Seguro cibernético para un pequeño negocio: qué cubre, cuánto cuesta y qué le preguntará la aseguradora

El seguro cibernético es una cobertura comercial que puede ayudar a pagar los costos propios de un pequeño negocio después de un incidente cibernético y ciertos reclamos de clientes, socios o reguladores. La cobertura de primera parte (first-party), que paga los costos propios del negocio, puede incluir asesoría legal, investigación forense, notificación a clientes, restauración de datos, ingresos perdidos por interrupción de negocio, extorsión cibernética y fraude, según la guía de seguro cibernético de la NAIC (opens in a new tab). La cobertura de terceros (third-party) puede cubrir demandas, consultas regulatorias, arreglos y sentencias. La mayoría de las pólizas comerciales de propiedad y de responsabilidad civil general no cubren riesgos cibernéticos, y las pólizas cibernéticas están muy personalizadas, según la NAIC (opens in a new tab). Sus datos, sistemas, proveedores, controles de seguridad y el propio texto de la póliza deciden qué aplica.

¿El seguro cibernético es relevante para su negocio?

Si su negocio acepta pagos con tarjeta, guarda registros de clientes o empleados, funciona con correo electrónico y software en la nube, o depende de proveedores externos para operar, un incidente cibernético puede convertirse en una factura real. Los negocios pueden ser objetivos atractivos para los delincuentes cibernéticos, y los pequeños negocios en particular pueden no tener los medios para proteger sus sistemas digitales, según la Small Business Administration (Administración de Pequeños Negocios, SBA) (opens in a new tab). Un negocio que guarda información sensible de clientes, como expedientes de salud o bancarios, puede necesitar agregar cobertura por filtración de datos o responsabilidad civil cibernética, según el Texas Department of Insurance (Departamento de Seguros de Texas) (opens in a new tab).

Las cifras dan una idea de la escala. Las pérdidas reportadas al Internet Crime Complaint Center (Centro de Denuncias de Delitos en Internet) del FBI (Federal Bureau of Investigation, Oficina Federal de Investigación) llegaron a $16.6 mil millones en 2024, y el compromiso de correos electrónicos empresariales (business email compromise) representó unos $2.77 mil millones de esa cifra, según el Informe Anual 2024 del IC3 (opens in a new tab). Esas cifras incluyen todas las denuncias reportadas, no solo las de pequeños negocios. En una encuesta de Hiscox citada por la SBA en octubre de 2024 (opens in a new tab), el 41 por ciento de los pequeños negocios reportó haber sido víctima de un ciberataque en 2023, con un costo mediano de $8,300.

Una forma práctica de empezar es enumerar lo que podría afectarse: los datos que guarda, los sistemas sin los que no puede trabajar, los proveedores que tocan sus datos y la forma en que su negocio envía y recibe dinero.

¿Qué cubre el seguro cibernético?

Las pólizas cibernéticas suelen estar formadas por dos mitades, y cada mitad se lee según sus propios términos.

La cobertura de primera parte paga los costos propios del negocio. La guía de la NAIC enumera la asesoría legal para determinar las obligaciones de notificación y regulatorias, la recuperación y el reemplazo de datos perdidos o robados, la notificación a clientes y los servicios de centro de llamadas, los ingresos perdidos por interrupción de negocio, la gestión de crisis y las relaciones públicas, la extorsión cibernética y el fraude, los servicios forenses para investigar la filtración, y los honorarios, multas y sanciones relacionados con el incidente.

La cobertura de terceros paga cuando alguien más presenta un reclamo contra usted. La misma guía enumera los pagos a consumidores afectados por una filtración, el costo de litigios y de responder a consultas regulatorias, los gastos de reclamos y de arreglos, los arreglos, daños y sentencias, las pérdidas ligadas a difamación o a infracción de derechos de autor y de marca, y los costos contables.

Una sola póliza puede incluir ambas mitades, pero cada cobertura puede tener sus propias exclusiones, deducible o retención, periodo de espera y sublímite. Un sublímite es un tope menor dentro del límite general para un tipo de pérdida. La página de declaraciones y el texto de la póliza determinan lo que activa un incidente en particular.

¿Qué puede pagar después de una filtración o de un ataque de ransomware?

