Póliza de Ciberseguro
Producto asegurador que cubre los daños económicos derivados de ciberataques, brechas de datos, ransomware y otros incidentes de seguridad digital, cuyos límites y primas fija cada condicionado: no hay tarifas publicadas por tamaño de empresa.
Introducción
El 59 % de las pymes encuestadas sufrió un ciberataque en los doce meses anteriores, y la cobertura de ciberseguro crece con el tamaño de la empresa: sobre la muestra internacional del informe, la tienen el 65 % de las de hasta diez empleados, el 79 % de las de 11 a 49 y el 82 % de las de 50 a 249 — no son tasas españolas, según el Cyber Readiness Report 2025 de la aseguradora (1.000 encuestados en España, entre otros países; trabajo de campo del 29 de julio al 8 de agosto de 2025). España encabeza además, junto a Portugal, la intención de aumentar la inversión en ciberseguridad: 40 % frente al 45 % portugués.
Conviene saber que quien publica ese informe es una aseguradora de ciberriesgos, de modo que el dato procede de quien tiene interés directo en la conclusión. No lo invalida, pero pide contraste. Sobre el coste de recuperar un incidente de ransomware, el State of Ransomware de Sophos —que publica en dólares— da un coste medio de recuperación de 1,53 millones de dólares en la edición de 2025 y 1,7 millones en la de 2026, y un rescate mediano pagado de 769.000 dólares. Con esas cifras y multas RGPD que pueden alcanzar €20 millones o el 4% de la facturación global, el ciberseguro se ha convertido en una herramienta esencial de gestión de riesgos para empresas de todos los tamaños.
El tamaño exacto del mercado español de ciberseguros no se puede citar con precisión: el ciberriesgo no es un ramo con estadística propia en España —se reparte entre multirriesgo y responsabilidad civil—, de modo que las cifras de primas que circulan atribuidas a UNESPA no proceden de una serie publicada. Lo que sí está documentado, y es lo relevante para una pyme, es que la penetración es baja justo donde el impacto es mayor: una empresa pequeña rara vez sobrevive financieramente a una parada de dos semanas, y es la que menos probabilidades tiene de estar asegurada.
Qué es una póliza de ciberseguro
Definición y alcance
Una póliza de ciberseguro (también llamada seguro de ciberriesgos o cyber insurance) es un producto asegurador que transfiere el riesgo financiero derivado de incidentes de seguridad digital. Cubre tanto los costes directos de recuperación como las responsabilidades legales frente a terceros afectados.
Diferencias con seguros tradicionales:
| Aspecto | Seguro tradicional | Ciberseguro |
|---|---|---|
| Bien asegurado | Activos físicos (edificio, inventario) | Activos digitales (datos, sistemas, reputación) |
| Riesgo cubierto | Incendio, robo, inundación | Ransomware, brecha datos, DDoS |
| Responsabilidad | Daños a terceros por accidente físico | Filtración datos personales de clientes |
| Cobertura geográfica | Limitada a territorio | Global (ciberataques sin fronteras) |
| Valoración daño | Tasación pericial tangible | Forense digital + valoración intangible |
Marco regulatorio español
El contrato de ciberseguro se rige por la Ley 50/1980 de Contrato de Seguro; la Ley 20/2015 regula y supervisa la actividad de las entidades aseguradoras, no la póliza, y de esa supervisión se ocupa la DGSFP. La cobertura de responsabilidad civil por brechas de datos es especialmente relevante desde que el RGPD es aplicable, el 25 de mayo de 2018.
Coberturas típicas de una póliza de ciberseguro
Coberturas de primera parte (daños propios)
Cubren los costes directos que asume la empresa asegurada:
| Cobertura | Descripción | Límite típico PYME | Ejemplo de uso |
|---|---|---|---|
| Recuperación de datos | Restauración de sistemas tras ransomware, borrado malicioso | €50k - €250k | Ransomware cifra 400 GB de datos, coste de recuperación forense €45k |
| Interrupción de negocio | Lucro cesante durante inactividad del sistema | €100k - €500k | E-commerce offline 7 días tras ataque DDoS, pérdida ventas €180k |
| Extorsión cibernética | Pago de rescates de ransomware (rescate + negociadores) | €25k - €500k | LockBit exige €150k en Bitcoin, seguro cubre negociación + pago + forense |
| Gastos de respuesta a incidentes | Forenses, abogados, consultores, comunicación | €50k - €200k | Brecha de datos: perito €8k + abogado €15k + PR €12k = €35k total |
| Fraude informático | Transferencias no autorizadas, BEC (CEO fraud) | €50k - €250k | BEC defrauda €90k, seguro cubre pérdida tras investigación forense |
| Daño reputacional | Campañas de comunicación tras brecha pública | €25k - €100k | Filtración de 50k clientes, campaña PR de gestión de crisis €40k |
Franquicia y coaseguro
La mayoría de pólizas tienen franquicia de €2.500-€10.000 (cantidad que asume el asegurado) y coaseguro del 10-20% (porcentaje del daño que comparte el asegurado). Por ejemplo, con franquicia €5k y coaseguro 10%, ante un daño de €100k, el asegurado paga €5k (franquicia) + €9.5k (10% de €95k) = €14.5k, y el seguro cubre €85.5k.
