Seguro de ciberriesgo pymes: qué cubre y qué exigen

Si estás valorando un seguro de ciberriesgo, o ya tienes uno guardado en un cajón, lo que decide si te sirve no es el folleto: son las exclusiones y los requisitos de seguridad que la aseguradora comprueba el día que reclamas. Aquí te explico qué cubre de verdad una póliza para pymes, qué te van a preguntar antes de firmar, qué cláusulas dejan una reclamación sin pagar y cómo llegar a la contratación con los deberes hechos, para que un incidente no acabe en un «no procede».

Qué cubre de verdad una póliza de ciberriesgo

Un seguro de ciberriesgo no evita el ataque: paga (parte de) lo que cuesta el ataque. Y lo que cuesta un incidente casi nunca es lo que la gente imagina. No es «me han robado dinero de la cuenta»; es la factura de la gente que tiene que investigar qué ha pasado, el negocio que dejas de hacer mientras la web está caída y las reclamaciones de terceros si por el camino se han filtrado datos.

Las pólizas serias cubren, en mayor o menor medida, estos frentes:

Respuesta al incidente: el análisis forense, la contención y la limpieza. Es la partida que primero necesitas y la que menos gente tiene provisionada.
Recuperación de sistemas y datos: horas de técnico para restaurar servidores, copias y configuraciones.
Pérdida de beneficios (lucro cesante): lo que dejas de facturar mientras la tienda o el sistema están parados.
Notificación y gastos legales: avisar a los afectados, la defensa jurídica y, donde sea asegurable, el coste del expediente ante la autoridad de protección de datos.
Extorsión / ransomware: gestión de la negociación y, en algunas pólizas, el propio rescate (con matices y límites importantes).

Fíjate en que ninguna de esas partidas cae del cielo: todas dependen de que puedas demostrar qué pasó y de que hicieras lo mínimo para evitarlo. De ahí que las obligaciones de la pyme sean tan importantes como las coberturas.

Daños propios y daños a terceros: los dos bloques que tienes que mirar

Casi todas las pólizas separan lo que te pasa a ti de lo que le pasa a otros por tu culpa. Conviene leerlas por separado, porque los límites (el dinero máximo) y las franquicias (lo que pagas tú antes de que entre el seguro) suelen ser distintos en cada bloque.

Daños propios (primera parte)

Es el dinero que gastas tú: el forense, la limpieza, la reinstalación, las horas de parada, el gabinete de comunicación si el asunto salta a la prensa. Aquí es donde una pyme nota antes el seguro, porque una investigación seria y una restauración bien hecha se van a varios miles de euros con facilidad.

Daños a terceros (responsabilidad civil)

Es lo que reclaman otros: clientes cuyos datos se han filtrado, un proveedor al que has infectado, o sanciones administrativas donde la ley permita asegurarlas. Este bloque importa mucho si manejas datos de terceros: una tienda online con miles de clientes, una clínica, una gestoría. Si tu web es un folleto sin formularios ni pagos, este bloque te aporta bastante menos.

El cuestionario previo: lo que te preguntan antes de firmar

Antes de darte una prima, la aseguradora te pasa un cuestionario. No es papeleo: es el documento sobre el que se va a apoyar para pagarte o no pagarte. Lo que declares ahí es una declaración de riesgo, y si luego resulta falsa, tienes un problema.

Las preguntas se repiten de una compañía a otra, porque preguntan por lo que de verdad reduce la siniestralidad:

Verificación en dos pasos en los accesos críticos: panel de administración, correo, hosting. Es, con diferencia, el control que más miran. Si aún no lo tienes montado, empieza por ahí: te lo cuento paso a paso en la guía de contraseñas y verificación en dos pasos en WordPress.
Copias de seguridad: que existan, que estén fuera del servidor y que las hayas probado alguna vez restaurando. Aquí importa el detalle; repasa qué debe incluir una copia que de verdad sirva en esta guía sobre copias de seguridad.
Actualizaciones: sistema, CMS y plugins al día, sin software abandonado corriendo en producción.
Antivirus / EDR en los equipos de la oficina y protección perimetral básica.
Formación mínima del equipo frente al phishing y un procedimiento, aunque sea de una página, de qué hacer ante un incidente.

La trampa está en contestar «sí» a todo para bajar la prima. Si declaras que tienes doble factor en todos los accesos y el día del ataque entraron por una cuenta sin doble factor, la aseguradora tiene un argumento para reducir o denegar la indemnización. Responde con la verdad, aunque salga más caro; el cuestionario honesto es lo que te protege.