Después de una filtración, los primeros costos suelen venir de contratar ayuda: un abogado especializado en filtraciones que determine a quién hay que avisar, una firma forense que encuentre a qué se accedió, y un proveedor que envíe los avisos y opere un centro de llamadas. Después viene la restauración de datos y sistemas, junto con los ingresos perdidos mientras el negocio está detenido. Un ataque de ransomware (secuestro de datos) puede agregar una demanda de rescate, gastos de negociación y el costo de reconstruir los sistemas cifrados. Semanas o meses después, pueden llegar reclamos de clientes o una consulta del regulador, y ahí entra la cobertura de terceros.

Cada uno de esos conceptos depende de la póliza. Algunas pólizas exigen usar los abogados y las firmas forenses aprobados por la aseguradora, y muchas requieren el consentimiento de la aseguradora antes de gastar dinero en la respuesta, contratar abogados, negociar con un atacante o hacer cualquier pago. Pregunte a la agencia cuáles de estos costos paga su póliza, y si usa una lista de proveedores aprobados.

¿Qué deja fuera la responsabilidad civil general o una BOP?

La mayoría de las pólizas comerciales de propiedad y de responsabilidad civil general no cubren riesgos cibernéticos, según la NAIC (opens in a new tab). Una póliza estándar puede tener exclusiones para datos electrónicos, privacidad o seguridad de redes. Algunas pólizas para dueños de negocio (business owners policies, BOP) y pólizas de paquete ofrecen un endoso cibernético limitado, y un endoso no es necesariamente lo mismo que una póliza cibernética independiente. Si está comparando la responsabilidad civil general con otras coberturas comerciales, nuestra guía sobre responsabilidad civil general frente a responsabilidad civil profesional explica para qué está diseñada cada una.

Saque su póliza actual y busque algunas cosas: si excluye reclamos por datos electrónicos o privacidad, si tiene adjunto un endoso cibernético, si ese endoso cubre costos de primera parte, reclamos de terceros o ambos, si incluye ransomware, fraude, interrupción de negocio, proveedores y servicios en la nube, y si el endoso tiene sus propios sublímites o periodos de espera.

¿Cuánto cuesta el seguro cibernético?

El seguro cibernético se cotiza negocio por negocio. Las pólizas cibernéticas están muy personalizadas, según la NAIC (opens in a new tab), así que una cifra cotizada para otra empresa dice poco de la suya. Los factores que suelen definir la suscripción y el precio incluyen los ingresos y el tamaño, la industria, cuántos datos sensibles guarda, el volumen de pagos con tarjeta, cuánto depende del correo electrónico, de los sistemas en la nube y de los proveedores, sus controles de seguridad, los incidentes y reclamos anteriores, y la estructura que pide: límites, deducibles o retenciones, periodos de espera, sublímites, y si quiere cobertura de primera parte, de terceros o de ambas.

La forma de obtener una cifra es una cotización basada en sus propios datos. Un agente o corredor independiente puede presentar solicitudes ante más de una aseguradora, y nuestra guía sobre cómo elegir un agente de seguros explica qué preguntar antes de compartir los datos del negocio.

¿Qué preguntará la aseguradora?

Las solicitudes cibernéticas y las revisiones de renovación preguntan cómo protege el negocio sus sistemas. Las preguntas siguen los mismos controles que recomiendan las agencias federales para los pequeños negocios. Espere preguntas sobre:

• Autenticación multifactor (MFA) para correo electrónico, acceso remoto, servicios en la nube y cuentas de administrador. La MFA exige un segundo paso además de la contraseña, según la Federal Trade Commission (Comisión Federal de Comercio, FTC) (opens in a new tab).
• Respaldos, incluido si están fuera de línea, cifrados y probados. La Cybersecurity and Infrastructure Security Agency (Agencia de Ciberseguridad y Seguridad de Infraestructura, CISA) (opens in a new tab) recomienda respaldos fuera de línea y cifrados de los datos críticos, y pruebas periódicas de su disponibilidad e integridad.
• Protección de dispositivos (endpoint), aplicación de parches y actualizaciones de software.
• Capacitación de empleados sobre phishing (suplantación de identidad) y sobre solicitudes para cambiar datos de pago.
• Controles de acceso y cifrado de datos sensibles.
• Acceso de proveedores y las condiciones de seguridad en sus contratos.
• Un plan escrito de respuesta a incidentes y un plan de recuperación que haya sido probado.

Responda cada pregunta con exactitud y guarde evidencia de los controles que describe. La solicitud pasa a ser parte de lo que la aseguradora toma en cuenta, y una diferencia entre las respuestas y la configuración real es una cuestión que hay que plantear a la agencia antes de firmar, no después de un reclamo.

