Un incidente informático deja tres facturas a la vez: la de parar, la de responder y la de responder ante terceros. La póliza se estructura sobre esas tres, no sobre una.
El seguro de ciberriesgo no es una cobertura, son tres que se contratan juntas. Los daños propios responden de lo que le cuesta a usted el incidente: restaurar datos y sistemas, el beneficio que deja de ingresar mientras no produce, y el pago de una extorsión si se decide afrontarla. La responsabilidad frente a terceros responde de lo que le reclaman después: clientes, proveedores y afectados por una brecha de datos. Y los servicios de respuesta cubren el trabajo de las primeras horas: forense, asesoría jurídica y comunicación.
En la práctica, el bloque que más se usa es el tercero. Una empresa mediana no tiene un equipo forense de guardia ni un despacho especializado en protección de datos disponible un domingo por la noche, y el reloj del RGPD empieza a correr desde que se tiene constancia del incidente, no desde que se decide actuar. Ese acceso inmediato suele valer más que el límite indemnizatorio de la póliza.
Hable con un técnico: 932 419 400
Un incidente informático no genera un coste, genera tres a la vez, y llegan en momentos distintos. El primero es la parada: mientras los sistemas no funcionan, la empresa no factura. El segundo es la respuesta: forense, asesoría jurídica, comunicación, restauración. El tercero llega semanas o meses después, cuando reclaman los terceros afectados. Una póliza de ciberriesgo está construida sobre esa secuencia, y por eso se contrata por bloques y no por un único límite.
Lo que ordena los tres bloques no es la técnica, es el calendario legal.
El artículo 33.1 del Reglamento General de Protección de Datos obliga a notificar la violación de seguridad a la autoridad de control en un plazo de 72 horas desde que se tiene constancia de ella, salvo que sea improbable que entrañe un riesgo para los derechos y libertades de las personas físicas. Si el riesgo para los afectados es alto, el artículo 34 obliga además a comunicárselo a ellos sin dilación indebida.
Ese plazo corre desde la constancia del incidente, no desde que se decide actuar, y para redactar la notificación hace falta saber ya qué ha pasado y a cuántas personas afecta. De ahí que la garantía más utilizada de la póliza no sea la indemnizatoria, sino el acceso inmediato a un equipo forense y a un despacho especializado.
Conviene además distinguir dos tramos sancionadores que suelen confundirse. Incumplir la obligación de notificar se sanciona por la vía del artículo 83.4: hasta 10 millones de euros o el 2 % del volumen de negocio total anual global, la cuantía que sea mayor. Vulnerar los principios del tratamiento o los derechos de los interesados va por el artículo 83.5, que eleva el máximo a 20 millones o el 4 %. El desarrollo completo está en qué hacer ante una brecha de datos.
Como correduría inscrita en el registro de la Dirección General de Seguros y Fondos de Pensiones con la clave J0140, New Brokers trabaja por mandato del cliente. En ciberriesgo eso se concreta en dos momentos.
El primero es el cuestionario de suscripción. A diferencia de otras líneas, aquí la aseguradora no tarifica sobre siniestralidad histórica sino sobre los controles que usted declara tener, y esa declaración pasa a formar parte del contrato. Revisarla con criterio técnico antes de firmar evita el rechazo más frecuente del ramo.
El segundo es la comparación de condicionados, que en ciberriesgo es especialmente desigual: la definición de incidente, el alcance real del servicio de respuesta, la franquicia temporal de la interrupción y la redacción de la exclusión de ciberguerra varían tanto entre compañías que dos pólizas del mismo precio pueden cubrir cosas muy distintas. La comparación de garantías está en qué cubre un seguro de ciberriesgo.
El acceso a un equipo de respuesta desde el momento en que se detecta el incidente. Es la garantía que más se utiliza y la que decide la calidad de las primeras cuarenta y ocho horas.
La investigación técnica que determina qué ocurrió, por dónde entraron, qué datos se vieron afectados y a cuántas personas. Sin ese dato no puede redactarse la notificación que exige la norma.
La asistencia legal para decidir y documentar si procede notificar a la autoridad de control y si el riesgo para los afectados obliga a comunicárselo también a ellos.
El coste de reconstruir la información y devolver los sistemas a su estado anterior. Cubre la restauración, no la mejora: lo que se instale por encima del estado previo corre por su cuenta.
