El riesgo cibernético ante el seguro y el reaseguro mundiales

Introducción

El 27 de junio de 2017, un programa malicioso oculto en la actualización de un programa de contabilidad ucraniano se propagó en pocas horas a las redes de multinacionales establecidas en todos los continentes. El episodio NotPetya, cuyo coste mundial se estima comúnmente en unos diez mil millones de dólares², reveló tres realidades que el derecho de seguros aún no había integrado: un mismo hecho generador puede afectar simultáneamente a miles de asegurados sin consideración de fronteras; el riesgo informático se había alojado, sin haber sido tarificado, en pólizas de daños y de responsabilidad que no lo contemplaban; por último, la imputación de un ataque a un Estado plantea una cuestión de cobertura cuyo alcance se cuenta en cientos de millones de dólares por asegurado.

Casi diez años después, el seguro cibernético es un mercado de pleno derecho. Munich Re cifra las primas mundiales en cerca de 15.000 millones de dólares en 2025 y anticipa que se duplicarán en el horizonte de 2030³. Sin embargo, este mercado sigue siendo joven, concentrado y jurídicamente cambiante. Sus contratos no están estandarizados como los del seguro marítimo; sus exclusiones principales se han reescrito bajo la presión del regulador del mercado londinense; sus reglas de liquidación de siniestros toman tanto de la gestión de crisis como del derecho de seguros; sus siniestros se resuelven ante tribunales y autoridades de varios países a la vez.

El objeto del presente estudio es ofrecer una clave de lectura jurídica completa de este riesgo, desde el punto de vista del asegurado, del asegurador, del reasegurador y de sus asesores. Tras caracterizar el riesgo cibernético y sus manifestaciones (I), analizaremos la suscripción y la arquitectura de las pólizas (II) y, a continuación, la cuestión de la identidad de los asegurados, públicos o privados, y del alcance territorial de las coberturas (III). Estudiaremos después el procedimiento específico de liquidación de siniestros según la naturaleza del ataque (IV), el lugar de la denuncia penal y de las notificaciones a las autoridades (V) y el papel del abogado en la defensa y en las acciones de repetición (VI). Examinaremos por último el reaseguro del riesgo cibernético y su transferencia a los mercados de capitales (VII), antes de una puesta en perspectiva del derecho marroquí y de los mercados emergentes (VIII).

I. El riesgo cibernético, un objeto asegurable singular

A. Definición y caracteres

El riesgo cibernético puede definirse como el riesgo de pérdidas, gastos o responsabilidad resultantes de un ataque a la confidencialidad, la integridad o la disponibilidad de los sistemas de información y de los datos de una organización, ya sea dicho ataque malicioso o accidental. Los profesionales de la seguridad designan esta tríada con el acrónimo CIA (confidentiality, integrity, availability, es decir, confidencialidad, integridad y disponibilidad), que proporciona el criterio material común a la mayoría de los desencadenantes de cobertura.

Cuatro caracteres lo convierten en un objeto asegurable singular. El riesgo es, en primer lugar, inmaterial: afecta a datos y servicios, no a bienes corporales, lo que lo sustrae a las pólizas de daños materiales basadas en la noción de daño físico. Es, en segundo lugar, dual: un mismo ataque causa a la víctima un daño propio (first-party loss, pérdida del asegurado) y compromete su responsabilidad frente a terceros (third-party liability, responsabilidad frente a terceros), de modo que la póliza cibernética combina necesariamente un seguro de cosas y un seguro de responsabilidad. Es, además, adversarial y evolutivo: a diferencia del riesgo natural, lo produce un adversario que adapta su estrategia a las defensas, lo que vuelve rápidamente obsoletos los históricos de siniestralidad. Es, por último, potencialmente sistémico: una vulnerabilidad de software, el compromiso de un proveedor común o la caída de un proveedor de servicios en la nube pueden provocar una acumulación de siniestros correlacionados, fenómeno de acumulación que constituye la principal preocupación de los reaseguradores.

Este último carácter se verificó el 19 de julio de 2024, cuando una actualización defectuosa de un editor de seguridad paralizó unos 8,5 millones de equipos Windows. El incidente, no malicioso, fue calificado como evento catastrófico cibernético por Verisk PCS, y las estimaciones de pérdidas aseguradas oscilaron entre unos cientos de millones y alrededor de 1.500 millones de dólares⁴. Parametrix estimaba en 5.400 millones de dólares las pérdidas directas de las 500 mayores empresas estadounidenses (excluida Microsoft), de las cuales solo entre el 10 % y el 20 % estarían cubiertas, debido a franquicias elevadas y límites reducidos⁵. La brecha entre pérdida económica y pérdida asegurada, o protection gap (déficit de protección), es uno de los datos estructurales del mercado.

B. Tipología de los ataques y de los incidentes

La calificación técnica del incidente determina la cobertura aplicable, el procedimiento de liquidación y las obligaciones legales del asegurado. Conviene, por tanto, establecer una tipología precisa, que la tabla 1 pone en relación con las coberturas afectadas.

Tabla 1. Tipología de los incidentes cibernéticos y coberturas aplicables

Se imponen dos observaciones. Por una parte, las categorías se solapan: un ransomware moderno es casi siempre también una violación de datos, lo que activa acumulativamente las coberturas de daños propios y de responsabilidad, así como las obligaciones de notificación. Por otra parte, la calificación jurídica (violación de datos en el sentido del derecho de protección de datos, ataque a un sistema de tratamiento automatizado en el sentido del derecho penal) no coincide necesariamente con la calificación contractual (security breach, privacy event, cyber event, según el vocabulario de cada póliza). Puesto que el derecho de seguros se rige por la voluntad de las partes dentro de los límites del orden público, prevalece la definición contractual del evento desencadenante, de ahí la importancia de negociar las definiciones en la fase de suscripción.

La noción de violación de datos merece especial atención, pues impregna todo el contencioso. El Reglamento General de Protección de Datos (RGPD) la define como toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales, o la comunicación o acceso no autorizados a dichos datos⁶. Esta definición, retomada o ampliada a la información confidencial de empresa por la mayoría de las pólizas, suscita cuatro observaciones: basta el mero acceso, sin necesidad de probar una explotación de los datos; el ataque a la sola disponibilidad (cifrado sin exfiltración) constituye una violación; el error humano queda comprendido al igual que el acto malicioso; por último, el incidente puede derivar del hecho de un encargado del tratamiento, lo que abre la vía a las acciones de repetición.

