Seguro de ciberriesgos
Qué supone el seguro de ciberriesgos para empleados y dirección: copias de seguridad sin conexión, doble autenticación, primeros pasos y notificación.
En 30 segundos
- Dónde ocurre
- En un ataque de ransomware, una fuga de datos o un ataque que afecta a los sistemas de la empresa, donde la lista de personas a las que informar puede incluir a la aseguradora de ciberriesgos1.
- Qué quiere el atacante
- Muchas variantes de ransomware buscan las copias de seguridad accesibles para borrarlas o cifrarlas1.
De qué se trata
Un seguro de ciberriesgos es un contrato que la empresa suscribe para afrontar las consecuencias de un ataque informático. Para un empleado, suele pasar inadvertido hasta que ocurre un incidente: la aseguradora puede estar entre las personas a las que hay que avisar, junto con el departamento de informática y los responsables afectados1.
Las fuentes citadas aquí son guías públicas de seguridad y de gestión de incidentes. Ninguna describe el contenido de un contrato de seguro: ni las coberturas (gastos de crisis, restauración de datos, pérdidas de explotación, responsabilidad civil), ni las exclusiones, ni las condiciones que fije una aseguradora concreta. Por eso esta ficha no las detalla. Presenta lo que dichas fuentes dicen sobre las medidas de seguridad que una aseguradora puede pedir y sobre los pasos que hay que dar ante un incidente. Las condiciones reales se consultan en el contrato de la empresa.
Preguntas directas
¿Qué cubre un seguro de ciberriesgos?
Las fuentes citadas aquí no lo dicen. Solo mencionan que una aseguradora de ciberriesgos figura entre las partes interesadas en un incidente1. El alcance exacto, los límites y las exclusiones dependen del contrato. Solo la dirección, o quien lo negoció, puede indicarlos.
¿Qué medidas de seguridad exigen las aseguradoras?
Las fuentes no establecen una lista de exigencias de las aseguradoras. Describen, en cambio, medidas que recomiendan los organismos públicos: copias de seguridad sin conexión, autenticación multifactor y un plan de respuesta a incidentes135. Saber cuáles impone una aseguradora a la empresa exige leer su contrato.
¿Por qué las copias de seguridad deben estar sin conexión?
Muchas variantes de ransomware buscan las copias de seguridad accesibles para borrarlas o cifrarlas1. Una copia conectada al ordenador o a la red de la empresa puede ser destruida por el programa malicioso, de ahí el consejo de desconectarla o dejarla sin conexión cuando no se utiliza2.
¿Qué cambia la autenticación multifactor?
Pide al menos dos elementos para demostrar la identidad: algo que se sabe, algo que se posee o algo que se es3. Aunque se robe una contraseña, el atacante no tiene el segundo elemento3. No todos los métodos valen lo mismo: la CISA escribe que «any MFA is better than no MFA» y recomienda apuntar a los métodos resistentes al phishing3. El NCSC británico también recomienda técnicas que protegen mejor contra el phishing4.
1Qué cambia para los empleados1 min
El empleado no tiene que conocer el contrato. Sí tiene pasos que seguir, porque una parte de la seguridad depende de él.
- Activar la doble autenticación en cuanto se ofrezca en el correo y en los servicios profesionales3.
- No dejar un disco de copia de seguridad conectado de forma permanente a su puesto2.
- Comunicar cualquier comportamiento sospechoso, por ejemplo un correo de phishing: un programa de concienciación debe explicar cómo reconocerlo y comunicarlo1.
Las fuentes citadas aquí no documentan la consecuencia práctica de un incumplimiento para la indemnización. Depende de las cláusulas del contrato.
2Qué cambia para la direcciónDirección1 min
La dirección elige las medidas y mantiene los planes al día. Las fuentes citadas aquí le piden varias cosas.
- Redactar, mantener y ensayar con regularidad un plan de respuesta a incidentes y un plan de comunicación, con un ejemplar en papel y una versión sin conexión1.
- Vincular ese plan a la recuperación de la actividad, a la continuidad y a la gestión de crisis5.
- Probar con regularidad las copias de seguridad, incluida su restauración12.
- Si un proveedor gestiona las copias de seguridad, fijar por contrato sus exigencias de seguridad1.
- Mantener informados a los directivos a medida que avanza la crisis; entre las partes interesadas a las que informar puede figurar la aseguradora1.
El NCSC escribe que ninguna seguridad es perfecta: «Incidents can and will happen»5. Solo una buena preparación ayuda a gestionarlos bien5.
3Qué dice el textoTexto oficial1 min
Ninguna de las fuentes citadas aquí es un texto legal sobre el seguro de ciberriesgos. Los textos jurídicos que mencionan se refieren a los datos personales.
