Un ransomware cifra el servidor de facturación un viernes por la noche, el equipo de informática está de guardia reducida, y el proveedor de copias de seguridad tarda 48 horas en restaurar una copia de seguridad parcial. Mientras tanto, los pedidos de los clientes no se envían, la línea telefónica se satura, y el seguro multirriesgo profesional no prevé ninguna cobertura para este tipo de siniestro.
Este escenario se encuentra cada vez más a menudo en empresas de todos los tamaños, incluidas aquellas que pensaban tener “suficiente seguridad informática” internamente.
Pruebas exigidas por los aseguradores cibernéticos: lo que realmente bloquea la indemnización
La mayoría de los directivos imagina que un seguro de ciber riesgos funciona como un seguro de auto: se declara el siniestro y se espera el pago. La realidad en el terreno es muy diferente. Los aseguradores han endurecido sus requisitos en los últimos años, y sin pruebas materiales detalladas, la indemnización puede ser rechazada.
Concretamente, en el momento de la declaración del siniestro, se nos pide proporcionar un inventario preciso de los activos afectados, los registros de incidentes con fecha y hora, los certificados de formación del personal en ciberseguridad, y la prueba de que los parches de software se habían desplegado antes del ataque. Si las pruebas de copias de seguridad no han sido documentadas, el asegurador puede invocar la “negligencia manifiesta” para reducir o anular la cobertura.
Antes incluso de comparar los contratos, es necesario entender las ventajas del seguro de ciber riesgos en relación con lo que cada póliza exige como requisitos técnicos. Un contrato barato con amplias exclusiones cuesta más que un contrato riguroso que realmente indemniza.
- Mantener un registro actualizado de los proveedores y subcontratistas que tienen acceso al sistema de información, con sus niveles de autorización
- Documentar cada prueba de restauración de copia de seguridad (fecha, alcance probado, resultado) para demostrar que el plan de recuperación funciona
- Conservar las pruebas de despliegue de actualizaciones de seguridad en los puestos y servidores críticos
- Archivar los materiales y certificados de formación en ciberseguridad impartidos a los empleados, incluso las sesiones cortas
Directiva NIS2 y responsabilidad personal de los directivos
Se habla mucho de la conformidad con el RGPD, pero la directiva NIS2 cambia las reglas del juego en un punto específico. El artículo 20 de NIS2 impone a los órganos de dirección aprobar ellos mismos las medidas de gestión de riesgos cibernéticos, supervisar su implementación y seguir una formación adecuada.
No es simbólico. Para las entidades calificadas como importantes, los directivos pueden ser suspendidos temporalmente de sus funciones en caso de incumplimiento. La ciberseguridad ya no es un tema delegado al departamento de informática: es una obligación de gobernanza que compromete personalmente al directivo.
Esta responsabilidad personal refuerza el interés por un seguro cibernético que también cubra la responsabilidad de los directivos. Las pólizas de RC para directivos no siempre integran este aspecto. Es necesario verificar que el contrato cubra explícitamente las sanciones administrativas y los gastos de defensa relacionados con un incumplimiento de las obligaciones de ciberseguridad.
Transposición en derecho francés: anticipar a pesar del retraso
La transposición francesa de NIS2 se está retrasando, pero las obligaciones están llegando. Esperar la publicación del texto nacional para actuar equivale a preparar las pruebas de conformidad en la urgencia, exactamente el escenario que los aseguradores sancionan. Anticipar la conformidad con NIS2 mejora directamente las condiciones del seguro, ya que los aseguradores ya están integrando estos criterios en sus cuestionarios de suscripción.
Seguro cibernético y cadena de subcontratación: un ángulo muerto frecuente
NIS2 también impone una responsabilidad en la cadena de suministro. Si un subcontratista sufre un ciberataque y esto impacta su actividad, debe poder demostrar que había evaluado su nivel de seguridad. Las respuestas varían en este punto según los sectores, pero la tendencia es clara: los contratistas exigen cada vez más certificados de seguro cibernético de sus proveedores.
El seguro cibernético se convierte en un criterio comercial, no solo en una protección financiera. Algunas licitaciones ya incluyen una cláusula que impone una cobertura cibernética mínima al proveedor. No estar asegurado puede significar perder un contrato, incluso antes de haber sufrido un ataque.
Lo que realmente cubre un contrato cibernético sobre la subcontratación
Un buen contrato de seguro cibernético cubre las pérdidas de explotación causadas por una falla informática en un proveedor vinculado por contrato. Cubre los gastos de notificación a los clientes si datos personales han transitado por el subcontratista comprometido. En cambio, si no existe un contrato formal que vincule a ambas partes, la cobertura a menudo queda excluida.
Costos de un ciberataque sin seguro: pérdidas directas e indirectas
Según la consultora Asterès, 385,000 ciberataques exitosos afectaron a organizaciones francesas en 2022, con un costo global estimado en 2 mil millones de euros. Estas cifras agregan las pérdidas directas (rescates, restauración de sistemas, reemplazo de equipos) y los costos indirectos que a menudo se subestiman.
Los costos indirectos representan la parte más pesada: interrupción de la actividad durante varios días, pérdida de clientes que no regresan después de una fuga de datos, gastos legales relacionados con las quejas, y daño a la reputación que ninguna campaña de comunicación repara rápidamente. Una empresa no asegurada absorbe la totalidad de estas pérdidas en su tesorería.
- Gastos de gestión de crisis: expertos forenses, comunicación de crisis, línea directa dedicada a los clientes afectados
- Pérdidas de explotación durante el período de indisponibilidad del sistema informático
- Responsabilidad civil hacia terceros cuyos datos han sido comprometidos
- Sanciones administrativas (CNIL, y pronto NIS2) que pueden alcanzar montos significativos según el tamaño de la empresa
La protección informática (firewall, antivirus, formación) reduce la probabilidad de un ataque. El seguro cibernético cubre las consecuencias financieras cuando la protección falla. Ambos funcionan juntos, no uno en lugar del otro. Incluso un sistema bien protegido sigue expuesto a ataques exitosos, y es precisamente esto lo que hace que la cobertura aseguradora sea necesaria para cualquier empresa que dependa de su sistema de información a diario.