Cómo elegir un seguro de ciberriesgo para un despacho profesional: coberturas útiles y sublímites a vigilar

Un despacho de abogados, una asesoría fiscal o un gabinete de arquitectos manejan hoy más datos sensibles que muchas pymes industriales. Historiales médicos de clientes en un despacho laboral, escrituras, cuentas anuales, DNIs escaneados, poderes notariales… todo eso vive en un portátil, en un correo y en una carpeta compartida. Cuando algo revienta —un ransomware, un correo suplantando al socio director, una fuga de datos por un despido mal gestionado— la factura no se limita a reinstalar Windows. Y ahí es donde entra el seguro de ciberriesgo para despachos profesionales.

Esta guía no vende milagros. Contrata bien y dormirás mejor; contrata mal, y pagarás una prima anual para descubrir en el peor momento que el sublímite de extorsión eran 15.000 €.

Qué cubre un ciberseguro para un despacho profesional

El ramo cibernético es relativamente joven en España y las pólizas no están estandarizadas como en auto u hogar. Aun así, hay un núcleo bastante consolidado que conviene entender antes de mirar precios.

Un ciberseguro decente para un despacho debería articular cinco bloques:

• Daños propios: costes de reconstruir sistemas, recuperar datos, peritaje forense informático y lucro cesante (lo que dejas de facturar mientras estás caído).
• Responsabilidad civil frente a terceros: reclamaciones de clientes cuyos datos se han filtrado o cuya información se ha corrompido. Aquí entra el famoso RGPD (Reglamento General de Protección de Datos), que puede acarrear sanciones de la AEPD.
• Gestión de crisis: gabinete de comunicación, notificación a afectados, línea de atención… lo que se activa las primeras 72 horas.
• Extorsión cibernética: pago del rescate en un ransomware —cuando está permitido y es la única vía— y negociación especializada.
• Fraude del CEO y transferencias fraudulentas: la estafa clásica del email falso pidiendo una transferencia urgente. Muchas pólizas lo excluyen o lo meten con sublímite ridículo. Ojo con esto.

Un siniestro aquí no es un cristal roto: es un incidente que ha tumbado tus sistemas, comprometido datos de clientes o vaciado una cuenta corriente. Y el tiempo cuenta.

Para quién tiene sentido este seguro

No es obligatorio. No lo confundamos con la RC profesional colegial, que sí lo es para abogados, arquitectos o médicos. El ciberseguro es complementario y voluntario, pero en despachos con ficheros de datos personales de nivel medio-alto pasa de "estaría bien" a "difícil de justificar no tenerlo".

Perfiles donde encaja claramente:

• Despachos de abogados con más de 3-4 letrados y expedientes en digital.
• Asesorías fiscales y laborales que gestionan nóminas y modelos tributarios de terceros.
• Gabinetes de arquitectura e ingeniería con proyectos BIM en la nube.
• Consultas médicas privadas y clínicas con historiales electrónicos.
• Autónomos con facturación relevante y clientes empresa que ya se lo piden en los contratos.

Si eres autónomo trabajando solo desde casa con un cliente ocasional, el análisis coste-beneficio se complica. Sobre el papel te protege; en la práctica, hay primas que no compensan el volumen de riesgo real.

Qué mirar antes de contratar: los sublímites que hunden pólizas

Aquí está el meollo del asunto. El capital asegurado que anuncia el folleto —pongamos 500.000 €— es el techo agregado. Dentro, cada garantía tiene su propio sublímite, y son estos los que deciden si la póliza sirve o no.

Los que debes revisar sí o sí:

1. Sublímite de fraude del CEO / phishing financiero. Suele ser mucho menor que el capital principal. Si el tuyo dice 25.000 € y tú mueves transferencias de 80.000 €, tienes un problema.
2. Sublímite de extorsión. El pago del rescate no siempre está al 100 % del capital.
3. Sublímite de sanciones administrativas RGPD. Algunas pólizas cubren la defensa jurídica pero no el importe de la sanción (que en ciertos casos es inasegurable, ojo).
4. Sublímite de lucro cesante y periodo de indemnización: ¿te cubren 30, 60, 90 días de caída?
5. Franquicia por siniestro. En ciber suele expresarse en euros y varía bastante según la modalidad: puede ir desde 500 € en pólizas para autónomos hasta 2.500-5.000 € en despachos medianos.

Errores comunes al contratar

El primero, mirar solo la prima. El segundo, no leer las exclusiones: guerra cibernética atribuida a un estado, actos deliberados de empleados sin denuncia, incumplimiento conocido de parches de seguridad, uso profesional del equipo por parte de terceros no autorizados. El tercero, no declarar bien la actividad —un despacho que también hace formación online no es el mismo riesgo que uno puramente asesor—.

Y uno muy típico: pensar que el antivirus del ordenador te exime. No. La aseguradora te pedirá medidas mínimas (copias de seguridad, doble factor, formación antiphishing) y si no las tenías, discutirá la cobertura.

Cómo comparar ofertas: cinco aseguradoras del mercado español

En España el mercado de ciber tiene actores especializados y generalistas con producto propio. Todas las citadas comercializan aquí:
Con la información verificada, procedo a redactar el artículo.

Hiscox CyberClear 360º es un producto muy citado en el segmento pyme español.
Según la propia compañía, una pyme podría acceder a este seguro a partir de una prima de 350 € anuales, con acceso a servicios adicionales
. En su versión ampliada, cubre
daños propios y de responsabilidad derivados de una vulneración de datos, amenaza de extorsión, fallo de sistema por error humano y fallo de seguridad (ataques de denegación de servicios, transmisión de malware)
. Para autónomos y despachos muy pequeños, Hiscox comercializa también
Hiscox Business Protection, un paquete que selecciona coberturas de cuatro productos diferentes, y donde las coberturas de ciber incluidas no llegan a cubrir lo que cubre el CyberClear 360º en solitario
.

