Seguro de ciberriesgo: ¿lo necesita mi pyme?

Un correo con una factura falsa, una contraseña filtrada, un ransomware que cifra el servidor un viernes por la tarde. Los incidentes de seguridad ya no son cosa de grandes corporaciones: las pymes son objetivo precisamente porque suelen tener menos defensas. Y ahí aparece la pregunta: ¿compensa contratar un seguro de ciberriesgo, o es un gasto más que no vamos a usar nunca?

La respuesta corta: depende de qué datos manejas, de cuánto te costaría parar una semana y de los deberes de seguridad que ya tengas hechos. Vamos por partes.

Una aclaración honesta antes de empezar: esto es orientación general para decidir mejor, no asesoramiento legal ni de seguros. Cada póliza es un contrato distinto y conviene revisarla con un profesional antes de firmar.

Resumen

Un seguro de ciberriesgo cubre parte del coste de un incidente de seguridad: respuesta al ataque, recuperación de datos, interrupción del negocio y reclamaciones de terceros. No sustituye a las medidas de seguridad: de hecho, las aseguradoras exigen unas mínimas para asegurarte y pueden rechazar el siniestro si no las cumplías. Tiene más sentido cuanto más dependes de tus sistemas y de datos de clientes; tiene menos si todavía no has hecho lo básico, porque la prima será alta y las exclusiones, muchas.

Qué suele cubrir un seguro de ciberriesgo

Aunque cada póliza es un mundo, las coberturas habituales se agrupan en cuatro bloques:

Bloque	Qué incluye normalmente
Respuesta al incidente	equipo forense, asistencia técnica 24/7, gestión de la crisis y asesoría legal
Daños propios	recuperación de datos y sistemas, pérdida de beneficio por interrupción del negocio
Responsabilidad frente a terceros	reclamaciones de clientes o proveedores afectados por la brecha
Gestión regulatoria	asistencia en la notificación a la AEPD y a los afectados, y defensa en procedimientos

Ese primer bloque es, para muchas pymes, el más valioso: cuando ocurre un incidente, tener un teléfono al que llamar y un equipo forense que sabe qué hacer vale tanto como el dinero de la indemnización.

Qué no cubre (las exclusiones que duelen)

Aquí es donde conviene leer despacio. Exclusiones frecuentes:

• Incumplir las medidas declaradas. Si en el cuestionario dijiste que tenías copias de seguridad y autenticación en dos pasos, y el día del ataque no las tenías, la aseguradora puede rechazar el siniestro.
• Fraude del CEO y transferencias engañadas, que a veces requieren una cobertura específica de fraude, no la básica.
• Incidentes previos a la contratación o vulnerabilidades conocidas y no parcheadas.
• Sanciones administrativas, que según la jurisdicción pueden no ser asegurables.
• Actos de guerra o ciberataques estatales, una exclusión cada vez más habitual y más discutida en el sector.

La lección: el seguro no es un sustituto de la seguridad, es la capa que va después de la seguridad.

Lo que la aseguradora te va a pedir

Antes de asegurarte, te harán un cuestionario técnico. Las exigencias típicas coinciden bastante con lo que INCIBE recomienda a cualquier empresa: copias de seguridad separadas y probadas, autenticación en dos pasos en correo y accesos remotos, equipos actualizados, control de quién accede a qué y algo de formación básica del equipo frente al phishing.

Esto tiene una lectura positiva: preparar la contratación de un ciberseguro obliga a hacer los deberes de seguridad que tocaba hacer de todas formas. Si quieres un punto de partida ordenado, el decálogo de ciberseguridad de INCIBE es una buena checklist previa.

Y si no sabes en qué punto estáis de esos mínimos, mejor descubrirlo por vuestra cuenta que en el cuestionario de la aseguradora: podemos revisar contigo qué sistemas y datos sostienen el negocio.

¿Lo necesita tu pyme? Tres preguntas para decidir

1. ¿Cuánto te cuesta un día parado? Si mañana no pudieras facturar, atender pedidos ni acceder a tus datos, ¿cuánto pierdes por día? Multiplica por una o dos semanas, que es lo que puede durar una recuperación mal preparada. Esa cifra es tu exposición real.

2. ¿Qué datos de terceros manejas? Si tratas datos personales de clientes, y casi todas las pymes lo hacen, una brecha implica obligaciones de notificación y posibles reclamaciones. La guía de brechas de seguridad de la AEPD da una idea del proceso que tendrías que afrontar: con asistencia especializada es asumible; a solas, un viernes por la tarde, no tanto.

3. ¿Tienes lo básico hecho? Si no hay copias probadas ni doble factor, la prioridad no es el seguro: es la seguridad. Contratar una póliza sin las medidas mínimas sale caro (prima alta) y protege poco (exclusiones).

Si las respuestas son “mucho”, “bastantes” y “sí”, el seguro probablemente compensa. Si la tercera es “no”, empieza por ahí.

Cómo comparar pólizas sin perderse

• Mira los sublímites, no solo el capital total. Una póliza de 500.000 € puede tener un sublímite de 50.000 € justo en lo que más te importa (por ejemplo, interrupción de negocio).
• Pregunta por el servicio de respuesta: quién es el equipo forense, en qué idioma atiende, en qué plazo se activa.
• Revisa la franquicia y el periodo de carencia de la cobertura de interrupción.
• Sé exacto en el cuestionario. Es tentador embellecer las respuestas; es la vía más rápida a un siniestro rechazado.
• Relee la póliza cada año. Tu empresa cambia (nuevas herramientas, más datos, más dependencia) y la cobertura debería cambiar contigo.

Y un consejo de proceso: antes de sentarte con la correduría, ten claro tu propio mapa de sistemas y datos. Saber qué procesos y herramientas sostienen tu negocio te permite contratar cobertura para lo que de verdad importa, en lugar de un paquete genérico.

Preguntas frecuentes

¿Cuánto cuesta un seguro de ciberriesgo para una pyme?

Depende del sector, la facturación, los datos que tratas y las medidas de seguridad que acredites, así que no publicamos cifras que estarían desactualizadas en meses. La forma fiable de saberlo es pedir dos o tres cotizaciones comparables con el mismo cuestionario.

¿El seguro me exime de cumplir el RGPD?

No. Las obligaciones de protección de datos siguen siendo tuyas: el seguro puede ayudarte a gestionar una brecha y asumir parte de los costes, pero no traslada la responsabilidad legal. Y ojo: las sanciones administrativas pueden no ser asegurables.

¿Qué hago primero: seguridad o seguro?

Seguridad. Primero lo básico (copias, doble factor, actualizaciones, permisos), después el seguro como red para lo que aún así pueda pasar. Además, con los deberes hechos la prima baja y las coberturas mejoran.

Siguiente paso

Si no tienes claro qué sistemas y datos sostienen de verdad tu negocio, y por tanto qué deberías proteger y asegurar primero, cuéntanos tu caso: te damos una primera lectura honesta de por dónde empezar, sin compromiso.