Un ciberseguro es la póliza que cubre las pérdidas económicas, los costes de respuesta técnica y la responsabilidad frente a terceros que provoca un incidente informático: un ransomware que para tu producción, una brecha de datos de clientes, una transferencia hecha a un estafador. No protege tus sistemas —eso lo hacen las medidas de ciberseguridad—, sino tu cuenta de resultados cuando esas medidas fallan.
Esa distinción explica casi todo lo demás: por qué las aseguradoras exigen controles técnicos antes de aceptarte, por qué la prima depende tanto de tu higiene digital como de tu facturación, y por qué una póliza mal suscrita se convierte en un rechazo de siniestro en el peor momento posible.
Esta guía es el punto de entrada al cluster de ciberriesgo de Vesta: qué cubre de verdad un ciberseguro, cuánto cuesta en España, qué exclusiones tumban un siniestro, qué exige la ley cuando te atacan y cómo se comparan las ofertas del mercado con un criterio que no sea el precio.
(Nota de desambiguación: si has llegado buscando programas de concienciación tipo "ciudadano ciberseguro", esto es otra cosa. Aquí hablamos del producto asegurador para empresas y autónomos.)
¿Qué es un ciberseguro y qué cubre exactamente?
Un ciberseguro es un contrato de seguro en el sentido del artículo 1 de la Ley 50/1980 de Contrato de Seguro, que define el contrato como aquel por el que el asegurador se obliga, mediante el cobro de una prima y para el caso de que se produzca el evento cuyo riesgo es objeto de cobertura, a indemnizar. Lo que cambia respecto a una póliza clásica es la naturaleza del evento —un incidente informático— y, sobre todo, que buena parte de la prestación no es dinero sino servicio: un equipo de respuesta que entra en tus sistemas en cuestión de horas.
¿Prefieres verlo? Te contamos cuánto cuesta un ciberseguro para autónomos y qué cubre de verdad.
Las coberturas se agrupan en tres bloques. Entenderlos por separado es lo que te permite leer cualquier condicionado del mercado, se llame como se llame el producto.
Daños propios (primera parte)
Es lo que le pasa a tu empresa:
- Restauración de datos y sistemas: peritaje forense, limpieza, reinstalación y recuperación de la información.
- Pérdida de beneficios por interrupción: el margen que dejas de ganar mientras estás parado, normalmente con un período de franquicia en horas (habitualmente 8, 12 o 24).
- Extorsión cibernética: gestión del incidente de ransomware, negociación especializada y, en algunas pólizas y con condiciones estrictas, el rescate.
- Gastos de notificación y gestión de crisis: avisar a los afectados, servicio de atención, comunicación y reputación.
- Reposición de fondos por fraude: solo si contratas el sublímite específico. Volveremos sobre esto porque es la trampa más cara.
Responsabilidad civil frente a terceros
Es lo que les pasa a los demás por tu culpa:
- Reclamaciones de clientes, proveedores o empleados cuyos datos se han visto comprometidos.
- Sanciones administrativas derivadas de la normativa de protección de datos, en la medida en que sean legalmente asegurables.
- Responsabilidad por contenidos y por transmisión de malware a la red de un tercero.
Servicios de respuesta
La cobertura que más se usa y la que menos se compara. Incluye línea 24/7, respuesta forense, asesoría jurídica especializada en protección de datos y soporte de comunicación. En una pyme sin equipo de IT propio, esta es la diferencia real entre parar dos días y parar dos semanas.
¿Qué riesgos cubre un ciberseguro y cuáles son los más frecuentes en España?
