El único sector donde el producto que se entrega no ocupa espacio, el daño no deja huella física y la reclamación llega, casi siempre, en forma de perjuicio puramente económico.
Una empresa tecnológica tiene un perfil de riesgo invertido respecto al de una industrial. Sus activos físicos son modestos y reemplazables; lo valioso es el código, los datos que custodia por cuenta de terceros y la continuidad del servicio que ha prometido por contrato. Por eso las coberturas clásicas de daños cubren poco de lo que de verdad puede pasar, y el peso se desplaza hacia el ciberriesgo y hacia la responsabilidad por el servicio prestado.
La segunda particularidad es la posición jurídica. En la mayoría de contratos B2B, la tecnológica actúa como encargada del tratamiento de datos personales de su cliente: no decide sobre esos datos, pero responde de cómo los trata y de lo que ocurra con ellos. Esa condición traslada a su balance una parte del riesgo regulatorio de cada cliente que atiende, multiplicada por el número de clientes.
Hable con un técnico: 932 419 400
Una empresa tecnológica invierte el perfil de riesgo habitual. Sus activos físicos son modestos y reemplazables; lo valioso es el código, los datos que custodia por cuenta de terceros y la continuidad de un servicio que ha prometido por contrato. De ahí que las coberturas clásicas de daños cubran poco de lo que de verdad puede pasar.
En la mayoría de contratos B2B la tecnológica actúa como encargada del tratamiento: no decide sobre los datos personales, pero responde de cómo los trata. Y eso tiene una consecuencia poco intuitiva: una sola brecha en su infraestructura activa la obligación de notificar de todos y cada uno de los clientes afectados.
El Reglamento General de Protección de Datos da 72 horas desde que se tiene constancia para notificar a la autoridad de control, y obliga a comunicarlo sin dilación indebida a los afectados cuando el riesgo para ellos sea alto. Ese reloj corre para el responsable —el cliente—, pero quien tiene los hechos y el forense es el proveedor. Los contratos de encargo suelen trasladar la consecuencia hacia atrás.
Conviene además distinguir dos tramos sancionadores que casi todo el contenido comercial confunde: no notificar se sanciona por el artículo 83.4, con hasta 10 millones o el 2 % del negocio global; vulnerar los principios o los derechos va al 83.5, con hasta 20 millones o el 4 %.
El fallo de una implantación, un error de cálculo en un algoritmo o una migración mal ejecutada producen perjuicio económico puro: sobrecostes, retrasos, procesos que hay que rehacer. Ninguna póliza de responsabilidad civil general responde de eso, porque lo excluye por definición.
Y hay una frontera que conviene dejar escrita en el contrato antes que en la póliza: las penalizaciones por incumplir un acuerdo de nivel de servicio son riesgo comercial, no daño asegurable, y las pólizas las excluyen. Lo asegurable es el perjuicio que el fallo causa más allá de la penalización pactada.
Cuando la empresa concurre a licitación pública, tres exigencias llegan juntas y con plazo: la adecuación al Esquema Nacional de Seguridad, la garantía definitiva, y un certificado de responsabilidad civil con límites mínimos y con la redacción exacta que pida el pliego. Las dos últimas se resuelven en el programa de seguros; la primera, no, pero llega en el mismo sobre.
Como correduría inscrita en el registro de la Dirección General de Seguros y Fondos de Pensiones con la clave J0140, New Brokers trabaja por mandato del cliente, no por cuenta de ninguna aseguradora.
En tecnología el trabajo empieza antes de la póliza: en los contratos con clientes. Es ahí donde se fija qué responsabilidad se asume, qué penalizaciones se aceptan y qué obligaciones de protección de datos se trasladan. Un programa de seguros que no se ha leído junto a esos contratos cubre un riesgo distinto del que la empresa ha firmado.
El compromiso de información que la empresa custodia por cuenta de terceros. Multiplica el riesgo regulatorio por el número de clientes atendidos y activa plazos muy cortos.
