Seguro Cyber (Poliza de Ciberseguro)

Definición en 30 segundos

Un seguro cyber (también llamado seguro de ciberriesgos, ciberseguro o poliza de responsabilidad cibernetica) es un producto asegurador que cubre las pérdidas económicas derivadas de ciberataques, brechas de datos y fallos de sistemas informáticos. A diferencia de los seguros tradicionales (incendio, robo), el ciberseguro cubre riesgos intangibles: pérdida de datos, interrupción de sistemas, extorsión digital y responsabilidad frente a terceros por filtración de datos personales. El perito informático forense juega un papel central en todo el ciclo del ciberseguro: desde la evaluación previa del riesgo hasta la investigación del siniestro y la resolución de discrepancias entre asegurado y aseguradora mediante el mecanismo de tercer perito del artículo 38 de la Ley de Contrato de Seguro (Ley 50/1980).

Qué cubre un seguro cyber: las 12 coberturas principales

Principales aseguradoras de ciberseguros en España: 8 compañías

De estas fichas solo he podido verificar el nombre del producto y el segmento al que se dirige. Las primas, los límites máximos, los paneles de respuesta y los plazos de asistencia que suelen atribuirse a cada una no aparecen en sus páginas públicas: dependen del condicionado concreto y hay que pedirlos.

Corredores especializados en ciber en España: Marsh, Aon, Willis Towers Watson, AON Spain, y boutiques cómo Ciberrisk (Madrid) y corredurias especializadas asociadas a UNESPA.

Estado del mercado en España (2025-2026):

• Nadie publica la penetración del ciberseguro en la pyme española. Las cifras que circulan —12-15 % aquí, 30-40 % en Reino Unido o Estados Unidos, más del 50 % en Países Bajos— no proceden de una fuente que haya podido abrir. El Cyber Readiness Report de Hiscox encuesta a pymes de siete países, pero mide otra cosa
• No existe estadística oficial del ciberseguro en España. El anexo de la Ley 20/2015 enumera los ramos del seguro distinto del de vida y no hay un ramo «ciber»: estas pólizas se reparten entre el ramo 13 (responsabilidad civil en general) y el 16 (pérdidas pecuniarias diversas). Por eso ni la DGSFP ni UNESPA publican serie de primas ni de siniestralidad específica — el buscador de UNESPA no devuelve ningún documento sobre ciberseguro, mientras sí los devuelve para autos, salud o vida. Las cifras de volumen y crecimiento que circulan proceden de estimaciones de consultoras y corredurías, no de estadística pública
• No hay dato oficial de cierres tras un ciberataque en España: INCIBE no hace ese seguimiento
• La directiva NIS2 incrementa la demanda, aunque no hay cifra oficial de cuántas entidades españolas quedarán obligadas: depende de los anexos I y II, del tamaño y de las designaciones que haga la norma de transposición
• Siniestralidad: no hay ratio publicado para el ramo en España, por la razón anterior. Las comparativas internacionales que se citan proceden de encuestas de reaseguradores, no de datos supervisados

Precio del ciberseguro por tamaño de empresa

No hay una tabla fiable de primas por tramo de plantilla: circulan varias y ninguna cita de dónde sale. Las aseguradoras no publican tarifas, y el precio depende del sector, la facturación, el límite contratado, la franquicia y —sobre todo— de las medidas de seguridad que se declaren en el cuestionario. Pedir dos o tres cotizaciones con el mismo cuestionario dice más que cualquier horquilla.

Factores que incrementan la prima

Factores que reducen la prima

El papel del perito informático forense en reclamaciones de ciberseguros

El perito informático forense interviene en 4 momentos clave del ciclo del ciberseguro:

1. Evaluación previa del riesgo (pre-siniestro)

Antes de emitir la poliza, la aseguradora envía un cuestionario de seguridad (underwriting questionnaire). El perito puede auditar el estado real de la ciberseguridad de la empresa y asesorar sobre las respuestas. Declarar medidas de seguridad que no se implementan es la causa número uno de denegación del siniestro (art. 10 Ley Contrato de Seguro: deber de declaración del riesgo). Las empresas que contratan una auditoría previa suelen obtener mejores condiciones de prima y, sobre todo, eliminan el riesgo de que se les deniegue la cobertura por declaración inexacta del riesgo.