C. El mercado mundial: volúmenes, actores y dinámica

El mercado mundial del seguro cibernético representa unos 15.000 millones de dólares en primas en 2025 según Munich Re, que constata una clara desaceleración del crecimiento en los tres últimos años tras un alza excepcionalmente fuerte⁷; Swiss Re prevé por su parte unos 16.400 millones de dólares en 2026⁸. El mercado sigue dominado por Norteamérica, que concentra en torno a dos tercios de las primas, mientras Europa avanza y África, América Latina y gran parte de Asia permanecen infraaseguradas. El ciclo tarifario se ha invertido: tras las subidas de 2021-2022 derivadas de la ola de ransomware, las tarifas bajaron en 2024 y 2025 por efecto de una capacidad abundante, aun cuando la frecuencia de siniestros sigue siendo elevada.

Tabla 2. Principales actores del mercado mundial del seguro y del reaseguro cibernéticos

La concentración del reaseguro es un rasgo esencial: según Howden Re, los cinco primeros reaseguradores cibernéticos tendrían el 62 % de las primas y los diez primeros el 87 %⁹. Esta concentración confiere a los reaseguradores, y al mercado del Lloyd's, un poder normativo de hecho sobre las condiciones de cobertura ofrecidas por el conjunto de los aseguradores directos: son las exclusiones exigidas por el reaseguro las que se trasladan, en cascada, a las pólizas suscritas por empresas de todo el mundo.

II. La suscripción y la arquitectura del contrato

A. La suscripción: de la declaración del riesgo a la auditoría técnica

La suscripción del riesgo cibernético se ha transformado profundamente. El cuestionario declarativo tradicional (proposal form, solicitud de seguro) se completa ahora con un análisis técnico externo de la exposición de la empresa (escaneo de sus direcciones de Internet, vulnerabilidades conocidas, puertos abiertos, configuración del correo electrónico) y con exigencias mínimas de seguridad que condicionan el acceso a la cobertura: autenticación multifactor (MFA) para los accesos remotos y las cuentas privilegiadas, herramientas de detección y respuesta en los terminales (EDR), copias de seguridad desconectadas y probadas, política de actualizaciones, segmentación de redes, formación del personal frente al phishing.

Estas declaraciones no son mera formalidad. El derecho común de la declaración del riesgo les asigna sanciones severas en caso de inexactitud, y la práctica estadounidense ha ofrecido un ejemplo notable: en 2022, la aseguradora Travelers solicitó ante un tribunal federal de Illinois la anulación de una póliza cibernética porque el asegurado había declarado erróneamente utilizar autenticación multifactor; el asegurado consintió la resolución retroactiva del contrato¹⁰. La lección es doble: la declaración de seguridad es un elemento sustancial de la apreciación del riesgo, y su redacción debe ser verificada por los equipos técnicos del asegurado, no solo por sus servicios jurídicos o financieros.

La declaración tiene también consecuencias respecto de los hechos anteriores. Las pólizas excluyen los incidentes conocidos por el asegurado antes de la fecha de efecto o anteriores a una fecha de retroactividad (retroactive date). Ahora bien, una intrusión puede permanecer sin detectar durante meses: el atacante presente en el sistema el día de la suscripción genera un riesgo de discusión sobre el conocimiento previo, que la fecha de continuidad (continuity date, fecha de la primera suscripción ininterrumpida) permite acotar.

B. La inexistencia de un «contrato tipo Lloyd's» y la realidad de los condicionados

Contrariamente a una idea extendida, no existe una póliza cibernética tipo impuesta por el Lloyd's. Cada sindicato o asegurador utiliza su propio condicionado (wording), a menudo protegido por derechos de autor, y el Lloyd's se limita a regular algunos de sus elementos. Su función normativa se ejerce mediante boletines de mercado (market bulletins), vinculantes para los agentes gestores de los sindicatos, y mediante las cláusulas modelo de la Lloyd's Market Association (LMA), cuya adopción es facultativa pero que sirven de referencia al mercado mundial. El registro de condicionados del Lloyd's contaba ya con más de trescientas cláusulas relativas al riesgo cibernético en 2022¹¹.

Más allá de la diversidad de condicionados, se ha impuesto no obstante una arquitectura común. La póliza cibernética autónoma (standalone cyber policy) agrupa, en secciones distintas dotadas cada una de su límite, su franquicia y a veces su desencadenante, coberturas de daños propios y coberturas de responsabilidad, a las que se añade un servicio de gestión de crisis. La tabla 3 presenta su estructura tipo.

Tabla 3. Arquitectura tipo de una póliza cibernética autónoma

C. Los mecanismos técnicos del contrato

La póliza cibernética combina varios regímenes temporales. Las coberturas de responsabilidad funcionan generalmente sobre base de reclamación (claims-made and reported, reclamación formulada y declarada durante el periodo de seguro), mientras que las coberturas de daños propios se activan con el descubrimiento del incidente (discovery trigger, activación por descubrimiento). La coexistencia de ambos desencadenantes en un mismo contrato genera dificultades cuando el incidente se descubre durante un periodo y las reclamaciones de terceros surgen durante otro, en particular en caso de cambio de asegurador.

La pérdida de beneficios obedece a parámetros específicos: un periodo de carencia (waiting period), generalmente de algunas horas, por debajo del cual no se indemniza pérdida alguna y que funciona como una franquicia temporal, y un periodo de indemnización (indemnity period), que acota la duración de la cobertura. Con ocasión del incidente de julio de 2024, Guy Carpenter señalaba que los periodos de carencia habituales en el mercado se situaban entre cuatro y doce horas, lo que limitó considerablemente las pérdidas aseguradas¹².