El RGPD obliga a documentar internamente las violaciones de datos personales y a notificar a la CNIL las que presenten un riesgo para los derechos y libertades de las personas6. Cuando el riesgo es alto, también hay que informar a las personas afectadas6. La obligación de notificar a la CNIL figura en el artículo 33 del RGPD y afecta a todos los responsables del tratamiento. El artículo 34 obliga a informar a las personas en caso de riesgo alto6.
La notificación se hace sin dilación indebida. Si falta información, puede hacerse en dos fases: una notificación inicial en un plazo de 72 horas, si es posible, y después una notificación complementaria. Pasadas las 72 horas, hay que explicar los motivos del retraso6.
La CNIL indica también que, si la violación se produce a raíz de un ciberataque, se aconseja presentar una denuncia en la comisaría o en la gendarmería y poner a disposición de los investigadores las pruebas técnicas6. Las copias de seguridad se rigen por los mismos regímenes jurídicos que los datos originales y, tratándose de datos personales, puede exigirse responsabilidad civil o penal en caso de incumplimiento acreditado2.
4En qué punto está la aplicación2 min
Las fuentes citadas aquí no dan un estado de aplicación de un marco legal propio del seguro de ciberriesgos en Francia, ni una obligación de contratarlo. Lo que está establecido es la notificación a la CNIL prevista por el RGPD6.
En cuanto a los marcos de referencia, el NIST presenta su Cybersecurity Framework 2.0 como un documento destinado a reducir los riesgos de ciberseguridad para la industria, las administraciones y las organizaciones7. El NCSC recuerda el ciclo de vida descrito por el NIST: identificar, proteger, detectar, responder, recuperar5. Para el incidente en sí, la fuente estadounidense se dirige a los profesionales de la informática: pide identificar los sistemas afectados y aislarlos de inmediato, de forma coordinada, y apagar un equipo solo si no se puede desconectar de la red1. Aconseja comunicarse por teléfono en lugar de usar herramientas que quizá estén vigiladas1. Pide también preservar las pruebas volátiles (memoria, registros de seguridad, búferes del cortafuegos) y recopilar los registros útiles1. Prevé informar a las partes interesadas, entre las que puede figurar la aseguradora, y comunicar el incidente a autoridades estadounidenses (CISA, FBI)1. En la práctica, la empresa sigue su propio plan de respuesta. Si se ven afectados datos personales, la notificación a la CNIL debe enviarse sin dilación indebida, en un plazo de 72 horas si es posible6. Durante la investigación, pide buscar rastros de malware precursor («dropper»), porque un ataque de ransomware puede revelar una intrusión anterior en la red que no se había resuelto1. Durante la recuperación, pide cuidar de no reinfectar los sistemas sanos1. Los equipos también pueden examinar los registros del antivirus o del EDR para detectar otros sistemas afectados1.
Ficha
- Identificador
- CP-385
- Ala
- 6. Gobernanza y GRC
- Competencia Brain
- Proteger los datos (safeguard_data)
- Reflejo Brain
- cr-063
- Esquema
- G3 · Corte anatómico
- Idiomas
- de, en, es, fr
- Fuentes
- 7 fuentes verificadas el 3 de noviembre de 2026
Fuentes7 fuentes
- CISA, «#StopRansomware Guide | CISA». https://www.cisa.gov/stopransomware/ransomware-guide (consultado el 3 de noviembre de 2026)
- Cybermalveillance.gouv.fr, «Pourquoi et comment bien gérer ses sauvegardes ?», 13 de noviembre de 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/sauvegardes (consultado el 3 de noviembre de 2026)
- CISA, «More than a Password». https://www.cisa.gov/MFA (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Multi-factor authentication for your corporate online services», 26 de septiembre de 2024. https://www.ncsc.gov.uk/collection/mfa-for-your-corporate-online-services (consultado el 3 de noviembre de 2026)
- NCSC (Royaume-Uni), «Incident management», 19 de septiembre de 2019. https://www.ncsc.gov.uk/collection/incident-management (consultado el 3 de noviembre de 2026)
- CNIL, «Notifier une violation de données personnelles», 24 de mayo de 2018. https://www.cnil.fr/fr/services-en-ligne/notifier-une-violation-de-donnees-personnelles (consultado el 3 de noviembre de 2026)
- NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado el 3 de noviembre de 2026)
Citar este artículo
Brain, «Seguro de ciberriesgos», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp385_es_2026,
author = {Brain},
title = {Seguro de ciberriesgos},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/es/articles/seguro-ciber-requisitos-siniestro/},
note = {CC BY 4.0}
}