Cuando contratas el seguro de tu negocio, te explican lo que cubre: el local, lo que hay dentro, el robo, el agua, la responsabilidad civil. Firmas, te llevas la carpeta y la guardas. Y aunque te lo expliquen todo, de un seguro casi siempre nos quedamos con lo básico. Como con el del coche: sabes que estás asegurado, pero no sabrías decir qué pone cada cláusula.
Con la informática pasa lo mismo, y sobre todo con el seguro de ciberriesgo. Hay dos preguntas que muy pocos gerentes de pyme saben contestar. La primera: ¿mi seguro me cubre si un ciberataque me deja sin ordenadores? La segunda, si la respuesta es que sí: ¿estoy cumpliendo lo que me exige para pagarme?
Qué es un seguro de ciberriesgo
Es el seguro pensado para lo que pasa cuando un ataque informático o un fallo de seguridad golpea a tu empresa. El caso más conocido: un día los archivos aparecen cifrados y alguien pide un rescate para devolverlos. Pero también entra el robo de datos de tus clientes, una transferencia que alguien desvía haciéndose pasar por ti o por un proveedor, o una web que te dejan fuera de servicio.
INCIBE, el Instituto Nacional de Ciberseguridad, lo deja claro: el ciberseguro es una capa más de protección que «en ningún caso» debería sustituir a las medidas de prevención.
¿Lo tienes sin saberlo? Mira qué pone de verdad
Muchos seguros de comercio y de oficina —los multirriesgo— traen garantías con nombres como «asistencia informática» o «protección digital». Unas veces vienen incluidas y otras son opcionales. Al verlas en el resumen, es fácil pensar: «lo informático lo tengo cubierto».
Conviene mirar qué hay detrás. Lo normal es que sea un servicio de ayuda: alguien que te atiende por teléfono o en remoto si el ordenador falla, una copia de seguridad en la nube, a veces un técnico a domicilio o un informe pericial. Es útil. Pero que te echen una mano con un ordenador que va mal y que te paguen las consecuencias de un ciberataque son cosas muy distintas.
La cobertura de ciberriesgo de verdad —la que paga a los técnicos que paran el ataque, la recuperación de los datos o lo que dejas de facturar mientras estás parado— suele contratarse como una póliza aparte o como una garantía con ese nombre. Si en tu póliza no aparecen palabras como «ciberriesgo», «ciberataque», «extorsión cibernética» o «vulneración de datos», lo más probable es que no la tengas, aunque ponga «informática».
Qué suele cubrir
Cada aseguradora tiene su condicionado, pero las pólizas de ciberriesgo para pymes se parecen bastante. Lo habitual es que cubran:
- Los técnicos que contienen el ataque y averiguan qué ha pasado.
- Recuperar los datos y volver a poner en marcha los sistemas.
- La extorsión: el chantaje de quien ha secuestrado tus datos.
- Lo que dejas de ganar mientras la empresa está parada (en muchas pólizas, como garantía opcional).
- Las reclamaciones de clientes o terceros cuyos datos se han filtrado, y tu defensa.
- Las sanciones por protección de datos, que algunas pólizas incluyen.
- Algunos fraudes, como transferencias desviadas o el uso de tu identidad electrónica.
- Asesoramiento legal y de comunicación para gestionar la crisis.
Ojo con los topes. La póliza tiene un límite total, pero algunas coberturas llevan el suyo propio, más bajo. En una de las pólizas consultadas, por ejemplo, la extorsión se cubre como mínimo hasta el 50 % del límite: puede quedarse en la mitad.
Qué no suele cubrir
- Lo que ya había pasado, o ya sabías, antes de contratar.
- Lo que la propia empresa haga a propósito.
- Mejorar tus sistemas. El seguro paga dejarlos como estaban antes del ataque, no ponerlos al día. Si tenías equipos viejos, vuelves a tener equipos viejos.
- En varias pólizas, las caídas del proveedor de internet o de la luz.
- En algunas, los ciberataques atribuidos a un Estado en el marco de una guerra.
Lo que casi nadie lee: lo que te exige para pagarte
Esta es la parte que más se parece a las cláusulas del seguro del coche. Al contratar un seguro de ciberriesgo, la aseguradora te pasa un cuestionario: si actualizas los equipos, si usas verificación en dos pasos para entrar en el correo, si haces copias de seguridad… Lo que contestas ahí es la base del contrato. Y no vale solo para ese día: la Ley de Contrato de Seguro obliga a avisar a la aseguradora si, durante la vigencia, esas circunstancias cambian a peor.
Para que se vea lo concretas que pueden llegar a ser esas condiciones, esto es lo que recoge el condicionado de una póliza de ciberriesgo para pymes que se vende en España. Considera que el riesgo ha empeorado, y que la empresa tiene que comunicarlo, si:
- Usa sistemas que ya no tienen soporte del fabricante.
- Tarda más de 30 días en instalar las actualizaciones, o más de 15 días si son críticas.
- Deja de usar la verificación en dos pasos para entrar en remoto, correo incluido.
- Da a los empleados acceso a más de lo que necesitan, o no les quita el acceso cuando se van.
- No tiene copias completas al menos cada 7 días, guardadas fuera de sus sistemas.
Otras aseguradoras son menos concretas en su web y hablan de tener «niveles adecuados de seguridad». Pero la idea es la misma: el seguro da por hecho que tu informática está mantenida.
¿Y si no lo está? Si no avisaste y llega el ataque, la ley prevé que la aseguradora reduzca la indemnización en proporción, y que no pague nada si hubo mala fe. Algo parecido pasa si al contratar se contestó el cuestionario con datos que no eran ciertos. Y después del ataque suele haber un análisis de qué pasó: por dónde entraron y si se cumplía lo que se había declarado.
Hay también un plazo para avisar del incidente: la ley fija 7 días desde que lo conoces, salvo que tu póliza dé más.
Dicho de otro modo: el ordenador que nadie actualiza no solo es la puerta más fácil para un ataque. También puede ser el motivo por el que el seguro pague menos.
Qué empresas deberían plantearse tenerlo
No hay una regla fija, pero sí señales. Tiene más sentido cuantas más de estas se cumplan en tu empresa:
- Guardas datos de clientes o pacientes: una clínica, una óptica, una gestoría, una inmobiliaria.
- Cobras con tarjeta o vendes por internet.
- Haces o recibes transferencias a menudo.
- Si los ordenadores se paran, no puedes facturar, atender ni entregar.
Ser una empresa pequeña no te pone a salvo. Muchos ataques no van dirigidos a nadie en concreto: se lanzan contra miles de empresas a la vez y entran donde encuentran un equipo sin actualizar o una contraseña débil.
Cómo saber hoy qué tienes
No hace falta leerse la póliza entera. Basta con dos preguntas, a dos personas distintas.
A tu corredor o a tu banco: «¿Mi seguro me cubre un ciberataque, y qué me exige para pagarme?» Es quien mejor te lo puede aclarar: qué garantía tienes, hasta dónde llega y qué condiciones tienes que cumplir.
A quien te lleva la informática, con esa lista en la mano: «¿Lo estamos cumpliendo? ¿Me lo puedes enseñar?» Actualizaciones al día, equipos con soporte, accesos revisados, copias. Tenerlo así y poder demostrarlo es su trabajo. El tuyo es saber que alguien se ocupa.
Porque el seguro llega cuando todo lo demás ha fallado. Y lo que paga depende de que se cumpliera lo que firmaste.
