Seguro cibernético en Marruecos: gestionar el siniestro y defender la cobertura

Un ransomware, una fuga de datos o un fraude en transferencias no se gestiona como un siniestro ordinario: en el momento de la declaración, el ataque suele seguir en curso, y las decisiones de las primeras horas pueden comprometer la cobertura. El despacho asiste a las empresas aseguradas, a los aseguradores y a los reaseguradores en la gestión jurídica de estos siniestros en Marruecos y a nivel internacional.

Maître Abdelatif Laamrani ha representado durante largo tiempo al reasegurador nacional marroquí y a varios reaseguradores internacionales en materia de liquidación de siniestros y arbitraje. Es autor del estudio El riesgo cibernético ante el seguro y el reaseguro mundiales.

¿Su empresa acaba de sufrir un ciberataque? Relea sin demora la cláusula de declaración de su póliza y avise a su asegurador. Conserve las pruebas, y no contrate a ningún proveedor ni pague ningún rescate antes de comprobar las condiciones de su contrato. Contacte con el despacho desde las primeras horas.

El marco jurídico en Marruecos

El derecho marroquí no cuenta con un texto único sobre el siniestro cibernético. Se aplican varios regímenes:

• Ley n.º 09-08: obligación de seguridad del responsable del tratamiento, bajo el control de la CNDP. A diferencia del RGPD, no prevé una obligación general de notificar las violaciones de datos; se ha anunciado su reforma.
• Ley n.º 05-20 sobre ciberseguridad: obligaciones de seguridad y de declaración de incidentes ante la DGSSI para las administraciones, los establecimientos públicos y las infraestructuras de importancia vital.
• Código Penal (Ley n.º 07-03): represión de los atentados contra los sistemas de tratamiento automatizado de datos. Marruecos también es parte del Convenio del Consejo de Europa sobre la Ciberdelincuencia.
• Ley n.º 17-99 del Código de Seguros: suscripción de los riesgos situados en Marruecos con entidades autorizadas.
• Ley n.º 43-05 y normativa de cambios: enmarcan la cuestión de un eventual pago de rescate, junto con los regímenes de sanciones internacionales.
• Ley n.º 95-17: arbitraje y mediación convencional, útiles para las controversias de seguro y reaseguro.

Las primeras horas: una disciplina que mantener

El seguro cibernético es tanto un seguro de servicio como de indemnización: el asegurador organiza y financia la respuesta al incidente a través de sus proveedores autorizados. De ello se derivan dos consecuencias. La declaración debe ser inmediata, ya que un retraso puede conllevar la pérdida o la reducción de la cobertura según el derecho aplicable. Y los gastos realizados antes de la declaración, o sin el acuerdo del asegurador, pueden no quedar cubiertos.

La investigación técnica condiciona después todo el expediente: el perímetro de los datos afectados determina las notificaciones, la fecha de la primera intrusión influye en la cobertura, y el vector de ataque en la responsabilidad de un proveedor. Organizamos esta respuesta en el plano jurídico y aseguramos la coherencia entre el asegurador, las autoridades y los terceros.

Según la naturaleza del ataque

• Ransomware: elección entre restauración y pago, acuerdo previo del asegurador, verificación de sanciones, trazabilidad completa.
• Violación de datos: identificación de los datos y personas afectados, país por país, notificaciones, gestión de reclamaciones.
• Fraude en transferencias e ingeniería social: solicitud rápida de retirada de fondos a los bancos, bloqueo judicial de cuentas, denuncia. La cobertura suele estar limitada por un sublímite y condiciones de verificación.
• Interrupción de la actividad: cuantificación de las pérdidas de explotación, período de indemnización, cobertura dependiente cuando el incidente surge en un proveedor.

¿Hay que presentar una denuncia?

El derecho marroquí no hace de la denuncia una condición legal de la indemnización, pero la póliza puede exigirla. La denuncia, dirigida al fiscal del Rey, permite fechar el incidente, solicitar la cooperación internacional y preparar las acciones de repetición; también presenta inconvenientes, como la comunicación de documentos técnicos sensibles. La decisión se toma caso por caso.

