¿Qué te pide la aseguradora antes de darte un ciberseguro?
Un cuestionario sobre tu empresa y tus controles, y a veces una reunión o una revisión desde fuera. Según la Ley de Contrato de Seguro, antes de firmar tienes que declarar todo lo que sepas que influye en el riesgo, de acuerdo con ese cuestionario. Lo que no pregunta, no estás obligado a declararlo.
El artículo 10 de la Ley 50/1980, de Contrato de Seguro pone el deber en quien contrata: declarar, «de acuerdo con el cuestionario que éste le someta», todas las circunstancias que conozca y que puedan influir en la valoración del riesgo. Y añade la otra cara: quedas exonerado si la aseguradora no te pasa cuestionario o si se trata de algo que el cuestionario no pregunta.
El cuestionario no es lo único que mira. En su estudio sobre los ciberseguros, ENISA describe cómo las aseguradoras lo combinan con reuniones con el cliente, investigación propia, información de fuentes abiertas e informes de auditoría. Lo que se ve de tu empresa desde internet también cuenta: es lo que miden las puntuaciones de ciberseguridad.
Paso 1
Cuestionario
Datos de la empresa, plantilla y facturación, qué datos tratas y qué controles tienes.
Paso 2
Valoración del riesgo
La aseguradora puede sumar una reunión, su propia investigación o información pública.
Paso 3
Oferta
Prima, condiciones y exclusiones, según lo que haya sabido de tu riesgo.
Paso 4
Firma
Las cláusulas que limitan tus derechos tienen que ir destacadas y aceptadas por escrito.
Fuente: ENISA, «Commonality of risk assessment language in cyber insurance» (noviembre de 2017), consultado el .
¿Qué controles de seguridad pregunta el cuestionario del ciberseguro?
No hay un cuestionario único. ENISA analizó en 2017 los de diez aseguradoras y encontró 129 preguntas distintas en ocho bloques: datos de la empresa, datos que tratas, parada de la red, proveedores, seguridad de los datos, de la red, políticas e incidentes anteriores. Los controles de abajo son una lista orientativa.
| Control | Cómo suele venir la pregunta | Prueba que lo acredita |
|---|---|---|
| Doble factor en el correo y los accesos remotos | ¿Usan doble factor en el correo, la VPN y los accesos de administración? | Captura de la política de doble factor y lista de cuentas que no lo tienen |
| Copias fuera de la red principal | ¿Tienen copias separadas de la red y prueban que se restauran? | Registro de la última restauración probada, con fecha |
| Antivirus gestionado en los equipos | ¿Tienen protección gestionada en todos los equipos y servidores? | Informe de estado de los equipos protegidos |
| Actualizaciones | ¿Tienen un proceso para aplicar los parches de seguridad? | Informe de parches del último mes |
| Formación del personal | ¿Forman a la plantilla para reconocer correos trampa? | Registro de formación o del último simulacro |
| Plan de respuesta a incidentes | ¿Tienen un plan escrito y saben a quién llamar? | Plan aprobado por la dirección y contactos de emergencia |
129
Preguntas distintas en los cuestionarios largos de diez aseguradoras que analizó ENISA en 2017, agrupadas en ocho bloques. El bloque más grande, seguridad de los datos, tenía 24.
Cada una de esas pruebas es lo que acabará en tu dossier de evidencias y lo que te pedirá también un cliente en su cuestionario de seguridad. Si ya lo has respondido para un cliente, reaprovecha las respuestas: cambian las palabras, no los controles.
¿Qué pasa si contestas que sí a un control de seguridad que no tienes?
Según el artículo 10 de la Ley de Contrato de Seguro, la aseguradora puede rescindir el contrato en el mes siguiente a saberlo. Si el siniestro llega antes, la indemnización se reduce en proporción a la diferencia de prima. Y si hubo dolo o culpa grave, queda liberada de pagar.
¿La aseguradora lo descubre antes de un siniestro?