La caída que incumple el acuerdo de nivel de servicio, con penalizaciones contractuales que rara vez cubre una póliza y que conviene distinguir del daño asegurable.
El fallo funcional que causa al cliente una pérdida económica sin daño material. Es la exposición central y la que la responsabilidad civil general excluye.
El cifrado que detiene no solo la operación propia sino la de las empresas que dependen del servicio, con efecto en cascada.
La caída de un proveedor de infraestructura del que depende todo el servicio, cuya interrupción no ocurre en instalaciones propias y exige garantía expresa.
Las reclamaciones por uso indebido de código, licencias incompatibles en dependencias o infracción de marca en el producto entregado.
Las decisiones de gestión en compañías con rondas de inversión y consejo, donde la entrada de un fondo suele traer exigencia de cobertura de administradores.
El modelo de suscripción concentra facturación recurrente en pocas cuentas, y un impago relevante compromete la caja antes que la cuenta de resultados.
Las obligaciones que, en este sector, disparan la contratación de una cobertura concreta.
| Norma | Qué obliga |
|---|---|
| Reglamento General de Protección de Datos, arts. 33 y 34 — Consultar la norma | Obliga a notificar la violación de seguridad a la autoridad de control en 72 horas desde que se tiene constancia, salvo que sea improbable que entrañe riesgo para los derechos y libertades, y a comunicarla sin dilación indebida a los afectados cuando el riesgo para ellos sea alto. |
| Reglamento General de Protección de Datos, art. 83 — Consultar la norma | Distingue dos tramos sancionadores que suelen confundirse: no notificar una brecha se sanciona por el artículo 83.4, con hasta 10 millones de euros o el 2 % del volumen de negocio anual global; vulnerar los principios del tratamiento o los derechos de los interesados va al 83.5, con hasta 20 millones o el 4 %. Se aplica la cuantía mayor. |
| Real Decreto 311/2022, Esquema Nacional de Seguridad — Consultar la norma | Regula el Esquema Nacional de Seguridad en el ámbito de la administración electrónica. Alcanza a los proveedores tecnológicos que prestan servicios al sector público, cuya certificación o adecuación condiciona el acceso a esos contratos. |
| Ley 34/2002, de servicios de la sociedad de la información — Consultar la norma | Establece las obligaciones de información, comunicaciones comerciales y contratación electrónica de los prestadores de servicios de la sociedad de la información, además del régimen de responsabilidad de intermediarios. |
| Directiva (UE) 2022/2555, NIS2 — Consultar la norma | No impone contratar un seguro. Eleva las exigencias de gestión de riesgos de ciberseguridad y refuerza la responsabilidad de los órganos de dirección de las entidades incluidas en su ámbito, que es lo que conecta el ciberriesgo con la póliza de administradores. |
Nueva contratación
Analizamos su actividad y su exposición real antes de pedir precio a mercado.
Solicitar propuestaYa es cliente
Sus certificados, pólizas y solicitudes están disponibles en el área de clientes.
Acceder al área de clientesUn incidente en la infraestructura de la tecnológica expone datos personales de varios de sus clientes, que son quienes ostentan la condición de responsables del tratamiento.
Qué implica
El reloj de las 72 horas corre para el responsable, pero quien tiene los hechos es el encargado. La calidad y la velocidad del forense determinan si el cliente puede cumplir su obligación, y el contrato entre ambos suele trasladar esa consecuencia a la tecnológica.
Una migración mal ejecutada obliga al cliente a rehacer procesos, contratar horas externas y retrasar su propio lanzamiento.
Qué implica
No hay daño físico, así que la responsabilidad civil general no responde. Es terreno de la RC profesional, y la partida más discutida suele ser si la póliza cubre solo el daño causado o también la rectificación del propio trabajo.
La empresa concurre a una licitación pública en la que se exige adecuación al Esquema Nacional de Seguridad y, en el mismo pliego, garantía definitiva y límites mínimos de responsabilidad civil.
