Qué exige una aseguradora para conceder un ciberseguro a una empresa mediana

Las aseguradoras han pasado de preguntar a exigir. Hoy los requisitos habituales para conceder o renovar un ciberseguro a una empresa mediana son autenticación multifactor en todos los accesos remotos, detección en endpoints supervisada, copias de seguridad aisladas y probadas, gestión de parches documentada y un plan de respuesta ante incidentes. Sin esas medidas la póliza se encarece, se limita o directamente no se ofrece.

Hace unos años bastaba con rellenar un formulario breve y pagar la prima. El mercado asegurador absorbió una siniestralidad muy superior a la prevista, endureció la suscripción y cambió las reglas.

Hoy el proceso se parece más a una solicitud de crédito que a una compra: la aseguradora evalúa tu nivel de riesgo real, pide evidencias y decide con qué límites y a qué precio te acepta. Dos empresas del mismo sector y tamaño pueden recibir ofertas muy distintas según lo que tengan implantado, lo que significa que el trabajo previo se traduce directamente en prima.

Esto tiene una consecuencia práctica importante: la renovación merece prepararse con meses de antelación.

Siete requisitos aparecen en prácticamente todos los cuestionarios

1. Autenticación multifactor. En VPN, correo, accesos remotos y, sobre todo, en cuentas con privilegios de administrador. Es el requisito más universal y el que más aceleración aporta a una suscripción cuando está completo.

2. Detección en endpoints supervisada. Cada vez más cuestionarios preguntan explícitamente quién revisa las alertas y en qué horario, así que un EDR con vigilancia asociada puntúa notablemente mejor que uno instalado sin más.

3. Copias de seguridad. Al menos una copia inmutable o fuera de línea, separada de las credenciales del entorno productivo, y prueba de restauración documentada.

4. Gestión de vulnerabilidades y parches, con plazos definidos para las críticas y constancia de que se cumplen.

5. Formación y simulaciones de phishing a la plantilla, con registro de participación y resultados.

6. Plan de respuesta ante incidentes escrito, con responsables identificados y contactos de emergencia.

7. Segmentación de red y control de cuentas privilegiadas, para limitar hasta dónde puede moverse alguien que consiga entrar.

El cuestionario se responde bajo declaración, así que la precisión te protege

Las respuestas del cuestionario forman parte del contrato. Una declaración exacta sostiene la cobertura el día que la necesitas; una imprecisión —por ejemplo, afirmar que hay autenticación multifactor en todos los accesos remotos cuando tres servidores quedaron fuera— da a la aseguradora un argumento para revisar la reclamación.

Suele tratarse de buena fe: quien rellena el cuestionario da por implantado algo porque el proyecto se cerró hace dos años, y las excepciones que quedaron por el camino pasan desapercibidas. Revisarlas antes de responder resuelve el asunto.

La regla práctica: cada respuesta afirmativa debería tener detrás una evidencia que puedas enseñar. Cuando la implantación es parcial, la respuesta que mejor te posiciona es «parcialmente, y este es el plan».

Preparar la renovación con tres meses de margen cambia el resultado

El calendario razonable, contado desde la fecha de renovación hacia atrás:

• Tres meses antes: revisar el cuestionario del año anterior e identificar qué respuestas ya no son exactas o han quedado por debajo de lo que ahora se exige.
• Dos meses antes: cerrar las carencias que se puedan cerrar. MFA, copias aisladas y una prueba de restauración son alcanzables en ese plazo.
• Un mes antes: reunir evidencias documentales de cada respuesta y responder con precisión, declarando planes donde no haya implantación completa.
• En la negociación: presentar las mejoras realizadas como argumento de prima. Una empresa que demuestra progreso negocia mejor que una que solo declara.

Con ese margen se negocia mejor: la prima baja, los sublímites suben y las condiciones se ajustan a lo que de verdad tienes. Preparar la renovación con tiempo convierte el cuestionario en una palanca a tu favor.

La lista de la aseguradora es, en la práctica, un buen plan mínimo de seguridad

Las medidas que exigen las aseguradoras están extraídas de la siniestralidad real, es decir, de lo que de verdad marcó la diferencia en los incidentes que tuvieron que pagar. Son, por definición, las medidas con mejor relación entre coste y reducción de daño.

Además coinciden en gran parte con lo que exige NIS2: control de accesos, continuidad, gestión de incidentes, formación. Trabajar la lista del ciberseguro avanza simultáneamente en tres frentes: baja la prima, reduce el riesgo real y acerca el cumplimiento normativo. Pocas inversiones en una empresa mediana rinden en tres direcciones a la vez.

Qué hacer si el cuestionario pide algo que no tienes

Tres opciones, en orden de preferencia:

1. Implantarlo antes de responder, si es alcanzable en el plazo disponible. MFA y copias aisladas casi siempre lo son.
2. Declararlo con plan y fecha. Muchas aseguradoras aceptan un compromiso documentado, especialmente si el resto del perfil es sólido. Lo que no aceptan es la ambigüedad.
3. Aceptar la exclusión de forma consciente, sabiendo qué escenario queda fuera y decidiendo que puedes absorberlo.

Y conviene reservar el sí para lo que ya está implantado: es lo que sostiene la póliza cuando toca usarla.

Preguntas frecuentes