La gestión del siniestro está enmarcada por cláusulas que confieren al asegurador un amplio control de la crisis. La cláusula de proveedores homologados (panel vendors) impone o incentiva fuertemente al asegurado a recurrir a los abogados, investigadores técnicos, negociadores y proveedores de comunicación preseleccionados por el asegurador. La cláusula de consentimiento previo (consent clause) prohíbe al asegurado incurrir en gastos, reconocer su responsabilidad o transigir sin la conformidad del asegurador. La llamada cláusula «martillo» (hammer clause) limita la cobertura del asegurador al importe de la transacción que había recomendado cuando el asegurado la rechaza. Por último, la cláusula de siniestro único (related claims / single claim clause) agrupa en un solo siniestro los incidentes que proceden de una misma causa, con una única franquicia y un único límite, lo que puede beneficiar o perjudicar al asegurado según el caso.

Los límites de cobertura se expresan en un límite agregado anual (aggregate limit) acompañado de sublímites (sublimits) por cobertura, y los gastos de defensa se incluyen casi siempre en el límite (defence within limits), de modo que el coste de la defensa reduce la capacidad disponible para la indemnización. Para los grandes riesgos, la capacidad se organiza en torres (towers) de líneas primarias y de exceso (excess layers) suscritas por distintos aseguradores, cada una de las cuales sigue en principio el condicionado de la línea primaria (follow form). La coherencia de la torre, en particular respecto de las exclusiones de guerra, es un reto principal de la colocación.

D. Las exclusiones y la cuestión decisiva de los ataques estatales

Las pólizas cibernéticas contienen las exclusiones clásicas del seguro de responsabilidad y de daños (dolo de los administradores, daños personales y materiales, remitidos a las pólizas tradicionales, responsabilidad contractual que exceda de la legal, propiedad intelectual fuera de la cobertura de medios, mejora del sistema por encima de su estado anterior o betterment). A ellas se añaden exclusiones propias del riesgo: fallo de las infraestructuras esenciales (redes eléctricas, telecomunicaciones, Internet, satélites), falta de corrección de una vulnerabilidad conocida en un plazo determinado, en algunas pólizas, y sobre todo la exclusión de guerra y de los ciberataques respaldados por un Estado.

Esta última exclusión ha sido moldeada por el contencioso NotPetya. En el asunto Merck, los aseguradores de daños del grupo farmacéutico habían opuesto una exclusión clásica de actos hostiles o bélicos; el tribunal de apelación de Nueva Jersey la descartó en 2023, por considerar que la cláusula, concebida para la guerra convencional, no se refería a las ciberoperaciones¹³. Las partes transigieron en vísperas del examen del asunto por el Tribunal Supremo de Nueva Jersey, en enero de 2024, dejando intacta la decisión de apelación¹⁴. El asunto paralelo entre Mondelez y Zurich, relativo a una reclamación de unos 100 millones de dólares en virtud de una póliza de daños, había concluido con una transacción en pleno juicio en octubre de 2022, sin precedente judicial¹⁵.

El mercado reaccionó por vía normativa. La LMA publicó el 25 de noviembre de 2021 cuatro cláusulas modelo, LMA5564 a LMA5567, que gradúan la exclusión de la guerra y de las ciberoperaciones¹⁶. El Lloyd's, mediante su boletín Y5381 de 16 de agosto de 2022, impuso después a todas las pólizas cibernéticas autónomas de los códigos de riesgo CY y CZ la inclusión, a partir del 31 de marzo de 2023, de una exclusión de los ciberataques respaldados por un Estado, distinta de la exclusión de guerra o integrada en ella¹⁷. El boletín establece exigencias mínimas: excluir las pérdidas derivadas de una guerra, declarada o no; excluir los ataques estatales que tengan un efecto perjudicial grave sobre el funcionamiento o la seguridad de un Estado; precisar el tratamiento de los sistemas situados fuera del Estado afectado; por último, definir un mecanismo sólido de atribución del ataque a un Estado. Las cláusulas modelo confían esencialmente dicha atribución a la determinación del gobierno del Estado afectado¹⁸. El boletín Y5433 de junio de 2024 precisó este dispositivo y clasificó las cláusulas en cuatro tipos; la más amplia (tipo 4), que cubre los ataques estatales llevados a cabo en el marco de una guerra convencional, queda reservada a los sindicatos acreditados como «avanzados» y únicamente a las renovaciones¹⁹.

Estas cláusulas plantean tres dificultades jurídicas que la doctrina aún no ha terminado de explorar. La primera atañe a la atribución: imputar un ciberataque a un Estado es un acto político, a menudo tardío y a veces nunca formalizado, y se aprecia la paradoja de un contrato privado que hace depender la cobertura de la posición diplomática de un gobierno. La segunda atañe a la noción de «efecto perjudicial grave» sobre el funcionamiento de un Estado, que no está definida y exigirá una interpretación judicial o arbitral²⁰. La tercera atañe a la carga de la prueba: en el derecho común de seguros, corresponde al asegurador que invoca una exclusión acreditar sus presupuestos, lo que, aplicado a un ataque atribuido por servicios de inteligencia sobre la base de elementos clasificados, plantea un problema probatorio considerable.

E. El riesgo cibernético «silencioso» y la clarificación de las pólizas tradicionales

El riesgo cibernético no afirmativo (silent o non-affirmative cyber) designa la exposición al riesgo informático contenida en pólizas tradicionales (daños, responsabilidad civil, fraude, marítimo, aviación) que ni lo cubren ni lo excluyen expresamente. Los asuntos Merck y Mondelez versaban precisamente sobre pólizas de daños. A instancias de la autoridad prudencial británica, el Lloyd's exigió que, en todas las pólizas emitidas a partir del 1 de enero de 2020, la cobertura del riesgo cibernético fuera o bien expresamente concedida, o bien expresamente excluida²¹. En el seguro de daños materiales, la cláusula LMA5400 (Property Cyber and Data Exclusion) y su homóloga LMA5401 se han convertido en referencias. De ello resulta una frontera más nítida, pero también una mayor responsabilidad de los corredores y de las direcciones de riesgos, que deben verificar que la exclusión insertada en una póliza tradicional se compensa efectivamente con una póliza cibernética específica.