Coberturas de tercera parte (responsabilidad civil)
Cubren las indemnizaciones a terceros afectados por incidentes de la empresa asegurada:
| Cobertura | Descripción | Límite típico PYME | Ejemplo de uso |
|---|---|---|---|
| RC por brecha de datos RGPD | Multas AEPD, indemnizaciones a afectados | €500k - €5M | AEPD multa €300k por brecha 100k clientes, seguro cubre multa + indemnizaciones |
| RC por fallo de seguridad | Daños a terceros por virus propagado desde sistemas asegurado | €250k - €2M | Malware propagado a 40 clientes vía email corporativo, reclamaciones €180k |
| RC profesional tecnológica | Errores en desarrollo de software que causan brecha | €500k - €2M | Vulnerabilidad en app desarrollada expone datos de 5k usuarios, reclamación €250k |
| Costes de defensa legal | Abogados en procedimientos judiciales derivados de brecha | €100k - €500k | 15 afectados demandan, costes legales de defensa €120k |
| Notificaciones a afectados | Coste de comunicar la brecha a los clientes cuando entrañe un alto riesgo para sus derechos (art. 34 RGPD, que además tiene tres excepciones, una de ellas el cifrado) | €25k - €100k | Brecha 50k clientes: carta certificada + call center + web = €35k |
Coberturas opcionales (extensiones)
| Extensión | Descripción | Sobreprima estimada |
|---|---|---|
| Ingeniería social | Estafas BEC, CEO fraud, vishing | +15-25% prima |
| Ataques de denegación de servicio (DDoS) | Costes mitigación + lucro cesante | +10-15% prima |
| Criptomonedas y blockchain | Robo de wallets, hacks de exchanges | +20-40% prima |
| Terrorismo cibernético | Ataques APT patrocinados por estados | +30-50% prima |
| Retroactividad ilimitada | Cubre incidentes previos a contratación (si desconocidos) | +40-60% prima |
Exclusiones típicas de las pólizas
Lo que NO cubre un ciberseguro
Las aseguradoras establecen exclusiones explícitas para limitar su exposición:
Actos intencionados del asegurado
- Fraudes internos cometidos por dirección/propietarios
- Destrucción deliberada de datos por empleados con conocimiento de directivos
Mejora de sistemas
- Coste de actualizar software obsoleto o implementar medidas de seguridad que debían existir previamente
- Ejemplo: ransomware entra por servidor Windows 2008 sin parches, seguro NO cubre migración a Windows Server 2022
Incumplimiento grave de medidas de seguridad básicas
- Ausencia de backups funcionales (requisito común en pólizas)
- Contraseñas por defecto no cambiadas
- Sistemas críticos sin autenticación multifactor (MFA)
Pérdidas indirectas no cuantificables
- Pérdida de valor de marca (salvo cobertura específica)
- Pérdida de ventaja competitiva por robo de propiedad intelectual
Eventos de riesgo sistémico
- Guerras cibernéticas entre estados
- Apagones eléctricos masivos
- Pandemias (algunos seguros excluyeron COVID-19 tras 2020)
Daños a infraestructuras físicas
- Daños a hardware por ciberataque (ej: Stuxnet destruyendo centrifugadoras)
- Estos pueden estar cubiertos por seguro de daños materiales tradicional
Multas por incumplimiento regulatorio previo
- Sanciones RGPD por no tener DPO obligatorio
- Multas por no realizar EIPD cuando era obligatorio
Exclusión por falta de mantenimiento
No hay estadística pública que ordene las causas de rechazo de una reclamación de ciberseguro, pero la exclusión por falta de medidas de seguridad básicas es la que más discusión genera en la práctica, porque depende de lo que acredite el análisis técnico. Si el informe pericial forense revela que:
- NO había backups funcionales en los últimos 90 días
- NO se aplicaban parches de seguridad críticos (más de 6 meses desactualizados)
- NO había segmentación de red (todo accesible desde un punto comprometido)
La aseguradora puede rechazar la reclamación por negligencia grave. Es fundamental documentar que las medidas declaradas en el cuestionario de contratación se mantienen activamente.
Proceso de contratación de un ciberseguro
Cuestionario de riesgo
Las aseguradoras evalúan el riesgo mediante un cuestionario exhaustivo (40-120 preguntas según tamaño empresa):
Datos básicos:
- Sector actividad (CNAE), facturación anual, número de empleados
- Datos personales gestionados (clientes, empleados): cantidad y categorías especiales RGPD
- Infraestructura TI: on-premise, cloud, híbrida
- Exportación de datos fuera de UE (transferencias internacionales)
Medidas de seguridad técnicas:
- ¿Firewall de última generación con IPS/IDS?
- ¿Autenticación multifactor (MFA) en todos los accesos remotos?
- ¿Antivirus/EDR en todos los endpoints con actualizaciones automáticas?
- ¿Backups funcionales con pruebas de recuperación mensuales?
- ¿Cifrado de datos en reposo (AES-256) y en tránsito (TLS 1.3)?
- ¿Política de parches: críticos en menos de 15 días?
Medidas organizativas:
- ¿Política de seguridad documentada y actualizada?
- ¿Plan de respuesta a incidentes (IRP) escrito y probado?
- ¿Concienciación de empleados (formación anual en phishing)?
- ¿DPO designado (si aplica obligación RGPD)?
- ¿Auditorías de seguridad externas anuales?
Historial de incidentes:
- Ciberataques sufridos en últimos 3 años (tipo, impacto, coste)
- Brechas de datos con notificación a AEPD
- Reclamaciones judiciales por incidentes de seguridad
Declaración veraz es fundamental
El art. 10 de la Ley de Contrato de Seguro no habla de anular ni de rechazar, y el matiz decide casos: ante una declaración inexacta o una reticencia, el asegurador puede rescindir el contrato en el plazo de un mes desde que la conoce; si el siniestro sobreviene antes, la prestación se reduce proporcionalmente a la diferencia entre la prima convenida y la que habría correspondido. Solo queda liberado del pago si medió dolo o culpa grave del tomador. Así que declarar backups diarios que el forense desmiente no produce automáticamente un rechazo del 100 %: produce una discusión sobre la reducción proporcional, y sobre si hubo culpa grave.
