GLOSARIO

Glosario de ciberseguros

Definiciones breves y citables de los conceptos que definen la suscripción, los siniestros y la regulación cibernética.

Acumulación cibernética (Cyber Aggregation)

Riesgo de que un único evento, por ejemplo la caída de un proveedor de nube o una vulnerabilidad de software muy extendida, provoque pérdidas simultáneas en muchos asegurados de una misma cartera.

Asegurabilidad de las sanciones

Posibilidad de cubrir con un seguro las sanciones administrativas, por ejemplo en materia de protección de datos. Depende de la ley aplicable y del texto de la póliza, y en algunos ordenamientos no está permitida.

Autenticación multifactor (MFA)

Acceso que exige al menos dos pruebas de identidad de distinto tipo, por ejemplo una contraseña y un código generado por una aplicación. Es uno de los controles mínimos que exigen la mayoría de las aseguradoras cyber.

Betterment

Mejora de los sistemas obtenida al restablecerlos tras un siniestro. Muchas pólizas pagan la vuelta a la situación anterior y no el coste de las mejoras.

Claims-made

Activación por la que la póliza responde a las reclamaciones presentadas por primera vez durante el periodo de seguro, siempre que el hecho no sea anterior a la fecha de retroactividad. Es la base más habitual de las coberturas de responsabilidad cyber.

Coberturas de daños propios

Coberturas de las pérdidas sufridas directamente por el asegurado, como los costes de recuperación de sistemas, la investigación forense, la extorsión, el lucro cesante y la notificación a los afectados.

Costes de gestión del incidente

Gastos para responder a un evento cyber: investigación forense, asesoramiento jurídico, contención y recuperación, comunicación y notificación a personas y autoridades.

Cuestionario de suscripción

Formulario en el que el solicitante describe sus controles de seguridad (MFA, copias de seguridad, parches, EDR). Las respuestas determinan precio y condiciones, y las declaraciones inexactas pueden comprometer la cobertura.

Cyber Resilience Act (CRA)

Reglamento (UE) 2024/2847 que fija requisitos de ciberseguridad para los productos con elementos digitales. Las obligaciones de notificar vulnerabilidades explotadas e incidentes se aplican desde el 11 de septiembre de 2026; las principales, desde el 11 de diciembre de 2027.

DORA

Reglamento (UE) 2022/2554 sobre la resiliencia operativa digital del sector financiero, aplicable desde el 17 de enero de 2025: exige gestión del riesgo TIC, notificación de incidentes y supervisión de los proveedores críticos.

Directiva sobre responsabilidad por productos defectuosos

Directiva (UE) 2024/2853, que considera el software un producto y se aplica a los productos introducidos en el mercado después del 9 de diciembre de 2026. Entre los daños indemnizables no figuran, entre otros, los bienes usados exclusivamente con fines profesionales ni la pérdida puramente económica.

EDR (Endpoint Detection and Response)

Herramienta que vigila los dispositivos, detecta comportamientos anómalos y permite aislarlos y analizarlos. Su presencia suele valorarse en la suscripción.

Exclusión de ciberguerra (Cyber War Exclusion)

Cláusula que excluye las pérdidas derivadas de una guerra o de operaciones cibernéticas atribuibles a Estados. El mercado de Lloyd's exige cláusulas de este tipo en las pólizas cibernéticas independientes desde el 31 de marzo de 2023.

Extorsión cyber

Cobertura de los costes de una amenaza de dañar sistemas o divulgar datos si no se paga, incluidos, cuando la ley y la póliza lo permiten, los consultores de negociación y el pago del rescate.

Fecha de retroactividad

Fecha anterior a la cual los hechos no están cubiertos en una póliza claims-made, aunque la reclamación se presente durante el periodo de seguro. Una intrusión iniciada antes de esa fecha puede quedar excluida.

Fraude de ingeniería social

Engaño que lleva a una persona a hacer un pago o revelar credenciales, por ejemplo un falso correo de un proveedor o de un directivo. A menudo se cubre solo con sublímites y condiciones de verificación.

Interrupción de negocio (cibernética)

Cobertura que indemniza la pérdida de beneficio operativo causada por la interrupción de los sistemas informáticos a raíz de un evento cibernético.

Interrupción dependiente (dependent BI)

Lucro cesante causado por la caída de un proveedor externo, por ejemplo de servicios en la nube, del que depende el asegurado. Puede cubrirse solo para proveedores designados o con un sublímite.

Límite de indemnización

Importe máximo que paga la aseguradora por siniestro o por periodo de seguro. Puede ser un único agregado para toda la póliza o verse reducido por sublímites en cada cobertura.

NIS2

Directiva (UE) 2022/2555, que refuerza las obligaciones de gestión de riesgos de ciberseguridad y de notificación de incidentes para las entidades esenciales e importantes de la Unión Europea.

Periodo de carencia (waiting period)

Número de horas que deben transcurrir desde el inicio de la caída de los sistemas antes de que la cobertura de interrupción de la actividad indemnice el lucro cesante.

Periodo de notificación adicional (ERP)

Periodo posterior a la extinción de una póliza claims-made durante el cual el asegurado aún puede comunicar reclamaciones derivadas de hechos ocurridos mientras estaba cubierto. A menudo requiere una prima adicional.

Proveedores del panel

Despachos de abogados, empresas forenses y otros profesionales aprobados de antemano por la aseguradora. Muchas pólizas cubren los costes de respuesta solo si se recurre a ellos o si la aseguradora aprueba a otros.

Ransomware

Software malicioso que cifra o bloquea datos y sistemas y exige un rescate para restablecerlos. A menudo se combina con el robo de datos usado como amenaza adicional (doble extorsión).

Responsabilidad frente a terceros

Cobertura de las reclamaciones de clientes, socios u otros perjudicados por el incidente cyber del asegurado, incluidos los gastos de defensa jurídica.

Retención (SIR)

Importe de cada siniestro que soporta el asegurado antes de que intervenga la póliza. En las pólizas cyber suele expresarse como retención propia y puede variar según la sección de cobertura.

Riesgo sistémico

Riesgo de que un solo evento afecte a muchos sujetos a la vez, por ejemplo a través de un proveedor común o de una vulnerabilidad muy difundida. Es el principal límite a la capacidad de las aseguradoras para ofrecer coberturas cyber.

Seguro cyber

Póliza que transfiere a la aseguradora, dentro de límites y condiciones contractuales, una parte de las pérdidas económicas causadas por incidentes informáticos: costes de gestión del evento, interrupción de la actividad, reclamaciones de terceros y sanciones asegurables.