El ciberseguro dejó de ser un producto de nicho el día en que un ransomware cifró la contabilidad de una carpintería de Alicante y le pidió 40.000 euros para devolvérsela. La pyme española empieza a comprarlo, sí, pero suele hacerlo mal: firma el condicionado sin leer las exclusiones y descubre —cuando llega el siniestro— que su póliza no cubre lo que él creía. Vamos por partes.
Qué es exactamente un seguro de ciberriesgo para pymes
Hablamos de una póliza de RC profesional ampliada + daños propios digitales, voluntaria (no obligatoria en España salvo sectores muy concretos con datos sensibles), que combina tres bloques: daños a la propia empresa por un incidente informático, responsabilidad frente a terceros afectados, y servicios de respuesta ante crisis. No es un antivirus con factura. Es un contrato bajo la Ley 50/1980 de Contrato de Seguro, supervisado por la DGSFP, que se activa cuando el asegurado sufre un incidente cibernético definido en las condiciones particulares.
Y ahí está la primera trampa: la definición de "incidente cibernético" varía por compañía. Lo que en Hiscox entra, en otra aseguradora puede quedar fuera por matices semánticos.
Qué cubre un ciberseguro estándar en España
Las coberturas que se repiten en el mercado español —Hiscox CyberClear, Zurich Cyber, AIG CyberEdge, Mapfre Ciberriesgos y algún producto de MGA como CyberVal— se agrupan así:
Primera parte (daños propios):
- Restauración de datos y sistemas tras ransomware, borrado o corrupción.
- Pérdida de beneficios por interrupción del negocio, con periodo de indemnización habitual de 3 a 12 meses.
- Gastos de respuesta: peritos forenses, notificación a afectados, comunicación de crisis.
- Extorsión cibernética: negociación con el atacante y, en algunos productos, pago del rescate (con matices legales que ahora vemos).
Terceros (RC):
- Reclamaciones por brecha de datos personales bajo RGPD y LOPDGDD.
- Sanciones administrativas de la AEPD, cuando la póliza las contemple expresamente y sean asegurables por ley —no todas lo son—.
- Defensa jurídica en procedimientos derivados del incidente.
- Responsabilidad por transmisión de malware a clientes o proveedores.
Servicios:
- Línea 24/7 de respuesta a incidentes, normalmente con partners tipo S21sec, Telefónica Tech o equivalentes.
- Auditoría post-siniestro y, en algunos productos, revisión preventiva anual.
Qué NO cubre (y aquí es donde duele)
La letra pequeña del ciberseguro es más restrictiva de lo que el comercial admite. Las exclusiones que aparecen en casi todos los condicionados del mercado español:
- Incidentes previos al inicio de vigencia o conocidos por el asegurado antes de contratar. Si tu sistema ya estaba comprometido y no lo sabías, la aseguradora puede alegar reticencia (art. 10 LCS).
- Falta de medidas mínimas de seguridad: antivirus actualizado, copias de seguridad periódicas, MFA en accesos críticos, parches al día. Si el perito forense demuestra que no había backup desde hace ocho meses, adiós indemnización.
- Ingeniería social pura sin intrusión técnica: el clásico fraude del CEO donde un empleado transfiere dinero engañado. Muchas pólizas lo excluyen o lo limitan a un sublímite ridículo (5.000-15.000 €).
- Pago del rescate en jurisdicciones sancionadas (OFAC, UE): si el ransomware viene de un grupo sancionado, la aseguradora no paga el rescate legalmente.
- Daños a hardware físico derivados del ataque. El ciberseguro repone datos y software, no el servidor quemado.
- Pérdida de propiedad intelectual o secretos comerciales filtrados. Se cubre la notificación y la defensa, no el valor del activo perdido.
- Multas penales y sanciones no asegurables por ley española.
- Guerra cibernética y actos de Estado: la cláusula "war exclusion" se ha endurecido tras NotPetya y muchos ataques atribuibles a APT estatales quedan fuera.
- Dispositivos personales (BYOD) sin política corporativa documentada.
Precio orientativo y franquicia
Para una pyme española de 1-3 millones de facturación, sin sector crítico, la prima anual se mueve entre 600 y 2.500 € con capitales de 100.000 a 500.000 €. Autónomos con actividad digital arrancan desde 250-400 €/año con capitales de 50.000 €. La franquicia típica va de 1.000 a 5.000 € por siniestro, y sube a 10.000-25.000 € en sectores de alto riesgo (sanidad, e-commerce con pasarela propia, despachos jurídicos).