Tarifación y prima
Factores que determinan el coste del seguro:
| Factor | Impacto en prima | Ejemplo |
|---|---|---|
| Sector de actividad | Alto | Sanidad +60%, finanzas +45%, retail +30% vs. industria base |
| Volumen de datos personales | Medio-Alto | Más de 100k registros clientes: +40% prima |
| Facturación anual | Medio | €5M facturación: prima base €2.5k. €50M facturación: prima base €18k |
| Medidas de seguridad | Muy Alto | MFA + EDR + backups testeados: -30% descuento |
| Historial de incidentes | Alto | 0 incidentes últimos 3 años: -20%. 2+ incidentes: +50% o rechazo |
| Límite de cobertura | Lineal | €500k límite: prima €2.5k. €2M límite: prima €8k |
| Franquicia elegida | Medio | Franquicia €2.5k: prima base. Franquicia €10k: -15% prima |
Primas orientativas 2026 (España):
| Perfil empresa | Límite cobertura | Prima anual | Prima/empleado |
|---|---|---|---|
| Microempresa (1-10 empleados, €500k facturación) | €250k | €800 - €1.500 | €80-€150 |
| Pequeña empresa (10-50 empleados, €2M facturación) | €500k - €1M | €2.000 - €4.500 | €40-€90 |
| Mediana empresa (50-250 empleados, €10M facturación) | €2M - €5M | €8.000 - €25.000 | €32-€100 |
| Gran empresa (más de 250 empleados, €50M+ facturación) | €10M - €50M | €40.000 - €200.000 | €40-€200 |
⚠️ Los límites y las condiciones no se publican de forma comparable: cada póliza los fija en su condicionado particular, y las horquillas que circulan no proceden de ninguna fuente que pueda contrastarse. Esta tabla lista productos existentes en el mercado español; las condiciones concretas hay que pedirlas a cada compañía.
Principales aseguradoras en España (2026)
Comparativa de productos
| Aseguradora | Producto | Límites disponibles | Destacado | Contacto |
|---|---|---|---|---|
| Hiscox | CyberClear | Consultar condicionado | Proceso de contratación en línea | hiscox.es |
| AIG | CyberEdge | Consultar condicionado | Orientado a corporaciones | Consultar con la correduría: el dominio aig.es sirve una empresa de calefacción, no la aseguradora |
| Chubb | Cyber Enterprise Risk | Consultar condicionado | Servicios de respuesta a incidentes | chubb.com/es-es |
| Allianz | Cyber Protect | Consultar condicionado | Integración con otros ramos | allianz.es |
| MAPFRE | Ciber Empresas | Consultar condicionado | Enfoque en pyme | mapfre.es |
| Zurich | Cyber Insurance | Consultar condicionado | Presencia en sector industrial | zurich.es |
| AXA | Cyber Risk Insurance | Consultar condicionado | Servicios de prevención asociados | axa.es |
Tendencias del mercado 2026
Las aseguradoras están endureciendo las condiciones de contratación:
- MFA en accesos remotos, que es hoy el requisito más extendido
- Backups offline testados con regularidad
- EDR/XDR en endpoints críticos
- Prohibición de pago de rescates en algunas pólizas, especialmente en sanidad e infraestructuras críticas
No pongo el porcentaje de aseguradoras que exige cada uno: nadie publica esa estadística para el mercado español.
El mercado está madurando y las primas se han ajustado al alza tras las pérdidas por ransomware de los últimos años, aunque no hay una media de renovación publicada que citar.
Proceso de reclamación tras un ciberataque
Pasos inmediatos (primeras 24 horas)
Notificación a la aseguradora cuanto antes. El art. 16 LCS fija siete días como máximo legal, y la póliza solo puede pactar un plazo más amplio, no más corto
- Llamar a número de emergencias 24/7 de la póliza
- Email formal a siniestros adjuntando número de póliza
- Describir brevemente el incidente (ransomware, brecha datos, BEC, etc.)
Preservación de evidencias forenses
- NO apagar sistemas comprometidos sin autorización del forense
- NO restaurar backups hasta que forense tome imágenes
- NO pagar rescates sin autorización de la aseguradora
- Aislar sistemas afectados de la red (pero mantenerlos encendidos)
Contención del incidente
- Cambio de contraseñas de cuentas administrativas
- Bloqueo de IPs maliciosas en firewall
- Desconexión de sistemas no críticos
- Activación del Plan de Respuesta a Incidentes (IRP)
Documentación inicial
- Timeline de eventos (primera detección, propagación, contención)
- Sistemas afectados (servidores, endpoints, aplicaciones)
- Datos comprometidos (estimación inicial: tipos y volumen)
- Acciones tomadas hasta el momento
Investigación forense (días 2-14)
La aseguradora designa (o autoriza) un perito informático forense para investigar:
Objetivos de la investigación:
| Objetivo | Metodología | Entregable |
|---|---|---|
| Verificar la existencia del incidente | Análisis de logs, detección de malware, evidencia de cifrado | Informe ejecutivo con conclusión: incidente real o simulado |
| Identificar el vector de entrada | Análisis de emails, vulnerabilidades explotadas, logs de firewall | Diagrama de ataque completo (kill chain) |
| Determinar el alcance | Análisis forense de discos, memoria, tráfico de red | Lista completa de sistemas y datos comprometidos |
| Evaluar medidas de seguridad previas | Auditoría de configuraciones, políticas, backups | Informe de cumplimiento del cuestionario de contratación |
| Cuantificar daños | Coste de recuperación, tiempo de inactividad, datos irrecuperables | Tabla de costes desglosados por partida |
| Recomendar medidas correctivas | Análisis de gaps, roadmap de mejora | Plan de acción para prevenir recurrencias |
Herramientas forenses típicas:
- Autopsy / EnCase: Análisis forense de discos
- Volatility: Análisis de memoria RAM
- Wireshark / Zeek: Análisis de tráfico de red
- Splunk / ELK: Análisis centralizado de logs
- Velociraptor / KAPE: Recolección de artefactos forenses
- IDA Pro / Ghidra: Ingeniería inversa de malware
Cooperación con el forense es obligatoria
Las pólizas establecen cláusula de cooperación: el asegurado debe facilitar acceso completo a sistemas, logs, documentación y personal. La falta de cooperación permite al asegurador reclamar los daños y perjuicios que le cause, según el art. 16; convertirla en rechazo automático de la prestación desborda el precepto. No puedes negarte a que el forense analice servidores por “confidencialidad” (el forense está sujeto a secreto profesional).
