Introducción
El ciberseguro es, probablemente, el ramo donde más distancia existe entre lo que el comprador cree que está adquiriendo y lo que la póliza efectivamente cubre. A diferencia de un seguro de auto o de incendio —cuyo objeto asegurado es tangible y su cobertura relativamente intuitiva—, una póliza de ciberriesgo combina conceptos de responsabilidad civil, gastos propios, interrupción de negocio y cumplimiento normativo, todos ellos aplicados a un evento —el incidente cibernético— cuya naturaleza técnica escapa al entendimiento de la mayoría de los tomadores de decisiones empresariales en México. El resultado es un mercado con enorme potencial de crecimiento, pero también con un riesgo real de decepción al momento del siniestro. Este artículo desglosa qué cubre realmente una póliza de ciberriesgo frente a lo que el comprador típico asume que cubre, y qué debe verificar el sector asegurador al colocar —y el cliente al contratar— este tipo de producto.
- El tamaño del problema: brecha entre exposición y protección
Las cifras disponibles sobre el mercado mexicano son elocuentes respecto a la magnitud de la brecha. De acuerdo con el Estudio de Ciberseguridad en México de la AMECI y la consultora AON, el 94% de las empresas mexicanas sufrieron al menos un intento de ciberataque durante el año analizado, los ataques de ransomware aumentaron 78% en un solo año, y el costo promedio de una violación de datos fue de 2.4 millones de pesos por incidente. Frente a esa exposición, apenas el 8% de las PyMEs mexicanas cuenta con un seguro que cubra riesgos cibernéticos.
Esta brecha no es exclusiva de México: a nivel global, el mercado de seguros cibernéticos alcanzó aproximadamente 16,000 millones de dólares y se proyecta que supere los 23,000 millones de dólares en el corto plazo. Pero en un mercado donde la penetración del seguro cibernético entre las PyMEs es marginal, la oportunidad de crecimiento para el sector asegurador mexicano es, al mismo tiempo, una responsabilidad: cada póliza mal entendida por el comprador erosiona la confianza que se necesita para cerrar esa brecha.
- Qué cubre realmente una póliza de ciberriesgo: las cuatro grandes familias de cobertura
Aunque el contenido varía considerablemente entre aseguradoras, las pólizas de ciberriesgo más completas del mercado suelen organizarse en cuatro grandes familias de cobertura. Entenderlas —y sus límites— es el punto de partida para cerrar la brecha entre expectativa y realidad.
2.1 Costos propios (first-party)
Son los gastos en los que incurre directamente la empresa asegurada como consecuencia del incidente, independientemente de si un tercero resulta afectado. Incluyen típicamente:
- Gastos forenses, para identificar el origen, alcance y vector del ataque.
- Restauración de sistemas y datos, incluyendo la recuperación de información dañada o cifrada.
- Gastos de notificación, cuando la ley exige informar a los titulares de los datos afectados sobre la brecha de seguridad.
- Asesoría legal y de comunicación de crisis, para gestionar tanto las obligaciones regulatorias como el impacto reputacional del incidente.
- Extorsión cibernética, que cubre los honorarios de especialistas en negociación con los atacantes y, en algunas pólizas, el propio pago del rescate cuando el análisis técnico concluye que es la vía viable —un punto que, como se detalla más adelante, no está cubierto de forma automática en todas las pólizas y conviene verificar expresamente.
2.2 Responsabilidad civil frente a terceros (third-party)
Cubre las reclamaciones que terceros —clientes, proveedores, empleados— presenten contra la empresa asegurada por daños derivados del incidente, típicamente relacionados con la exposición o mal manejo de su información personal. Esta cobertura conecta directamente con el marco de protección de datos personales vigente en México, y es, junto con la interrupción de negocio, la que con más frecuencia el comprador subestima o desconoce.
2.3 Interrupción de negocio
Cubre la pérdida de ingresos y los gastos adicionales de operación que resultan de la paralización de los sistemas de la empresa a causa de un ataque —típicamente ransomware— o de una falla tecnológica derivada de un incidente de seguridad. Es, con frecuencia, la cobertura de mayor impacto económico real en un incidente grave, y también la que suele estar sujeta a sublímites más restrictivos dentro del límite general de la póliza —un límite total de cobertura puede tener un sublímite considerablemente menor específicamente para interrupción de negocio, precisamente la cobertura que más se necesita en un ataque de ransomware.