- Sí
- Puede rescindir el contrato en el plazo de un mes desde que lo sabe
- No
- Sigue al paso siguiente
¿Hay un siniestro antes de que rescinda?
- Sí
- La indemnización se reduce en proporción a la prima
- No
- La póliza sigue, con el riesgo mal declarado
¿Hubo dolo o culpa grave por tu parte?
- Sí
- La aseguradora queda liberada de pagar
- No
- Se aplica la reducción proporcional
| Situación | Qué contestas | Qué pasa después |
|---|---|---|
| Lo tienes y lo puedes probar | «Sí», con la prueba a mano | Nada: si te la piden, la enseñas |
| Lo tienes a medias | «En parte», y qué falta | La aseguradora valora el riesgo con datos ciertos |
| No lo tienes, pero tiene fecha | «No», con la fecha en que estará | Cuando lo tengas, lo comunicas: puede bajar la prima futura |
| No lo tienes ni hay plan | «No» | Lo tendrá en cuenta en la prima, las condiciones o las exclusiones, sin sorpresas en el siniestro |
¿Tienes que avisar a la aseguradora si cambian tus controles durante la póliza?
Sí, si el cambio empeora lo que declaraste. El artículo 11 de la Ley de Contrato de Seguro te obliga a comunicar, tan pronto como puedas, cualquier alteración de lo declarado en el cuestionario que agrave el riesgo. Si el cambio lo mejora, el artículo 13 prevé que se reduzca la prima futura.
Al contratar
Declaras según el cuestionario
Artículo 10.
Si algo empeora
Lo comunicas tan pronto como puedas
Por ejemplo, dejas de hacer copias fuera de la red o quitas el doble factor a un grupo de cuentas. Artículo 11.
En dos meses
La aseguradora puede proponer cambiar el contrato
Tienes 15 días para aceptar o rechazar la propuesta. Artículo 12.
Si algo mejora
Puedes comunicarlo
La prima futura se reduce al acabar el periodo en curso. Artículo 13.
Si hay un siniestro
Lo comunicas en siete días como máximo
Salvo que la póliza dé más plazo. Artículo 16.
Fuente: Ley 50/1980, de 8 de octubre, de Contrato de Seguro, arts. 3, 10, 11, 12, 13, 16 y 17, consultado el .
Si no comunicas un empeoramiento y llega un siniestro, el artículo 12 libera a la aseguradora si actuaste de mala fe; si no, reduce la indemnización en proporción, como el artículo 10. Por eso conviene releer el cuestionario cada vez que cambias de proveedor de correo, de copias o de informática.
¿Qué cubre un ciberseguro y qué suele excluir?
Depende de la póliza: no hay una cobertura estándar. Lo que sí fija la ley es la forma. Según el artículo 3 de la Ley de Contrato de Seguro, las cláusulas que limitan tus derechos tienen que ir destacadas de modo especial y aceptadas por escrito. Léelas antes de firmar: ahí están las exclusiones.
En 2017, ENISA señalaba la falta de armonización de los ciberseguros, de las coberturas a los cuestionarios, como un freno a la confianza de los clientes, sobre todo de las pymes. Por eso no te damos una lista de coberturas típicas: compara las de tu póliza con lo que de verdad te costaría un incidente.
El cuestionario
- Cada «sí» tiene una prueba que puedes enseñar
- Los «no» y los «en parte» están escritos tal cual, con fecha si la hay
- Guardas una copia de lo que contestaste y de cuándo
La póliza
- Las cláusulas limitativas, destacadas y aceptadas por escrito
- Qué tipos de incidente cubre y cuáles excluye
- El plazo para avisar de un siniestro: siete días, salvo que la póliza dé más
- Si te obliga a usar sus proveedores de respuesta a incidentes
Durante la póliza
- Quién revisa el cuestionario cuando cambia un control
- Dónde están las pruebas, mes a mes
¿De qué depende el precio de un ciberseguro?