Valoración del daño y resolución (días 15-60)
Costes reclamables típicos:
| Partida | Descripción | Coste típico | Requiere evidencia |
|---|---|---|---|
| Perito informático forense | Investigación, informe pericial | €5k - €25k | Factura + informe completo |
| Consultoría de recuperación | Especialistas en recuperación de sistemas | €8k - €50k | Factura + horas trabajadas |
| Pago de rescate (si aplica) | Ransomware + negociadores especializados | €10k - €500k | Wallet Bitcoin + conversación con atacantes |
| Restauración de backups | Tiempo de personal IT + recursos cloud | €3k - €30k | Logs de restauración + timesheets |
| Interrupción de negocio | Ventas perdidas durante inactividad | €20k - €500k | Comparativa facturación vs. período equivalente |
| Abogados especialistas | Asesoría legal RGPD, notificaciones | €5k - €40k | Factura + expediente AEPD |
| Comunicación y PR | Gestión de crisis, comunicados, call center | €10k - €80k | Factura + plan de comunicación ejecutado |
| Notificaciones a afectados | Cartas certificadas, emails, web informativa | €2k - €50k | Facturas de envíos + plantillas de comunicación |
| Multas RGPD (si cobertura incluida) | Sanción AEPD por brecha de datos | €10k - €20M | Resolución oficial AEPD |
Resolución de la reclamación:
- Aceptación total: Aseguradora paga 100% de costes (menos franquicia y coaseguro)
- Aceptación parcial: Aseguradora rechaza algunas partidas (ej: mejora de sistemas)
- Rechazo: Aseguradora rechaza reclamación completa (ej: incumplimiento medidas de seguridad básicas)
Plazo de pago: hay dos, y conviene no cambiarlos uno por otro. El art. 18 LCS obliga a abonar el importe mínimo de lo que el asegurador pueda deber dentro de los cuarenta días desde la declaración del siniestro. Y el art. 20.3 considera que hay mora si no se cumple la prestación en el plazo de tres meses desde el siniestro, o no se paga ese importe mínimo en los cuarenta días; la mora devenga el interés legal incrementado en un 50 %. La resolución completa del siniestro suele extenderse varios meses según la complejidad de la cuantificación.
Requisitos comunes de las aseguradoras
Medidas de seguridad obligatorias
Para que la póliza sea válida, las aseguradoras exigen cumplimiento continuo de:
| Medida | Requisito | Verificación en caso de siniestro |
|---|---|---|
| Backups funcionales | Backup completo semanal + incremental diario, testeo de recuperación mensual, copia offline (air-gapped) | Logs de backups últimos 90 días + pruebas de recuperación documentadas |
| Autenticación multifactor (MFA) | MFA en todos los accesos remotos (VPN, RDP, panel admin) | Logs de autenticación mostrando uso de segundo factor |
| Antivirus/EDR actualizado | Solución de seguridad endpoint en todos los dispositivos, actualizaciones automáticas habilitadas | Dashboard de gestión mostrando cobertura 95%+ y actualizaciones recientes |
| Gestión de parches | Parches críticos aplicados en menos de 30 días desde publicación | Inventario de software con versiones actuales vs. disponibles |
| Segmentación de red | Red corporativa separada de sistemas críticos, VLAN para invitados/IoT | Diagrama de red + configuración de firewall |
| Control de accesos | Principio de mínimo privilegio, revisión de permisos semestral | Lista de usuarios con privilegios administrativos + auditoría de accesos |
| Formación de empleados | Simulacros de phishing trimestrales, formación anual en seguridad | Plataforma de formación con tasas de completado 80%+ |
Consecuencias del incumplimiento
Si el informe forense revela incumplimiento grave de las medidas declaradas en el cuestionario:
- Con dolo o culpa grave del tomador (p. ej. se declararon backups funcionales que el forense acredita inexistentes): el asegurador puede quedar liberado del pago (art. 10 LCS)
- Inexactitud sin culpa grave (p. ej. backups obsoletos): la indemnización se reduce proporcionalmente a la diferencia entre la prima pagada y la que habría correspondido, no se rechaza en bloque
- Incumplimiento menor (p. ej. un servidor sin un parche crítico): aceptación con observaciones y posible no renovación
La aseguradora puede solicitar auditoría de cumplimiento en cualquier momento durante la vigencia de la póliza (cláusula habitual en pólizas superiores a €2M de límite).
Casos prácticos de reclamaciones
Tres escenarios de cómo se resuelve una reclamación
Escenarios ilustrativos — y por qué no se nombra a ninguna aseguradora
Los tres casos que siguen son escenarios construidos sobre tipologías reales: explican de qué depende que una cobertura se active, no relatan expedientes concretos. No se identifica a ninguna aseguradora, y es deliberado: afirmar que una compañía concreta rechazó un siniestro o no renovó una póliza es una imputación sobre un tercero identificable, y no se publica sin el expediente delante. Lo que sí es exacto es la mecánica: qué cláusula se discute en cada caso y con qué se acredita.