El margen que deja de obtener mientras la operación está detenida, más los gastos adicionales en que incurre para seguir funcionando. La franquicia aquí se pacta en horas.
La gestión de la extorsión, el asesoramiento en la negociación y, cuando la póliza lo prevé y la ley del caso lo permite, el pago del rescate.
Las reclamaciones de clientes, empleados o terceros cuyos datos personales se han visto comprometidos, incluidas las acciones colectivas.
Los gastos de defensa ante un procedimiento sancionador y, donde sean legalmente asegurables, las sanciones impuestas. Su asegurabilidad depende de la jurisdicción.
El desvío de un pago provocado por la suplantación de un directivo o un proveedor. Se contrata como garantía expresa y suele llevar sublímite propio y requisitos de verificación.
El apoyo profesional para sostener un mensaje coherente ante clientes, empleados, medios y la propia autoridad mientras dura el incidente.
| Obligación o sanción | Lo que establece la norma |
|---|---|
| Notificación a la autoridad de control (art. 33.1) | 72 horas desde que se tiene constancia |
| Comunicación a los afectados (art. 34.1) | Sin dilación indebida, si el riesgo es alto |
| No notificar la brecha (art. 83.4) | Hasta 10 M€ o el 2 % del negocio global |
| Vulnerar principios y derechos (art. 83.5) | Hasta 20 M€ o el 4 % del negocio global |
Los plazos e importes de esta tabla son los que fija el Reglamento General de Protección de Datos y operan como obligación legal y como máximos sancionadores, no como condiciones de una póliza. En las dos sanciones se aplica la cuantía mayor entre el importe fijo y el porcentaje. El alcance de cada garantía y la asegurabilidad de una sanción se rigen en todo caso por las condiciones particulares de cada póliza y por la jurisdicción aplicable.
Nueva contratación
Analizamos su actividad y su exposición real antes de pedir precio a mercado.
Solicitar propuestaYa es cliente
Sus certificados, pólizas y solicitudes están disponibles en el área de clientes.
Acceder al área de clientesLas exclusiones de una póliza de ciberriesgo se concentran en un punto: la aseguradora acepta el incidente imprevisto, no el deterioro conocido y no corregido.
Los incidentes que aprovechan vulnerabilidades conocidas y no corregidas, o sistemas fuera de soporte del fabricante. Es la exclusión que más rechazos provoca.
El incumplimiento de las medidas de seguridad que el asegurado declaró tener al contratar. El cuestionario de suscripción forma parte del contrato.
Los actos dolosos o fraudulentos del propio asegurado o de su dirección.
La ciberguerra y los actos atribuibles a un Estado, con redacciones que varían mucho entre compañías y conviene leer una a una.
El fallo generalizado de infraestructura pública de internet o de suministro eléctrico, salvo garantía expresa.
La mejora de los sistemas por encima de su estado anterior al incidente.
La pérdida de valor de la propiedad intelectual o de un secreto empresarial sustraído, distinta del coste de responder al incidente.
El daño reputacional como concepto autónomo, si no se ha contratado la garantía de comunicación de crisis.
Las sanciones que la jurisdicción aplicable declare no asegurables.
Un cifrado masivo deja inoperativos los sistemas de gestión y de planta. La empresa puede restaurar desde copia, pero la restauración completa llevará días y la producción está parada.
Qué implica
Operan a la vez tres garantías: la gestión del incidente para contener y decidir, la restauración de datos, y la pérdida de beneficios por el tiempo de parada. La franquicia temporal de esta última determina a partir de qué hora empieza a contar la indemnización.
Un acceso no autorizado expone datos personales de miles de clientes. Hay que determinar el alcance, decidir si se notifica y preparar la comunicación en un plazo muy corto.
Qué implica
El forense fija los hechos, la asesoría jurídica decide y documenta la notificación, y la garantía de responsabilidad responde de las reclamaciones posteriores. La decisión de no notificar también hay que documentarla: la ausencia de análisis es en sí misma un incumplimiento.
Un correo que imita a un directivo o a un proveedor habitual consigue que el departamento financiero modifique unas coordenadas bancarias y ejecute un pago.
Qué implica
Aquí no hay intrusión técnica ni brecha de datos: hay un engaño. Esta pérdida solo se cubre si se ha contratado la garantía específica de fraude por suplantación, que la póliza base no incluye por defecto.
Revisamos qué datos trata, de cuántas personas, qué dependencia operativa tiene de sus sistemas y qué pasaría con la facturación si se detuvieran durante una jornada, tres o una semana.