III. ¿Quién está asegurado? Personas públicas, personas privadas y alcance transnacional

A. Un seguro concebido ante todo para el sector privado

El seguro cibernético se ha desarrollado para las empresas privadas, y en primer lugar para las grandes empresas norteamericanas expuestas a acciones colectivas y a obligaciones de notificación. Las entidades financieras, los centros sanitarios, los distribuidores y las empresas de servicios digitales son sus primeros compradores. La penetración sigue siendo baja en las pequeñas y medianas empresas, en particular fuera de Norteamérica, como reflejan las estimaciones coincidentes de los grandes corredores. Nada en la técnica contractual, sin embargo, reserva este seguro al sector privado.

B. El seguro de los Estados, las administraciones y los entes territoriales

Las personas públicas pueden contratar un seguro cibernético, y muchas lo hacen. En Estados Unidos, los entes locales, los distritos escolares, los hospitales públicos y los organismos de servicios son compradores significativos, hasta el punto de que la subida de las primas ha llevado a numerosos entes a agruparse en pools mutualizados de riesgos cibernéticos, que S&P Global Ratings considera una evolución favorable²². Algunos aseguradores ofrecen además programas dedicados a los pools de entidades públicas, en seguro directo y en reaseguro.

El Estado central, en cambio, es por lo general su propio asegurador. Tres razones lo explican. La primera es económica: el Estado dispone de una capacidad financiera y de una cartera de riesgos que hacen racional el autoseguro. La segunda es jurídica: numerosos ordenamientos nacionales regulan estrictamente, o incluso excluyen, el aseguramiento de los riesgos del Estado y de sus administraciones centrales. La tercera responde a la naturaleza misma del riesgo: los ataques contra los Estados son con frecuencia obra de otros Estados, que las exclusiones examinadas más arriba apartan precisamente de la cobertura. El seguro cibernético de mercado choca así con una paradoja: las entidades más expuestas a los ataques estatales son las que menos cubre la póliza.

Las políticas públicas acentúan esta especificidad. El Reino Unido confirmó en julio de 2025 su intención de prohibir el pago de rescates a todos los organismos públicos, incluidos los entes locales, así como a los operadores de infraestructuras nacionales críticas, y de crear un régimen de prevención y declaración de los pagos²³. Varios estados federados estadounidenses, entre ellos Carolina del Norte y Florida, prohíben ya a sus entidades públicas negociar con los autores de ransomware. Para estas entidades, la cobertura de ciberextorsión pierde su objeto, y el seguro se reorienta hacia la gestión de crisis, la restauración y la responsabilidad.

Queda la cuestión del riesgo catastrófico. Existe un intenso debate sobre la creación de mecanismos de colaboración público-privada, según el modelo de Pool Re para el terrorismo en el Reino Unido o del programa federal estadounidense de reaseguro del terrorismo, en los que el mercado privado absorbería las pérdidas hasta un determinado umbral, interviniendo el Estado por encima de él²⁴. El argumento es conocido: a falta de un mecanismo organizado, el Estado sigue siendo de hecho el asegurador de último recurso, sin disponer ni de los recursos específicos ni de las reglas.

C. El alcance transnacional de las coberturas

El riesgo cibernético ignora las fronteras: un mismo incidente afecta a sistemas, datos y personas situados en varios países, y el atacante opera casi siempre desde una jurisdicción tercera. Las pólizas cibernéticas de los grandes aseguradores ofrecen en consecuencia una cobertura territorial mundial (worldwide territorial scope), sin perjuicio de las sanciones internacionales. Este alcance contractual choca, no obstante, con tres límites jurídicos.

El primero obedece a las normas de autorización. La mayoría de los Estados exigen que los riesgos situados en su territorio se aseguren con entidades autorizadas localmente, lo que en principio impide a un asegurador extranjero no autorizado (non-admitted) indemnizar directamente a una filial local. Los programas internacionales se organizan entonces en torno a una póliza matriz (master policy) y a pólizas locales emitidas por aseguradores autorizados, a su vez reasegurados por el abridor del programa según la técnica del fronting (fronting). Cuando la emisión de una póliza local es imposible o insuficiente, la póliza matriz puede indemnizar a la sociedad matriz por la pérdida financiera que para ella supone el siniestro de su filial, en virtud de una cláusula de interés financiero (financial interest clause), cuya licitud debe verificarse conforme al derecho de cada país.

El segundo obedece a las sanciones internacionales. Las pólizas del mercado londinense incluyen una cláusula de limitación y exclusión por sanciones, cuya versión de referencia es la cláusula LMA3100, que exime al asegurador de toda prestación cuya ejecución le expusiera a una sanción o prohibición prevista por las resoluciones de las Naciones Unidas o por los regímenes de sanciones de la Unión Europea, el Reino Unido o Estados Unidos. Esta cláusula adquiere un alcance particular en materia de rescate, examinado más adelante.

El tercero obedece a la ley aplicable y a la resolución de controversias. Las pólizas del mercado de Londres se someten generalmente al derecho inglés y van acompañadas de una cláusula de sumisión jurisdiccional o de una cláusula arbitral. Las pólizas locales se rigen, en cambio, por el derecho imperativo del Estado de emisión, que puede contener disposiciones sustanciales de orden público, como la obligación francesa de denuncia examinada más adelante. El profesional debe por tanto razonar simultáneamente sobre varios ordenamientos: el de la póliza matriz, el de la póliza local y los de los países en que se sitúan los datos y las personas afectadas.

IV. El procedimiento específico de liquidación de siniestros

A. Una gestión de crisis más que una liquidación de indemnización

La liquidación de un siniestro cibernético difiere radicalmente de la de un siniestro de daños clásico. En este último, el asegurado declara un daño ya producido, el perito lo constata y el asegurador indemniza. En materia cibernética, el siniestro es un proceso en curso en el momento de la declaración: el atacante puede seguir presente en el sistema, los datos seguir filtrándose, la actividad estar interrumpida, y cada hora de retraso agrava el perjuicio. El asegurador no se limita, pues, a indemnizar: organiza, financia y en parte dirige la respuesta al incidente, por medio de sus proveedores homologados. El seguro cibernético es, por ello, tanto un seguro de servicio como un seguro de indemnización.

