Bróker de seguros de ciberriesgos

Paquete de ciberriesgos para autónomos y micropymes

Póliza cerrada, con un cuestionario corto y límites ya definidos entre los que eliges. Reúne en un solo contrato la respuesta a incidentes, la restauración de datos, la responsabilidad por fuga de información y, casi siempre, la extorsión. No se negocia cláusula a cláusula: los sublímites vienen dados, y garantías como la pérdida de beneficios o el fraude por transferencia pueden ser reducidas u opcionales.

Para quién: Autónomos, despachos, clínicas pequeñas, tiendas y negocios con facturación moderada que quieren una cobertura completa sin un proceso largo.

Póliza a medida para pymes

A partir de cierta facturación o de cierto volumen de datos, la aseguradora pide un cuestionario técnico detallado y fija precio y condiciones a la vista de las respuestas. A cambio puedes ajustar el límite por siniestro, la franquicia, el periodo de indemnización de la paralización y las extensiones a proveedores. Lo que no hace es cubrir a quien no acredita unas medidas mínimas de seguridad.

Para quién: Empresas con comercio electrónico, datos sensibles, varios centros de trabajo o una dependencia fuerte de sus sistemas.

Programas para medianas y grandes empresas

Coberturas con límites altos que a veces se reparten entre varias aseguradoras por capas. Incluyen un análisis previo de la seguridad y cláusulas negociadas sobre filiales, otros países y proveedores críticos. La aseguradora puede condicionar la oferta a corregir vulnerabilidades concretas.

Para quién: Sociedades con filiales, grupos con actividad internacional y empresas de sectores regulados o con infraestructuras críticas.

Cobertura solo de daños propios

Algunas pólizas se limitan al bloque de primera parte: equipo de respuesta, investigación forense, restauración de datos y sistemas, extorsión y pérdida de beneficios. Dejan fuera las reclamaciones de terceros: si un cliente te demanda por la fuga de sus datos, dependerías de otra póliza que con frecuencia tampoco lo cubre.

Para quién: Negocios que apenas tratan datos de terceros pero que no pueden permitirse una parada de sus sistemas, como talleres o industrias pequeñas.

Cobertura solo de responsabilidad frente a terceros

El enfoque contrario: la póliza paga indemnizaciones y gastos de defensa por violación de datos, fallos de seguridad de red o contenidos publicados, pero no reconstruye tus sistemas ni compensa tus días sin facturar.

Para quién: Empresas que ya tienen resuelta la continuidad con medios propios y quieren proteger su patrimonio frente a reclamaciones.

Extensión ciber dentro de otra póliza

Garantía añadida a un multirriesgo de comercio, de oficina o de pyme, o a una RC profesional. Tiene un sublímite pequeño, cubre pocos supuestos (lo habitual es restauración de datos y algo de responsabilidad) y rara vez trae un servicio de respuesta completo. No equivale a una póliza específica.

Para quién: Negocios con poca exposición digital que quieren una primera protección sin contratar otro seguro.

Garantía opcional de fraude y transferencia de fondos

Módulo que se añade a cualquiera de las anteriores para cubrir el dinero perdido por suplantación de identidad, facturas falsas o manipulación de órdenes de pago. Va aparte porque aquí el sistema no falla: es una persona de la empresa la que paga engañada. Lleva sublímite propio y condiciones de verificación.

Para quién: Empresas que pagan a proveedores por transferencia con frecuencia o cuyo departamento de administración recibe instrucciones por correo.

Servicio de respuesta a incidentes las 24 horas

Es la pieza que más valor tiene para una pyme. Un teléfono de emergencia activa a un coordinador, a técnicos de ciberseguridad, a abogados de protección de datos y, si hace falta, a especialistas en comunicación. Comprueba si esos gastos consumen el límite de la póliza o van aparte.

Investigación forense y restauración de datos y sistemas

Paga el análisis de cómo entró el atacante y qué tocó, la limpieza de los equipos y la recuperación de datos y programas a partir de las copias. Si no hay copia válida, la póliza cubre el coste de intentar reconstruir la información, no la información en sí. Los equipos inutilizados solo entran en algunos contratos.

Extorsión cibernética y ransomware

Cubre los gastos de los expertos que gestionan una amenaza de cifrado o de publicación de datos. El reembolso del rescate en un ataque de ransomware depende de cada póliza: cuando existe, exige consentimiento previo de la aseguradora, tiene sublímite y no procede si el pago está prohibido por la ley o por sanciones internacionales.

Pérdida de beneficios por interrupción del negocio

Compensa el margen que dejas de ingresar y los gastos extraordinarios para seguir operando mientras los sistemas están caídos. La pérdida de beneficios cibernética tiene reglas propias.

Gastos de notificación y gestión de la brecha

Tras una brecha de datos hay que valorar si se notifica a la autoridad de control y a los afectados. La póliza paga el asesoramiento jurídico, el envío de las comunicaciones, un centro de atención de llamadas y, según el contrato, servicios de vigilancia de identidad para las personas afectadas.

Responsabilidad por violación de datos y de la privacidad

Es la responsabilidad civil frente a clientes, empleados o proveedores cuyos datos personales o información confidencial se han perdido, robado o difundido estando bajo tu custodia. Incluye indemnizaciones y gastos de defensa. Pregunta si alcanza a los datos que tratas por encargo de otros y a los que guarda por ti un tercero.