Los datos oficiales dan la medida del problema. Según el Balance de Ciberseguridad 2025 de INCIBE, publicado en febrero de 2026, el instituto gestionó 122.223 incidentes durante 2025, un 26 % más que el año anterior. El desglose importa más que el total, porque cada tipo de incidente activa una cobertura distinta:
| Tipo de incidente (INCIBE 2025) | Casos | Cobertura del ciberseguro que se activa |
|---|---|---|
| Malware | 55.411 (incl. 392 de ransomware) | Restauración de sistemas, interrupción, extorsión |
| Fraude online | 45.445 (+19 % interanual) | Reposición de fondos (sublímite), defensa jurídica |
| Phishing | 25.133 | Puerta de entrada: activa la cobertura del daño resultante |
| Robo de información | 3.849 | Brecha de datos, notificación, RC frente a terceros |
INCIBE detectó además 237.028 sistemas vulnerables relevantes y atendió 142.767 consultas en su línea de ayuda, un 44,9 % más que en 2024. En el ámbito de operadores esenciales gestionó 401 incidentes, concentrados en banca (34 %), transporte (14 %), energía (8 %), infraestructuras de mercados financieros (7 %) y aseguradoras y fondos de pensiones (6 %).
Hay una lectura de estos números que no suele hacerse: el ransomware es el 0,3 % de los incidentes pero se lleva la mayor parte del coste, mientras que el fraude online es el 37 % de los casos y es precisamente lo que la cobertura base no incluye. Dicho de otro modo, el riesgo más probable para una pyme española es justo el que se queda fuera de la póliza estándar. Esa asimetría es la que hay que corregir al suscribir.
Traducido al día a día, los tres escenarios que de verdad acaban en siniestro son estos:
- Ransomware. Cifran los servidores un viernes por la tarde. El coste no es el rescate: son los días parados, el forense, la reconstrucción y los clientes que no puedes atender.
- Fraude del CEO o de proveedor. Alguien suplanta al administrador o cambia el IBAN en una factura y contabilidad paga. Es el siniestro más frecuente en empresas pequeñas y el que peor cubierto está.
- Brecha de datos. Se filtra la base de clientes. Aquí el coste es regulatorio y reputacional: notificaciones, AEPD, reclamaciones.
¿Cuánto cuesta un ciberseguro en España?
Un ciberseguro para una pyme española cuesta de forma orientativa entre 300 y 600 € al año en los perfiles más sencillos (autónomo o microempresa, límite de 100.000–250.000 €), y entre 1.200 y 4.000 € para pymes con facturación de varios millones, datos sensibles o dependencia crítica de sus sistemas. No hay tarifa plana: el precio se construye sobre variables concretas.
Estas son las que de verdad mueven la prima, por orden de peso:
| Factor | Cómo afecta a la prima |
|---|---|
| Facturación anual | Base principal del cálculo. Los tramos suelen saltar en 500.000 €, 2 M€ y 10 M€. |
| Sector | Sanidad, asesorías, e-commerce y despachos jurídicos pagan más: tratan datos sensibles o de terceros. |
| Volumen y tipo de datos | Datos de salud, financieros o de menores multiplican la exposición regulatoria. |
| Límite y sublímites | Doblar el límite no dobla la prima; el sublímite de fraude sí encarece de forma sensible. |
| Controles técnicos | MFA, copias aisladas y EDR pueden reducir la prima de forma apreciable —o ser condición para que te coticen. |
| Siniestralidad previa | Un incidente en los últimos 3 años endurece condiciones o excluye la causa. |
Merece la pena detenerse en la relación entre controles técnicos y prima, porque es la única variable de esta lista que puedes cambiar tú antes de pedir precio. El MFA funciona hoy como un interruptor binario: sin él, muchas compañías declinan el riesgo directamente, así que su efecto no es "descuento" sino "acceso al mercado". Las copias de seguridad aisladas y con restauración probada actúan sobre la cobertura de interrupción, que es la partida más cara del siniestro, y por eso son las que más mueven la prima a la baja. El EDR y la formación en phishing pesan menos de forma individual, pero cambian el tramo de suscripción en el que te clasifica el asegurador. La consecuencia práctica: si te falta el MFA, actívalo antes de pedir cotizaciones, no después. Pedir precio con los deberes sin hacer fija un punto de partida peor del que te corresponde.