2. Investigación del incidente (siniestro)

Cuando ocurre el ciberataque, el perito investiga: vector de ataque, cronología completa (first compromise to detection), datos afectados (tipo, volumen, sensibilidad), alcance del daño (sistemas afectados) y eficacia de las medidas de contención. Su informe, que puede apoyarse en las pautas de ISO/IEC 27037 para identificar, recoger y preservar la evidencia, es la base para la reclamación ante la aseguradora. El informe debe seguir metodología ISO 27037 y documentar la cadena de custodia de toda la evidencia digital recogida.

3. Cuantificación del daño (post-siniestro)

El perito cuantifica las pérdidas con detalle: datos destruidos (valor de reposicion + valor intrinseco), sistemas afectados (hardware + software + licencias), tiempo de inactividad (lucro cesante día a día), costes de restauración (horas de trabajo, subcontrataciones, hardware temporal), costes regulatorios (notificación AEPD, defensa ante procedimiento) y daños reputacionales (pérdida de clientes medible). Esta cuantificacion es la que la aseguradora evalua para determinar la indemnización.

4. Tercer perito (discrepancia)

Cuando asegurado y aseguradora no se ponen de acuerdo sobre la valoración del siniestro, el artículo 38 de la Ley de Contrato de Seguro establece el mecanismo de tercer perito. Es el área donde la intervención de un perito de parte marca más diferencia. El alcance depende de cada caso y no puede anticiparse como media (más abajo detallo uno en el que la valoración final más que dobló la oferta inicial de la aseguradora).

El mecanismo de tercer perito (art. 38 Ley Contrato de Seguro): los 10 pasos

Costes del procedimiento de tercer perito:

No hay importes que citar: nadie publica tarifas de peritación de siniestros ciber, y el art. 39 regula el reparto, no la cuantía.

Por qué compensa plantearlo: el coste del tercer perito se reparte al 50 % y es conocido de antemano, mientras que la diferencia en discusión suele ser un múltiplo de esa cifra. En el caso que detallo más abajo, la valoración pasó de 180.000 a 472.000 euros. Es un caso, no una media: la desviación entre la oferta inicial y la valoración final depende de qué partidas discuta la aseguradora y de lo bien documentado que esté el siniestro, y no puedo anticipar un resultado.

Las 8 razones por las que las aseguradoras deniegan reclamaciones

No existe una estadística publicada del reparto de motivos de denegación en ciberseguros: no es un ramo con estadística propia en la clasificación de la DGSFP, así que cualquier porcentaje que circule no procede de fuente oficial. Lo que sigue es el orden en que me los he encontrado peritando reclamaciones, con la base legal que invoca la aseguradora en cada caso.

Un matiz sobre el art. 10: no tiene apartados numerados. Es un artículo de párrafos, así que las citas del tipo «art. 10.1» o «art. 10.3 LCS» que circulan no se corresponden con su estructura.

Cómo evitar la denegación: 8 recomendaciones

1. Responder al cuestionario con honestidad: La reserva o inexactitud al responder el cuestionario permite al asegurador rescindir el contrato (art. 10 LCS)
2. Implementar MFA antes de contratar: Es la medida que más aseguradoras exigen cómo condición sine qua non
3. Documentar todas las medidas de seguridad: Screenshots, configuraciones, logs de implementación
4. Notificar inmediatamente: Idealmente en las primeras 24 horas, por escrito con acuse de recibo
5. No destruir evidencia: No formatear, no reinstalar, no “limpiar” antes del forense
6. Contratar perito de parte desde el minuto uno: Antes de que el forense de la aseguradora emita su informe
7. Conservar logs de red y cloud: Los logs son la evidencia que permite reconstruir el ataque
8. Leer la poliza completa antes del siniestro: Conocer exclusiones, períodos de espera y límites

NIS2 y su impacto en el mercado de ciberseguros

La Directiva NIS2 (Directiva UE 2022/2555) tiene un impacto directo en el mercado de ciberseguros, aunque conviene situar bien su estado: España no la ha transpuesto todavía. El plazo venció el 17 de octubre de 2024 y la Comisión Europea abrió procedimiento de infracción por el incumplimiento; la ley de transposición sigue en tramitación y el marco vigente es NIS1. Lo que ya opera es el efecto indirecto sobre la contratación de pólizas:

