Un lunes por la mañana, los pedidos dejan de llegar, la contabilidad sigue inaccesible y el taller espera sus órdenes de fabricación. En este escenario ficticio, pero familiar para los especialistas en ransomware, el responsable de la empresa cuenta con un ciberseguro. ¿Una buena noticia? Sí. ¿Una solución inmediata? No. Entre la llamada al servicio de asistencia, la búsqueda de copias de seguridad utilizables y el examen de las coberturas, se impone una evidencia: el contrato puede financiar parte de la crisis, pero no crear la resiliencia que falta. De cara a septiembre de 2026, esta distinción debería cobrar más peso en las decisiones de las pymes. Este análisis se basa en las tendencias documentadas hasta 2024, que aquí se prolongan mediante perspectivas expresamente condicionales.
Un seguro útil, pero no un botón de reinicio
El ciberseguro responde a un riesgo concreto: un ataque informático genera gastos muy diversos, a menudo simultáneos. El peritaje técnico, la restauración de los sistemas, el asesoramiento jurídico, la notificación a las personas afectadas, la comunicación de crisis, la interrupción de actividad o las reclamaciones de clientes pueden entrar en el ámbito de un contrato. Pero rara vez sin condiciones, límites o distinciones. Por tanto, dos ofertas con la misma etiqueta pueden proteger a una empresa de formas muy distintas.
Su valor no se limita al reembolso. El acceso a un equipo de respuesta a incidentes puede ser determinante para una pyme sin responsable de ciberseguridad. Ahora bien, hay que saber a quién llamar, cuándo y con qué autorización para incurrir en gastos. Un proveedor contratado por iniciativa propia no está necesariamente cubierto en las mismas condiciones que el designado por la aseguradora. El número de emergencia y el procedimiento de declaración del siniestro deberían figurar en un documento accesible fuera de la red informática.
La letra pequeña delimita el riesgo retenido
Exclusiones: examinar los escenarios, no solo los enunciados
Las exclusiones constituyen el primer filtro. Algunas pólizas distinguen entre intrusión informática y fraude mediante la manipulación de un empleado. Una orden de transferencia falsa enviada al contable puede corresponder a una cobertura específica, a otro seguro o quedar sin cobertura alguna. Los incidentes en un proveedor, los fallos de infraestructura y determinadas circunstancias relacionadas con la guerra o las operaciones estatales también requieren una lectura atenta.
Estas últimas cuestiones no son teóricas. Los litigios derivados de NotPetya, el ataque de 2017 que causó daños a escala internacional, demostraron hasta qué punto la calificación de un suceso podía resultar decisiva. Desde 2023, Lloyd’s exige, para determinadas pólizas de ciberseguro independientes suscritas en su mercado, cláusulas relativas a los ataques respaldados por un Estado. Esto no significa que cualquier ataque atribuido a un Estado quede automáticamente excluido: la redacción y los criterios del contrato siguen siendo esenciales.
Franquicias, plazos y sublímites: el coste real a cargo de la empresa
La franquicia es solo una parte de la ecuación. Una cobertura de pérdidas de explotación puede incluir una franquicia temporal: en ese caso, las primeras horas de interrupción quedan a cargo de la empresa. Los sublímites pueden restringir determinados gastos, aunque el límite global parezca holgado. El periodo de indemnización y el método de cálculo de las pérdidas importan tanto como lo anterior: la facturación perdida y el perjuicio indemnizable no son lo mismo.
Pensemos en un distribuidor que depende de su software de gestión. Si sus sistemas vuelven a funcionar rápidamente, pero la preparación de pedidos sigue desorganizada durante varios días, ¿dónde termina el periodo cubierto? ¿Cómo demostrar qué ventas se han perdido realmente, en lugar de haberse aplazado? Estas cuestiones deben abordarse antes de la firma. También conviene evaluar la liquidez necesaria para adelantar los gastos: la indemnización no siempre llega al ritmo de las facturas.
