Un ciberseguro es la póliza que traslada a una aseguradora las consecuencias económicas de un incidente informático. En una pyme, las coberturas que de verdad marcan la diferencia se concentran en cinco frentes: el ransomware, el phishing y el fraude del CEO, la brecha de datos con sus obligaciones ante el RGPD, la interrupción del negocio y la responsabilidad frente a terceros.
Octubre es el Mes Europeo de la Ciberseguridad, la campaña que la Agencia de la Unión Europea para la Ciberseguridad (ENISA) coordina cada año en toda la Unión. Es la fecha ideal para revisar una pregunta que muchas pymes se hacen tarde: los riesgos que cubre un ciberseguro y cuáles de ellos deberían estar sí o sí en la póliza.
El ciberriesgo no distingue por tamaño. Una empresa pequeña puede sufrir el mismo ataque que una grande, pero con menos margen para encajarlo. Si todavía no tienes claro el producto, puedes empezar por qué es un ciberseguro y qué coberturas incluye.
Qué riesgos cubre un ciberseguro para una pyme
No todas las pólizas cubren lo mismo ni con los mismos límites. Por eso conviene distinguir entre lo que suena bien en un folleto y lo que de verdad responde cuando llega el incidente. Estos cinco riesgos concentran la mayor parte de los siniestros que sufre una empresa pequeña, y son el punto de partida para comparar coberturas.
El Instituto Nacional de Ciberseguridad (INCIBE) gestiona cada año un volumen muy alto de incidentes que afectan a empresas y autónomos en España, y buena parte se reparte precisamente entre estas categorías[1]. La póliza no evita el ataque, pero sí amortigua su coste.
| Riesgo | En qué consiste | Qué cubre la póliza |
|---|---|---|
| Ransomware | Cifrado y secuestro de los datos a cambio de un rescate | Recuperación de sistemas, gastos de extorsión y peritaje forense |
| Phishing y fraude del CEO (BEC) | Engaño por correo para desviar pagos o robar credenciales | Pérdidas por transferencia fraudulenta y gastos de investigación |
| Brecha de datos | Acceso o fuga de datos personales de clientes o empleados | Notificación, defensa jurídica y gestión ante la AEPD |
| Interrupción del negocio | Parada de la actividad por caída de sistemas | Lucro cesante y gastos adicionales durante la recuperación |
| Responsabilidad frente a terceros | Daños causados a clientes, proveedores o afectados | Indemnizaciones y defensa por reclamaciones de terceros |
Ransomware: el secuestro de datos que paraliza la empresa
Es la amenaza que más miedo genera, y con razón. Un ransomware no solo bloquea los datos: detiene la facturación, la atención al cliente y, a veces, la producción entera. ENISA sitúa el ransomware entre las principales amenazas para las organizaciones europeas en sus informes anuales de panorama de amenazas[2].
La cobertura va más allá de «pagar o no pagar». Cubre el trabajo de los técnicos que restauran los sistemas, el análisis forense que exige el propio siniestro y los gastos de comunicación. Ahí está el valor real: en una pyme sin equipo de seguridad propio, esa respuesta especializada es lo que acorta la parada.
Qué suele incluir la cobertura de ransomware
- Recuperación de sistemas y restauración de copias de seguridad.
- Peritaje forense para determinar el origen y el alcance del ataque.
- Gestión de la extorsión, con asesoramiento especializado antes de tomar decisiones.
- Gastos de notificación si el ataque ha comprometido datos personales.
Phishing y fraude del CEO (BEC): el engaño que vacía la cuenta
Aquí no hay malware sofisticado: hay un correo bien escrito y una persona con prisa. El fraude del CEO (Business Email Compromise) funciona porque imita una orden legítima, normalmente un pago a proveedor que «no puede esperar». La pérdida se produce en minutos y el dinero rara vez se recupera.
Por eso la cobertura de fraude en las transferencias es una de las que más conviene revisar. Muchas pólizas la incluyen con sublímites específicos, y ahí está la letra pequeña: un ciberseguro puede cubrir el incidente técnico pero limitar la reposición del dinero transferido. Comparar ese detalle es determinante.
Brecha de datos y RGPD: cuando se filtran datos personales
Cuando el incidente afecta a datos de clientes o empleados, el problema deja de ser solo técnico y pasa a ser legal. El Reglamento General de Protección de Datos (RGPD) exige notificar la brecha a la autoridad de control en un plazo máximo de 72 horas desde que se tiene constancia, según su artículo 33[3].
Las cifras de una sanción no son menores. El propio RGPD contempla multas de hasta 20 millones de euros o el 4 % del volumen de negocio anual global, la cifra que sea mayor[4]. La AEPD publica guías sobre cómo notificar y gestionar estas brechas.
La cobertura de brecha de datos asume los gastos que dispara ese proceso: la notificación a los afectados, el asesoramiento jurídico y la defensa ante reclamaciones. Ojo con un matiz: el seguro cubre la gestión y la defensa, pero la sanción administrativa en sí suele quedar fuera por ser una multa. Es otra razón para leer bien el clausulado.
Interrupción del negocio: el lucro cesante tras un ataque
El mayor coste de un ciberataque casi nunca es la factura del técnico. Es el tiempo. Una tienda online caída una semana, una asesoría que no puede acceder a sus expedientes o una fábrica con la producción parada acumulan pérdidas cada hora que pasa. Ese agujero es lo que cubre la garantía de pérdida de beneficios.