Caso 1: Ransomware con recuperación exitosa
Perfil: PYME sector construcción, 35 empleados, facturación €6M/año Póliza: producto de ciberriesgo para pyme, con límite, franquicia y sublímites propios del segmento
Incidente (23 enero 2026, 06:42h):
- Ransomware LockBit 3.0 cifra 87% de servidores de archivos + ERP
- Vector de entrada: Email phishing con macro maliciosa en Excel
- Rescate exigido: €180.000 en Bitcoin (plazo 72 horas)
Respuesta (cronología):
- Día 1 (06:42h): Detección del cifrado por equipo IT
- Día 1 (07:15h): Notificación a la aseguradora (llamada + email)
- Día 1 (09:30h): la aseguradora asigna perito forense y consultor de recuperación
- Día 1-2: Análisis forense inicial, contención del incidente
- Día 3: Informe preliminar forense confirma: backups parcialmente afectados (borrado programado por el malware), recuperación estimada 12-15 días
- Día 4: la aseguradora autoriza negociación de rescate (coste-beneficio vs. recuperación)
- Día 5: Negociadores especializados reducen rescate a €65.000
- Día 6: Pago de rescate autorizado, recepción de decryptor
- Día 6-14: Restauración gradual de sistemas (decryptor + backups parciales)
- Día 15: Vuelta a operaciones normales (95% de datos recuperados)
Costes reclamados:
| Partida | Coste | Estado |
|---|---|---|
| Perito informático forense | €12.500 | ✅ Aceptado |
| Consultor de recuperación | €18.000 | ✅ Aceptado |
| Negociadores de rescate | €8.000 | ✅ Aceptado |
| Pago de rescate | €65.000 | ✅ Aceptado |
| Tiempo extra empleados IT | €6.400 | ✅ Aceptado |
| Interrupción de negocio (14 días) | €92.000 | ✅ Aceptado (lucro cesante demostrado) |
| Mejora de seguridad (EDR nuevo) | €15.000 | ❌ Rechazado (mejora, no recuperación) |
| TOTAL RECLAMADO | €216.900 | Aceptado: €201.900 |
Liquidación final:
- Costes aceptados: €201.900
- Franquicia: -€5.000
- Coaseguro 10%: -€19.690
- Indemnización pagada: €177.210
- Coste asumido por empresa: €39.690 (18,3% del total)
- Plazo de pago: 45 días desde presentación documentación completa
Factores de éxito
La reclamación fue aceptada porque:
- Backups existían y estaban documentados (aunque parcialmente comprometidos)
- Notificación inmediata a la aseguradora (7:15h, solo 33 minutos tras detección)
- Cooperación total con el forense (acceso completo a sistemas)
- Medidas básicas cumplidas: MFA, antivirus actualizado, formación anual empleados
- Documentación exhaustiva de todos los costes con facturas y evidencias
Caso 2: Brecha de datos RGPD con multa AEPD
Perfil: Clínica dental, 12 empleados, facturación €1,2M/año, 8.400 pacientes Póliza: producto de ciberriesgo para microempresa, con cobertura de sanción administrativa cuando la póliza la admite
Incidente (15 marzo 2026):
- Brecha de datos: Base de datos de pacientes expuesta en Internet durante 47 días
- Vector: Servidor web con WordPress vulnerable, sin actualizaciones desde hace 8 meses
- Datos expuestos: 8.400 registros (nombre, DNI, teléfono, dirección, historial dental completo)
Cronología:
- 15 marzo: Investigador de seguridad notifica la brecha a la clínica
- 15 marzo: Clínica cierra servidor inmediatamente, contacta la aseguradora
- 16 marzo: Notificación a AEPD (72h desde conocimiento, Art. 33 RGPD)
- 17 marzo: Perito forense analiza servidor, confirma exposición desde 28 enero
- 18-22 marzo: Notificación a 8.400 afectados (email + carta certificada)
- Abril-Julio: Procedimiento sancionador AEPD
- Meses después: la AEPD resuelve el expediente. En un caso así la infracción del art. 32 se encuadra en el tramo del art. 83.4 —hasta 10 millones o el 2 %—, y la cuantía concreta depende de los criterios de graduación del art. 83.2
Costes reclamados:
| Partida | Coste | Estado |
|---|---|---|
| Perito informático forense | €7.200 | ✅ Aceptado |
| Abogado especialista RGPD | €12.500 | ✅ Aceptado |
| Notificaciones a 8.400 afectados | €18.400 | ✅ Aceptado |
| Call center atención afectados | €8.900 | ✅ Aceptado |
| Campaña de comunicación | €6.500 | ✅ Aceptado |
| Multa AEPD | €85.000 | ❌ Rechazado |
| Actualización servidor (mejora) | €4.200 | ❌ Rechazado |
| TOTAL RECLAMADO | €142.700 | Aceptado: €53.500 |
Resolución de la aseguradora:
La póliza NO cubría multas RGPD por incumplimiento de medidas de seguridad básicas. El informe forense reveló:
- WordPress sin actualizar durante 8 meses (13 vulnerabilidades críticas conocidas)
- Ningún firewall de aplicaciones web (WAF)
- Base de datos sin cifrar en un tratamiento de datos de salud, donde difícilmente se sostiene que sea una medida «apropiada al riesgo» (art. 32 RGPD; el cifrado es un ejemplo «en su caso», no un mandato incondicional)
- No había delegado de protección de datos. El art. 37.1.c RGPD lo exige cuando el tratamiento a gran escala de categorías especiales es la actividad principal; en España, el art. 34.1.l de la LOPDGDD lo concreta para centros sanitarios, con excepción para el profesional que ejerce a título individual
Liquidación final:
- Costes aceptados: €53.500 (solo gastos de respuesta, NO multa)
- Franquicia: -€2.500
- Coaseguro 10%: -€5.100
- Indemnización pagada: €45.900
- Multa de la AEPD: la asume la clínica, y su cuantía depende de la graduación del art. 83.2 RGPD
- Coste total empresa: €96.800 (67,8% del total)
La aseguradora no renovó la póliza para el año siguiente, por las deficiencias detectadas.
Lecciones aprendidas
Este caso muestra que no todos los costes son cubiertos:
- Multas por negligencia NO se cubren (incumplimiento de medidas mínimas)
- La falta de actualizaciones durante 8 meses se consideró negligencia grave
- Las mejoras de sistemas NUNCA se cubren, solo los costes de recuperación
- El cumplimiento RGPD es requisito previo, no algo que el seguro “arregle”
La clínica debió invertir €15k en medidas preventivas (actualizaciones automáticas, WAF, DPO), habría evitado €96.8k en costes.