¿La póliza cubre las caídas de la nube, la ingeniería social o el fraude en transferencias de fondos?

Estos tres temas son donde más difieren las pólizas, y cada uno suele necesitar su propio texto.

Una caída de la nube o de un proveedor detiene su negocio aunque nada en su propia red haya sido atacado. Pagar esos ingresos perdidos suele requerir cobertura de interrupción de negocio dependiente o contingente, que puede tener un límite aparte y un periodo de espera, es decir, un número determinado de horas antes de que cuenten los ingresos perdidos. Busque cobertura para ataques a sus datos que guardan proveedores y otros terceros, como recomienda la guía de la NAIC.

La ingeniería social ocurre cuando alguien engaña a un empleado para que envíe dinero o datos, a menudo haciéndose pasar por un proveedor o un ejecutivo. El fraude en transferencias de fondos es una transferencia no autorizada desde sus cuentas. Una transferencia bancaria fraudulenta puede caer bajo fraude informático, fraude en transferencias de fondos, un endoso de ingeniería social o una póliza de crimen aparte, y la cobertura de ingeniería social suele estar sujeta a un sublímite y a procedimientos de verificación, como devolver la llamada a un número conocido antes de cambiar los datos de pago. Pregunte qué parte de la póliza, si alguna, respondería a una factura falsa pagada por transferencia, y qué límite aplica.

¿Qué debe hacer primero después de una sospecha de filtración?

Las primeras horas definen tanto la recuperación como el reclamo al seguro. Actúe rápido para contener la filtración, aislar los sistemas afectados, cambiar las credenciales y conservar la evidencia, según la guía de respuesta a filtraciones de datos de la FTC (opens in a new tab).

El aviso oportuno importa porque las pólizas cibernéticas suelen tener condiciones de aviso y pueden exigir el consentimiento de la aseguradora antes de incurrir en costos de respuesta, elegir abogado o tratar con un atacante. La cláusula de aviso de su propia póliza fija la regla.

El aviso a los clientes lo fija la ley, y todos los estados, el Distrito de Columbia, Puerto Rico y las Islas Vírgenes tienen una ley de notificación de filtraciones, según la guía de la FTC. Los plazos cambian. Por ejemplo, Connecticut exige avisar a los residentes afectados sin demora injustificada y a más tardar 60 días después de que se descubra la filtración, conforme al Conn. Gen. Stat. § 36a-701b (opens in a new tab), y Nueva York exige el aviso dentro de los 30 días después de que se descubra la filtración, además del aviso al Attorney General (fiscal general), al Department of State (Departamento de Estado) y a la State Police (Policía Estatal), conforme al N.Y. Gen. Bus. Law § 899-aa (opens in a new tab). La regla de California está en el Cal. Civ. Code § 1798.82 (opens in a new tab). La regla que aplica sigue el lugar donde viven las personas afectadas, así que una filtración que toque a clientes de varios estados puede activar varios conjuntos de reglas.

Algunos negocios también deben avisar a un regulador federal. Según la FTC Safeguards Rule (Regla de Salvaguardas de la FTC), una institución financiera cubierta debe notificar a la FTC lo antes posible y a más tardar 30 días después de descubrir una filtración que involucre la información no cifrada de al menos 500 consumidores, según la FTC (opens in a new tab).

¿Qué significan para usted los pagos de ransomware y las sanciones?

La CISA, el FBI y la NSA (National Security Agency, Agencia de Seguridad Nacional) desaconsejan con firmeza pagar un rescate, y pagar no garantiza que se recuperen los archivos de la víctima, según un aviso conjunto de la CISA (opens in a new tab). Las empresas que hacen o facilitan pagos de ransomware, incluidas las firmas de seguro cibernético y las compañías de respuesta a incidentes, también pueden exponerse a violar las reglas de sanciones de Estados Unidos si el atacante tiene una conexión con sanciones, según el aviso del 21 de septiembre de 2021 de la Office of Foreign Assets Control (Oficina de Control de Activos Extranjeros) (opens in a new tab) del Departamento del Tesoro (Treasury Department).

La cobertura de extorsión cibernética puede pagar demandas de rescate, negociación, investigación forense y restauración, pero suele exigir el consentimiento de la aseguradora, el uso de proveedores aprobados, el cumplimiento de la ley y la revisión de sanciones, y puede tener su propio límite o retención. Las decisiones sobre un rescate corresponden a un abogado calificado, a las autoridades y a la aseguradora, según los términos de la póliza.