La cobertura calcula el lucro cesante a partir de la actividad habitual de la empresa y suele incluir un periodo de indemnización y una franquicia temporal (las primeras horas no se indemnizan). Para dimensionarla bien hay que ser realista con cuánto factura el negocio y cuánto tardaría en recuperarse. Aquí es donde el asesoramiento previo evita quedarse corto.
Responsabilidad frente a terceros: los daños a clientes y proveedores
Un ciberataque rara vez se queda dentro de la empresa. Si se filtran datos de clientes, si un proveedor sufre un perjuicio por tu sistema comprometido o si un tercero reclama por un daño derivado del incidente, esas reclamaciones tienen un coste. La responsabilidad civil es la cobertura que responde a ese frente externo.
Esta garantía distingue entre daños propios y daños a terceros, y conviene no confundirlas. Una póliza puede cubrir muy bien la recuperación de tus sistemas y, a la vez, ofrecer un límite escaso para reclamaciones de terceros. En sectores que manejan muchos datos ajenos (comercio, salud, servicios profesionales), este apartado gana peso.
Cómo encajan las cinco coberturas en una sola póliza
Tener las cinco garantías sobre el papel no significa estar bien cubierto. Lo que marca la diferencia son los límites de cada una y las exclusiones que las condicionan. Una misma prima puede esconder un sublímite de fraude muy bajo o un periodo de indemnización corto en la interrupción del negocio.
Ahí está el sentido de comparar antes de firmar. En el proceso de contratación de un ciberseguro, el cuestionario de suscripción y el análisis del riesgo son los que permiten ajustar cada cobertura. No se trata de contratar la póliza más cara, sino la que responde a los riesgos que de verdad tiene tu empresa.
En Trebia Seguros analizamos la exposición de tu empresa y comparamos la oferta de más de 25 aseguradoras para ajustar cada cobertura a tu riesgo real. Puedes consultar la información y solicitar una valoración en riesgociberseguro.com.
Preguntas frecuentes sobre los riesgos que cubre un ciberseguro
¿Qué riesgos cubre exactamente un ciberseguro para una pyme?
Cubre las pérdidas económicas de un incidente informático en cinco frentes principales: el ransomware, el phishing y fraude del CEO, la brecha de datos, la interrupción del negocio y la responsabilidad frente a terceros. Cada uno tiene su propio límite dentro de la póliza.
¿Un ciberseguro paga el rescate de un ransomware?
Depende de la póliza. Muchas cubren la gestión de la extorsión y la recuperación de los sistemas, y algunas incluyen los gastos del rescate dentro de un sublímite específico. Conviene revisar esa condición, porque el mayor coste suele ser la parada de la actividad, no el rescate en sí.
¿Cubre el ciberseguro una multa del RGPD?
El ciberseguro cubre la gestión de la brecha, la notificación a los afectados y la defensa jurídica ante la AEPD. La sanción administrativa en sí, por su naturaleza de multa, suele quedar excluida. El RGPD prevé sanciones de hasta 20 millones de euros o el 4 % de la facturación anual.
¿Qué es el fraude del CEO y lo cubre la póliza?
El fraude del CEO, o BEC, es el engaño por correo en el que alguien suplanta a un directivo para ordenar una transferencia. Muchas pólizas cubren la pérdida por transferencia fraudulenta, pero con sublímites y condiciones (como la verificación por doble canal) que conviene comprobar.
¿Qué diferencia hay entre daños propios y responsabilidad frente a terceros?
Los daños propios son las pérdidas de la propia empresa (recuperar sistemas, lucro cesante). La responsabilidad frente a terceros cubre lo que la empresa pueda tener que indemnizar a clientes, proveedores u otros afectados por las consecuencias del incidente.
¿Mi pyme necesita todas estas coberturas?
No todas pesan igual en cada negocio. Una tienda online da más importancia a la interrupción del negocio; una asesoría que trata muchos datos, a la brecha de datos y la responsabilidad civil. Un análisis del riesgo permite dimensionar cada cobertura según la actividad real.
¿Por qué octubre es un buen momento para revisar el ciberseguro?
Octubre es el Mes Europeo de la Ciberseguridad, la campaña que ENISA coordina cada año en toda la Unión Europea. Es una fecha de referencia para que las empresas revisen sus medidas de protección y comprueben si su póliza cubre los riesgos a los que están expuestas.
Fuentes
- INCIBE — Instituto Nacional de Ciberseguridad de España. incibe.es.
- ENISA — Agencia de la Unión Europea para la Ciberseguridad, «ENISA Threat Landscape». enisa.europa.eu.
- Reglamento (UE) 2016/679 (RGPD), artículo 33, notificación de una violación de la seguridad a la autoridad de control. eur-lex.europa.eu.
- Reglamento (UE) 2016/679 (RGPD), artículo 83, condiciones generales para la imposición de multas administrativas. eur-lex.europa.eu.
- Agencia Española de Protección de Datos (AEPD), brechas de seguridad de los datos personales. aepd.es.
- Ley 50/1980, de 8 de octubre, de Contrato de Seguro. Boletín Oficial del Estado. boe.es.