| Producto | Capital orientativo | Franquicia | Puntos fuertes | Punto flojo | Prima orientativa pyme |
|---|---|---|---|---|---|
| Hiscox CyberClear | 100.000 – 2.000.000 € | 1.000 – 2.500 € | Respuesta 24/7 sólida, buena definición de brecha | Sublímites en fraude del CEO | desde ~800 €/año |
| Zurich Cyber | 250.000 – 5.000.000 € | 2.500 – 10.000 € | Cobertura amplia para medianas empresas | Exige medidas de seguridad auditables | desde ~1.200 €/año |
| AIG CyberEdge | 500.000 – 10.000.000 € | 5.000 – 25.000 € | Producto pensado para empresa consolidada | Sobredimensionado para micropyme | desde ~1.800 €/año |
| Mapfre Ciberriesgos | 50.000 – 600.000 € | 1.000 – 3.000 € | Red comercial cercana, integrable con pack pyme | Capitales bajos para e-commerce serio | desde ~500 €/año |
A quién le compensa
Le compensa a la pyme que maneja datos personales de terceros (clínicas, gestorías, despachos, e-commerce), a la que depende de un ERP o TPV para facturar (una parada de 72 horas la desangra), y a cualquier empresa con facturación superior a 500.000 € que ya haya invertido en un mínimo de higiene digital. También al autónomo con cartera de clientes cuya reputación se hunde si filtra un correo.
Cuándo NO compensa
No compensa cuando la pyme no tiene ni backups ni MFA: la aseguradora rechazará el siniestro por incumplimiento de las obligaciones del asegurado. Tampoco cuando la facturación es tan baja que el propio coste del incidente sería inferior a la franquicia más la prima acumulada de tres años. Y desde luego no compensa contratar el capital mínimo "para tener algo": 50.000 € se evaporan en honorarios forenses y notificaciones antes de indemnizar nada al asegurado.
Hay un tercer escenario incómodo: empresas que ya han sufrido un ataque y buscan póliza "por si acaso vuelve". El cuestionario previo lo detecta y, o bien se rechaza el riesgo, o se excluye expresamente esa tipología.
Marco regulatorio que conviene tener presente
La AEPD sanciona bajo RGPD y LOPDGDD, y sus multas pueden llegar al 4% de la facturación global. INCIBE ofrece servicios gratuitos de respuesta que muchas pymes ignoran y que la aseguradora tendrá en cuenta al valorar la diligencia del asegurado. La NIS2, en proceso de transposición, ampliará las obligaciones de notificación —conviene revisar si tu sector entra en el ámbito ampliado antes de renovar—.
Para dudas sobre asegurabilidad de sanciones concretas o el encaje de tu actividad, consulta con un mediador colegiado o directamente con la DGSFP.
Veredicto por perfil
- Autónomo digital con pocos datos de terceros: prima básica de 250-500 € tiene sentido, sobre todo por el servicio de respuesta.
- Pyme de 1-5 M€ con datos sensibles: producto de gama media (Hiscox, Zurich) con capital de 300.000-500.000 € es lo razonable.
- Empresa >5 M€ o sector crítico: capital de 1 M€ mínimo, cuestionario técnico serio y probablemente auditoría previa.
- Micropyme sin dependencia digital real: probablemente no compense; refuerza backups y MFA antes que comprar póliza.
Cambiar de compañía no siempre ahorra en ciberseguro: el histórico de siniestros y la madurez digital pesan más que el precio de cabecera. Y no, no existe la póliza "todo incluido" en ciberriesgo. Existe la que has leído entera antes de firmar.
FAQ
¿Es obligatorio el seguro de ciberriesgo para una pyme en España?
No. Es un seguro voluntario. Sí es obligatorio cumplir con RGPD y LOPDGDD en materia de protección de datos, pero la póliza que cubre las consecuencias económicas de un incidente es contractual, no legal, salvo requisitos específicos que puedan imponer determinados clientes (contratos públicos, sector financiero) o normativa sectorial como NIS2 para entidades esenciales.
¿El ciberseguro paga el rescate de un ransomware?
Depende de la póliza y de la jurisdicción del atacante. Muchos productos cubren la negociación y el pago si es legalmente posible, pero si el grupo criminal está en listas de sanciones internacionales (OFAC, UE), el pago queda excluido por ley. Lo que sí cubren siempre es la restauración de sistemas si hay backups viables.
¿Qué diferencia hay entre ciberseguro y RC profesional clásica?
La RC profesional cubre errores u omisiones en el ejercicio de la actividad. El ciberseguro cubre incidentes de seguridad informática y sus consecuencias (daño propio, RC frente a terceros por brecha de datos, servicios de crisis). Se solapan poco y son complementarias: una gestoría necesita ambas, no una sola.
¿Cuánto tarda en indemnizar una aseguradora tras un ciberataque?
La respuesta a incidencia (equipo forense, contención) se activa en horas. La indemnización monetaria por lucro cesante y restauración depende del peritaje y suele resolverse en 2-6 meses, dentro de los plazos que marca la Ley de Contrato de Seguro. Los procedimientos con reclamaciones de terceros o sanciones de la AEPD pueden extenderse mucho más.
