El software como producto desde el 9 de diciembre de 2026: qué cambia para el underwriting entre RC profesional, RC de productos y cyber

Desde el 9 de diciembre de 2026 el software es un producto según la directiva (UE) 2024/2853. Qué entra en la RC profesional, en la RC de productos y en el cyber, dónde las tres coberturas se solapan o dejan vacíos y qué cambia en las preguntas de suscripción.

por cybercoverinsurance

Desde el 9 de diciembre de 2026 el software comercializado en el mercado europeo es un producto, y quien lo fabrica responde de los daños que cause un defecto incluso sin culpa. La pregunta que interesa a quien suscribe es otra: ¿cambia la forma de hacer underwriting? Sí, pero menos de lo que dicen los titulares y en puntos distintos de los esperados. La directiva no crea un riesgo nuevo. Desplaza una parte del riesgo del software del terreno del contrato y de la culpa al de la responsabilidad objetiva frente a las personas físicas. Y lo hace en la zona de frontera entre tres pólizas que hasta ahora se han repartido el trabajo sin hablarse: la RC profesional (o tech E&O), la responsabilidad civil de productos y el cyber.

El artículo separa lo que entra en cada una, dónde se solapan, dónde dejan un vacío y qué cambia en las preguntas de suscripción.

Lo que dice realmente la norma

En el texto, "art." indica una norma vinculante de la directiva; "considerando" indica los párrafos introductorios que explican cómo leer esas normas.

La directiva (UE) 2024/2853 se aplica a los productos introducidos en el mercado o puestos en servicio después del 9 de diciembre de 2026 e incluye expresamente el software en la definición de producto (arts. 2 y 4, EUR-Lex). No importa cómo llega el software al usuario: instalado en el dispositivo, usado a través de internet o en la nube, o vendido por suscripción como servicio (software-as-a-service). Lo aclara el considerando 13. Queda excluido el software libre y de código abierto desarrollado o suministrado fuera de una actividad comercial (art. 2).

Cinco elementos cuentan para quien suscribe.

Quién puede reclamar la indemnización. Solo las personas físicas, es decir, los particulares (art. 5). Una empresa perjudicada no puede usar esta directiva: para ella valen el contrato y las reglas ordinarias.
Qué daños. La directiva admite solo tres tipos de daño (art. 6): la muerte o las lesiones, incluidos los daños psicológicos reconocidos por un médico; los daños a bienes personales, excluidos el propio producto defectuoso y los bienes usados solo con fines profesionales; la destrucción o corrupción de datos no usados con fines profesionales, por ejemplo archivos personales borrados de un ordenador. Quien solo pierde dinero, por ejemplo porque una actividad queda parada, no puede reclamar con estas reglas (considerando 24). Y un dato borrado o dañado es algo distinto de un dato personal robado o difundido: ese caso sigue regulado por el RGPD (considerando 20).
Qué hace defectuoso a un producto. Entre los factores están los requisitos de ciberseguridad pertinentes para la seguridad y la capacidad del producto de seguir aprendiendo (art. 7).
La posventa. La defensa basada en que el defecto no existía en el momento de la introducción en el mercado no vale si el defecto depende del software, de sus actualizaciones o de la falta de actualizaciones necesarias para la seguridad, cuando están bajo el control del fabricante (art. 11, apdo. 2).
La prueba y el tercero. El juez puede ordenar la exhibición de pruebas (art. 9) y el defecto y el nexo causal pueden presumirse (art. 10). Si al daño contribuye también otra persona, la responsabilidad del fabricante frente al perjudicado no se reduce (art. 13). El ejemplo es el de un atacante que aprovecha un fallo del software: el fabricante no puede descargar en él la responsabilidad (considerando 55). En cambio, la indemnización puede reducirse si el perjudicado tiene culpa, por ejemplo porque no instaló una actualización de seguridad.

Quien responde es una cadena: fabricante, fabricante del componente defectuoso, importador, representante autorizado, prestador de servicios logísticos y, en ciertos casos, distribuidores y plataformas en línea; quien modifica sustancialmente un producto fuera del control del fabricante pasa a ser fabricante (art. 8). Varios sujetos responden solidariamente (art. 12) y la responsabilidad frente al perjudicado no puede limitarse por contrato (art. 15). El perjudicado tiene tres años para actuar desde que conoce el daño, el defecto y quién responde (art. 16). En cualquier caso, el derecho se extingue diez años después de la introducción del producto en el mercado; el plazo sube a veinticinco años para las lesiones que se manifiestan solo al cabo de mucho tiempo (considerando 57).

En Italia el Consejo de Ministros aprobó de forma definitiva el 28 de octubre de 2026 el decreto legislativo de transposición, que modifica el Código de consumo y elimina la franquicia de 387 euros sobre los daños a bienes (eDotto).

