Ciberriesgo vs. RC profesional en actividades digitales: qué cubre cada póliza cuando un cliente reclama por una brecha

Un cliente te llama un martes por la mañana. Han recibido un correo raro que dice venir de tu empresa, con un enlace que descarga malware. Resulta que tu servidor lleva tres semanas comprometido. El cliente pierde 40.000 € en una transferencia fraudulenta y te reclama. ¿Qué póliza responde? ¿La de ciberriesgo o la de RC profesional? La respuesta corta es incómoda: depende. Y la larga ocupa el resto del artículo.

El malentendido de partida: por qué se confunden ciber y RC profesional

Ambas pólizas se activan cuando hay un tercero enfadado y una carta de reclamación encima de la mesa. Pero cubren cosas distintas, con lógicas distintas, y sus solapamientos son menos amplios de lo que vende el mediador medio. La RC profesional nace para responder por el error u omisión del profesional en la prestación del servicio contratado. La ciberriesgo nace para responder por el incidente de seguridad en sí mismo: la brecha, su gestión, sus consecuencias regulatorias y las reclamaciones derivadas.

En castellano de calle: la RC profesional cubre que te equivoques haciendo tu trabajo. La ciber cubre que te hackeen mientras haces tu trabajo. Parece lo mismo. No lo es.

Qué cubre una póliza de ciberriesgo (y qué se le suele exigir de más)

Una póliza de ciberriesgo bien construida trabaja en dos planos: daños propios (lo que te pasa a ti) y RC frente a terceros (lo que reclaman los demás por tu culpa).

En daños propios entran los costes de gestión del incidente: análisis forense, restauración de sistemas, recuperación de datos, notificación a afectados, gabinete de crisis, línea telefónica de atención. También la extorsión cibernética —el rescate del ransomware— con matices que veremos. Y el lucro cesante por interrupción del negocio derivada del ataque.

En terceros, la póliza responde por las reclamaciones de clientes cuyos datos han quedado expuestos, por las sanciones administrativas del RGPD cuando el ordenamiento permite asegurarlas, y por los gastos de defensa jurídica frente a la AEPD.

Hiscox CyberClear: un producto de referencia en pymes españolas

Hiscox es probablemente el nombre más citado cuando se habla de ciberseguros en España. Su producto CyberClear está pensado para pymes y autónomos con exposición digital media-alta: e-commerce, consultoras, despachos, agencias. Incluye respuesta 24/7, forense, gestión reputacional y la parte de RC frente a terceros. La franquicia varía por tamaño de empresa y capital contratado, típicamente entre 1.000 y 3.000 € en pymes pequeñas.

Qué cubre la RC profesional en actividades digitales

La RC profesional responde por el perjuicio patrimonial que sufre un cliente por un error, negligencia u omisión del profesional en la prestación del servicio pactado. En actividades digitales, esto incluye desarrollos que fallan, informes erróneos, asesoramientos defectuosos, entregables que incumplen el pliego, retrasos con consecuencias económicas.

Dicho de otro modo: si el cliente te reclama porque el trabajo estaba mal hecho, es RC profesional. Si te reclama porque te robaron sus datos, en principio es ciber.

Zurich Cyber y su RC profesional para actividades digitales

Zurich comercializa en España tanto una póliza específica de ciberriesgo como pólizas de RC profesional adaptadas a consultoras tecnológicas, desarrolladores y agencias digitales. La RC profesional cubre el error en la prestación del servicio; la ciber, el incidente. Contratadas por separado —o en paquete— cubren el espectro completo. La franquicia en RC profesional para autónomos digitales suele moverse entre 300 y 1.500 € según capital y actividad.

El caso frontera: reclamación de cliente por brecha de datos

Aquí es donde el mediador honesto se gana el sueldo. Imagina una agencia de marketing que gestiona la base de datos de un e-commerce. Sufre un ataque. Se filtran 80.000 correos con datos de compra. El cliente reclama por daño reputacional y por la sanción del RGPD que recibe.

¿Ciber o RC profesional? En la práctica, ambas se pueden activar, y por eso la discusión es tan frecuente:

• La ciber responde por la gestión del incidente, la notificación, la defensa frente a la AEPD y la reclamación del cliente por la brecha en cuanto tal.
• La RC profesional entra si se demuestra que hubo negligencia en la prestación del servicio —por ejemplo, no aplicar medidas técnicas contractualmente pactadas—.