¿Cómo puede comparar pólizas cibernéticas?

Ponga dos cotizaciones lado a lado y compare los mismos puntos en cada una:

• Póliza independiente o endoso
• Primera parte, tercera parte o ambas
• Cómo se define un incidente cubierto
• Activadores para filtración, ransomware, fraude e interrupción de negocio
• Cobertura de nube y de proveedores
• Ingeniería social y fraude en transferencias de fondos, y sus sublímites
• Exclusiones, incluidos los incidentes conocidos previos
• Periodos de espera para la interrupción de negocio
• Deducibles y retenciones
• Requisitos de aviso y la línea directa de incidentes
• Abogados y proveedores aprobados
• Territorio, es decir, en qué parte del mundo está cubierto un ataque
• Si la aseguradora está admitida en su estado o si la póliza se coloca en el mercado de surplus lines

Ese último punto importa para su protección si una aseguradora quiebra. Las aseguradoras de surplus lines cubren riesgos que no están disponibles en el mercado admitido, los corredores de surplus lines deben tener licencia, y la cobertura del fondo de garantía estatal no está disponible para las pólizas de surplus lines, según la NAIC (opens in a new tab).

Preguntas para llevar a un agente o corredor

• ¿Es esta una póliza cibernética independiente o un endoso, y qué agrega a mi cobertura actual?
• ¿Qué costos de primera parte paga, y qué reclamos de terceros?
• ¿Cubre ransomware, y qué condiciones de consentimiento y de sanciones aplican?
• ¿Está incluida la interrupción de negocio dependiente por una caída de la nube o de un proveedor, y cuál es el periodo de espera?
• ¿Qué parte de la póliza responde a una transferencia fraudulenta o a una factura falsa, y cuál es el sublímite?
• ¿Debo usar los abogados y las firmas forenses de la aseguradora?
• ¿Con qué rapidez debo reportar un incidente, y a quién?
• ¿En qué declaraciones de seguridad de la solicitud se basa la aseguradora?
• ¿La aseguradora está admitida en mi estado, o esta colocación es de surplus lines?

Puede encontrar una agencia de seguros que maneje coberturas comerciales en el directorio de agencias de Riskado, y revisar la licencia del agente y de la aseguradora con el departamento de seguros de su estado (opens in a new tab) antes de compartir los datos del negocio. Para las otras pólizas que suele tener un pequeño negocio, vea qué seguro necesita un pequeño negocio.

Preguntas frecuentes

¿El seguro cibernético cubre el ransomware?

Muchas pólizas cibernéticas incluyen cobertura de extorsión cibernética que puede responder a un ataque de ransomware, junto con restauración, investigación forense e interrupción de negocio. La cobertura suele exigir el consentimiento de la aseguradora antes de cualquier pago y está sujeta a revisión de sanciones, exclusiones y sublímites. Lea la sección de extorsión y sus condiciones antes de que ocurra un incidente.

¿Un pequeño negocio realmente es un objetivo?

Sí. Los pequeños negocios pueden no tener los medios para proteger sus sistemas digitales, lo que los vuelve atractivos para los delincuentes, según la SBA. Las estafas por correo electrónico dirigidas a pagos son una de las categorías de pérdida reportadas más grandes en las cifras de 2024 del FBI.

¿El seguro cibernético paga multas y sanciones?

Algunas pólizas incluyen honorarios, multas y sanciones relacionadas con un incidente cibernético dentro de los costos de primera parte, según la guía de la NAIC. Si una multa en particular puede pagarse depende del texto de la póliza y de si la ley permite asegurar esa multa. Pregunte a la agencia cómo trata la póliza las multas regulatorias.

¿Se exige MFA para obtener seguro cibernético?

Cada aseguradora fija los requisitos, no existe una regla nacional única. La MFA en el correo electrónico, el acceso remoto y las cuentas de administrador es una pregunta estándar de la solicitud, y la respuesta puede afectar si se ofrece una póliza y en qué condiciones. Responda con exactitud y guarde comprobantes de que el control está activo.

Su siguiente paso

Empiece con la lista de lo que podría afectarse: sus datos, los sistemas y proveedores de los que depende, y la forma en que el dinero se mueve en el negocio. Después revise sus pólizas actuales para ver qué excluyen, y lleve esa lista y las preguntas de arriba a un agente o corredor con licencia.