Riesgo cyber catastrófico y cat bonds

Qué es el riesgo catastrófico cyber, cómo se protegen aseguradoras y reaseguradoras frente al cúmulo y cómo funcionan los cyber cat bonds: triggers, principales emisiones de 2023 a 2026, precios, límites y perspectivas.

Un solo ataque informático puede afectar a miles de empresas el mismo día. Para una aseguradora cyber, este es el escenario que realmente pesa, más que los siniestros aislados. Los cat bonds, bonos que transfieren el riesgo catastrófico a los inversores, son una de las herramientas con las que el mercado intenta hacerlo sostenible.

En este artículo vemos qué es un riesgo catastrófico cyber, cómo se protegen aseguradoras y reaseguradoras y cómo funcionan los cyber cat bonds, con datos de mercado actualizados a 2026.

Qué es el riesgo catastrófico cyber

El riesgo catastrófico cyber es un evento que genera pérdidas simultáneas en muchos asegurados y muchas aseguradoras. En el ramo de daños la causa es un huracán o un terremoto; en el cyber es un malware que se propaga, la compromisión de un software muy difundido o la caída de un proveedor tecnológico del que dependen miles de empresas.

La diferencia con el riesgo natural es que el cyber no tiene fronteras geográficas. Dos empresas en continentes distintos pueden verse afectadas por el mismo evento si usan la misma nube o el mismo software. Por eso el problema central es el cúmulo: la suma de las exposiciones correlacionadas en cartera.

Algunos casos recientes muestran la dimensión del fenómeno:

NotPetya (2017): fue el primer evento incluido en el índice catastrófico cyber de PCS (Verisk), con una pérdida asegurada estimada en 3.000 millones de dólares (Artemis). Muchas aseguradoras de daños y responsabilidad civil rechazaron los siniestros invocando la exclusión de guerra (Carnegie Endowment).
MOVEit y Change Healthcare: ambos designados por PCS como Cyber Catastrophe Loss Event.
CrowdStrike (2024): la interrupción informática global también se clasificó como evento catastrófico, con pérdidas aseguradas esperadas superiores a 250 millones de dólares. Parametrix estimó una horquilla entre 540 millones y 1.080 millones (Artemis).

Para entrar en esta categoría según PCS, el evento debe afectar a varios asegurados y a varias aseguradoras. El caso CrowdStrike confirma además que la catástrofe cyber no requiere un ataque: basta un error en una actualización de software.

Cómo se protegen empresas y aseguradoras

La protección frente al riesgo catastrófico funciona por capas: cada nivel retiene una parte del daño y transfiere el resto al siguiente.

La empresa reduce la probabilidad y el impacto de los incidentes con seguridad informática, planes de continuidad y gestión de proveedores. Retiene una parte del daño mediante franquicias y límites.
La aseguradora directa selecciona los riesgos, aplica sublímites y exclusiones (por ejemplo, guerra e interrupción de infraestructuras críticas) y vigila el cúmulo de su propia cartera.
La reaseguradora asume una cuota de la cartera con tratados proporcionales o protege a la aseguradora de las pérdidas punta con coberturas de exceso de pérdida (excess of loss).
El retrocesionario protege a su vez a la reaseguradora.
Los mercados de capitales absorben las capas más altas y menos probables mediante los Insurance-Linked Securities, de los que los cat bonds son la forma principal.

El último nivel es el más reciente en el cyber. Existe porque la capacidad reaseguradora tradicional por sí sola podría no bastar para un evento extremo. Un ejemplo: Beazley declara más de 1.000 millones de dólares de protección cyber en exceso de pérdida, de los cuales 670 millones obtenidos mediante cat bonds (Beazley).

Qué son los cat bonds

Un cat bond es un bono que el inversor pierde, total o parcialmente, si se produce una catástrofe definida en el contrato. A cambio recibe una rentabilidad más alta que la de un título ordinario.

El mecanismo implica a tres sujetos:

El patrocinador (sponsor, aseguradora o reaseguradora) busca protección y paga una prima.
Un vehículo dedicado (SPV), normalmente con sede en Bermudas, firma con el patrocinador un contrato de reaseguro y emite los bonos.
Los inversores (fondos ILS, fondos de pensiones, gestoras de activos) compran los bonos. El capital captado se deposita en una cuenta de garantía y se invierte en títulos de bajo riesgo.

