Preguntas frecuentes sobre seguros de ciberriesgos
Reunimos aquí las dudas que más se repiten cuando un autónomo o una empresa pregunta por un seguro de ciberriesgos: qué paga la póliza tras un ataque, qué ocurre con el rescate de un secuestro de datos, si las multas de protección de datos son asegurables y qué exige la aseguradora antes de aceptar el riesgo. Las respuestas describen lo habitual del mercado; lo que te aplica es lo que firmes.
Cubre dos bloques: tus daños propios y tu responsabilidad frente a terceros tras un incidente informático. En el primero entran, según la póliza, los técnicos que contienen el ataque, la restauración de datos y sistemas, la gestión de una extorsión, la notificación a los afectados y la pérdida de beneficios mientras el negocio está parado. En el segundo, las reclamaciones de clientes, proveedores o empleados por la fuga de sus datos o por haberles transmitido un programa malicioso, con los gastos de defensa. Casi todas las pólizas añaden un servicio de respuesta urgente. Tienes el detalle garantía a garantía en la ficha de ciberriesgos del glosario y en la página del ramo.
¿Necesita un autónomo o una pyme pequeña un seguro de ciberriesgos?
No es obligatorio, pero el tamaño no protege: los ataques masivos no eligen víctima, entran por donde encuentran una contraseña débil o un correo abierto por error. La pregunta útil es cuánto te costaría estar una semana sin facturar, sin agenda de clientes y sin correo, y si tendrías a quién llamar esa misma noche. Para un despacho, una clínica, una tienda online o una asesoría que guarda datos de clientes, la póliza aporta sobre todo el equipo de respuesta y el dinero para reconstruir. Existen paquetes cerrados para autónomos y micropymes con una prima ajustada a su facturación. Si tu negocio apenas depende de sistemas ni guarda datos, quizá baste una extensión dentro de tu seguro de comercio.
¿El seguro paga el rescate de un ransomware?
Depende de la póliza y nunca es automático. La garantía de extorsión cubre siempre los especialistas que analizan el ataque, negocian si hace falta y buscan la forma de recuperar los datos sin pagar. El reembolso del rescate solo aparece en algunos contratos, con consentimiento previo y por escrito de la aseguradora, con su propio sublímite y siempre que el pago no esté prohibido por la ley o por un régimen de sanciones internacionales. Pagar tampoco asegura que los datos vuelvan ni que no se publiquen. Por eso lo que más pesa en un incidente de ransomware es tener copias de seguridad aisladas y la garantía de restauración bien dotada. Lo explicamos en la página de seguros de ciberriesgos.
¿Cubre el seguro las multas de protección de datos?
Solo en la medida en que la ley permita asegurarlas, y esa cuestión no está resuelta de forma pacífica. Lo que sí cubren con claridad la mayoría de las pólizas son los gastos de defensa en el procedimiento ante la autoridad de control: abogados, peritos y contestación a los requerimientos. Sobre la multa en sí, muchos contratos dicen que la pagan "cuando sea legalmente asegurable", lo que deja la respuesta para el momento del siniestro. El artículo 83 del Reglamento (UE) 2016/679 prevé multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global en las infracciones más graves. Nunca se cubre la conducta intencionada: el artículo 19 de la Ley de Contrato de Seguro libera a la aseguradora si hubo mala fe. Mira también dolo.
¿Qué plazo tengo para notificar una brecha de datos personales?
El plazo general es de 72 horas desde que tienes constancia de la brecha. Lo fija el artículo 33 del Reglamento (UE) 2016/679: el responsable del tratamiento debe notificarla a la autoridad de control sin dilación indebida y, de ser posible, en ese plazo, salvo que sea improbable que suponga un riesgo para los derechos de las personas. Si te retrasas, tienes que explicar el motivo. Cuando el riesgo para los afectados es alto, el artículo 34 obliga además a comunicárselo a ellos. La póliza no notifica por ti, pero su equipo jurídico te ayuda a valorar si procede y a redactar la comunicación, y la garantía de gastos de notificación paga el coste. Amplía en brecha de datos.
¿Cubre el ciberseguro una transferencia hecha por una estafa de suplantación?
