Seguro de ciberseguridad para empresas: qué cubre y qué exigen
Un seguro de ciberseguridad ayuda a una empresa a pagar los costes de un ciberataque: recuperar los sistemas, atender a los clientes afectados, cubrir la parada del negocio o defenderse de reclamaciones. Pero no es un sustituto de la seguridad: las aseguradoras exigen cada vez más medidas antes de firmar la póliza, y un incidente sin ellas puede quedar sin cobertura.
En esta guía explicamos qué cubre, qué exigen y qué revisar en la letra pequeña.
Qué suele cubrir
| Cobertura | Qué incluye |
|---|---|
| Respuesta al incidente | Expertos técnicos y legales desde las primeras horas, a menudo con un teléfono de emergencias |
| Recuperación de datos y sistemas | Restaurar equipos, servidores y datos tras el ataque |
| Pérdida de beneficios | Ingresos perdidos durante la parada, con los límites y la franquicia de la póliza |
| Responsabilidad frente a terceros | Reclamaciones de clientes o proveedores por datos filtrados o daños causados |
| Gestión de la crisis | Notificación a afectados, comunicación y asesoramiento para proteger la reputación |
| Fraude y extorsión | Según la póliza, transferencias fraudulentas o gestión de una extorsión |
Lo que exigen las aseguradoras
Antes de asegurar, la compañía pide un cuestionario —a veces una auditoría— sobre la seguridad de la empresa. Las preguntas más habituales son:
- ¿Tiene autenticación en dos pasos en el correo, los accesos remotos y las cuentas de administrador?
- ¿Hace copias de seguridad aisladas de la red y comprueba que se pueden restaurar?
- ¿Tiene antivirus avanzado (EDR) en los equipos y servidores?
- ¿Aplica las actualizaciones de seguridad en plazo?
- ¿Forma a su personal frente al phishing?
- ¿Tiene un plan de respuesta ante incidentes?
Responder «sí» sin que sea cierto es un riesgo serio: si tras un incidente se comprueba que la medida no existía, la aseguradora puede negarse a pagar.
Letra pequeña que conviene revisar
- Exclusiones: incidentes causados por no tener las medidas declaradas, ataques atribuidos a Estados o conflictos armados, hechos anteriores a la póliza.
- Límites y franquicias por tipo de cobertura, especialmente la pérdida de beneficios.
- Multas y sanciones: las sanciones administrativas, como las de protección de datos, en general no se pueden asegurar. Revise qué dice su póliza.
- Proveedores obligatorios: algunas pólizas exigen usar los técnicos de la aseguradora en caso de incidente.
- Plazos de notificación: cuánto tiempo tiene para avisar a la aseguradora.
Seguro y seguridad van juntos
Implantar las medidas que piden las aseguradoras reduce la probabilidad de sufrir un incidente, abarata la prima y garantiza que el seguro responda si ocurre. Lo explicamos en consecuencias de no proteger la ciberseguridad.
Caso ilustrativo
Una empresa que no podía renovar su póliza
Una empresa de servicios recibió el cuestionario de renovación de su seguro con preguntas nuevas: autenticación en dos pasos, copias aisladas y EDR. No cumplía ninguna, y la aseguradora le subía mucho la prima o le excluía el ransomware.
En unas semanas se activó la autenticación en dos pasos en todo el correo y los accesos remotos, se implantaron copias inmutables fuera de la red y se desplegó un EDR en todos los equipos. La empresa renovó la póliza con cobertura completa y, sobre todo, redujo su riesgo real.
Ejemplo basado en situaciones habituales en nuestros proyectos. Los datos se han modificado para proteger la confidencialidad de los clientes.
La visión de Ángel González
«Las aseguradoras ya no preguntan si tiene antivirus: piden doble factor, copias aisladas y probadas, un EDR en los equipos, parches al día y un plan de respuesta. Técnicamente, cumplir esos requisitos es lo mismo que proteger bien la empresa. Por eso recomiendo abordar el seguro como una auditoría: revisar cada punto del cuestionario con evidencias reales, porque una respuesta inexacta puede anular la cobertura. El mejor seguro es no tener que usarlo, y la mejor póliza es la que se contrata con la seguridad en orden.»
Ángel González, director de NOÁTICA Informática para empresas
Preguntas frecuentes
¿El seguro paga el rescate de un ransomware?
Depende de la póliza y de la legislación aplicable. Pagar no garantiza recuperar los datos y muchas pólizas lo limitan o lo excluyen. Lo más eficaz son las copias aisladas.
¿Lo necesita una pyme?
Si depende de sus sistemas para trabajar o maneja datos de clientes, es muy recomendable, siempre acompañado de medidas de seguridad reales.
¿Me ayudan con el cuestionario de la aseguradora?
Sí. Revisamos cada pregunta con usted, implantamos lo que falte y dejamos documentadas las evidencias.
¿Le piden medidas de seguridad para su seguro?
Revisamos el cuestionario de su aseguradora, implantamos las medidas que faltan y documentamos las evidencias para que su póliza responda cuando la necesite.