Esta especificidad tiene dos consecuencias jurídicas. Por una parte, la declaración del siniestro debe ser inmediata: las pólizas prevén una línea de urgencia permanente y plazos de declaración breves, cuyo incumplimiento puede acarrear la pérdida o la reducción de la cobertura según el derecho aplicable. Por otra parte, los gastos incurridos antes de la declaración o sin la conformidad del asegurador, en particular con proveedores no homologados, se exponen a un rechazo de cobertura, lo que impone al asegurado, desde los primeros minutos, una disciplina procedimental que su dirección informática no siempre conoce.

B. Las fases de la liquidación

Tabla 4. Cronología tipo de la liquidación de un siniestro cibernético

La fase de investigación es el núcleo del expediente, pues sus conclusiones condicionan todo lo demás: el perímetro de los datos afectados determina las notificaciones; la fecha de la primera intrusión determina la aplicación de la fecha de retroactividad; el vector de ataque determina la eventual responsabilidad de un proveedor y la veracidad de las declaraciones de seguridad; la identificación del atacante determina la aplicación de la exclusión de ataques estatales y la licitud de un pago. El investigador técnico es así, sin ostentar el título, el perito cuyo informe gobierna la cobertura, lo que explica las precauciones adoptadas respecto del estatuto de su informe (VI, A).

C. Especificidades según la naturaleza del ataque

1. El ransomware

El siniestro por ransomware moviliza la totalidad de la póliza. Tras la contención, el asegurado debe decidir entre la restauración a partir de copias de seguridad, cuando existen y están sanas, y el pago del rescate, que no garantiza ni la obtención de una herramienta de descifrado funcional ni la destrucción de los datos exfiltrados. Los datos de mercado indican, por lo demás, una proporción creciente de víctimas que se niegan a pagar²⁵. Cuando se contempla el pago, lo negocia un negociador especializado, bajo la dirección del abogado coordinador y con el consentimiento previo y por escrito del asegurador, tras verificar que el beneficiario no figura en ninguna lista de sanciones.

Esta verificación no es una formalidad. La Office of Foreign Assets Control (OFAC) del Tesoro estadounidense recordó en 2021 que facilitar un pago a una persona sancionada expone a sanciones civiles conforme a un régimen de responsabilidad objetiva, también para los aseguradores, los intermediarios financieros y los proveedores de respuesta a incidentes, y que la pronta comunicación del incidente a las autoridades y la cooperación con ellas constituyen circunstancias atenuantes significativas²⁶. El derecho inglés de lucha contra la financiación del terrorismo y los regímenes de sanciones europeos producen efectos comparables. La asegurabilidad del propio rescate varía según los países: el derecho francés la admite ahora a condición de que se presente una denuncia en el plazo de 72 horas (V, A), mientras que otros ordenamientos no se oponen a ella en principio pero la someten al respeto de las sanciones y de las normas contra el blanqueo de capitales.

En la práctica, el asegurador suele reembolsar el rescate pagado por el asegurado, a menudo en criptoactivos adquiridos por un intermediario especializado, en lugar de pagarlo directamente. La trazabilidad del pago (monederos, transacciones, intercambios con el atacante) debe documentarse con cuidado, pues sirve a la vez de prueba del siniestro y de base para eventuales embargos: en junio de 2021, las autoridades estadounidenses recuperaron así una parte del rescate abonado por el operador de un oleoducto, lo que ilustra el valor de la cooperación con los investigadores.

2. La violación de datos

El siniestro de violación de datos está dominado por las obligaciones de notificación y por el riesgo de responsabilidad. La investigación debe determinar con precisión qué datos se han visto afectados, relativos a qué personas y en qué países, pues cada jurisdicción impone sus propios plazos, umbrales y contenidos de notificación. La cobertura de gestión de crisis financia la identificación de los interesados, los envíos, el centro de llamadas y los servicios de vigilancia crediticia y de identidad. La sección de responsabilidad cubre después las reclamaciones de los interesados, que en Estados Unidos adoptan la forma de acciones colectivas y en Europa, cada vez más, la de acciones de representación, así como las reclamaciones de clientes profesionales basadas en las cláusulas de confidencialidad y seguridad de los contratos.

3. El fraude en transferencias y la ingeniería social

El fraude por compromiso del correo electrónico o por suplantación de identidad, reforzado ahora por la ultrafalsificación de la voz o la imagen de un directivo, es una de las causas de siniestro más frecuentes. Se sitúa en la frontera entre la póliza cibernética y la póliza de fraude, y los aseguradores suelen confinarlo en un sublímite, con condiciones de verificación previa (devolución de la llamada al proveedor en un número conocido, doble validación). La liquidación descansa en la rapidez: la solicitud de retrocesión de los fondos ante el banco emisor y el banco receptor, el bloqueo judicial de las cuentas beneficiarias y la denuncia penal determinan las posibilidades de recuperación y, por tanto, el importe final del siniestro.

4. La interrupción de la actividad, maliciosa o no

La pérdida de beneficios constituye a menudo la partida más gravosa y más discutida. Su cuantificación exige reconstruir cuál habría sido la actividad sin el incidente, deducir los gastos ahorrados, integrar el periodo de recuperación progresiva y distinguir lo que corresponde al incidente de lo que obedece a otras causas. La intervención de un contable forense es la regla, y las discrepancias sobre el periodo de indemnización, el margen que debe retenerse o los gastos adicionales son frecuentes. Cuando la interrupción tiene su origen en un proveedor, la cobertura dependiente solo puede activarse si el proveedor entra en la definición contractual (proveedor informático, proveedor nominalmente designado) y si la causa (maliciosa o no) está cubierta, como puso de manifiesto el incidente de julio de 2024.

D. La posición de cobertura y el contencioso de la cobertura

Paralelamente a la gestión de crisis, el asegurador instruye la cobertura. Suele dirigir una carta de reserva de derechos (reservation of rights), por la que asume los gastos urgentes al tiempo que se reserva la facultad de oponer posteriormente una exclusión o una pérdida del derecho. Las causas recurrentes de controversia son el conocimiento previo del incidente, la inexactitud de las declaraciones de seguridad, la aplicación de los sublímites, la exclusión de infraestructuras, la exclusión de guerra, el cálculo de la pérdida de beneficios y la cobertura de los gastos incurridos fuera de los proveedores homologados. La resolución de estas controversias sigue, según las pólizas, la vía judicial, la mediación o el arbitraje, siendo este último frecuente en el mercado de Londres y en los programas internacionales.