Qué límite necesitas según tu perfil
La pregunta útil no es "cuánto cuesta" sino "cuánto límite necesito". Esta matriz orienta la decisión a partir de los dos ejes que de verdad importan: cuánto pierdes por día parado y cuántos datos personales custodias.
| Perfil | Registros personales | Límite orientativo | Sublímite de fraude | Prima orientativa/año |
|---|---|---|---|---|
| Autónomo digital, sin datos de terceros | < 1.000 | 100.000 € | Opcional | 300–500 € |
| Comercio o servicio local, 5–15 empleados | 1.000–10.000 | 250.000 € | Sí | 500–1.200 € |
| Pyme con ERP crítico (logística, industria) | 5.000–50.000 | 500.000 € | Sí | 1.200–3.000 € |
| Asesoría, clínica, e-commerce con datos sensibles | > 20.000 | 500.000–1 M€ | Sí | 2.000–5.000 € |
| Proveedor de entidad esencial (NIS2) | Variable | Según pliego (a menudo ≥ 1 M€) | Sí | Según exigencia |
Para dimensionar el mercado: según el VI Estudio sobre Ciberseguridad y Gestión del Riesgo Ciber en España, elaborado por Aon con datos de más de 1.500 organizaciones, el volumen de primas de seguros ciber en España alcanzó los 190 millones de euros, un 12 % más que el año anterior. Es un ramo en expansión, con capacidad creciente y competencia real entre aseguradoras: buena noticia para quien compara, porque significa que hay margen de negociación en condicionado, no solo en precio.
¿Qué exclusiones y requisitos hacen que un ciberseguro no pague?
Esta es la sección que casi ningún comparador escribe, y es la que decide si cobras. Un ciberseguro se rechaza, casi siempre, por una de estas cinco razones:
1. Incumplimiento del deber de declaración del riesgo. El artículo 10 de la Ley 50/1980 obliga al tomador, antes de la conclusión del contrato, a declarar al asegurador —de acuerdo con el cuestionario que este le someta— todas las circunstancias por él conocidas. En ciber, ese cuestionario pregunta por MFA, copias de seguridad, antivirus y formación. Marcar "sí" a un control que no tienes es la vía más rápida a un siniestro no indemnizado.
2. Ausencia de los controles comprometidos. Distinto del anterior: los declaraste correctamente, pero después dejaste de aplicarlos. Las pólizas de 2026 incluyen condiciones particulares que exigen mantener MFA en accesos remotos y correo, y copias de seguridad desconectadas de la red.
3. Fraude de transferencia sin sublímite contratado. Ya lo hemos visto: la cobertura base cubre el ataque a tus sistemas, no el dinero que un empleado envía voluntariamente engañado. Es una cobertura aparte.
4. Incidentes anteriores a la póliza (retroactividad). Si el atacante entró en marzo y tú contrataste en mayo, la fecha del hecho generador manda. Revisa siempre la cláusula de retroactividad: en un ransomware, el acceso inicial suele preceder al cifrado en semanas o meses.
5. Comunicación tardía del siniestro. El artículo 16 de la Ley 50/1980 establece que el tomador, el asegurado o el beneficiario deberán comunicar al asegurador el acaecimiento del siniestro dentro del plazo máximo de siete días de haberlo conocido. En ciber, además, llamar tarde destruye evidencia forense.
Y al revés: estos son los requisitos de suscripción que el mercado español pide de forma estándar en 2026. Si no los cumples, el problema no es el precio, es que no te cotizan:
- MFA en correo electrónico, VPN y accesos administrativos.
- Copias de seguridad con al menos una copia aislada o inmutable, y restauración probada.
- Antivirus/EDR actualizado en todos los endpoints.
- Política de parcheado razonable y sistemas operativos con soporte.
- Formación básica en phishing para el personal.
¿Qué obligaciones legales tienes en España tras un ciberataque?