Qué implica
Las tres exigencias llegan juntas y con plazo. La garantía se instrumenta por caución sin consumir línea bancaria, y el certificado de responsabilidad civil debe emitirse con la redacción exacta que pida el pliego.
Es la línea central del sector: brecha de datos, ransomware, interrupción y el acceso a un equipo forense y jurídico en las primeras horas.
Responde del perjuicio económico que un error de desarrollo o de implantación causa al cliente, que la RC general excluye por definición.
La entrada de un inversor o de un fondo trae casi siempre la exigencia de cobertura para el consejo como condición para incorporarse.
Cubre oficinas y equipamiento, pero exige normalmente daño material previo: la interrupción de origen informático no la activa.
Protege el cobro en modelos de suscripción con facturación concentrada, y cubre las garantías que exigen los pliegos del sector público.
Un producto que se vende en varios países somete a la empresa a regímenes de protección de datos y de responsabilidad muy distintos.
El núcleo son dos contratos: ciberriesgo, que cubre la brecha de datos, el ransomware y la interrupción, y responsabilidad civil profesional, que responde del perjuicio económico que un error de desarrollo o implantación causa al cliente. A partir de ahí se añaden D&O si hay consejo o inversores, crédito y caución si se vende al sector público o con facturación concentrada, y daños materiales por las oficinas. El alcance de cada uno se rige por las condiciones particulares de cada póliza.
Sí, y de una forma particular: el plazo de notificación corre para el responsable —su cliente— pero quien tiene los hechos y el forense es usted. En la práctica, los contratos de encargo trasladan buena parte de esa consecuencia al proveedor, de modo que una brecha en su infraestructura se convierte en exposición contractual frente a tantos clientes como tenga. Es el motivo por el que el riesgo regulatorio se multiplica en este sector.
Normalmente no. Las penalizaciones contractuales pactadas son riesgo comercial, no daño asegurable, y las pólizas suelen excluirlas de forma expresa. Lo que sí puede cubrirse es el perjuicio económico que el fallo causa al cliente más allá de la penalización, y los costes de respuesta al incidente. Distinguir ambas cosas al negociar los contratos con clientes es tan importante como la propia póliza.
El Real Decreto 311/2022 regula el Esquema Nacional de Seguridad en el ámbito de la administración electrónica, y su alcance llega a los proveedores tecnológicos que prestan servicios al sector público. En la práctica, la adecuación o certificación se convierte en requisito de acceso a esos contratos, y llega en el mismo pliego que las garantías y los límites mínimos de responsabilidad civil.
No. La Directiva (UE) 2022/2555 no impone contratar seguro alguno. Lo que hace es elevar las exigencias de gestión de riesgos de ciberseguridad y reforzar la responsabilidad de los órganos de dirección de las entidades incluidas en su ámbito. Esa mayor exigencia sobre la dirección es justamente lo que conecta el ciberriesgo con la póliza de administradores.
La descripción de los servicios y del producto, el volumen y tipo de datos personales que trata y por cuenta de cuántos clientes, la infraestructura y los proveedores cloud de los que depende, sus medidas de seguridad y política de copias, los contratos tipo con clientes con sus acuerdos de nivel de servicio, y la facturación con su concentración por cliente.
Ante una brecha de datos, el RGPD obliga a notificar a la AEPD en 72 horas y, si hay alto riesgo, a los afectados. Le explicamos las obligaciones y cómo el ciberseguro financia la respuesta.
Leer→
El seguro de ciberseguridad protege a la empresa frente a un ciberataque en dos bloques: los daños propios y la responsabilidad frente a terceros. Le explicamos su alcance.
Leer→Información orientativa, sin carácter vinculante. Las coberturas, límites y exclusiones se rigen en todo caso por las condiciones particulares de cada póliza. New Brokers Correduría de Seguros, S.L., inscrita en el registro de la DGSFP con la clave J0140.