Caso 3: fraude del CEO y la condición de autenticación multifactor
Perfil: Empresa distribución, 85 empleados, facturación €18M/año Póliza: producto de ciberriesgo para mediana empresa, con condicionado que exige autenticación multifactor
Incidente (8 abril 2026):
- BEC (Business Email Compromise): Email falso del CEO a directora financiera
- Transferencia fraudulenta: €240.000 a cuenta mula en Hong Kong
- Vector: Phishing con keylogger instalado en portátil del CEO 3 semanas antes
Reclamación rechazada:
El informe forense reveló:
- El portátil del CEO NO tenía MFA habilitado en cuenta de correo corporativo
- Política de la empresa exigía MFA, pero NO se había implementado realmente
- El cuestionario de contratación declaraba “MFA en todos los accesos remotos”
Resolución de la aseguradora:
- Reclamación rechazada íntegramente: declarar «MFA en todos los accesos remotos» cuando no se había implementado es una inexactitud con culpa grave, y el art. 10 LCS libera al asegurador del pago en ese supuesto
- La aseguradora argumentó que si hubiera habido MFA, el ataque habría sido imposible
- El keylogger capturó contraseña, pero no hubiera podido capturar el segundo factor temporal
Consecuencias para la empresa:
- Pérdida total: €240.000 (irrecuperable, fondos dispersados en 18 horas)
- la aseguradora rescindió la póliza con efecto inmediato
- La empresa tuvo que revelar el incidente a AEPD (acceso no autorizado a correo = brecha de datos)
Importancia de la declaración veraz
Este caso ejemplifica el riesgo de declarar medidas que no se cumplen realmente:
- La empresa creía tener MFA porque estaba en su política de seguridad
- Pero en la práctica, muchos usuarios (incluido CEO) no lo habían activado
- El forense verificó que solo el 23% de cuentas corporativas tenían MFA activo
Recomendación: Antes de contratar/renovar la póliza, realizar auditoría interna para verificar que las medidas declaradas se cumplen realmente al 100%.
Cómo elegir la póliza adecuada
Análisis de riesgos previo
Antes de contratar, realizar un análisis de riesgos para determinar las coberturas necesarias:
Identificar activos críticos
- ¿Qué sistemas son imprescindibles para la operación diaria?
- ¿Qué datos son más valiosos o sensibles?
- ¿Cuál es el impacto económico de 1 día, 1 semana, 1 mes sin acceso a sistemas?
Evaluar amenazas principales
- Ransomware (probabilidad muy alta para todas las empresas)
- Phishing/BEC (alta en empresas con pagos internacionales)
- Brecha de datos RGPD (alta si gestionas datos de clientes)
- DDoS (alta en e-commerce, baja en empresas B2B tradicionales)
Cuantificar exposición económica
- Coste de 7 días de inactividad: €X
- Coste de restauración de sistemas: €Y
- Multa RGPD máxima (4% facturación o €20M): €Z
- Rescate típico de ransomware en tu sector: €W
Determinar límite de cobertura necesario
- Regla general: Límite = Max(€500k, Facturación anual × 10%)
- Ajustar al alza si sector alto riesgo (sanidad, finanzas) o muchos datos personales
Equilibrar prima vs. franquicia
- Franquicia alta (€10-25k): Prima baja, asumes pequeños incidentes
- Franquicia baja (€2.5-5k): Prima alta, transfiere más riesgo
Criterios de selección de aseguradora
| Criterio | Peso | Qué evaluar |
|---|---|---|
| Límite de cobertura adecuado | 30% | ¿Cubre tu exposición máxima real? |
| Coberturas incluidas | 25% | ¿Incluye interrupción negocio, extorsión, RC RGPD? |
| Exclusiones razonables | 15% | ¿Las exclusiones son estándar del mercado o excesivas? |
| Red de respuesta a incidentes | 15% | ¿Tiene peritos forenses 24/7, negociadores, abogados especializados? |
| Reputación y solvencia | 10% | Rating S&P, experiencia en mercado cyber |
| Proceso de reclamación | 5% | ¿Rápido y transparente según opiniones de clientes? |
Consejo: Leer las Condiciones Generales completas
NO te fíes solo del folleto comercial. Solicita las Condiciones Generales completas (documento legal de 40-80 páginas) y revisa especialmente:
- Sección de Exclusiones (qué NO cubre)
- Definiciones (qué entienden por “manipulación informática”, “ransomware”, etc.)
- Obligaciones del asegurado (medidas de seguridad, plazos de notificación)
- Cláusula de reducción proporcional (si pueden reducir indemnización)
Un abogado especializado o broker de seguros puede ayudarte a comparar pólizas de diferentes aseguradoras.
Rol del perito informático forense en reclamaciones
Funciones del perito en el proceso
El perito informático forense es la figura clave en la resolución de reclamaciones de ciberseguros:
Para la aseguradora (perito designado por la compañía):
- Verificar que el incidente ocurrió realmente (descartar fraude)
- Determinar si el asegurado cumplía las medidas de seguridad declaradas
- Cuantificar el daño real (vs. daño reclamado)
- Evaluar la proporcionalidad de los costes de recuperación
Para el asegurado (perito de parte):
- Acreditar la existencia y gravedad del ciberataque
- Demostrar el cumplimiento de las medidas de seguridad previas
- Cuantificar todos los costes directos e indirectos
- Refutar objeciones del perito de la aseguradora (si hay desacuerdo)
Informe pericial para reclamación de ciberseguro
Estructura típica del informe (80-150 páginas):
Resumen ejecutivo (2-3 páginas)
- Incidente sufrido (ransomware, brecha datos, BEC, etc.)
- Conclusión: El incidente está cubierto por la póliza
- Cuantificación total del daño: €X
Metodología forense (5-10 páginas)
- Estándares aplicados: ISO 27037, NIST SP 800-86, RFC 3227
- Herramientas utilizadas: Autopsy, Volatility, Wireshark, etc.