Las cláusulas que dejan una reclamación sin pagar

Estas son las letras pequeñas que conviene leer antes de firmar, no después del ataque:

Inexactitud en el cuestionario: ya lo hemos visto. Es la causa número uno de negativas.
Parches conocidos no aplicados: muchas pólizas excluyen el incidente si aprovecharon una vulnerabilidad con parche publicado desde hace X tiempo (suele ser un plazo corto). En la práctica, tener los plugins al día no es solo higiene: es una condición del contrato. Ten cerca las medidas de seguridad del artículo 32 del RGPD, porque la aseguradora va a mirar más o menos lo mismo.
Falta de notificación en plazo: casi todas exigen avisar al asegurador en un plazo muy corto desde que detectas el incidente. Avisar tarde puede costarte la cobertura, igual que ocurre con la notificación de brechas a la autoridad de protección de datos, que corre en paralelo.
Negligencia grave o acto doloso: dejar el panel con la contraseña por defecto o ignorar avisos reiterados puede caer en negligencia grave.
Incidentes previos al periodo: si el atacante ya estaba dentro antes de contratar, la póliza no lo cubre. Por eso conviene entrar limpio.

Qué necesitas para cobrar el día que pasa algo

Cobrar depende de que puedas contar, con pruebas, qué pasó. Y las pruebas se destruyen con facilidad en las primeras horas, precisamente cuando la tentación de «borrar y volver a empezar» es máxima. Antes de tocar nada:

Conserva los registros. Los logs de acceso, del servidor y del correo son la columna vertebral de cualquier investigación. Si el hosting los rota rápido, descárgalos ya.
No restaures a lo bruto todavía. Si sobrescribes el servidor, borras la escena. Haz una copia del estado comprometido antes de limpiar.
Avisa al asegurador en cuanto lo detectes, aunque aún no sepas el alcance. El reloj de la póliza ya está corriendo.
Documenta la línea de tiempo: cuándo notaste el primer síntoma, qué viste, qué tocaste.

Si no sabes por dónde empezar en esa primera hora, la guía de qué hacer cuando tu web está hackeada te ordena los pasos sin destruir lo que luego el seguro (y el forense) van a necesitar.

¿Le compensa a tu pyme? Cuándo sí y cuándo no

Aquí toca ser honesto, porque no a todo el mundo le compensa pagar una prima anual.

Probablemente sí te compensa si tienes una tienda online con volumen, si manejas datos personales de muchas personas (clientes, pacientes, expedientes), si tu facturación depende de que la web o un sistema estén disponibles cada día, o si un cliente grande te lo exige por contrato. En esos casos, un incidente puede tumbar semanas de negocio y generar reclamaciones de terceros; el seguro amortigua un golpe que podrías no aguantar solo.

Probablemente no es tu prioridad si tu web es un folleto informativo, sin formularios con datos sensibles, sin pagos y sin dependencia diaria. En ese caso, el dinero de la prima rinde mucho más invertido en lo básico: copias de seguridad decentes, doble factor y actualizaciones al día. Curiosamente, ese «básico» es lo mismo que la aseguradora te exigiría; hazlo primero y ya decidirás si además contratas la póliza.

Y una advertencia: el seguro no sustituye a la seguridad, la complementa. Una empresa que contrata la póliza y se olvida de parchear no está protegida, está pagando por un papel que probablemente no cobrará.

Cómo llegar a la contratación con los deberes hechos

La mejor forma de contratar barato y de cobrar sin discusiones es llegar al cuestionario con las medidas ya montadas de verdad. En orden: activa la verificación en dos pasos en panel, correo y hosting; deja una copia de seguridad automática y fuera del servidor, y pruébala; pon al día el CMS y los plugins y retira lo que esté abandonado; y escribe, aunque sea en una hoja, quién hace qué si mañana hay un incidente.

Ese mismo trabajo es el que te pide, por otro lado, la normativa de protección de datos y ciberseguridad para pymes. Es decir: no estás haciendo dos cosas, estás haciendo una que te sirve para el RGPD, para el seguro y para no tener el incidente en primer lugar.

Antes de rellenar cualquier cuestionario, conviene saber qué expone tu web hoy visto desde fuera, que es exactamente lo que mirará un atacante y lo que se te puede volver en contra en una reclamación. Comprueba tu web gratis con PathScan y llega a la contratación sabiendo qué declaras.

Seguir leyendo en esta sección

Ver todo en NIS2, ENS y ayudas → · Mapa completo del sitio