Cuando te atacan no corre un plazo: corren tres a la vez, y son independientes entre sí. Es el error de gestión más caro que vemos, porque una empresa bien asesorada en lo técnico puede seguir incumpliendo en lo regulatorio.
| Plazo | Ante quién | Base legal |
|---|---|---|
| 24 horas (alerta temprana) | CSIRT de referencia, si eres entidad esencial o importante | Marco NIS2 |
| 72 horas | AEPD, si hay datos personales afectados | Art. 33 RGPD |
| 7 días | Tu aseguradora | Art. 16 Ley 50/1980 |
Protección de datos. El artículo 33.1 del RGPD obliga al responsable del tratamiento a notificar la brecha a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella. La AEPD precisa que la notificación debe describir la naturaleza de la violación, los datos y categorías de afectados y las medidas adoptadas para resolverla, y pone a disposición la herramienta ASESORA BRECHA para evaluar si la notificación es necesaria. Si la brecha entraña un alto riesgo para los derechos y libertades de los afectados, el artículo 34.1 obliga además a comunicárselo a ellos sin dilación indebida. Las infracciones más graves pueden alcanzar sanciones de hasta 20 millones de euros o el 4 % del volumen de negocio anual mundial total (art. 83.5 RGPD).
NIS2. La Directiva (UE) 2022/2555 impone a entidades esenciales e importantes medidas técnicas, operativas y organizativas de gestión de riesgos y una notificación escalonada: alerta temprana en 24 horas, notificación detallada en 72 horas e informe final en un mes, según la guía de INCIBE sobre NIS2. En España, la transposición se articula mediante la Ley de Coordinación y Gobernanza de la Ciberseguridad, cuyo anteproyecto presentó el Consejo de Ministros el 14 de enero de 2025 para su tramitación por el procedimiento de urgencia, y que prevé crear un Centro Nacional de Ciberseguridad. A julio de 2026 la norma sigue en tramitación parlamentaria y no se ha publicado en el BOE, por lo que conviene verificar su estado antes de tomar decisiones de cumplimiento. El anteproyecto alcanza a entidades públicas y privadas de sectores de alta criticidad: energía, transporte, banca y mercados financieros, sanidad, agua, infraestructuras digitales y servicios tecnológicos, administración pública e industria nuclear.
¿Qué proveedores de ciberseguro hay en España y en qué se diferencian?
El mercado español combina tres tipos de oferta, y confundirlos es la causa habitual de que alguien crea estar cubierto sin estarlo.
| Tipo de oferta | Ejemplos en el mercado | Fortaleza | Limitación |
|---|---|---|---|
| Aseguradoras generalistas | El ciberseguro de Mapfre para autónomos y pymes; el de BBVA Allianz distribuido por el banco; el ciberseguro de Santander; AXA; Zurich | Integración con el resto de tu programa de seguros y un interlocutor único | Condicionados más estandarizados y menos margen de negociación |
| Especialistas en ciber | Hiscox (gama CyberClear), Chubb, Beazley, AIG, Tokio Marine HCC | Red forense propia, límites altos y condicionados más finos | Suscripción más exigente en controles técnicos |
| Paquetes de telco/IT | El ciberseguro de Telefónica y Movistar Empresas | Protección técnica y póliza en una sola factura | Producto cerrado: no se negocia ni se compara |
Los nombres comerciales despistan: productos llamados Cyber Plus, CyberClear o similares pueden tener alcances muy distintos. Compara condicionados, no marcas.
Cómo puntuar una oferta de ciberseguro
Para comparar sin perderse, aplica esta ponderación. Es el mismo esquema que usamos internamente al analizar cotizaciones, y refleja el peso real de cada cláusula en la indemnización final:
| Criterio | Peso | Qué preguntar exactamente |
|---|---|---|
| Sublímite de fraude de transferencia | 25 % | ¿Está incluido? ¿Con qué importe y qué requisitos de doble validación? |
| Pérdida de beneficios | 20 % | ¿Cuál es la franquicia temporal en horas y el período de indemnización en meses? |
| Respuesta 24/7 | 20 % | ¿Quién la presta, en qué idioma y en cuánto tiempo se compromete a intervenir? |
| Límite por siniestro vs. agregado anual | 15 % | ¿El agregado se restaura tras un siniestro o se agota para el resto del año? |
| Retroactividad | 10 % | ¿Desde qué fecha cubre hechos generadores anteriores a la póliza? |
| Exigencias durante la vigencia | 10 % | ¿Qué controles debo mantener y qué pasa si uno cae temporalmente? |
Al elegir compañía, además del condicionado conviene mirar tres cosas que rara vez aparecen en un comparador: la calificación de solvencia de la aseguradora, la capacidad que puede desplegar en el ramo (determina si podrá acompañarte cuando crezcas) y si la red de respuesta forense opera en España y en español, porque un incidente gestionado a distancia y en otro huso horario se alarga.