Sobre las previsiones de mercado: circulan cifras de volumen y penetración a varios años atribuidas a reaseguradores y consultoras. Conviene manejarlas con reserva: al no ser el ciber un ramo autónomo en la Ley 20/2015, no hay una base estadística supervisada de la que salgan esas series, y el organismo que agrupa al sector en España no publica documentación sobre esta materia. Lo que sí es verificable es el motor: NIS2 amplía el perímetro de empresas obligadas a gestionar el riesgo, y el art. 21.2.d) de la directiva extiende la exigencia a la cadena de suministro.

Caso práctico 1: ransomware, denegación y tercer perito

Situación: Una empresa de logística con 120 empleados sufre un ataque de ransomware LockBit 3.0. Los atacantes cifran 47 servidores y exigen 250.000 EUR en Bitcoin. La empresa tiene un ciberseguro con cobertura de dos millones de euros, prima anual 6.200 EUR.

Cronología del siniestro:

Mi investigación cómo perito de parte:

Resultado del tercer perito (designado judicialmente):

La empresa recibio 472.000 EUR en lugar de los 180.000 EUR inicialmente ofrecidos. Mi honorario fue 8.500 EUR. La diferencia se concentró en las partidas de lucro cesante y de reconstrucción de sistemas, que la oferta inicial no valoraba.

Caso práctico 2: brecha de datos y reclamación RGPD

Situación: Una clinica dental con 35 empleados sufre una brecha de datos que expone historiales médicos de 8.200 pacientes. Ciberseguro con cobertura de medio millón de euros. La AEPD abre expediente sancionador.

Cronología:

Mi informe cómo perito de parte:

• Vector: Spear phishing con dominio typosquatting (laboratorio-dental.es vs laboratorio-dentaI.es, “I” mayuscula en lugar de “l”)
• Dwell time: 14 días. Demostre que el antivirus (Kaspersky Endpoint) tenía firmas actualizadas pero no detecto lateral movement via PowerShell encoded commands
• Datos expuestos: 8.200 historiales con datos de salud (categoría especial RGPD art. 9)
• Lucro cesante real: 22 días de operativa reducida (50% capacidad) = 34.000 EUR, no 5 días x 100% = 8.000 EUR cómo cálculo MAPFRE

Resultado del escenario: la aseguradora revisa al alza la indemnización tras el informe pericial y se cierra por acuerdo directo, sin llegar al tercer perito. El expediente sancionador ante la AEPD siguió su curso y la póliza cubrió los gastos de defensa jurídica, no la multa. Conviene entender por qué solo eso: las pólizas de ciberriesgo cubren la defensa jurídica ante la autoridad de control, pero no la multa en sí, cuya asegurabilidad está jurídicamente discutida. Mi honorario: 4.200 EUR.

Caso práctico 3: fraude BEC y exclusión por “actuación voluntaria”

Situación: El departamento financiero de una constructora (85 empleados) recibe un email del “CEO” (spoofing) ordenando una transferencia urgente de 145.000 EUR a un proveedor chino. El email proviene de un dominio idéntico al de la empresa pero con una letra diferente. La contable ejecuta la transferencia. La aseguradora (Hiscox CyberClear) deniega la reclamación alegando “actuación voluntaria del empleado” (exclusión por actos conscientes).

Mi investigación cómo perito:

Argumento rebatido: La “actuación voluntaria” se refiere a actos intencionalmente daninos del empleado (insider threat). El fraude BEC no es una actuación voluntaria: la contable fue enganada por un ataque de ingeniería social. El artículo 19 de la Ley de Contrato de Seguro solo exonera al asegurador cuando el siniestro «haya sido causado por mala fe del asegurado», que es cosa muy distinta de haber sido engañado. Ahí está la distinción entre voluntariedad del acto y voluntariedad del daño.

Resultado del escenario: la aseguradora revoca la denegación y paga, con la franquicia y el coaseguro aplicados según condicionado. El honorario pericial es una fracción de lo recuperado, que es lo que hace que la vía tenga sentido.