En Francia, en cambio, el artículo L. 12-10-1 del Código de Seguros subordina la indemnización a una denuncia presentada en un plazo de 72 horas. Un grupo presente en ambos países debe, por tanto, razonar con arreglo a cada derecho aplicable.

Defender la cobertura

Durante la crisis, el asegurador examina la cobertura y suele enviar una carta de reserva de derechos. Las controversias suelen referirse al conocimiento previo del incidente, a la inexactitud de las declaraciones de seguridad, a los sublímites, al cálculo de las pérdidas de explotación, a los gastos realizados fuera de los proveedores autorizados y a la exclusión de guerra.

Esta última exclusión ha cobrado especial importancia desde los asuntos NotPetya (Merck, Mondelez) y las exigencias de Lloyd’s sobre los ciberataques estatales, vigentes desde marzo de 2023 (boletín Y5381). El derecho marroquí no consagra expresamente la cláusula de reclamación, lo que crea un riesgo de interpretación cuando la póliza local se somete a ese derecho. Intervenimos ante los tribunales y en arbitraje.

Programas internacionales, reaseguro y Lloyd’s

Los programas internacionales que cubren Marruecos suelen basarse en una póliza local emitida por un asegurador marroquí y reasegurada con el asegurador principal del programa o en el mercado de Londres (fronting). Asistimos a aseguradores, reaseguradores y despachos coordinadores extranjeros en tres cuestiones decisivas para Marruecos: si hay que notificar, si se pueden transferir los datos para la investigación y si se puede pagar.

Defensa y acciones de repetición

En defensa, intervenimos ante las autoridades, frente a las reclamaciones de las personas afectadas y en las relaciones con clientes y socios. En repetición, el asegurador subrogado o la víctima pueden actuar contra el proveedor incumplidor, sin perjuicio de las cláusulas limitativas de responsabilidad, personarse como parte civil y solicitar el embargo de los activos identificados. El asegurado puede a veces actuar contra su corredor por incumplimiento del deber de asesoramiento.

Para saber más: nuestro estudio completo.

Preguntas frecuentes

¿Qué hacer justo después de un ciberataque en Marruecos?

Releer la cláusula de declaración de la póliza y avisar al asegurador sin demora, conservar las pruebas, y no contratar proveedores ni realizar pagos antes de comprobar las condiciones del contrato. Los gastos realizados sin el acuerdo del asegurador pueden no quedar cubiertos.

¿Hay que notificar una fuga de datos a la CNDP?

La Ley n.º 09-08 impone una obligación de seguridad, pero no prevé una obligación general de notificación de las violaciones comparable a la del RGPD. Pueden aplicarse otras normas: la Ley n.º 05-20 para las entidades a las que se dirige, el RGPD u otro derecho extranjero según las personas afectadas, y las cláusulas de sus contratos.

¿Es obligatoria una denuncia para ser indemnizado?

No en derecho marroquí, que no conoce un equivalente del artículo L. 12-10-1 del Código de Seguros francés. Sin embargo, la póliza puede exigirla, en particular para las coberturas de fraude y extorsión.

¿El seguro cibernético cubre el rescate?

Depende de la póliza y del derecho aplicable. En Marruecos, un pago choca con la normativa de cambios, con la Ley n.º 43-05 y con los regímenes de sanciones internacionales a los que están expuestos los reaseguradores extranjeros. No debe pagarse nada sin un análisis jurídico previo y sin el acuerdo del asegurador.

Mi asegurador rechaza la cobertura: ¿qué recursos tengo?

Primero hay que analizar el motivo invocado: declaraciones de seguridad, exclusión, sublímite, plazo de declaración o gastos no autorizados. Según la póliza, la controversia se resuelve después ante los tribunales, por mediación o por arbitraje.

¿Qué es un breach coach?

Es el abogado coordinador de crisis, designado desde las primeras horas para dirigir jurídicamente la respuesta al incidente: encargo a los investigadores, calificación del incidente, notificaciones, denuncia, relación con el asegurador. Se distingue del asesor de cobertura, que trata del alcance de la garantía.

¿Intervienen para aseguradores o reaseguradores extranjeros?

Sí. Inscrito en los colegios de Casablanca, París y Montreal, el despacho puede intervenir en la vertiente marroquí de un siniestro internacional, junto al asegurador, al reasegurador o al despacho coordinador.