- Cadena de custodia de evidencias: Hashes SHA-256, documentación
Análisis del incidente (30-50 páginas)
- Timeline completo (desde vector inicial hasta contención)
- Vector de entrada: Cómo entró el atacante (email, vulnerabilidad, credenciales robadas)
- Propagación lateral: Cómo se movió por la red
- Exfiltración/cifrado: Qué datos se vieron comprometidos
- Análisis de malware: Familia, variante, IoCs, C&C servers
Evaluación de medidas previas (15-25 páginas)
- Auditoría de backups: Existencia, frecuencia, funcionalidad
- MFA: Implementación real vs. declarada en cuestionario
- Parches: Estado de actualización de sistemas críticos
- Antivirus/EDR: Cobertura, actualizaciones, logs de detecciones
- Conclusión: ¿Se cumplían las medidas declaradas? Sí/No/Parcial
Cuantificación de daños (10-20 páginas)
- Costes directos: Forense, consultores, negociadores, pago rescate
- Interrupción de negocio: Facturación perdida vs. período comparable
- Recuperación: Horas de personal IT, recursos cloud adicionales
- Notificaciones: Cartas certificadas, call center, web informativa
- Multas RGPD: Resolución AEPD (si aplica)
- Total cuantificado: €X (desglosado por partidas)
Conclusiones (2-3 páginas)
- El incidente es real y está cubierto por la póliza
- El asegurado cumplía las medidas de seguridad exigidas
- El daño cuantificado es razonable y proporcionado
- Recomendación: Aceptación de la reclamación por €X
Anexos (20-40 páginas)
- Logs de sistemas (extractos relevantes)
- Capturas de pantalla de evidencias
- Análisis de malware (hashes, URLs maliciosas, IoCs)
- Facturas y justificantes de costes
Por qué no verá aquí una «tasa de aceptación con informe pericial»
Circulan porcentajes del tipo «las reclamaciones con informe forense se aceptan en el 87 % de los casos frente al 54 % sin él». Nadie mide eso: las aseguradoras no publican el resultado de sus siniestros según qué documentación acompañó a la reclamación, y las bases de datos de pérdidas del sector registran eventos, no expedientes de reclamación. Si alguien le enseña esa cifra para venderle un peritaje, pídale la publicación.
Lo que sí determina el resultado de una reclamación está escrito en la propia póliza, y conviene leerlo antes del incidente:
- El plazo de notificación, que suele contarse en horas y cuyo incumplimiento es causa habitual de rechazo.
- Quién elige al perito: muchas pólizas imponen el panel forense de la aseguradora. Si es su caso, el informe de parte cumple otra función —contrastar—, no la de sostener la reclamación.
- La carga de acreditar el daño, que es de quien reclama. Las reducciones de indemnización no suelen venir de que se discuta el ataque, sino de que no se pudo cuantificar la pérdida con documentación técnica y contable.
Futuro del mercado de ciberseguros
Tendencias 2026-2030
| Tendencia | Impacto | Implicaciones |
|---|---|---|
| Endurecimiento de requisitos | ↑ Exigencias MFA, EDR, backups | Empresas con seguridad débil tendrán dificultades para asegurar |
| Límites de cobertura para ransomware | ↓ Límites específicos €250k-€500k | Rescates altos pueden no cubrirse completamente |
| Exclusión de pago de rescates | ↑ Algunas aseguradoras prohíben pagar rescates | Solo se cubre recuperación, no pago |
| Precios al alza | ↑ Primas +15-25% anual (2026-2028) | Mayor coste para renovar pólizas |
| Cobertura de IA generativa | Nuevas coberturas para riesgos de LLMs | Deepfakes, alucinaciones de LLMs causando daños |
| Seguros parametrizados | Pago automático si sensor detecta ataque | Liquidación más rápida (horas vs. semanas) |
| Integración con SOC/SIEM | Monitorización continua por aseguradora | Descuentos por telemetría en tiempo real |
Regulación europea en camino
La Directiva NIS2 obliga a las entidades esenciales e importantes a adoptar medidas de ciberseguridad específicas. España no la ha transpuesto: el plazo venció el 17 de octubre de 2024 y la Comisión Europea abrió por ello procedimiento de infracción, y en julio de 2026 decidió llevarla ante el Tribunal de Justicia. Mientras tanto rige el marco nacional heredado —Real Decreto-ley 12/2018 y Real Decreto 43/2021—, no la Directiva NIS1, que está derogada desde el 18 de octubre de 2024. Es probable que en 2027-2028 la UE establezca requisitos mínimos para ciberseguros en sectores regulados (similar a lo que ya existe en seguros de RC de vehículos).
Preguntas frecuentes (FAQ)
¿Merece la pena contratar un ciberseguro para una microempresa?
Depende de tu exposición. Evalúa estas preguntas:
SÍ merece la pena si:
- Gestionas datos personales de clientes (más de 1.000 registros)
- Tu actividad depende completamente de sistemas digitales (e-commerce, SaaS)
- Realizas transferencias bancarias frecuentes (riesgo BEC)
- No podrías asumir un coste inesperado de €20k-€50k
Podría NO merecer la pena si:
- Tienes backups sólidos offline y probados mensualmente
- Casi no tienes datos digitales críticos (negocio muy analógico)
- Tus sistemas son simples y fácilmente replicables
- Tienes fondo de contingencia suficiente (más de €50k reservados)
Alternativa para microempresas: Algunas aseguradoras ofrecen “micro-ciberseguros” con límites €50k-€100k y primas €400-€800/año, que pueden ser suficientes para cobertura básica.
¿Qué pasa si no puedo pagar la prima tras un año con incidente?
Tras sufrir un ciberataque y reclamar al seguro, es frecuente que:
- La aseguradora suba la prima un 40-80% en la renovación
- Te exija mejoras obligatorias (EDR, segmentación de red) para renovar
- No renueve la póliza si considera que el riesgo es demasiado alto
Opciones si no puedes pagar la nueva prima:
- Cambiar de aseguradora: Otras compañías pueden ofrecer mejores condiciones (aunque conocerán tu historial)
- Aumentar franquicia: Pasar de €5k a €10k o €25k puede reducir prima un 20-30%
- Reducir límite de cobertura: Pasar de €2M a €1M reduce prima proporcionalmente
- Eliminar coberturas opcionales: Renunciar a cobertura de ingeniería social o DDoS para ahorrar 15-20%
Importante: NO te quedes sin seguro. Incluso una póliza reducida es mejor que nada, porque el segundo ciberataque suele venir poco después del primero (los atacantes saben que has pagado antes).
¿Qué NO cubre NUNCA un ciberseguro?