Mientras no se produzca el evento, el inversor cobra la prima más el rendimiento de la garantía y al vencimiento recupera el capital. Si el evento se produce, la garantía sirve para pagar al patrocinador. La ventaja para el patrocinador es una cobertura totalmente garantizada, sin riesgo de crédito frente a la contraparte, y a menudo plurianual.

El elemento que decide si se paga y cuánto es el trigger (desencadenante):

Indemnity: paga sobre las pérdidas efectivas del patrocinador. Cobertura precisa, pero liquidación lenta.
Industry loss: paga sobre la pérdida estimada de todo el mercado. Más transparente para el inversor, pero el patrocinador soporta un riesgo de base.
Paramétrico: paga al superarse un umbral objetivo (por ejemplo, las horas de indisponibilidad de una nube). Pago rápido, pero puede alejarse del daño real.

El riesgo de base (basis risk) es la diferencia entre lo que paga el bono y la pérdida real del patrocinador. Un estudio de Princeton de 2026 sostiene que para el cyber la mejor solución es una combinación de triggers indemnity y paramétricos (Princeton).

Los cyber cat bonds

Los primeros cyber cat bonds llegaron en 2023, primero como colocaciones privadas y después, en el último trimestre del año, como emisiones 144A destinadas al mercado institucional (Appleby). Según AM Best, la capacidad de los cyber cat bonds 144A pasó de 785 millones de dólares a finales de 2024 a 1.235 millones a finales de 2025 (Artemis).

Las principales emisiones muestran cómo el mercado ha experimentado con estructuras distintas:

Beazley, PoleStar Re 2026-1, 300 millones de dólares: el mayor hasta ahora; el primero con tres subcapas, cobertura hasta finales de 2028.
Chubb, East Lane Re 2026-1, 150 millones de dólares: primer cyber cat bond en forma annual aggregate.
Hannover Re, Cumulus Re 2026-1, 35 millones de dólares: trigger paramétrico sobre la interrupción de la nube.
AXIS, Long Walk Re 2024-1, 75 millones de dólares: indemnity por ocurrencia sobre eventos sistémicos.
Swiss Re, Matterhorn Re 2023-1, 50 millones de dólares: primero con trigger industry loss, umbral de 9.000 millones de dólares de pérdida del mercado estadounidense.

En cuanto a precios, la prima exigida por los inversores por la novedad se ha reducido en gran parte, según Gallagher Securities (Artemis). Los múltiplos siguen siendo, sin embargo, más altos que los de los cat bonds de daños, cuya media ponderada en 2025 era de 2,97 según AM Best.

Límites y perspectivas

El cyber sigue siendo un nicho del mercado de cat bonds. En junio de 2026 el mercado total valía 65.600 millones de dólares (Artemis), y el cyber representa el 1,3 %. En las nuevas emisiones de 2026 su peso bajó al 0,19 %.

Según S&P, en 2026 no han entrado nuevos patrocinadores, mientras que AXIS y Swiss Re no han renovado sus emisiones públicas (Artemis). Los obstáculos principales son tres:

Definición del evento: establecer cuándo varios incidentes constituyen un único evento cyber sigue siendo objeto de debate.
Modelización: la serie histórica es corta y el riesgo cambia rápidamente con la tecnología y las técnicas de ataque.
Exclusiones: guerra, infraestructuras críticas y agregación deben ser coherentes entre póliza, tratado y bono; de lo contrario se crea un riesgo de base.

Las perspectivas siguen siendo positivas. Beazley ha anunciado que desde 2026 también entrará en la titulización de riesgos cyber con un fondo ILS dedicado (Beazley). S&P observa que, si la capacidad reaseguradora tradicional se redujera, los cyber ILS podrían crecer rápidamente.

Conclusiones

Los cat bonds no sustituyen a la prevención ni al reaseguro tradicional: se sitúan en el último nivel de la cadena, donde el evento es raro pero potencialmente destructivo. En el cyber ya han demostrado que pueden funcionar con triggers distintos y estructuras cada vez más evolucionadas. Su crecimiento dependerá de tres factores: modelos más fiables, definiciones de evento compartidas y un mercado asegurador cyber lo bastante grande como para generar una demanda estable de capacidad.

Para las empresas aseguradas el mensaje es indirecto pero concreto: una cadena de transferencia del riesgo más sólida significa una capacidad aseguradora más estable incluso después de un gran evento.