¿Cómo se contrata un ciberseguro y cómo se gestiona un siniestro?
Para contratar necesitas menos papeleo del que imaginas, pero más honestidad técnica de la habitual:
- Datos básicos: CIF, actividad (CNAE), facturación del último ejercicio y número de empleados.
- Cuestionario de ciberseguridad: MFA, copias de seguridad, EDR, parcheado, formación y si has sufrido incidentes en los últimos 3 años. Respóndelo con el responsable de IT delante.
- Volumen de datos tratados: número aproximado de registros personales y si hay categorías especiales (salud, biometría).
- Elección de límite y sublímites, con la decisión explícita sobre fraude de transferencia.
Ante un siniestro, el orden importa:
- Llama primero a la línea 24/7 de la póliza, antes de tocar nada. Apagar y reinstalar por tu cuenta destruye evidencia y puede comprometer la indemnización.
- Aísla los equipos afectados sin borrarlos.
- Comunica el siniestro a la aseguradora dentro de los siete días del artículo 16.
- Valora la notificación a la AEPD en 72 horas si hay datos personales.
- Documenta el impacto operativo desde el minuto uno: partes de producción, pedidos no servidos, horas de personal parado. Es la base del cálculo de la pérdida de beneficios y, si no lo haces desde el principio, es irreconstruible después.
Conviene recordar que el artículo 20 de la Ley 50/1980 entiende que el asegurador incurre en mora cuando no hubiere cumplido su prestación en el plazo de tres meses desde la producción del siniestro, con el consiguiente devengo de intereses. No es un detalle menor cuando estás financiando la parada con tesorería propia. Puedes ver cómo acompañamos este proceso en nuestra página de siniestros.
¿Merece la pena contratar un ciberseguro?
Merece la pena cuando tu negocio se para si se paran tus sistemas o cuando tratas datos de terceros. Si cumples alguna de esas dos condiciones, el ciberseguro no es un extra: es la cobertura que evita que un incidente de dos días se convierta en un problema de solvencia. Si eres un negocio sin dependencia digital real ni datos sensibles, la prioridad es invertir antes en controles básicos.
Un test rápido y honesto, con tres preguntas:
- Si mañana no puedes acceder a tus sistemas, ¿cuántos días aguantas facturando? Si la respuesta es menos de cinco, tienes exposición a interrupción.
- ¿Cuántos registros de clientes guardas? A partir de unos pocos miles, el coste de notificar una brecha ya supera la prima anual.
- ¿Pagas facturas por transferencia a partir de un correo? Entonces tu riesgo principal es el fraude, y necesitas el sublímite específico.
Lo que no debes esperar del ciberseguro: que sustituya a las medidas técnicas. Ninguna aseguradora asegura una casa sin puertas, y en 2026 la puerta se llama MFA.
Y una precisión frecuente: tu póliza de multirriesgo de negocio no cubre esto. El multirriesgo cubre el daño material al equipo informático —un incendio, un robo del portátil—, no el cifrado de tus datos ni la responsabilidad por una brecha. Del mismo modo, el seguro de responsabilidad civil cubre daños a terceros por tu actividad, pero excluye habitualmente los derivados de incidentes informáticos, y el seguro de D&O protege al administrador en su esfera personal, no a la sociedad. Son capas distintas y complementarias.
Si quieres ver cómo se aterriza esto en tu caso concreto, tenemos guías específicas para pymes, autónomos y empresas de transporte, el segundo sector más afectado entre los operadores esenciales según INCIBE.