Exclusiones universales en todas las pólizas (salvo extensiones carísimas):
- Actos de guerra cibernética entre estados (ej: NotPetya fue considerado ataque de estado ruso, muchas aseguradoras no pagaron)
- Fallo de infraestructura de terceros (ej: caída masiva de AWS, tu web offline 8 horas → NO cubierto)
- Pérdida de propiedad intelectual que no sea datos personales RGPD (ej: te roban el código fuente de tu software → NO cubierto)
- Daños a la reputación no cuantificables (ej: caída de valor de marca tras incidente → NO cubierto salvo cobertura específica muy cara)
- Mejoras de sistemas que debían existir previamente (ej: migrar de Windows Server 2008 a 2022 tras ransomware → NO cubierto)
- Multas por incumplimientos regulatorios previos al incidente (ej: no tenías DPO obligatorio desde hace 2 años → multa AEPD NO cubierta)
Si tu empresa tiene riesgos específicos en estas áreas, necesitas seguros especializados adicionales (seguro de RC tecnológica, seguro de pérdida de beneficios, etc.).
¿Necesitas asesoramiento sobre ciberseguros?
Si estás evaluando contratar una póliza de ciberseguro o necesitas realizar una reclamación tras un ciberataque, en Digital Perito ofrecemos servicios especializados de peritaje informático forense y asesoramiento técnico para ciberseguros.
Servicios para empresas aseguradas
- Análisis forense post-incidente para reclamación a aseguradora
- Cuantificación exhaustiva de daños (técnicos, económicos, legales)
- Auditoría previa de cumplimiento de medidas de seguridad declaradas
- Informe pericial completo para presentación a aseguradora (80-150 páginas)
- Soporte en negociación con perito de la aseguradora (refutación técnica de objeciones)
- Ratificación en procedimiento arbitral si hay desacuerdo con indemnización
Servicios para empresas sin seguro
- Análisis de riesgos cibernéticos para determinar coberturas necesarias
- Revisión técnica de cuestionarios de contratación (evitar declaraciones inexactas)
- Auditoría de medidas de seguridad para cumplir requisitos de aseguradora
- Implementación de requisitos técnicos (backups, MFA, EDR, segmentación)
- Plan de respuesta a incidentes (IRP) exigido por muchas pólizas
Servicios para aseguradoras
- Peritaje de parte de aseguradora en reclamaciones complejas
- Verificación de cumplimiento de medidas de seguridad declaradas
- Valoración técnica de daños reclamados vs. daños reales
- Detección de fraude en reclamaciones sospechosas
Metodología certificada: ISO 27037, NIST SP 800-86, RFC 3227 Cobertura: Nacional (remoto) + presencial en Andalucía Experiencia: Ex-CTO, 5× AWS Certified, peritajes en el ámbito de reclamaciones a ciberseguros
Contacta ahora para una consulta inicial gratuita sobre ciberseguros y peritaje forense para reclamaciones.
Digital Perito - Perito Informático Forense Jonathan Izquierdo | Jaén, España 📞 624 09 37 96 | ✉️ contacto@digitalperito.es
¿Necesitas acreditar técnicamente lo que pasó?
Ante un siniestro ciber, la aseguradora va a preguntar qué pasó y con qué medidas contabas. Documentarlo es lo que sostiene la reclamación.
Referencias y fuentes
- Hiscox — Cyber Readiness Report 2025. Tasas de ataque y de aseguramiento por tamaño de plantilla. ⚠️ Lo publica una aseguradora de ciberriesgos: tiene interés directo en la conclusión.
- Sophos — The State of Ransomware 2026. Coste medio de recuperación y rescate mediano.
- Ley 50/1980, de Contrato de Seguro — BOE. Declaración inexacta (art. 10), comunicación del siniestro (art. 16), deber de aminorar el daño (art. 17), pago e importe mínimo en cuarenta días (art. 18), mora del asegurador (art. 20) y designación de peritos (art. 38).
- Ley 20/2015, de ordenación, supervisión y solvencia de las entidades aseguradoras — BOE. La DGSFP como autoridad de supervisión del sector.
- RGPD — Reglamento (UE) 2016/679. Arts. 32, 33, 34 y 83.
Preguntas Frecuentes
¿Qué cubre una póliza de ciberseguro?
Un ciberseguro suele cubrir: costes de recuperación tras ransomware, gastos de procedimiento regulatorio —la cobertura de la multa en sí depende de que sea asegurable conforme a la ley aplicable—, responsabilidad civil por filtración de datos de clientes, interrupción de negocio, extorsión cibernética, y gastos de respuesta a incidentes (forenses, legales, comunicación).
¿Cuánto cuesta un seguro de ciberriesgos para PYME?
No hay tarifas públicas: las aseguradoras no publican primas por tamaño de empresa, y el precio depende del sector, la facturación, el límite contratado, la franquicia y las medidas de seguridad implementadas, historial de incidentes y franquicia elegida.
¿Necesito un perito informático para reclamar al ciberseguro?
No siempre lo exige el condicionado, pero es lo que permite acreditar frente a la aseguradora: la existencia real del ciberataque, el vector de entrada, la cuantificación de daños, el cumplimiento de medidas de seguridad previas, y el tiempo de recuperación. Sin evidencia forense, la reclamación es mucho más fácil de rechazar.
Términos Relacionados
Plan de Respuesta a Incidentes
Documento estrategico que define los procedimientos, roles y herramientas que una organizacion debe activar ante un ciberincidente. Basado en el marco NIST SP 800-61, estructura las fases de preparacion, detección, contencion, erradicacion, recuperacion y lecciones aprendidas, garantizando la preservacion de evidencia digital para acciones legales.
Informe Pericial
Documento técnico-legal elaborado por un perito informático que presenta los resultados de un análisis forense digital con validez probatoria en procedimientos judiciales.
Evidencia Digital
Información digital (archivos, logs, mensajes) con valor probatorio en juicio. Su peso depende de que se pueda sostener su autenticidad e integridad, y la licitud de la obtención se juzga aparte, por el art. 11.1 LOPJ.
¿Necesitas un peritaje forense?
Si necesitas ayuda profesional con análisis forense digital, estoy aquí para ayudarte.
Solicitar Consulta Gratuita