Las aseguradoras endurecen los requisitos para pagar indemnizaciones por ciberriesgo

Son las tres de la madrugada cuando el director de sistemas (CIO) de una consolidada empresa industrial vasca recibe la llamada que todo directivo teme: los servidores centrales han sido cifrados por un ransomware. La línea de producción se detiene por completo y los atacantes exigen un rescate millonario. En la sala de crisis convocada al amanecer, el director financiero (CFO) respira con cierto alivio al recordar que la compañía cuenta con una robusta póliza de ciberriesgo que cubre extorsión, lucro cesante y recuperación forense. Sin embargo, once días después del ataque, la respuesta de la aseguradora no es una propuesta de indemnización, sino una carta de denegación absoluta. El motivo del rechazo no es la sofisticación del ciberataque, sino un detalle técnico devastador: el peritaje forense ha revelado que un antiguo servidor de la red, utilizado esporádicamente para tareas de mantenimiento, no tenía activado el doble factor de autenticación (MFA). Pagar religiosamente la prima durante años no sirvió de nada. Este escenario es la nueva normalidad del mercado asegurador global. El histórico caso Travelers v. International Control Services sentó en 2022 un precedente implacable: los tribunales amparan a las aseguradoras para rescindir el contrato si la empresa asegurada tergiversa, incluso de forma involuntaria, su nivel real de seguridad en el momento de la firma. En el actual panorama corporativo, esperar al día del siniestro para descubrir si su póliza realmente le protege es una temeridad directiva que ninguna organización puede permitirse. El endurecimiento del mercado y la trampa de la «brecha de certificación» El mercado de los seguros cibernéticos ha decretado el fin del dinero fácil. Ante el incremento exponencial de la siniestralidad —solo en España, el INCIBE registró 122.223 incidentes en empresas durante 2025, un 26% más que el año anterior— y el coste paralizante de las interrupciones de negocio, las compañías de seguros han pasado de ser meros pagadores a convertirse en auditores implacables. Las estadísticas internacionales más recientes revelan que más del 40% de las reclamaciones de ciberseguros están siendo denegadas o fuertemente reducidas. El corazón de esta purga financiera radica en lo que el sector denomina la «brecha de certificación» (attestation gap). El proceso de suscripción de una póliza funciona mediante un cuestionario exhaustivo. Cuando un directivo marca con un «sí» la casilla que pregunta si la empresa dispone de un despliegue completo de MFA, no está superando un mero trámite administrativo; está firmando una garantía contractual vinculante. El 82% de las reclamaciones denegadas en 2025 compartían un denominador común: empresas que afirmaban contar con MFA, pero que en la práctica dejaban cuentas legadas o accesos de administrador sin proteger. En el ordenamiento jurídico español, esta dinámica encuentra su base en el Artículo 10 de la Ley de Contrato de Seguro (LCS), que regula el deber de declaración del riesgo por parte del tomador. La jurisprudencia determina que la inexactitud u omisión de datos relevantes en el cuestionario previo (especialmente si existe negligencia grave) libera al asegurador de su obligación de indemnizar o permite aplicar una reducción drástica y proporcional sobre el pago. El cuestionario no es un examen que se aprueba una vez, sino un estado de blindaje continuo que la empresa debe poder demostrar en el minuto exacto en que los cibercriminales logran entrar. A esto se suma la implacable cláusula de notificación temprana. El 17% de los rechazos de siniestros se produce por un error humano crítico: la empresa intenta mitigar el daño internamente y supera el límite de 48 a 72 horas para avisar a la aseguradora desde el primer momento en que se sospechó de la brecha. La tríada técnica innegociable: auditorías forenses sin contemplaciones Las investigaciones post-siniestro se han transformado en disecciones microscópicas donde la carga de la prueba recae por completo sobre el asegurado. Las medidas que hace unos años los corredores presentaban como «recomendaciones», hoy son cláusulas de aplicabilidad innegociables. Si la infraestructura no cuenta con los controles fundamentales, la póliza queda invalidada. Control técnico exigido por la aseguradora Realidad de la auditoría forense post-siniestro Motivos frecuentes de denegación del siniestro MFA universal Verificación de cada cuenta de usuario, acceso VPN, correo, entorno cloud y conexión remota. Cuentas de servicio antiguas, entornos de prueba o protocolos legados excluidos de la política general de MFA. Copias de seguridad inmutables Análisis para confirmar que los datos estaban desconectados (air-gapped) o protegidos contra sobreescritura. Backups conectados a la misma red principal que resultan cifrados simultáneamente durante la propagación del ransomware. Monitorización EDR y gestión de parches Exigencia de trazabilidad forense inalterable y demostración de actualización de vulnerabilidades conocidas. Ausencia de un registro histórico de eventos (logs) retenido por un mínimo de 90 días, lo que impide al perito probar el origen de la brecha. El perito informático enviado por la aseguradora exigirá una cadena de custodia perfecta. Buscará evidencias digitales puras que demuestren que los controles declarados en la póliza estaban operativos antes del cifrado de los datos. Si la empresa carece de una política de retención de registros (logs) adecuada o no dispone de herramientas de Detección y Respuesta en Endpoints (EDR) que almacenen un histórico auditable de 90 a 180 días, será imposible reconstruir el incidente. Ante la duda técnica y la falta de evidencias documentales, el seguro asume negligencia y rechaza la cobertura. La tenaza regulatoria europea y la responsabilidad de la alta dirección Este cambio de criterio en el sector asegurador colisiona con un tsunami legislativo europeo, conformando una tenaza que presiona directamente a los consejos de administración. La ciberseguridad ya no es una partida presupuestaria del departamento de soporte; es el pilar ineludible para la supervivencia del negocio y la protección patrimonial de sus líderes. Bajo la Directiva europea NIS2, cuyo marco de transposición ya agita a las empresas industriales y tecnológicas, el Artículo 20 responsabiliza directa y personalmente a los órganos de dirección por las deficiencias en la gestión del ciberriesgo. La inacción, la falta de supervisión de los controles técnicos del Artículo 21 (como la seguridad en la cadena de suministro o

PRESENTACIÓN DEL PROYECTO SENIOR.HUB

Las empresas XUPERA XXI, AISILAN XXI, BULLHOST CLOUD SERVICE y URGATZI junto al centro de investigación ISEA, han finalizado un innovador proyecto de investigación denominado SENIOR.HUB, Plataforma basada en tecnologías de Inteligencia Artificial para el acceso seguro, confiable, sencillo y motivador a un ecosistema digital de Servicios para el colectivo Senior. El proyecto SENIOR.HUB se ha desarrollado entre los años 2023 y 2025. El proyecto ha sido financiado dentro del programa HAZITEK del Departamento de Industria, Transición Energética y Sostenibilidad del Gobierno Vasco. PROYECTO FINANCIADO POR EL PROGRAMA DE AYUDAS DE APOYO A LA I+D EMPRESARIAL – HAZITEK (Número de Expediente ZL-2025/00116). ACTUACIÓN COFINANCIADA POR EL GOBIERNO VASCO Y LA UNION EUROPEA A TRAVÉS DEL FONDO EUROPEO DE DESARROLLO REGIONAL 2021-2027 (FEDER)