El seguro de ciberriesgo no paga por haber sufrido un ataque: paga si la empresa demuestra lo que declaró, lo que hizo y cuánto perdió. Esa prueba se construye antes del incidente.
Tener un seguro de ciberriesgo no es lo mismo que cobrarlo
La póliza suele llegar al comité cuando el ataque ya ha pasado. El informe anual de ransomware de Semperis, del 16 de octubre, recoge que el 81 % de las empresas españolas atacadas con éxito lo fue más de una vez, y que el 48 % de las afectadas vio su ciberseguro cancelado o encarecido.
La penetración sigue siendo baja: según la encuesta global de pymes de GlobalData, solo el 16,8 % tiene una póliza específica, frente al 34,7 % que ha sufrido un incidente en tres años. Quien la tiene descubre su contenido real el peor día posible.
INCIBE lo coloca en su sitio: el seguro de ciberriesgo es una capa más de gestión del riesgo y no sustituye a las medidas preventivas. Transfiere el impacto económico; no evita la parada.
Lo que firmaste antes del ataque: el cuestionario del seguro de ciberriesgo
Toda reclamación se mide contra el cuestionario de contratación. La Ley 50/1980 de Contrato de Seguro obliga en su artículo 10 a declarar antes de firmar las circunstancias que influyen en la valoración del riesgo, y fija la consecuencia: si hay reserva o inexactitud, la prestación se reduce en proporción a la diferencia de prima; con dolo o culpa grave, la aseguradora queda liberada.
Traducido al día a día: si se marcó que había doble factor en el acceso remoto, copias fuera de línea verificadas o formación periódica, eso es una declaración contractual, y el peritaje la contrasta con lo que había en la red el día del ataque.
El artículo 11 añade la otra cara: hay que comunicar los cambios que agraven el riesgo durante la vigencia. Abrir un escritorio remoto a internet, migrar sistemas o dejar de renovar una herramienta son decisiones que el corredor debe conocer. Ese inventario al día es parte de la gestión del seguro de ciberriesgo.
Los plazos que empiezan a correr el primer día
Son tres relojes y ninguno espera a que la empresa recupere la normalidad:
- Siete días para comunicar el siniestro desde que se conoce, salvo que la póliza amplíe el plazo (artículo 16). Si no se avisa, la aseguradora puede reclamar los daños que la demora le cause.
- Setenta y dos horas para notificar a la AEPD si hay datos personales comprometidos, desde que se tiene constancia. La aseguradora pedirá copia del acuse.
- Cuarenta días para el pago mínimo: el artículo 18 obliga a abonar el importe que razonablemente se deba desde la declaración, aunque el peritaje siga abierto; el artículo 20 sanciona la mora con el interés legal incrementado en un 50 %.
Esos plazos solo se cumplen si alguien tiene el encargo de activarlos: es la lista de llamadas que debe figurar por escrito en el plan de respuesta a incidentes.
Las pruebas que te va a pedir la aseguradora
Un expediente sólido se sostiene sobre cinco bloques de prueba, casi todos generados en las primeras horas:
- Evidencias técnicas preservadas. Imágenes de discos, registros del cortafuegos, del correo y de los servidores, y las comunicaciones del atacante. Reinstalar un equipo destruye la prueba, y es lo que suele ocurrir antes de la primera llamada: por eso el peritaje informático se contrata el primer día, no el segundo mes.
- Cronología del incidente. Qué se detectó, a qué hora y quién decidió qué, como explicamos en qué hacer tras un ciberataque en las primeras 24 horas.
- Prueba de los controles declarados en la fecha del ataque: configuraciones, registros de acceso y evidencia de copias y restauraciones.
- Cuantificación de la pérdida. Horas de parada, pedidos no servidos, horas extra y facturas de terceros, con soporte contable.
- Prueba de mitigación. El artículo 17 obliga a emplear los medios al alcance para aminorar las consecuencias y permite reducir la indemnización si no se hizo; a cambio, los gastos de salvamento razonables corren a cargo de la aseguradora.
Por qué se reduce o se rechaza una reclamación de seguro de ciberriesgo
En nuestra experiencia acompañando incidentes, el problema rara vez está en la letra pequeña del seguro de ciberriesgo: está en los cuatro mismos sitios. Un cuestionario que describe una empresa que ya no existe. Un aviso tardío porque nadie sabía a quién llamar. Evidencias destruidas por las prisas en restaurar. Y una pérdida indocumentable, porque nunca se midió cuánto cuesta una hora de parada.
Los cuatro se corrigen antes y ninguno exige herramientas nuevas: exigen escribir, medir y ensayar. Es el mismo trabajo que reclaman la ISO/IEC 27001 y el Esquema Nacional de Seguridad: la evidencia que convence al auditor convence al perito.
Qué hacer ahora
Cuatro medidas para que el seguro de ciberriesgo responda cuando haga falta:
- Relee el cuestionario con el responsable de sistemas. Control por control, comprobando que cada «sí» sigue siendo cierto. Lo que haya cambiado, comunícalo al corredor por escrito.
- Mete el seguro de ciberriesgo en la lista de llamadas del plan. Número de póliza, teléfono de siniestros y quién da el aviso, en papel y fuera de la red.
- Fija quién preserva las evidencias antes de restaurar. Una línea en el plan evita perder la prueba que sostiene la reclamación.
- Calcula tu coste de parada por hora. Facturación, nóminas y penalizaciones: sin esa cifra no hay reclamación cuantificable ni suma asegurada bien dimensionada.
En ISAIG Tecnología ayudamos a pymes y administraciones a preparar esa evidencia antes de necesitarla y a sostener la decisión técnica durante el incidente con el servicio de CISO as a Service. Estamos certificados en ISO/IEC 27001 y somos conformes con el ENS en categoría Alta: lo que recomendamos nos lo aplicamos.
Si quieres revisar tu seguro de ciberriesgo y tu capacidad real de probar un siniestro, escríbenos a comercial@isaig.com o llama al 91 036 99 89.
