Seguro cibernético para negocios pequeños: qué cubre y cuánto cuesta

El seguro cibernético (cyber insurance) para negocios pequeños paga los costos de un incidente de piratería o una filtración de datos: investigación forense, notificación a los clientes, monitoreo de crédito, negociación y pago de rescates, ingresos perdidos mientras los sistemas están caídos, y las demandas o acciones regulatorias que vienen después. Los negocios pequeños lo compran como una póliza independiente porque la responsabilidad civil general, la propiedad y las pólizas para propietarios de negocios excluyen o apenas tocan las pérdidas cibernéticas. Las pólizas típicas llevan límites de $1,000,000 y cuestan alrededor de $1,500 al año, según datos de clientes de Insureon.^[1]

La mayoría de los dueños supone que los piratas informáticos solo se molestan con las empresas grandes. Los datos apuntan en la dirección contraria. El Data Breach Investigations Report 2025 de Verizon encontró ransomware presente en el 88 por ciento de las filtraciones en organizaciones pequeñas, frente al 39 por ciento en las grandes.^[2] Los atacantes también usan la red de un proveedor pequeño como la puerta trasera hacia los sistemas de un cliente más grande.

Seguro cibernético

El seguro cibernético cubre las pérdidas financieras por piratería, filtraciones de datos, ransomware e incidentes tecnológicos relacionados. Las pólizas emparejan la cobertura de primera parte para los costos de respuesta y los ingresos perdidos del asegurado con la cobertura de responsabilidad para los reclamos que presentan los clientes afectados, los reguladores y las redes de tarjetas.

Menlo

¿Qué es el seguro de responsabilidad cibernética?

El seguro de responsabilidad cibernética (cyber liability insurance), también llamado seguro contra filtración de datos (data breach insurance), es el nombre común de una póliza que responde a incidentes de piratería, filtraciones de datos, ransomware y las demandas que vienen después. La cobertura tradicional nunca se construyó para esto. Su póliza de responsabilidad civil general dice con todas sus letras que los datos electrónicos no son propiedad tangible, una póliza para propietarios de negocios ofrece solo sublímites pequeños para datos electrónicos, y el seguro comercial contra delitos recoge el fraude informático pero nada cercano a una respuesta completa a filtraciones.

¿Qué cubre el seguro cibernético?

El seguro cibernético cubre dos categorías de pérdida. La cobertura de primera parte paga los costos en que su negocio incurre directamente: expertos forenses que establecen si ocurrió una filtración, la notificación legalmente requerida a los clientes, el monitoreo de crédito, la restauración de datos, los pagos de rescate y los ingresos perdidos mientras los sistemas están caídos. La cobertura de terceros paga los daños y la defensa cuando otros van tras usted, como clientes que demandan por información expuesta, reguladores que hacen cumplir leyes de privacidad como HIPAA o la CCPA, y redes de tarjetas que imponen multas de PCI. Un solo incidente comúnmente activa varios de estos a la vez.

El formulario de referencia de ISO organiza esto en ocho acuerdos de cobertura, y la mayoría de los formularios propietarios se ajustan al mismo esqueleto bajo nombres distintos:

¿Qué no cubre el seguro cibernético?

El seguro cibernético no cubre la guerra, y muchos formularios más nuevos también excluyen los eventos generalizados o la falla de infraestructura de la que usted depende pero no controla. Tras un ataque patrocinado por un estado, la pelea gira en torno a si la piratería de un gobierno extranjero cuenta como guerra. En Merck v. ACE American, un tribunal de apelaciones de Nueva Jersey dictaminó en 2023 que una exclusión de guerra tradicional no bloqueaba la pérdida de $1.4 mil millones de Merck por NotPetya.^[3] Las aseguradoras respondieron reescribiendo su lenguaje de guerra, así que muchas pólizas ahora llevan exclusiones explícitas de estado-nación y de eventos generalizados. El formulario base también excluye los cortes de su propio proveedor de energía o internet, de modo que una falla en la nube que tumba sus sistemas necesita cobertura de interrupción de negocio contingente, agregada por endoso y casi siempre sublimitada.

¿Cuánto cuesta el seguro cibernético para un negocio pequeño?

El seguro cibernético para un negocio pequeño promedia $129 al mes, unos $1,552 al año, según los datos de clientes de Insureon, y el 41 por ciento de sus asegurados paga menos de $100 al mes.^[1] Eso normalmente compra un límite de $1,000,000 con una retención de entre $1,000 y $2,500. Pocos negocios pequeños podrían absorber el reclamo cibernético promedio de una pyme, que NetDiligence sitúa en $246,000 a cinco años.^[4] Las primas escalan con los ingresos, la industria, el volumen de datos personales y de tarjetas que usted guarda, los incidentes previos y los controles de seguridad que puede certificar.

Dos términos deciden cuánto paga de verdad una póliza cuando usted tiene una pérdida:

• Límites que se erosionan: en la mayoría de los formularios cibernéticos, los costos de defensa reducen el límite a medida que se gastan. Una póliza de $1,000,000 que gasta $400,000 en abogados le deja $600,000 para el fallo.
• Sublímites: la extorsión, la ingeniería social y las multas regulatorias son objetivos frecuentes de sublímite. Una póliza de $1,000,000 con un sublímite de ransomware de $100,000 no es una póliza de ransomware de $1,000,000.

¿Qué exigen las aseguradoras cibernéticas antes de cotizar?

Los suscriptores cibernéticos ahora exigen controles de seguridad básicos antes de ofrecer términos, y la solicitud que pregunta por ellos se convierte en parte de la póliza misma. La autenticación multifactor en el correo electrónico, el acceso remoto y las cuentas administrativas es la petición casi universal, y las aseguradoras también quieren respaldos fuera de línea probados, detección y respuesta en los endpoints, y capacitación contra el phishing. Muchas escanean primero su huella pública: el hallazgo clásico es el protocolo de escritorio remoto dejado abierto a internet en el puerto 3389, y el 2024 Cyber Claims Report de Coalition encontró que los asegurados con RDP expuesto tenían 2.5 veces más probabilidad de tener un reclamo.^[5] Responda con precisión, porque sus respuestas son representaciones en las que la aseguradora se apoya, y una declaración errónea descubierta después de una pérdida puede anular la cobertura.

Esta guía tiene fines educativos y resume el lenguaje estándar de las pólizas de ISO. Los términos, condiciones y endosos específicos de su póliza son los que rigen. Hable con un corredor con licencia sobre sus exposiciones reales.

En resumen

El seguro cibernético paga sus propios costos de filtración y los reclamos que otros presentan tras un ataque, un vacío que sus pólizas de responsabilidad civil general y de propiedad dejan abierto de par en par. Para un negocio pequeño cuesta alrededor de $1,500 al año frente a un reclamo promedio cercano a $246,000, así que las cuentas favorecen comprarlo. Responda las preguntas de seguridad de la solicitud con precisión, porque un control que declaró pero nunca desplegó puede anular toda la póliza tras una pérdida. Pregúntele a su corredor cómo maneja la suya el fraude por transferencia y los sublímites de ransomware.