Exclusiones habituales en polizas de ciberseguros: tabla completa

Las exclusiones dependen de cada condicionado, y nadie publica con qué frecuencia aparece cada una en el mercado español: los porcentajes que circulan no salen de ningún estudio que haya podido abrir. La tabla recoge las exclusiones habituales, no su prevalencia.

Preguntas relacionadas

1. Es obligatorio tener un ciberseguro en España?

No es obligatorio con carácter general en 2026, pero la tendencia normativa apunta hacia la obligatoriedad de facto. La directiva NIS2 —aún sin transponer en España: el Anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros en enero de 2025 y sigue sin tramitación parlamentaria— exige a las entidades esenciales e importantes medidas de gestion de riesgos que incluyen la “transferencia de riesgo” (Art. 21.2.a), lo que implicitamente incluye seguros. Además, un número creciente de licitaciones públicas (LCSP) y contratos B2B ya exigen ciberseguro cómo requisito para participar. El RGPD no obliga a contratar seguro, pero las sanciones de la AEPD (hasta 20M EUR o 4% facturación) hacen que sea una decisión financiera prudente. La DGSFP (Dirección General de Seguros y Fondos de Pensiones) ha manifestado que estudia la posibilidad de hacer obligatorio el ciberseguro para ciertos sectores (sanidad, finanzas, infraestructuras críticas).

2. El ciberseguro cubre las multas de la AEPD?

Depende de la jurisdicción y la poliza. En España, la asegurabilidad de multas administrativas es un tema debatido y no he localizado un pronunciamiento de la Sala Tercera del Tribunal Supremo que lo cierre. Algunas polizas cubren los “gastos de procedimiento regulatorio” (abogados, peritos, recursos) y los “costes de defensa ante autoridades” (preparación escrito alegaciones, recurso contencioso), pero no la multa en si. Otras incluyen cobertura de “sanciones asegurables” (terminología ambigua que deja margen interpretativo). La Sala de lo Contencioso del TS no se ha pronunciado sobre la asegurabilidad de sanciones RGPD. La tendencia del mercado: gastos de defensa si, multa directa depende de la naturaleza (culposa vs dolosa) y de la poliza concreta. Mi recomendación: leer la cláusula de “regulatory proceedings” de la poliza antes de suscribirla.

3. Que pasa si mi empresa sufre un ciberataque y no tiene seguro?

Sin ciberseguro, la empresa asume todos los costes directamente: forense digital, restauración de sistemas, notificación a los afectados, lucro cesante —que suele ser la partida mayor— y, en su caso, multas RGPD (si aplican) y reclamaciones de terceros. El coste medio de un ciberincidente para una pyme suele cifrarse en torno a los 35.000 EUR —una cifra de uso común en el sector, no publicada por el INCIBE, cuyo Balance no calcula coste por incidente—, y un ataque de ransomware puede superar con holgura esa cantidad. Y el problema no suele ser el coste directo, sino la combinación de interrupción operativa + pérdida de clientes + costes de restauración + posibles sanciones.

4. Cómo actua el perito de la aseguradora y cómo se diferencia del perito de parte?

El perito de la aseguradora —normalmente una firma del panel que la propia compañía tenga contratado— investiga el incidente con un doble objetivo: documentar lo ocurrido Y evaluar si se cumplen las condiciones de la poliza. Su informe incluye una sección de “coverage analysis” que busca motivos de exclusión, reducción de cobertura o concurrencia de culpa del asegurado. El perito de parte del asegurado investiga el mismo incidente pero defendiendo los intereses del cliente: maximizar la cuantificacion del daño, rebatir alegaciones de negligencia, demostrar que las exclusiones no aplican y documentar la diligencia previa de la empresa. Ambos informes se contrastan en el proceso de ajuste del siniestro. Contar con perito de parte suele mejorar de forma apreciable la indemnización finalmente reconocida, porque el ajuste deja de apoyarse solo en el informe de la aseguradora.