V. Denuncia penal, autoridades y obligaciones de notificación

A. La denuncia penal: facultad como principio, obligación por excepción

Un ciberataque constituye casi siempre una infracción penal: acceso o permanencia ilícitos en un sistema de tratamiento automatizado de datos, obstaculización de su funcionamiento, introducción o alteración de datos, extorsión, estafa. ¿Es necesario, sin embargo, presentar denuncia para ser indemnizado? En principio no: la mayoría de los ordenamientos nacionales no supeditan la indemnización del seguro a una denuncia, y la cuestión queda entonces en manos del contrato, que la exige con frecuencia para las coberturas de fraude y extorsión, como prueba del siniestro.

El derecho francés ha introducido una excepción. La ley de orientación y programación del Ministerio del Interior de 24 de enero de 2023 incorporó al Code des assurances un artículo L. 12-10-1 que supedita, desde el 24 de abril de 2023, el pago de toda indemnización que repare las pérdidas y daños causados por un ataque a un sistema de tratamiento automatizado de datos a la presentación por la víctima de una denuncia ante las autoridades competentes, a más tardar 72 horas después de haber tenido conocimiento del ataque²⁷. El precepto solo se aplica a las personas jurídicas y a las personas físicas que actúan en el marco de su actividad profesional; es de orden público y se aplica sin necesidad de reproducirlo en la póliza; abarca todas las coberturas que indemnizan un ataque malicioso, y no solo el rescate²⁸. La Direction générale du Trésor ha precisado su aplicación a los programas internacionales y a los ataques ocurridos fuera de Francia²⁹. Por otra parte, se han debatido propuestas de reforma relativas a este plazo³⁰.

Más allá de cualquier obligación, la denuncia presenta un interés estratégico: fecha y formaliza el incidente, permite a los investigadores solicitar la cooperación internacional y la congelación de activos, abre a la víctima la vía de la personación como acusación particular, prepara la acción subrogatoria del asegurador y constituye, ante las autoridades de sanciones, un indicio de buena fe. Presenta también inconvenientes: pérdida parcial del control de la comunicación, entrega de documentación técnica sensible, riesgo de que la investigación saque a la luz incumplimientos del asegurado. La decisión corresponde al abogado coordinador, en concertación con el asegurador.

B. Las obligaciones de notificación a las autoridades

Distintas de la denuncia, las obligaciones de notificación se han multiplicado y tienen plazos incompatibles con una respuesta improvisada. La tabla 5 presenta las principales.

Tabla 5. Principales regímenes de notificación de incidentes

De ello se derivan dos reglas prácticas. En primer lugar, los plazos corren desde el conocimiento del incidente, no desde el final de la investigación, lo que obliga a notificar sobre la base de información incompleta y a completarla después. En segundo lugar, las distintas notificaciones no se sustituyen entre sí: la denuncia no exime de la notificación a la autoridad de protección de datos, como recordó la administración francesa³¹, y la notificación regulatoria no equivale a la declaración del siniestro al asegurador. Su coherencia debe garantizarla un mismo asesor, pues cualquier contradicción entre ellas será explotada en los contenciosos posteriores.

VI. El abogado en el siniestro cibernético: coordinación, defensa y repetición

A. El breach coach, director de orquesta de la respuesta

El breach coach, que cabe traducir como «abogado coordinador de crisis», es el abogado designado desde las primeras horas, casi siempre entre los despachos homologados por el asegurador, para dirigir jurídicamente la respuesta al incidente. Contrata a los investigadores técnicos y a los demás proveedores, califica jurídicamente el incidente, determina las obligaciones de notificación en cada jurisdicción, redacta o valida las notificaciones y la comunicación, asesora sobre la denuncia y el eventual pago, y asegura la interlocución con el asegurador. En los expedientes internacionales, se apoya en una red de abogados locales encargados de responder, en plazos de pocas horas, a tres preguntas decisivas: si hay que notificar, si pueden transferirse los datos para la investigación y si se puede pagar.

La razón de ser de este esquema es la protección del secreto profesional. Al confiar al abogado la contratación de los investigadores, el asegurado pretende que sus trabajos se beneficien de la confidencialidad propia de las comunicaciones con el abogado (attorney-client privilege) y de los trabajos preparados con vistas a un litigio (work product). La jurisprudencia estadounidense ha mostrado, sin embargo, los límites de esta protección: en el asunto Capital One, se declaró que el informe del investigador técnico debía exhibirse a los demandantes, por haberse elaborado en todo caso por razones operativas y por haber circulado ampliamente dentro de la empresa³²; en el asunto Clark Hill, se adoptó la misma solución para un informe que había servido a la remediación y se había comunicado más allá del equipo jurídico³³. Las buenas prácticas resultantes están ya consolidadas: contrato de encargo separado celebrado por el abogado, finalidad contenciosa documentada, separación entre la investigación jurídica y la remediación operativa, difusión restringida del informe. En los sistemas de derecho civil la cuestión se plantea de otro modo, pues el secreto profesional del abogado cubre su propia correspondencia y sus dictámenes pero no necesariamente los informes de terceros, lo que impone una reflexión análoga sobre la circulación de los documentos.

B. La defensa del asegurado

En la defensa, el abogado interviene en tres frentes. Ante las autoridades de protección de datos y los reguladores sectoriales, se trata de demostrar la adecuación de las medidas de seguridad y de la gestión del incidente, a fin de prevenir o reducir las sanciones, cuya asegurabilidad es a su vez incierta: numerosos ordenamientos, entre ellos el francés según una parte de la doctrina, consideran contrario al orden público el aseguramiento de las sanciones penales y administrativas, lo que explica la fórmula where insurable by law de las pólizas. Ante los tribunales civiles, se trata de oponerse a las acciones individuales y colectivas de los interesados, discutiendo en particular la existencia de un daño cierto y la relación de causalidad. En las relaciones contractuales, por último, se trata de gestionar las reclamaciones de clientes y socios basadas en las cláusulas de seguridad, confidencialidad y nivel de servicio.