2.4 Fraude digital y coberturas complementarias
Un número creciente de pólizas —especialmente las orientadas a PyMEs— incorporan coberturas adicionales frente a fraude por transferencias no autorizadas, phishing, y más recientemente, suplantación de identidad mediante deepfakes de voz o video de ejecutivos, un vector de ataque que ha crecido con la disponibilidad de herramientas de inteligencia artificial generativa. Estas coberturas suelen ofrecerse como adicionales u opcionales, no como parte del paquete base.
- La brecha real: lo que el comprador cree que cubre vs. lo que la póliza cubre
Con el mapa de coberturas anterior como referencia, es posible identificar con precisión los puntos donde la expectativa del comprador mexicano típico se desvía de la cobertura efectivamente contratada:
3.1 «El seguro paga el rescate si sufrimos un ransomware»
Es, probablemente, el malentendido más extendido. No todas las pólizas cubren el pago del rescate como tal; muchas cubren únicamente los gastos de gestión de la extorsión —negociación, asesoría— y los costos de recuperación de sistemas, dejando el pago del rescate como una cobertura adicional, sujeta a condiciones específicas, o simplemente excluida. El comprador que asume automáticamente que «tener ciberseguro» equivale a «que la aseguradora pagará el rescate» enfrenta una sorpresa costosa precisamente en el momento de mayor presión operativa.
3.2 «La interrupción de negocio está cubierta al 100%»
El comprador suele fijarse en el límite general de la póliza sin revisar los sublímites internos. Como se señaló, el sublímite de interrupción de negocio puede representar una fracción menor del límite total, lo que significa que, ante un ataque prolongado que paraliza la operación durante varios días o semanas, la indemnización recibida puede resultar significativamente inferior a la pérdida real de ingresos.
3.3 «El seguro me protege automáticamente frente a sanciones regulatorias»
Este es un punto que ha cobrado particular relevancia en México tras la reforma a la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, que abrogó la ley homónima de 2010 y transfirió las atribuciones de supervisión y sanción —antes ejercidas por el INAI, organismo extinguido en la reforma— a la Secretaría Anticorrupción y Buen Gobierno. Bajo el nuevo marco, cualquier persona física o moral de carácter privado que trate datos personales en México está sujeta a esta ley, con independencia de su tamaño o sector, y las sanciones económicas por incumplimiento pueden ser considerables.
La póliza de ciberriesgo puede cubrir los gastos legales derivados de una investigación regulatoria y, en algunos casos, ciertas multas administrativas cuando la legislación aplicable permite su aseguramiento —lo cual no ocurre en todas las jurisdicciones ni para todo tipo de sanción—. Es un punto que el asegurado debe verificar con precisión: la póliza no exime a la empresa de sus obligaciones de cumplimiento —aviso de privacidad, medidas de seguridad, notificación de brechas— ni convierte automáticamente en asegurable cualquier sanción que la autoridad imponga.
3.4 «Con tener antivirus y respaldos, cualquier aseguradora me cubre igual»
Las aseguradoras de ciberriesgo evalúan, cada vez con mayor rigor, la postura de seguridad de la empresa antes de emitir la póliza —autenticación multifactor, cifrado, parches de seguridad al día, políticas de respaldo—. Esta evaluación no es solo un requisito de suscripción: es también una condición cuyo incumplimiento posterior puede dar lugar a que la aseguradora oponga excepciones al momento del siniestro, si se demuestra que la empresa declaró medidas de seguridad que en realidad no mantenía vigentes.
3.5 «Si nunca hemos sufrido un ataque, no lo necesitamos»
Más del 40% de las reclamaciones de seguros cibernéticos no llegan a recibir ningún pago, y las exclusiones son el motivo más habitual de rechazo —siendo las violaciones o vulnerabilidades preexistentes, no declaradas al momento de contratar, una de las causas más frecuentes—. Este dato tiene una doble lectura: por un lado, subraya que la ausencia de incidentes previos no es garantía de nada frente a un panorama de amenazas que crece de forma constante; por otro, advierte al sector asegurador y a sus clientes sobre la importancia de una suscripción rigurosa y una declaración honesta del estado real de seguridad de la empresa, precisamente para evitar que la póliza termine siendo inoperante cuando más se necesita.
- Exclusiones frecuentes que el comprador rara vez revisa
Además de los sublímites y condiciones ya mencionados, conviene que el sector asegurador refuerce con sus clientes la revisión de exclusiones típicas en este ramo:
- Incidentes originados por infraestructura de terceros (proveedores de nube, plataformas externas) cuando la póliza no contempla expresamente la cadena de suministro tecnológico de la empresa.