5. Se puede contratar un perito forense antes de tener un siniestro?

Sí, y tiene sentido hacerlo antes del siniestro y no después. Un perito puede realizar una auditoría previa que sirve para: (1) responder con precisión al cuestionario de la aseguradora (evitando declaraciones inexactas que causen denegación), (2) identificar vulnerabilidades que podrían causar exclusión (RDP expuesto sin MFA = denegación casi segura), (3) documentar el estado de seguridad cómo baseline para comparar en caso de siniestro, y (4) obtener mejores condiciones de prima con una auditoría previa documentada. En mi experiencia, una auditoría pre-seguro cuesta entre 2.000 y 5.000 EUR y se amortiza con creces si llega el siniestro.

6. Cuanto tarda la aseguradora en pagar un siniestro cyber?

No hay estadística publicada de plazos de resolución en este ramo, así que cualquier «media» que circule no tiene de dónde salir. Lo que sí está en la ley: el art. 18 LCS obliga al asegurador a pagar el importe mínimo de lo que pueda deber dentro de los cuarenta días desde la declaración del siniestro, y el art. 20 sanciona la mora con el interés legal incrementado en un 50 %. Si se activa el tercer perito, el art. 38 le da treinta días desde su aceptación salvo pacto distinto. La Ley de Contrato de Seguro establece que la aseguradora debe pagar la indemnización mínima indiscutida en los 40 días siguientes a la comunicación del siniestro (art. 18 LCS). Si se retrasa más allá de los 40 días, devenga el interés de demora del art. 20 LCS: el interés legal del dinero incrementado en un 50 %, que una vez transcurridos dos años no puede ser inferior al 20 % anual. En la práctica, las aseguradoras suelen ofrecer un pago parcial rápido (60-70% del mínimo no discutido) mientras se negocia el resto, precisamente para evitar los intereses moratorios.

Referencias y fuentes

1. Ley 50/1980, de 8 de octubre, de Contrato de Seguro. Artículos 10 (deber declaración), 16 (comunicación siniestro), 18 (pago indemnización), 20 (intereses moratorios), 38 (peritos y tercer perito). BOE num. 250, de 17 de octubre de 1980.

2. INCIBE. (2025). “Balance de ciberseguridad 2025: 122.223 incidentes gestionados”. Instituto Nacional de Ciberseguridad de España. Leon. Disponible en: https://www.incibe.es/

3. Directiva (UE) 2022/2555 (NIS2). Aún no transpuesta en España: el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad se aprobó en Consejo de Ministros en enero de 2025 y sigue sin tramitación parlamentaria.

4. Munich Re. (2025). “Global Cyber Risk and Insurance Survey 2025”. Análisis global del mercado de ciberseguros y tendencias de siniestralidad.

5. Veeam — From Risk to Resilience: 2025 Ransomware Trends, encuesta a 1.300 organizaciones; las cifras de recuperación están en su nota de prensa: de las atacadas, el 57 % recuperó menos de la mitad de sus datos y solo el 10 % más del 90 %. ⚠️

6. Sophos — The State of Ransomware 2025 (whitepaper de junio de 2025), encuesta a 3.400 responsables de TI y seguridad en 17 países. Verificado literal: el 97 % de las organizaciones que sufrieron cifrado recuperó su información, el 54 % restauró desde copias y el 49 % pagó el rescate, frente al 56 % del año anterior. ⚠️ El informe es global y no desglosa España.

7. AEPD — Memoria 2024: de los procedimientos sancionadores finalizados en 2024, 281 impusieron multa —frente a los 367 de 2023, un 23 % menos— por un importe total de 35.592.200 €, con una multa media en torno a los 125.000 €.

8. Reglamento (UE) 2016/679 (RGPD). Artículos 33 (notificación brechas a autoridad), 34 (comunicación a interesados). DOUE L 119, de 4 de mayo de 2016.

9. Ley 50/1980, de Contrato de Seguro — art. 19: el asegurador no está obligado a indemnizar cuando el siniestro «haya sido causado por mala fe del asegurado». Es el precepto sobre el que gira la discusión entre voluntariedad del acto y voluntariedad del daño en el fraude BEC con ciberseguro. Referencia para exclusión de “actos voluntarios”.

Última actualización: Agosto 2026 Categoría: Gestion de Riesgos (GR-010) Nivel técnico: Intermedio Relevancia: Muy Alta (NIS2 incrementa la demanda de ciberseguros en España)