Lo que queda fuera

Antes de hablar de pólizas conviene decir lo que la directiva no toca, porque es la parte que redimensiona muchas lecturas alarmistas.

La parada de una empresa por una actualización defectuosa del proveedor no es un daño indemnizable según la directiva: es pérdida económica de un sujeto profesional. Lo mismo vale para los datos empresariales corruptos. Estos casos quedan donde estaban: contrato, responsabilidad ordinaria y, por tanto, RC profesional o tech E&O del proveedor y cyber del asegurado. También quedan fuera los productos introducidos en el mercado antes del 9 de diciembre de 2026, que siguen la normativa anterior.

La directiva pesa donde el software toca a personas y bienes de consumo: dispositivos médicos conectados, automóvil y movilidad, domótica e instalaciones, electrodomésticos, wearables, aplicaciones que gestionan funciones de seguridad o datos personales no profesionales.

Tres pólizas, tres lógicas

La responsabilidad civil de productos nace para los daños a personas y bienes causados por un producto. Es la póliza a la que la directiva apela en primer lugar. El problema es que muchos fabricantes de software no la contratan, porque se consideran prestadores de servicios, y muchos condicionados describen el producto asegurado en términos de bienes físicos. Covington y Airmic recomiendan ampliar la definición de producto al software, las actualizaciones y los componentes, y revisar las definiciones de daño (Covington, Airmic). La tercera categoría de daño, los datos no profesionales, es la más incómoda para esta póliza: hay que verificar si el condicionado de RC trata los datos como bien material o los excluye, y Reed Smith prevé que los aseguradores revisarán las definiciones de daño a bienes y de daño a los datos.

La RC profesional o tech E&O nace para la pérdida económica causada por un error en la prestación profesional. Cubre bien al cliente B2B que sufre una parada, es decir, justo la parte que la directiva deja fuera. Sin embargo, a menudo excluye o limita las lesiones y los daños a bienes, que son el núcleo de la directiva. Covington sugiere ampliar la definición de daño a lesiones, daños materiales y daño psicológico reconocido, y alinear la definición de servicios profesionales con el concepto de producto de la directiva.

El cyber nace para el incidente informático del asegurado: costes de respuesta, interrupción, restauración de los datos propios, responsabilidad por violación de datos y seguridad de la red. Por lo general excluye lesiones y daños materiales. Covington y Airmic señalan el cyber y la tech E&O como las coberturas más adecuadas para el software defectuoso, pero advierten que el riesgo de la directiva puede no encajar limpiamente en los condicionados cyber y que pueden aparecer sublímites y exclusiones específicos.

En síntesis: la directiva produce daños de RC de productos (personas y bienes), causados a menudo por eventos típicos del cyber (vulnerabilidades, actualizaciones), a cargo de sujetos que contratan sobre todo RC profesional. Ninguna de las tres pólizas se escribió para este cruce.

Los solapamientos, uno por uno

1. Lesión causada por una vulnerabilidad explotada. Es el caso más claro. Un dispositivo conectado se ve comprometido y una persona resulta herida. Para la directiva el fabricante responde y la intervención del atacante no reduce la responsabilidad (art. 13). La RC de productos es la póliza natural para la lesión, pero puede contener exclusiones por actos informáticos maliciosos. El cyber conoce el evento pero excluye la lesión. La RC profesional puede excluir ambos. El resultado posible no es un solapamiento sino un vacío, y es la forma más concreta de silent cyber al revés: un riesgo cyber que ninguna póliza pretende cubrir.

2. Actualización no realizada. La directiva trata la falta de una actualización de seguridad como fuente de defecto (art. 11). Para la RC profesional es una omisión en la prestación; para la RC de productos es un producto defectuoso. Las dos pólizas tienen activadores distintos: la RC de productos a menudo funciona por ocurrencia o manifestación del daño, mientras que cyber y tech E&O suelen ser claims made con fecha de retroactividad (Reed Smith). Con una caducidad de hasta veinticinco años, el mismo defecto puede activar dos pólizas en años distintos, o ninguna si la retroactividad o la cobertura posterior no llegan lo bastante lejos.

3. Datos del consumidor corruptos. Una actualización defectuosa borra los datos personales no profesionales de muchos usuarios. Para la directiva es daño indemnizable. La RC de productos puede no considerarlo daño a bienes. El cyber cubre la responsabilidad frente a terceros si hay un incidente de seguridad, pero un error de programación sin ataque puede no activarlo. La tech E&O responde al error, pero puede excluir los daños a terceros que no son clientes. Aquí el riesgo es doble: vacío si ningún condicionado reconoce el dato como daño, solapamiento si dos pólizas lo reconocen y se disputan el siniestro con las cláusulas de otros seguros.