- Ataques patrocinados por Estados o de naturaleza bélica, una exclusión que ha generado litigios internacionales relevantes en los últimos años y que las aseguradoras han precisado con mayor detalle en sus condicionados recientes.
- Fallas de infraestructura no relacionadas con un acto malicioso, cuando la póliza distingue entre incidente de ciberseguridad e interrupción por falla técnica ordinaria.
- Sanciones o multas no asegurables conforme a la legislación aplicable, incluso cuando los gastos de defensa legal sí estén cubiertos.
- El marco regulatorio mexicano: un mosaico, no una sola ley
Para el sector asegurador que coloca este tipo de pólizas, es fundamental transmitir a sus clientes que el cumplimiento normativo en materia de ciberseguridad en México no depende de una sola ley, sino de un mosaico de obligaciones que se activan según el sector, el tipo de datos que se manejan y el tamaño de la operación. Una empresa del sector financiero que sufre una brecha de datos puede enfrentar, simultáneamente, una revisión por parte de la Secretaría Anticorrupción y Buen Gobierno conforme a la LFPDPPP, observaciones de la CNBV por sus propias disposiciones de seguridad, y eventualmente la intervención de la CONDUSEF si hay afectación directa a usuarios de servicios financieros. Un ciberseguro bien diseñado debe considerar esta superposición regulatoria, y no limitarse a un enfoque genérico de «cumplimiento de protección de datos».
- Recomendaciones para el sector asegurador y sus intermediarios
Cerrar la brecha entre expectativa y cobertura real no depende solo de mejores productos, sino de mejor comunicación al momento de la venta. Algunas líneas de acción concretas:
- Explicar los sublímites internos con la misma claridad que el límite general. El comprador debe entender, antes de firmar, cuánto cubre realmente la póliza para interrupción de negocio y para extorsión, no solo el monto total agregado.
- Aclarar de forma explícita si el pago del rescate está o no incluido, y bajo qué condiciones, dado que es el malentendido más costoso y más frecuente.
- Vincular la suscripción a una evaluación real de postura de seguridad, explicando al cliente que las medidas declaradas al contratar son también una condición de vigencia de la cobertura.
- Diseñar productos y explicaciones diferenciadas para PyMEs, dado que la brecha de penetración (8% frente a una exposición del 94%) sugiere que el problema no es solo de precio, sino de comprensión del producto y percepción de relevancia.
- Incorporar el contexto regulatorio vigente —incluyendo la reforma de 2025 a la LFPDPPP y la nueva autoridad competente— como parte de la asesoría al momento de la contratación, no como un anexo técnico que el cliente rara vez revisa.
- Detallar exclusiones en lenguaje llano, en particular las relacionadas con infraestructura de terceros y actos de naturaleza estatal o bélica, cuyo alcance suele sorprender al asegurado únicamente al momento del siniestro.
Conclusión
El ciberseguro en México enfrenta una paradoja: una exposición al riesgo prácticamente universal —94% de las empresas con al menos un intento de ataque— y una penetración de cobertura marginal, especialmente entre las PyMEs. Cerrar esa brecha exige más que expandir la oferta de productos; exige que el sector asegurador comunique con precisión qué cubre realmente una póliza de ciberriesgo —costos propios, responsabilidad civil, interrupción de negocio con sus sublímites, y coberturas complementarias— frente a lo que el comprador típico asume que está contratando. En un ramo donde más del 40% de las reclamaciones no reciben pago, principalmente por exclusiones no comprendidas al momento de contratar, la claridad en la venta no es solo una buena práctica comercial: es la condición necesaria para que la promesa del ciberseguro se cumpla el día que la empresa más lo necesita.
Fuentes consultadas: Estudio de Ciberseguridad en México (AMECI y AON); Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), reforma publicada en el DOF el 20 de marzo de 2025; análisis de Kaseya, Fortinet, TBSEK y AE Abogados sobre el panorama regulatorio de ciberseguridad y protección de datos en México; guías de cobertura de Oller Brokers, JM Moldes, BBVA México y AGLO Seguros y Fianzas sobre estructura de pólizas de ciberriesgo.
Artículo elaborado con apoyo de inteligencia artificial (Claude, de Anthropic) y revisado por la Dirección de Cultura del Contrato de Seguro.