Lo que suele ocurrir sobre el papel: la ciber lleva la voz cantante y la RC profesional queda en segundo plano, salvo que el contrato con el cliente incluya obligaciones específicas de seguridad. De hecho, muchas RC profesionales excluyen expresamente el ciberincidente para evitar solapamientos —y para forzar la contratación de la ciber, todo hay que decirlo—.

Exclusiones típicas que dejan al asegurado con cara de tonto

En ciberriesgo, ojo con:

• Falta de parches y actualizaciones: si el ataque explota una vulnerabilidad conocida con parche disponible desde hace meses, la aseguradora puede negar cobertura.
• Ausencia de copias de seguridad: exigencia contractual habitual.
• Actos dolosos de empleados: cubiertos solo con extensión específica.
• Sanciones RGPD: no todas las jurisdicciones admiten su aseguramiento; hay quien las incluye y quien las deja fuera.
• Incidentes previos a la contratación: exclusión estándar de siniestros preexistentes.

En RC profesional de actividades digitales:

• Ciberincidentes cuando la póliza no los contempla explícitamente.
• Incumplimientos contractuales puros (retrasos, penalizaciones) que no derivan de un error técnico.
• Reclamaciones de propiedad intelectual salvo extensión.
• Trabajos sin contrato firmado con el cliente.
• Actividades no declaradas al contratar la póliza.

Detalle nada menor: ambas trabajan en régimen claims made, es decir, cubren reclamaciones recibidas durante la vigencia, aunque el hecho generador sea anterior —siempre dentro del periodo de retroactividad pactado—. Si dejas caducar la póliza, la cobertura se apaga. Punto.

A quién le compensa cada una (y a quién ambas)

Solo RC profesional: consultor que trabaja con datos poco sensibles y bajo volumen. Autónomo que factura informes, formaciones, auditorías sin custodia masiva de datos ajenos. Para estos perfiles, la RC profesional del autónomo suele ser suficiente.

Solo ciber: comercios online sin apenas prestación de servicios profesionales, tiendas e-commerce, plataformas SaaS con contrato estándar y baja exposición a error humano en la prestación. La ciber para pymes resuelve la mayoría de escenarios.

Ambas: agencias digitales, consultoras tecnológicas, desarrolladores de software a medida, despachos que combinen asesoramiento y custodia de datos. Cualquier actividad que combine prestación técnica con manejo de datos ajenos vive en la zona gris y necesita las dos.

Cuándo no compensa contratar ninguna de las dos

Si eres un autónomo que factura menos de 20.000 € al año, trabajas con clientes B2C sin contratos formales y no manejas datos sensibles, la prima combinada puede comerte un mes de facturación sin devolverte proporcionalidad. En ese perfil, prima básica de RC profesional y un buen backup casero rinden más que dos pólizas caras a medio gas.

Veredicto por perfil

Tabla resumen comparativa

Puntuación editorial basada en encaje del producto con actividades digitales españolas, no en calidad absoluta de la compañía.

FAQ

¿Puedo contratar solo ciberriesgo y ahorrarme la RC profesional?
Depende de tu actividad. Si prestas servicios profesionales —informes, desarrollos, asesoramientos— la ciber no cubrirá un error tuyo que perjudique al cliente. Solo cubrirá el incidente de seguridad. Un desarrollador que entrega código con un fallo grave necesita RC profesional, no ciber. Un e-commerce que sufre un robo de tarjetas necesita ciber, no RC profesional. Con actividad mixta, las dos.

Si mi póliza de RC profesional dice que cubre "responsabilidad civil por daños a datos", ¿ya tengo ciber cubierta?
No. Esa extensión suele limitarse a la reclamación del tercero por el dato perdido, con sublímites bajos. Deja fuera la gestión del incidente, el forense, la extorsión, la defensa ante la AEPD y el lucro cesante. Es un parche, no una póliza ciber.

¿Las sanciones del RGPD son asegurables en España?
Es un debate jurídico abierto. Muchas pólizas de ciberriesgo comercializadas aquí las incluyen con la fórmula "en la medida en que el ordenamiento aplicable lo permita". La DGSFP y la doctrina admiten cierta cobertura, pero conviene revisar el condicionado y, si el caso lo justifica, consultar con un mediador colegiado.

¿Qué es el régimen claims made y por qué me importa?
Significa que la póliza cubre las reclamaciones notificadas durante su vigencia, aunque el hecho ocurriera antes —dentro del periodo de retroactividad pactado—. Si cancelas la póliza y meses después llega una reclamación por un incidente antiguo, no estarás cubierto salvo que hayas contratado un periodo de descubrimiento. Nunca dejes caducar sin más una póliza de ciber o RC profesional si has tenido incidentes que puedan derivar en reclamación.