Responsabilidad por seguridad de red

Responde cuando un fallo en tus sistemas causa un perjuicio a otro: transmites un programa malicioso a un cliente, tu servidor se usa para atacar a terceros o un acceso no autorizado a tu red impide a alguien usar un servicio que le prestas.

Responsabilidad por contenidos digitales

Cubre reclamaciones por lo que publicas en tu web o en tus redes: difamación, vulneración de derechos de autor o de marca, o intromisión en la intimidad. No todas las pólizas la incluyen y casi ninguna cubre las patentes.

Procedimientos regulatorios y sanciones

Paga la defensa jurídica en una investigación de la autoridad de protección de datos. Sobre las multas, las pólizas suelen comprometerse solo cuando sean legalmente asegurables, una condición que no tiene hoy una respuesta cerrada.

Fraude por suplantación y transferencia de fondos

Garantía habitualmente opcional que cubre el dinero transferido por engaño, el uso fraudulento de tu banca electrónica o el fraude telefónico. Su límite es bastante más bajo que el general y la aseguradora puede exigir doble verificación de los pagos como condición.

Guerra, ciberguerra y ataques atribuidos a Estados

Las pólizas excluyen los daños derivados de una guerra y, cada vez con más detalle, las operaciones cibernéticas atribuidas a un Estado que causen un impacto grave. Es una exclusión de redacción delicada: conviene leer quién decide la atribución y qué pasa con las empresas que no eran el objetivo.

Incidentes y fallos conocidos antes de contratar

Lo que ya sabías al firmar no es un riesgo, es un hecho. Quedan fuera las intrusiones detectadas antes del inicio de la póliza, las vulnerabilidades que te habían comunicado y no corregiste, y las reclamaciones ya anunciadas. La fecha de retroactividad marca desde cuándo se aceptan hechos anteriores desconocidos.

Mejoras del sistema respecto a su estado anterior

El seguro te devuelve a la situación previa al incidente. Si aprovechas para comprar servidores más potentes, cambiar de programa o rediseñar la red, la diferencia es a tu cargo. Algunas pólizas admiten una pequeña mejora cuando es la única forma razonable de reparar.

Caída de servicios públicos e infraestructuras ajenas

Un corte general de electricidad, de internet o de telecomunicaciones que no nace en tus sistemas ni en los de un proveedor cubierto no es un siniestro de la póliza, aunque te deje sin trabajar.

Daños materiales y lesiones a personas

El ciberseguro cubre pérdidas económicas y datos. Si un ataque provoca un incendio, una avería física o un daño corporal, lo normal es que la póliza lo excluya y haya que acudir al seguro de daños o al de responsabilidad civil general.

Actos intencionados del asegurado o de sus directivos

No se cubre lo que la propia empresa provoca a sabiendas. El dolo de un empleado sin cargo directivo sí suele estar cubierto frente a la empresa, porque para ella es un hecho ajeno a su voluntad.

Incumplimiento de las medidas de seguridad declaradas

Si contestaste que hacías copias diarias o que tenías doble factor en el correo y no era así, la aseguradora puede reducir o rechazar el pago.

Notificación de la brecha en 72 horas

Ninguna norma obliga con carácter general a contratar un seguro de ciberriesgos. Lo que sí es obligatorio es reaccionar: el artículo 33 del Reglamento (UE) 2016/679, Reglamento general de protección de datos, exige al responsable del tratamiento notificar la violación de seguridad a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de tener constancia de ella, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Si se pasa el plazo, hay que justificar el retraso.

Comunicación a las personas afectadas

Cuando sea probable que la brecha entrañe un alto riesgo para las personas, el artículo 34 del Reglamento obliga a comunicársela a ellas sin dilación indebida y en lenguaje claro.

Multas del Reglamento y si pueden asegurarse

El artículo 83 prevé multas de hasta 10 millones de euros o el 2 % del volumen de negocio anual global, la cifra mayor, por incumplir obligaciones como la seguridad del tratamiento o la notificación de brechas (apartado 4), y de hasta 20 millones de euros o el 4 % en las infracciones más graves (apartado 5). Que una multa administrativa pueda trasladarse a un seguro es una cuestión discutida, y por eso las pólizas la condicionan a que sea legalmente asegurable. En todo caso, el artículo 19 de la Ley 50/1980, de Contrato de Seguro, libera a la aseguradora cuando el siniestro se causa por mala fe del asegurado.

Indemnización a los afectados y delimitación temporal

El artículo 82 del Reglamento reconoce a toda persona que sufra daños materiales o inmateriales por una infracción el derecho a ser indemnizada por el responsable o el encargado. Estas pólizas suelen funcionar por reclamaciones, con cláusulas claims made que el artículo 73 de la Ley de Contrato de Seguro admite como limitativas con periodos mínimos de un año.

Directiva NIS2 y obligaciones de ciberseguridad

La Directiva (UE) 2022/2555, conocida como NIS2, impone a las entidades que califica de esenciales e importantes medidas de gestión de riesgos y la notificación de incidentes significativos. Su alcance en España depende de la norma nacional que la incorpore. El seguro no sustituye a esas obligaciones: paga consecuencias, no cumple por ti.