Mapfre Ciberriesgos (CIBER On) es la opción más extendida en la red generalista.
Está destinado a proteger negocios y empresas con facturación de hasta 10 millones de euros, con equipos especializados y protege frente a daños a los sistemas informáticos, interrupción del negocio, amenaza de extorsión cibernética, responsabilidad civil y soporte tecnológico 24/7
.

AXA Cyber Secure (Ciber Protección) apuesta por el enfoque preventivo.
Combina asesoramiento, prevención, indemnización, servicio técnico experto y gestión de la crisis para evitar la paralización de la actividad de la empresa
, con app propia y monitorización de la huella digital.

Zurich Cyber es interesante por lo exigente que es antes de suscribir.
Incluye cinco coberturas básicas: respuesta inmediata a incidentes con recuperación de datos y sustitución del hardware afectado; indemnizaciones por RC frente a terceros, sanciones de organismos reguladores, publicaciones en internet, fraudes con tarjetas de pago o defensa jurídica; indemnizaciones por pérdida de beneficios por interrupción del negocio o derivada de proveedores; y cobertura en caso de extorsión cibernética
.
Hila más fino que otros en el cuestionario previo y penaliza en prima a quien no acredite medidas mínimas
. A nuestro juicio, es la opción más "seria" cuando el despacho ya tiene higiene técnica decente.

Generali Cyber completa la foto entre los grandes generalistas del mercado español, con producto orientado a pyme y despacho profesional bajo esquema similar (daños propios, RC, gestión de crisis y extorsión). Es un actor consolidado, aunque menos especializado que Hiscox en el nicho ciber puro.

Tabla resumen comparativa

Puntuación orientativa 1-10, ponderando amplitud de cobertura, sublímites típicos, servicios de prevención, red de respuesta y encaje con despacho profesional. No sustituye a una cotización real.

Qué preguntas hacerle al mediador antes de firmar

El mediador colegiado (o la propia DGSFP si tienes dudas normativas) es tu interlocutor natural. No firmes sin llevar estas preguntas por escrito:

• ¿Qué sublímite exacto tiene la garantía de fraude del CEO y de extorsión?
• ¿La póliza cubre errores u omisiones de proveedores TI (mi asesoría informática externa)?
• ¿Cuál es el periodo de indemnización por lucro cesante y cuándo empieza a contar?
• ¿Cubre sanciones RGPD o solo la defensa jurídica ante la AEPD?
• ¿Qué medidas mínimas de seguridad exige la aseguradora para no discutir el siniestro?
• ¿Hay carencia? ¿Los incidentes previos conocidos quedan excluidos?

Capital orientativo según tamaño del despacho

Como referencia general —cada perfil de riesgo manda—:

• Autónomo o despacho de 1-2 personas: 100.000-250.000 € de capital agregado.
• Despacho de 3-10 profesionales: 300.000-750.000 €.
• Despacho mediano (más de 10) o con clientes empresa exigentes: a partir de 1 millón €.

Para dimensionar RC profesional junto al ciber en un despacho con local, quizá te interese revisar cómo se articula la combinación con continente y contenido en un negocio abierto al público.

Checklist accionable antes de firmar

1. ¿Tengo identificado el sublímite de fraude del CEO y me cubre el importe medio de mis transferencias?
2. ¿La póliza cubre expresamente ransomware y pago del rescate, con negociador incluido?
3. ¿La cobertura de RGPD incluye notificación a AEPD y defensa jurídica?
4. ¿Cuál es la franquicia por siniestro en euros y para qué garantías aplica?
5. ¿Están cubiertos los datos alojados en la nube y en dispositivos personales del despacho (BYOD)?
6. ¿He declarado bien la facturación, el número de registros de clientes y la actividad exacta?
7. ¿Cumplo las medidas mínimas exigidas (MFA, backups, EDR, formación)?
8. ¿Tengo claro el proceso de aviso: teléfono 24/7, plazo máximo para notificar y quién coordina la crisis?

FAQ

¿Es obligatorio el seguro de ciberriesgo para un despacho de abogados en España?
No. La RC profesional sí es obligatoria por normativa colegial en varias profesiones (abogacía, arquitectura, medicina), pero el ciberseguro es complementario y voluntario. Eso sí, cada vez más clientes empresa lo exigen contractualmente a sus asesores.

¿Cuánto cuesta un ciberseguro para un autónomo o despacho pequeño?
La horquilla habitual en el mercado español para autónomos y despachos muy pequeños arranca en torno a los 300-400 € anuales para capitales bajos.
Hiscox, por ejemplo, indica que una pyme podría acceder a su seguro a partir de una prima de 350 € anuales
. Despachos medianos con capital superior a 500.000 € se mueven fácilmente en primas de cuatro cifras.

¿Cubre el ciberseguro las sanciones de la AEPD por incumplir el RGPD?
Depende. Muchas pólizas cubren la defensa jurídica ante la AEPD y los gastos de notificación a afectados, pero el importe de la sanción puede ser inasegurable según su naturaleza. Hay que leer el condicionado y consultarlo expresamente con el mediador.

¿Qué medidas mínimas exige una aseguradora para dar cobertura ciber?
Lo típico: autenticación multifactor (MFA) en accesos críticos, copias de seguridad periódicas y aisladas, antivirus/EDR actualizado, formación básica antiphishing y política de contraseñas.
Según el Informe de Ciberpreparación de Hiscox 2023, el 35% de las pymes españolas son consideradas aún ‘cibernovatas’, con capacidad limitada para responder a un ciberataque
, y las aseguradoras lo tienen muy presente al suscribir.