C. Las acciones de repetición

La faceta de la repetición suele descuidarse, aunque condiciona la economía final del siniestro. Subrogado en los derechos del asegurado hasta el importe de la indemnización pagada, el asegurador puede dirigirse contra el proveedor cuyo incumplimiento permitió o causó el incidente: editor de software, proveedor de servicios gestionados, proveedor de alojamiento, proveedor de seguridad. Estas acciones chocan con las cláusulas limitativas de responsabilidad de los contratos informáticos, cuya validez habrá de discutirse a la luz de la culpa grave o de la obligación esencial según el derecho aplicable. La víctima y su asegurador pueden actuar igualmente en la vía penal, personándose como acusación particular, y solicitar el embargo de los activos identificados, en particular de criptoactivos. Por último, el asegurado dispone a veces de una acción contra su corredor cuando la falta de cobertura deriva de un incumplimiento del deber de asesoramiento, hipótesis que la creciente complejidad de las exclusiones hace menos teórica.

D. El asesor de cobertura

Conviene distinguir el breach coach, al servicio de la gestión del incidente, del asesor de cobertura (coverage counsel), que defiende la posición del asegurador o la del asegurado sobre el alcance de la cobertura. La acumulación de ambas funciones por un mismo despacho es fuente de conflicto de intereses: el abogado coordinador, a menudo homologado por el asegurador, debe sin embargo defender los intereses del asegurado en la gestión de la crisis. Los grandes asegurados negocian de hecho el derecho a elegir a su propio abogado, con una cobertura ajustada a las tarifas del panel. El abogado del asegurado debe, por su parte, velar desde los primeros días por que las decisiones adoptadas con urgencia no comprometan la cobertura.

VII. El reaseguro del riesgo cibernético y la transferencia a los mercados de capitales

A. Las estructuras de reaseguro

El reaseguro cibernético se ha construido históricamente sobre tratados proporcionales de cuota parte (quota share), mediante los cuales el asegurador cede una fracción de sus primas y siniestros. Esta elección reflejaba la incertidumbre sobre la modelización del riesgo: la cuota parte permitía a los reaseguradores acompañar el crecimiento del mercado sin tener que tarificar aisladamente las pérdidas extremas. La cesión media en cuota parte ha disminuido, sin embargo, de alrededor del 57 % al 45 % en cinco años según Howden Re, en favor de estructuras no proporcionales de exceso de pérdida por riesgo, por evento (event excess of loss) o de exceso de siniestralidad anual (aggregate stop loss)³⁴; Gallagher Re anticipa que la demanda de capacidad en exceso de pérdida casi se duplicará de aquí a 2030³⁵. Esta evolución refleja la creciente madurez de los modelos y la voluntad de los aseguradores de retener una parte mayor de su siniestralidad corriente.

B. Las cuestiones jurídicas propias del tratado cibernético

El paso al exceso de pérdida por evento sitúa en el centro del tratado la definición del evento y las reglas de agregación. En el reaseguro de catástrofes naturales, la noción de evento está enmarcada por cláusulas horarias y geográficas contrastadas; en materia cibernética, hay que definir qué constituye un mismo evento cuando miles de asegurados se ven afectados por una misma vulnerabilidad explotada por varios atacantes durante varias semanas. La redacción de estas cláusulas determina el alcance de la protección de la cedente, y su interpretación es uno de los principales contenciosos potenciales del mercado.

Las exclusiones de guerra y de ataques estatales se reproducen en el tratado: la LMA publicó en 2023 cláusulas modelo destinadas al reaseguro de tratado del riesgo cibernético³⁶. Toda discordancia de redacción entre la póliza directa y el tratado genera para la cedente un riesgo de base (basis risk), en el que indemniza un siniestro que su reasegurador se niega a seguir. Las cláusulas clásicas de seguimiento de las liquidaciones (follow the settlements), de cooperación en siniestros (claims cooperation) y de control de siniestros (claims control) adquieren asimismo un alcance nuevo: un reasegurador que dispone de un derecho de control puede verse implicado en las decisiones de pago de un rescate o de transacción con terceros. Estos mecanismos remiten al análisis de la naturaleza jurídica del tratado de reaseguro, contrato autónomo respecto de la póliza directa pero unido a ella por una comunidad de suerte cuyo alcance fijan las cláusulas del tratado³⁷. Las controversias de reaseguro se someten, en el mercado de Londres, de forma muy mayoritaria al arbitraje, según prácticas modeladas en gran medida por ARIAS (UK).

C. Los bonos catastróficos cibernéticos

La transferencia del riesgo cibernético extremo a los mercados de capitales se ha convertido en una realidad. Tras las primeras operaciones de 2023, el mercado de bonos catastróficos cibernéticos se ha desarrollado: en el cuarto trimestre de 2025 se colocaron por esta vía unos 450 millones de dólares de capacidad de reaseguro cibernético, el trimestre más activo jamás observado³⁸, y la emisión PoleStar Re 2026-1 de Beazley, fijada en 300 millones de dólares, es el mayor bono catastrófico cibernético hasta la fecha³⁹. Estos instrumentos funcionan con un desencadenante indemnizatorio y por evento, y se insertan en los tramos altos de la protección. Trasladan a los mercados financieros las cuestiones de definición del evento y de exclusión de guerra, y someten su documentación al examen de inversores que carecen de la cultura del mercado asegurador. La Geneva Association subraya que la magnitud posible de las pérdidas cibernéticas extremas excede la capacidad de aseguradores y reaseguradores por sí solos, lo que convierte esta transferencia en una necesidad estructural⁴⁰.

VIII. Perspectiva marroquí y mercados emergentes

A. Un mercado incipiente frente a una amenaza real

Marruecos ofrece un caso de estudio ilustrativo de los retos propios de los mercados emergentes. La amenaza es real: en abril de 2025, la Caja Nacional de Seguridad Social (Caisse nationale de sécurité sociale, CNSS) sufrió un ciberataque de una magnitud sin precedentes en el país, que provocó la divulgación de datos personales de cerca de dos millones de asalariados⁴¹, seguido de otros ataques contra organismos públicos. El episodio puso de relieve las cuestiones examinadas en el presente estudio: responsabilidad de una persona pública en cuanto responsable del tratamiento, ausencia de obligación general de notificación de las violaciones, acciones de los interesados y ausencia de seguro de la entidad afectada.