De lo que la aseguradora sepa de tu riesgo. ENISA lo resume así: la información de la suscripción decide la oferta final, con su prima, sus condiciones y sus exclusiones. Cuentan tu tamaño y facturación, los datos que tratas, lo que te costaría una parada y tus controles. No conocemos un precio público de referencia.
La parte que puedes mover es la de los controles. Si los mejoras durante la póliza, el artículo 13 prevé que se reduzca la prima futura cuando lo comuniques. Y no todo se pregunta: SecurityScorecard incluye fijar primas de ciberseguro entre los usos de su nota externa, según su metodología.
¿Puede un cliente exigirte un ciberseguro por contrato?
Sí, si lo pone el contrato que firmas: es una obligación entre las partes, no una ley. Puede venir como una cláusula que pide un seguro con un importe mínimo y un certificado de la aseguradora que lo acredite. Antes de firmar, comprueba que tu póliza cubre lo que pide la cláusula.
Cómo leer esa cláusula y qué se negocia, en cláusulas de ciberseguridad en un contrato. Si el cliente es un banco o una aseguradora sujeta a DORA, lo que te pedirá va más allá del seguro: lo cuenta DORA para proveedores TIC.
¿Cómo se acredita cada respuesta del cuestionario ante la aseguradora?
Igual que ante un cliente: cada respuesta con su prueba, fechada y guardada donde la encuentres el día que te la pidan. Puede ser al contratar, al renovar o después de un siniestro, que es cuando más importa. Un dossier de evidencias al día tiene esas pruebas en un solo sitio.
Después de un siniestro, el artículo 16 te obliga a dar a la aseguradora toda la información sobre sus circunstancias y consecuencias, y el artículo 17, a usar los medios a tu alcance para reducir el daño. Tener las pruebas y el plan de respuesta a incidentes a mano es la forma de cumplir las dos cosas.
Qué documentos lleva un dossier, en el índice del dossier. Si un control no lo tienes todavía, cómo decirlo, en qué responder si no cumples un control. Más guías para cuando te piden garantías, en Clientes.
Lo que esta guía no cubre
- Qué aseguradora o qué póliza te conviene: no vendemos seguros ni los comparamos.
- El detalle de coberturas y exclusiones de cada producto, que fija cada póliza.
- Asesoramiento jurídico sobre un siniestro o una póliza concretos.
Preguntas frecuentes
¿Es obligatorio tener un ciberseguro?
No con carácter general. Puede exigírtelo un contrato con un cliente, y entonces lo que manda es esa cláusula.
¿Me bajará la prima tener mejores controles?
El artículo 13 de la Ley de Contrato de Seguro prevé reducir la prima futura si comunicas algo que disminuye el riesgo. Cuánto, lo calcula la aseguradora.
¿Sustituye el seguro a la seguridad?
No. INCIBE lo describe como una forma de transferir el riesgo a un tercero: el seguro paga parte del daño, no evita el incidente.
¿Qué hago si no entiendo una pregunta del cuestionario?
Pregunta por escrito a tu corredor o a la aseguradora qué significa y guarda la respuesta. Lo que contestes sin entenderlo cuenta igual como declarado.
Fuentes
- Ley 50/1980, de 8 de octubre, de Contrato de Seguro, arts. 3, 10, 11, 12, 13, 16 y 17, consultado el
- ENISA, «Commonality of risk assessment language in cyber insurance» (noviembre de 2017), consultado el
- INCIBE, Gestión de riesgos: una guía de aproximación para el empresario (actualizada en abril de 2025), consultado el
- SecurityScorecard, «A Deep Dive in Scoring Methodology», metodología 3.0 (2025), consultado el
Registro de cambios
- : Publicación.
- : Reescrita entera: qué dicen los artículos 3, 10, 11, 12, 13 y 16 de la Ley de Contrato de Seguro, el estudio de ENISA sobre los cuestionarios y la prueba de cada control. Corrige «la aseguradora puede rechazar el siniestro»: la ley permite rescindir o reducir la indemnización en proporción, y solo libera de pagar si hubo dolo o culpa grave.