4. La cadena de repeticiones. El fabricante del dispositivo paga al consumidor con su propia RC de productos y luego repite contra el proveedor del software. Para el proveedor esa repetición llega como reclamación contractual de un cliente profesional: es pérdida económica, por tanto territorio de la RC profesional. El mismo defecto produce así dos siniestros en dos pólizas de dos asegurados distintos, quizá con el mismo asegurador. La directiva añade un detalle: el fabricante que integra el software de una microempresa o pequeña empresa no tiene derecho de repetición si renunció a él por contrato (art. 12, apdo. 2). Para quien suscribe la RC profesional del pequeño proveedor, las cláusulas de indemnidad y renuncia en los contratos con los clientes se convierten en un dato de riesgo, y para quien suscribe la RC de productos del cliente, la renuncia elimina una fuente de recobro.

5. Gastos de defensa. Las presunciones y la exhibición de pruebas aumentan costes y duración de los litigios. Covington y Reed Smith recomiendan revisar los límites de los gastos de defensa. Si pueden verse implicadas tres pólizas, importa quién gestiona la defensa y cómo se reparten los costes: sin reglas claras, el riesgo es un litigio entre aseguradores mientras el asegurado espera.

6. Agregación. Una actualización defectuosa distribuida en miles de dispositivos es, para la RC de productos, un posible daño en serie; para la tech E&O, una serie de reclamaciones vinculadas; para el cyber, un evento sistémico. Cada póliza tiene su propia definición de siniestro único. Los mismos miles de perjudicados pueden valer un límite en una póliza y muchos límites en otra. Para el asegurador que suscribe varias líneas sobre el mismo cliente, esto es un cúmulo no medido.

Qué cambia en el underwriting

La pregunta "producto o servicio" pierde valor. Hasta ahora la distinción decidía qué póliza proponer. Para la directiva esta distinción ya no cuenta: también el software vendido como servicio por suscripción es un producto (considerando 13). Quien suscribe debe preguntar en cambio qué hace el software, en qué dispositivos funciona y si puede causar daños a personas, bienes o datos de consumidores.

La base de exposición cambia. La facturación mide mal este riesgo. Cuentan más la base instalada, el número de dispositivos conectados, la presencia de funciones relevantes para la seguridad y la duración del soporte. Un software con pocos ingresos instalado en millones de dispositivos pesa más que un programa de gestión muy vendido pero usado solo por empresas.

El ciclo de vida entra en el cuestionario. Si la actualización no realizada es un defecto, la política de actualizaciones es un dato de suscripción: durante cuántos años se garantizan parches de seguridad, en cuánto tiempo se corrigen las vulnerabilidades conocidas, cómo se documenta que el usuario los ha recibido. El Cyber Resilience Act irá en la misma dirección y sus requisitos obligatorios, si se incumplen, pueden hacer presumir el defecto (art. 10).

La cola se alarga. Con diez y veinticinco años de caducidad, la retroactividad y la cobertura posterior se convierten en cláusulas centrales para quien vende tech E&O y cyber a fabricantes de dispositivos y software.

El programa se lee en conjunto. Marsh observa que el software como producto podría llevar a unir partes de tech PI, RC de productos y cyber (Marsh). Se llegue o no a una póliza combinada, quien suscribe debe ver los tres condicionados del asegurado y saber cuál responde a cada escenario.

Qué llevar a las renovaciones

¿Pueden el software o los servicios del asegurado causar lesiones, daños a bienes de consumidores o pérdida de datos no profesionales? ¿En qué productos y con qué base instalada?
¿Incluye la descripción del riesgo en la RC de productos el software, las actualizaciones y los servicios digitales vinculados, también los prestados en la nube?
¿Excluye la tech E&O lesiones y daños a bienes? Si es así, ¿qué póliza cubre el escenario de la lesión causada por un defecto del software?
¿Contiene la RC de productos exclusiones por actos informáticos maliciosos o por datos? ¿Excluye el cyber lesiones y daños materiales? ¿Está cubierto en alguna parte el escenario de la vulnerabilidad explotada que hiere a alguien?
¿Durante cuántos años garantiza el asegurado actualizaciones de seguridad y en cuánto tiempo corrige las vulnerabilidades conocidas?
¿Qué contratos con clientes contienen renuncias a la repetición o cláusulas de indemnidad, y con qué límites?

En el plano de la cartera, la pregunta es de cúmulo entre líneas. ¿Cuántos asegurados, en RC de productos, tech E&O y cyber, dependen del mismo componente de software o del mismo proveedor de actualizaciones? Un defecto en ese componente no produce un siniestro: produce uno por cada línea y por cada eslabón de la cadena.

Este artículo tiene fines informativos y no constituye asesoramiento jurídico ni asegurador.