Ciberseguro para pymes: qué cubre de verdad y cuándo compensa
Fraude del CEO, ransomware y brechas de datos: qué paga de verdad un ciberseguro de pyme, dónde está la letra pequeña y cuándo compensa contratarlo.
Un jueves por la tarde entra un correo del proveedor de siempre. Mismo logotipo, misma firma, mismo tono. Avisa de un cambio de número de cuenta para la factura del mes. Se paga. Tres semanas después llama el proveedor de verdad preguntando por su dinero. No hubo virus, ni pantalla en rojo, ni nadie forzando un servidor: solo un correo bien escrito.
Y llega la pregunta, siempre tarde: ¿esto lo cubre mi seguro? La póliza de empresa, casi nunca. El ciberseguro, depende de cómo esté montado.
Un ciberseguro son tres seguros dentro del mismo contrato
Dentro de una póliza de ciber hay tres bloques que conviene no mezclar:
- Daños propios. Lo que te cuesta a ti el incidente: peritaje informático forense, recuperación de sistemas y datos, horas extra del equipo y la pérdida de beneficios mientras estás parado.
- Responsabilidad frente a terceros. Lo que te reclaman los demás: clientes cuyos datos se han filtrado, un cliente al que dejaste sin servicio, la defensa jurídica en un procedimiento de la Agencia Española de Protección de Datos.
- Gestión de crisis. El equipo que aparece el primer día: respuesta 24/7, asesoría legal para notificar en plazo, comunicación a los afectados, reputación.
El tercero es el que más se subestima y el que antes se usa. Con los sistemas cifrados un lunes a las siete de la mañana no necesitas una indemnización dentro de seis meses: necesitas un teléfono donde descuelgue alguien que ya ha visto esto antes.
Los tres siniestros típicos y dónde está la letra pequeña
| Incidente | Qué suele pagar la póliza | Dónde mirar |
|---|---|---|
| Ransomware (sistemas cifrados) | Forense, restauración de datos, pérdida de beneficios, gestión de la extorsión | Franquicia temporal: las primeras horas de parada no se indemnizan. Y la exigencia de copias de seguridad |
| Brecha de datos | Notificación a los afectados, defensa jurídica, reclamaciones de terceros | Las sanciones administrativas van por otro lado (abajo lo explico) |
| Fraude del CEO o del proveedor | El importe transferido, hasta un sublímite | Suele ser cobertura opcional, no básica, y con protocolo de verificación exigido |
El fraude del CEO: la cobertura que hay que leer dos veces
Aquí nadie entra en tus sistemas: te engañan para que pagues tú. Por eso muchas pólizas lo tratan como algo distinto del ciberriesgo puro y lo colocan como cobertura opcional de fraude electrónico o ingeniería social, con tres condicionantes que conviene comprobar antes de firmar:
- El sublímite. Es habitual que esta garantía tenga un capital muy inferior al del resto de la póliza. Con cifras redondas, solo para ilustrar: si tus pagos a proveedores rondan los 40.000 €, un sublímite de 15.000 € te deja a medias.
- El protocolo de verificación. Muchas condiciones exigen una doble comprobación documentada para cambios de cuenta bancaria: llamada a un teléfono conocido de antes, nunca al que aparece en el correo. Si no se cumplió, la aseguradora puede rechazar el siniestro.
- Quién ordenó el pago. Algunas cláusulas distinguen entre el engaño a un empleado y el engaño a un administrador. Parece un detalle y no lo es.
Estas condiciones suelen ser cláusulas limitativas de los derechos del asegurado. El artículo 3 de la Ley 50/1980 de Contrato de Seguro exige que se destaquen de modo especial y se acepten específicamente por escrito. Mejor comprobarlo al firmar que discutirlo después.
Ransomware: el rescate no es el problema principal
Lo que arruina el año no es la cifra que pide el atacante. Es la parada: días sin facturar, sin abrir expedientes y sin atender a los clientes. Eso no se arregla restaurando una copia.
Por eso la garantía clave es la de pérdida de beneficios por interrupción. Hay dos cosas que mirar: la franquicia temporal (las primeras horas de parada corren de tu cuenta) y el periodo máximo de indemnización. Más una condición de mantenimiento que aparece en casi todas: sin copias de seguridad periódicas y aisladas de la red, la cobertura se tambalea.
La brecha de datos y la multa que no se asegura
Si se filtran datos personales, el RGPD obliga a notificar a la autoridad de control en un plazo de 72 horas desde que se tiene conocimiento de la brecha, y a comunicarlo a los afectados cuando el riesgo para ellos sea alto. Ese trabajo —análisis, notificación, atención a los afectados— es lo que paga la póliza.
Lo que no paga es la sanción administrativa. En España las multas de carácter sancionador no son, con carácter general, asegurables. El ciberseguro cubre la defensa en el procedimiento y las reclamaciones de los perjudicados, no la multa en sí. Quien te diga lo contrario te está vendiendo un problema.
En Canarias el patrón se repite donde hay muchos datos de terceros y muchos pagos: gestoras de vivienda vacacional con documentación de huéspedes, administraciones de fincas con datos de cientos de propietarios, asesorías con todo el archivo en la nube.
Cuándo compensa de verdad
No para todo el mundo. Compensa claramente si:
- Guardas datos personales de terceros más allá de una agenda de contactos.
- Tu actividad se detiene si no hay sistemas.
- Ordenas o recibes pagos a partir de correos electrónicos.
- Cobras online o gestionas reservas.
- Dependes de un único proveedor en la nube.
- Un cliente grande te exige acreditar cobertura por contrato.
Y compensa menos si tu negocio no maneja datos de terceros, no factura online y podría seguir trabajando dos semanas sin sistemas. Cuando es así, lo decimos: hay coberturas más urgentes dentro de un seguro de empresa que esa.
Una precisión que ahorra malentendidos: el ciberseguro protege el patrimonio de la sociedad. La responsabilidad personal del administrador por no haber puesto medios razonables va por otra vía, la del seguro de D&O. Son contratos complementarios, no alternativos.
Dónde entra un corredor
El trabajo no es conseguir una póliza: es leer las tres o cuatro que tienen sentido para tu actividad y poner encima de la mesa lo que de verdad las diferencia. Sublímite de fraude electrónico, franquicia temporal, condiciones de mantenimiento y si hay respuesta 24/7 en español. Como corredores de seguros lo hacemos con un análisis objetivo del mercado, conforme al RD-ley 3/2020 de distribución de seguros.
Hay además una parte que corresponde al cliente y no conviene despachar en dos minutos: el cuestionario de contratación. El artículo 10 de la Ley de Contrato de Seguro impone al tomador declarar el riesgo con exactitud, y en ciber ese cuestionario pregunta por copias de seguridad, doble factor de autenticación y protocolos de pago. Contestarlo a la ligera es sembrar el rechazo del siniestro.
Si quieres saber qué cubriría —y qué no— una póliza de ciber en tu caso, cuéntanos a qué te dedicas y lo revisamos contigo.