No siempre: suele ser una garantía opcional y con un límite bastante inferior al general de la póliza. En estas estafas nadie rompe tus sistemas. Un empleado recibe un correo que imita al gerente o a un proveedor y ordena él mismo la transferencia, de modo que muchas pólizas lo tratan como fraude por ingeniería social y lo dejan fuera salvo pacto expreso. Cuando se contrata, es habitual que la aseguradora exija un procedimiento de verificación, por ejemplo confirmar por teléfono cualquier cambio de cuenta bancaria, y que rechace el siniestro si no se siguió. Pregunta también si cubre la pérdida de tus clientes cuando alguien suplanta tus facturas. Lo comparamos contigo en seguros de ciberriesgos.
¿Qué medidas de seguridad pide la aseguradora para contratar?
Las que pregunta en su cuestionario, que casi siempre giran en torno a cuatro: copias de seguridad periódicas y separadas de la red, doble factor de autenticación en el correo y en los accesos remotos, sistemas actualizados con antivirus o protección equivalente, y formación básica de la plantilla. A partir de cierto tamaño se añaden plan de respuesta, gestión de privilegios y revisión de proveedores. Lo que contestes forma parte del contrato: el artículo 10 de la Ley de Contrato de Seguro permite reducir la indemnización, o negarla si hubo dolo o culpa grave, cuando lo declarado no era cierto. Si una medida deja de aplicarse durante el año, comunícalo. Tienes el concepto general en ciberseguridad y el ramo en ciberriesgos.
¿El seguro de comercio o el de RC profesional cubren un ciberataque?
Por lo general no, o solo una parte pequeña. El multirriesgo de un negocio paga daños materiales: un incendio, un robo, una fuga de agua. Un cifrado de datos no rompe nada físico, y muchas pólizas excluyen de forma expresa los ataques informáticos. La RC profesional responde de tus errores en el servicio y a veces incluye una garantía de protección de datos, pero no paga la restauración de tus sistemas ni tu paralización. Algunas aseguradoras venden una extensión ciber dentro de esas pólizas, con límites reducidos y sin equipo de respuesta completo. Revisa en tu contrato la exclusión de riesgos cibernéticos antes de dar nada por cubierto, y compara con una póliza específica de ciberriesgos.
¿Qué hago si sufro un ciberataque y tengo póliza?
Llama primero al teléfono de respuesta a incidentes que figura en la póliza, antes de formatear equipos o contratar a un técnico por tu cuenta. Ese servicio coordina a los especialistas forenses y jurídicos, y en muchas pólizas los gastos solo se cubren si los autoriza la aseguradora. Mientras tanto, aísla los equipos afectados de la red sin apagarlos si te lo indican, no borres nada y anota horas y hechos. No pagues ni contestes a los extorsionadores sin hablar con el equipo. Además, comunica el siniestro por escrito: el artículo 16 de la Ley de Contrato de Seguro da siete días, salvo que la póliza fije un plazo más amplio. Si hay datos personales afectados, corre a la vez el plazo de notificación de la brecha de datos.
¿Cubre el seguro la pérdida de ingresos mientras los sistemas están parados?
Sí, si la póliza incluye la garantía de interrupción de negocio, que compensa el margen que dejas de ganar y los gastos extra para seguir funcionando. Tiene tres llaves que conviene mirar. La primera es el periodo de espera: unas horas iniciales de parada que corren a tu cargo, a modo de franquicia temporal. La segunda es el periodo máximo de indemnización, que se cuenta en semanas o meses. La tercera es la causa: todas cubren el ataque a tus propios sistemas, pero no todas cubren la caída de tu proveedor de nube o de tu programa de gestión, y casi ninguna el corte general de internet o de electricidad. Tendrás que acreditar la pérdida con tu contabilidad. Más detalle en seguros de ciberriesgos.
Pide un estudio de tu seguro de ciberriesgos
Déjanos tus datos y un asesor estudiará tu caso con varias aseguradoras y te llamará con las opciones. El formulario lo gestiona el servicio de solicitudes del grupo.
Usamos el comparador de la correduría Proyectos y Seguros, que guarda datos en tu navegador (cookies y almacenamiento local) para calcular tu precio. Solo lo cargamos si lo aceptas. No usamos cookies de analítica ni de publicidad. Más información sobre las cookies