El mercado del seguro cibernético sigue siendo embrionario. La cobertura existe en algunos aseguradores, a menudo respaldados por grupos internacionales y ampliamente reasegurados en el extranjero, pero la toma de conciencia del riesgo y las condiciones de asegurabilidad están aún por desarrollar⁴². La ministra de Economía y Finanzas anunció en abril de 2025, durante el Rendez-vous de Casablanca de l'Assurance, el desarrollo de un proyecto de seguro contra el riesgo cibernético⁴³, y la Autoridad de Control de Seguros y Previsión Social (ACAPS) ha puesto en marcha un programa de apoyo a la innovación en el sector.

B. El marco jurídico aplicable

El marco jurídico marroquí contiene los principales elementos de un régimen del riesgo cibernético, pero presenta lagunas respecto de los estándares internacionales. La ley n.º 09-08 relativa a la protección de las personas físicas respecto del tratamiento de datos personales impone al responsable del tratamiento una obligación de seguridad, bajo el control de la Comisión Nacional de Control de la Protección de Datos Personales (CNDP), pero no prevé una obligación general de notificación de las violaciones comparable a la del RGPD; se ha anunciado su reforma para alinearla con los estándares internacionales⁴⁴. La ley n.º 05-20 relativa a la ciberseguridad y su decreto de aplicación organizan, bajo la autoridad de la Dirección General de Seguridad de los Sistemas de Información (DGSSI), obligaciones de seguridad y de declaración de incidentes a cargo de las administraciones, los establecimientos públicos y las infraestructuras de importancia vital. El Código Penal reprime, desde la ley n.º 07-03, los ataques a los sistemas de tratamiento automatizado de datos, y Marruecos es parte del Convenio del Consejo de Europa sobre la Ciberdelincuencia, lo que facilita la cooperación internacional y otorga a la denuncia, dirigida al fiscal del Rey (procureur du Roi), una utilidad real.

En el plano asegurador, la ley n.º 17-99 por la que se aprueba el Código de Seguros sienta el principio de la suscripción con entidades autorizadas de los riesgos situados en Marruecos, lo que orienta los programas internacionales hacia la técnica del fronting, con una póliza local emitida por un asegurador marroquí y reasegurada por el abridor del programa o en el mercado de Londres. El derecho marroquí no conoce un equivalente del artículo L. 12-10-1 del Code des assurances francés: la denuncia no es una condición legal de la indemnización, aunque la póliza puede exigirla. Tampoco consagra expresamente la cláusula sobre base de reclamación, lo que genera un riesgo de interpretación cuando la póliza local se somete al derecho marroquí. El pago de un rescate, por último, choca con la normativa de control de cambios, con el dispositivo de lucha contra el blanqueo de capitales y la financiación del terrorismo derivado de la ley n.º 43-05 y con los regímenes de sanciones internacionales a los que están expuestos los reaseguradores extranjeros. La ley n.º 95-17 relativa al arbitraje y a la mediación convencional ofrece, por su parte, un marco moderno para la resolución de controversias de seguro y reaseguro.

C. Una plaza regional por construir

La baja penetración del seguro cibernético en África y la importancia de los flujos digitales entre Europa, Marruecos y el África subsahariana abren un espacio para una plaza regional de suscripción, reaseguro y liquidación de siniestros cibernéticos. Esta ambición requiere un marco de notificación de las violaciones, una doctrina de la autoridad de control sobre las pólizas cibernéticas y el rescate, capacidades locales de investigación técnica y de peritaje, y abogados capaces de intervenir en pocas horas en los expedientes internacionales por cuenta de los aseguradores, de los reaseguradores y de los despachos coordinadores de Londres, París o Nueva York.

Conclusión y propuestas

El seguro cibernético es a la vez un éxito y una obra en construcción. Un éxito, porque en una década se ha construido un mercado de unos quince mil millones de dólares en torno a un riesgo inmaterial, adversarial y sistémico, inventando un seguro de servicio que organiza la respuesta a la crisis tanto como indemniza. Una obra en construcción, porque las cuestiones jurídicas fundamentales siguen abiertas: la atribución de los ataques a los Estados y la interpretación de las exclusiones que de ella dependen, la definición del evento en el reaseguro, la asegurabilidad de los rescates y de las sanciones, la protección de los trabajos de investigación, la coordinación de las obligaciones de notificación y el déficit de protección de las personas públicas y de los mercados emergentes.

Pueden formularse cuatro propuestas. En primer lugar, sería deseable que el mercado convergiera hacia un mecanismo de atribución de los ataques estatales basado, a falta de atribución gubernamental en un plazo determinado, en un procedimiento de peritaje independiente, a fin de no dejar al asegurado en la incertidumbre. En segundo lugar, los legisladores ganarían unificando los plazos y los puntos de contacto de las notificaciones de incidentes, según el modelo de ventanilla única contemplado en el Reino Unido, para que la empresa víctima no quede sometida a obligaciones concurrentes en las primeras horas de la crisis. En tercer lugar, la cuestión de la asegurabilidad del rescate merecería una posición clara de cada autoridad de control; la solución francesa de una asegurabilidad condicionada a la denuncia ofrece un equilibrio entre la indemnización de las víctimas y la cooperación con la justicia. En cuarto lugar, los Estados cuyo mercado es incipiente, y en primer lugar Marruecos, tendrían interés en dotar a su derecho de protección de datos de una obligación de notificación de las violaciones, en precisar el estatuto de la cláusula sobre base de reclamación y en contemplar, con sus aseguradores y reaseguradores, un mecanismo de mutualización del riesgo cibernético catastrófico.

El riesgo cibernético está llamado a convertirse en uno de los riesgos dominantes del siglo. El derecho de seguros y de reaseguro, que supo en otros tiempos organizar la mutualización del riesgo marítimo y después del riesgo industrial, dispone de las herramientas para abordarlo, a condición de no abandonar únicamente a las cláusulas de los condicionados la respuesta a cuestiones que pertenecen ya al orden público económico y a la soberanía digital de los Estados.