Es el punto crítico. Lo que se declara sobre copias de seguridad, autenticación, segmentación y actualización condiciona la cobertura, y una declaración imprecisa se convierte en un rechazo en el siniestro.
Comparamos la definición de incidente, el alcance del servicio de respuesta, la franquicia temporal de la interrupción y la redacción de la exclusión de ciberguerra, no solo el límite y la prima.
Le facilitamos el protocolo de aviso para que el equipo sepa a quién llamar la primera hora, y le representamos ante la aseguradora mientras dura la gestión del siniestro.
Un incidente grave puede derivar en reclamaciones personales contra administradores por falta de diligencia en la supervisión de la seguridad.
Si el incidente afecta al servicio que usted presta a un cliente, la frontera entre el perjuicio económico profesional y el daño cibernético hay que dejarla escrita.
La póliza de daños suele excluir el daño a datos y la interrupción de origen informático. Es el solapamiento que con más frecuencia deja un hueco.
La RC general excluye el perjuicio económico puro sin daño material, que es exactamente la forma que toma la mayoría de reclamaciones por brecha de datos.
Una brecha con afectados en varios países activa varias autoridades de control a la vez, con plazos y criterios propios.
Muchas pólizas incluyen la garantía de ciberextorsión, que comprende el asesoramiento en la negociación y, cuando el condicionado lo prevé, el pago del rescate. No es automático: depende de que la garantía esté contratada, de que se sigan los protocolos que exige la aseguradora y de que el pago sea lícito conforme a la normativa aplicable, incluidas las listas de sanciones internacionales. El alcance concreto se rige por las condiciones particulares de cada póliza.
El artículo 33.1 del Reglamento General de Protección de Datos fija un plazo de 72 horas desde que el responsable tiene constancia de la violación de seguridad, salvo que sea improbable que suponga un riesgo para los derechos y libertades de las personas. Si se notifica más tarde, hay que acompañar los motivos de la dilación. Cuando el riesgo para los afectados sea alto, el artículo 34 obliga además a comunicárselo a ellos sin dilación indebida.
Depende de la jurisdicción y del condicionado. Muchas pólizas ofrecen la cobertura de sanciones administrativas allí donde sean legalmente asegurables, y en todo caso cubren los gastos de defensa del procedimiento. Conviene distinguir dos tramos: no notificar una brecha se sanciona conforme al artículo 83.4, con hasta 10 millones de euros o el 2 % del volumen de negocio anual global; vulnerar los principios del tratamiento o los derechos de los interesados va al artículo 83.5, con hasta 20 millones o el 4 %. En ambos casos se aplica la cuantía mayor.
No. La Directiva (UE) 2022/2555, conocida como NIS2, no impone la contratación de un seguro. Lo que hace es elevar las exigencias de gestión de riesgos y reforzar la responsabilidad de los órganos de dirección de las entidades incluidas en su ámbito. Esa mayor exigencia sobre la dirección es la que conecta el ciberriesgo con la póliza de D&O.
Porque en ciberriesgo la suscripción se hace sobre controles, no sobre siniestralidad pasada. Lo que declare sobre copias de seguridad, autenticación multifactor, segmentación de red y actualización de sistemas forma parte del contrato. Una declaración imprecisa no solo encarece la prima: se convierte en el motivo de rechazo cuando ocurre el incidente. Revisar ese cuestionario con detalle es parte de nuestro trabajo.
La descripción de su infraestructura y de los servicios críticos, el volumen y tipo de datos personales que trata, la facturación anual, el detalle de sus medidas de seguridad y política de copias, y si dispone de ella, la póliza vigente con sus condiciones particulares y el cuestionario que se cumplimentó.
Ante una brecha de datos, el RGPD obliga a notificar a la AEPD en 72 horas y, si hay alto riesgo, a los afectados. Le explicamos las obligaciones y cómo el ciberseguro financia la respuesta.
Leer→
El seguro de ciberseguridad protege a la empresa frente a un ciberataque en dos bloques: los daños propios y la responsabilidad frente a terceros. Le explicamos su alcance.
Leer→Información orientativa, sin carácter vinculante. Las coberturas, límites y exclusiones se rigen en todo caso por las condiciones particulares de cada póliza. New Brokers Correduría de Seguros, S.L., inscrita en el registro de la DGSFP con la clave J0140.