La prevención se convierte en una condición de asegurabilidad
El endurecimiento del mercado observado a principios de la década de 2020, en un contexto de siniestros vinculados al ransomware, reforzó los cuestionarios y los requisitos de suscripción. La autenticación multifactor, las copias de seguridad aisladas, la protección de los equipos, la gestión de parches y la limitación de los accesos privilegiados aparecen con frecuencia. Su obligatoriedad varía según las aseguradoras y los contratos. No existe una lista universal cuyo cumplimiento garantice automáticamente una indemnización.
Para una pyme, el peligro consiste en marcar las casillas demasiado deprisa. Afirmar que la autenticación multifactor protege los accesos remotos cuando una antigua cuenta de mantenimiento queda al margen crea una discrepancia entre lo declarado y la realidad. Las consecuencias dependen de la legislación aplicable, de las preguntas formuladas y de las cláusulas. El cuestionario debería validarse con quienes administran realmente el sistema y conservarse después junto con los elementos que permitan justificar las respuestas.
Mantener estos compromisos importa tanto como cumplirlos el día de la suscripción. La adquisición de una filial, el cambio de proveedor de alojamiento o la apertura de un nuevo acceso para un proveedor pueden modificar la exposición. Una revisión periódica entre la dirección, el departamento informático y el corredor de seguros permite identificar qué debe corregirse o comunicarse. El seguro se convierte así en una herramienta de diálogo, en lugar de un formulario olvidado tras el pago.
El presupuesto real suma seguro y continuidad
Comparar únicamente las primas conduce a un falso ahorro. El coste relevante engloba la prima, las inversiones en seguridad, los recursos para garantizar la continuidad y el riesgo financiero retenido. Una oferta más barata, con una franquicia elevada o una cobertura limitada de la interrupción, puede resultar inadecuada para una actividad que no soporta un día de inactividad.
Por el contrario, no todos los gastos en ciberseguridad aportan el mismo valor operativo. Para una pequeña empresa, probar una restauración completa puede ser más urgente que añadir una herramienta mal aprovechada. Que una copia de seguridad se anuncie como diaria no demuestra su integridad, ni su disponibilidad tras una vulneración, ni la capacidad para reinstalar las aplicaciones necesarias. El indicador adecuado es concreto: ¿cuánto tiempo hace falta para reanudar la actividad a un nivel aceptable?
- Identificar lo esencial: aplicaciones, datos, proveedores y personas indispensables.
- Simular una interrupción: pedidos, facturación, nóminas y comunicación sin las herramientas habituales.
- Cuantificar el coste a cargo de la empresa: franquicias, gastos excluidos y necesidades de liquidez.
- Contrastar el escenario con el contrato: activación de las coberturas, justificantes y proveedores autorizados.
Las dependencias externas complican la ecuación
Externalizar no elimina el riesgo: lo desplaza. Un proveedor informático comprometido puede afectar a varios clientes; un servicio en la nube no disponible puede bloquear una actividad sin que se produzca una intrusión en las instalaciones de la pyme. Hay que comprobar si la interrupción en esos proveedores está cubierta, cuáles están incluidos y en qué circunstancias. El contrato comercial del proveedor y la póliza de ciberseguro deben leerse conjuntamente, sin dar por hecho que uno compensará las limitaciones del otro.
De cara a 2026, la expansión de los servicios digitales y la presión de las grandes empresas contratantes podrían acentuar esta exigencia de pruebas. Las pymes tendrían entonces interés en reunir un expediente sencillo: inventario, pruebas de restauración, procedimiento de respuesta a incidentes y responsabilidades definidas. Este expediente serviría tanto para negociar el seguro como para reducir el tiempo perdido durante una crisis.
¿Y ahora qué? El siguiente paso no consiste necesariamente en contratar más coberturas, sino en organizar una simulación con el corredor de seguros y el proveedor informático. ¿Qué ocurre si la empresa se paraliza mañana? ¿Quién interviene, quién paga y con qué datos se vuelve a poner en marcha? De cara a 2026, las pymes mejor preparadas podrían ser aquellas que traten el seguro y la prevención como dos presupuestos complementarios: uno absorbe parte del impacto; el otro hace posible la recuperación.