en la ficha del seguro de ciberseguridad para empresas y puedes pedirnos una comparativa en presupuesto gratis.