En colaboración con Honra
El seguro cibernético es la compra de seguridad que la mayoría de las empresas hace sin leer lo que compró. La póliza llega por el corredor, la prima es razonable, la solicitud toma una tarde y el documento va a una gaveta hasta el día en que los sistemas dejan de funcionar. Ese día, la póliza decide si la firma forense, los abogados, las cartas de notificación, los ingresos perdidos y el negociador del rescate son gasto del asegurador o de la empresa. En esta Alerta Legal, preparada con la consultora tecnológica Honra, presentamos las diez preguntas que deben hacerse antes de comprar o renovar una póliza cibernética, cómo deben verse las respuestas y los controles que los aseguradores le pedirán a la empresa que demuestre.
1. ¿Qué paga la póliza en realidad?
Las pólizas cibernéticas tienen dos mitades. La cubierta de primera parte paga los costos propios de la empresa: la investigación forense, la asesoría legal, la notificación a las personas afectadas y a los reguladores, el monitoreo de crédito, las relaciones públicas, la restauración de datos y sistemas, los ingresos perdidos mientras el negocio está detenido y los pagos por extorsión. La cubierta de tercera parte paga lo que la empresa le debe a otros: la defensa y las transacciones en pleitos de clientes o empleados, las investigaciones y penalidades regulatorias cuando la ley permite asegurarlas, y las evaluaciones de las marcas de tarjetas tras una violación de datos de tarjetas. Pida un resumen de una página con las cubiertas y los límites, y léalo contra los riesgos reales de la empresa. Una empresa que no guarda datos de tarjetas pero opera en la nube necesita una póliza distinta a la de un comercio al detal.
2. ¿Está cubierto el ransomware, y hasta cuánto?
La mayoría de las pólizas cubren la extorsión, pero muchas la limitan con un "sublímite", un techo más bajo dentro del límite general, y todas condicionan el pago al consentimiento previo del asegurador y a un cotejo de sanciones, porque pagarle a un atacante sancionado es una violación con o sin seguro.[1] Pida el sublímite, el proceso de consentimiento y los nombres de los negociadores del asegurador. Para las entidades cubiertas por la Ley Núm. 40-2024 de Puerto Rico, y para los proveedores que actúan como sus agentes, la pregunta tiene otra respuesta: el estatuto les prohíbe a esas entidades, y a sus aseguradores y garantizadores, pagar rescate alguno, así que la cubierta que hay que buscar es la de respuesta y restauración, no la de pago.[2] Explicamos esa prohibición en nuestra Alerta Legal del 23 de octubre.
3. ¿Cuándo empieza la cubierta de interrupción de negocio, y cuándo termina?
La cubierta de interrupción de negocio paga los ingresos perdidos y los gastos extraordinarios mientras los sistemas están caídos, pero empieza solo después de un "período de espera", que va de unas horas a un día completo según la póliza, y termina al cerrar un "período de restauración" que la póliza define. Pregunte cuánto dura cada uno, si la cubierta alcanza una caída en un proveedor o en la nube (interrupción "dependiente" o "contingente") y si cubre una falla que la propia empresa causó, como una actualización defectuosa, o solo un ataque.
4. ¿Están cubiertos el fraude de transferencias y las facturas falsas?
La pérdida más común en las empresas pequeñas y medianas no es un ataque informático sino un engaño: un correo que parece de un suplidor y pide que el próximo pago vaya a una cuenta nueva. Muchas pólizas cibernéticas excluyen esta pérdida por "ingeniería social" o "fraude de transferencia de fondos", o la limitan a un sublímite pequeño. La cubierta suele estar en una póliza de crimen aparte, o en un endoso que hay que pedir. Pregunte dónde está y cuánto es.
5. ¿Qué prometimos en la solicitud?
La solicitud es parte de la póliza. Pregunta si la empresa usa autenticación de múltiples factores, detección en los equipos, respaldos fuera de línea y actualizaciones regulares, y las respuestas son representaciones. El asegurador que descubre tras una reclamación que una respuesta era incorrecta puede pedir la rescisión de la póliza, como hizo uno en 2022 cuando la solicitud de un asegurado exageró su uso de la autenticación de múltiples factores.[3] Que la persona que de verdad conoce los sistemas revise cada respuesta antes de que firme quien firma, y conserve la evidencia de que las respuestas eran ciertas.
Los cinco controles que los aseguradores le pedirán demostrar
Las preguntas de la solicitud no son una formalidad. Las respuestas fijan la prima, deciden si el asegurador emitirá la póliza siquiera y, si son incorrectas, pueden anularla. Cinco controles aparecen en casi toda solicitud.
La empresa que no pueda contestar que sí a los cinco debe cerrar las brechas antes de la solicitud, no describirlas como planes. El suscriptor pedirá evidencia, y tras un incidente la firma forense del asegurador lo descubrirá.
6. ¿Qué exclusiones podrían tragarse la cubierta?
Cuatro merecen atención. Las exclusiones de guerra y actos hostiles se reescribieron en todo el mercado desde 2023 para alcanzar ataques atribuidos a estados, después de que un tribunal resolvió que una exclusión antigua no aplicaba al ataque NotPetya.[4] Las exclusiones por "no mantener" la seguridad niegan la cubierta si la empresa deja de hacer lo que dijo en la solicitud que hacía. Las exclusiones de infraestructura sacan las caídas de energía, telecomunicaciones o internet. Y las exclusiones por conocimiento previo niegan reclamaciones por incidentes que la empresa conocía o debía conocer antes de que empezara la póliza. Pídale al corredor que repase cada una con un escenario.
7. ¿A quién tenemos que llamar primero, y podemos escoger a nuestro abogado?
La mayoría de las pólizas exigen que la empresa use el panel de abogados y firmas forenses del asegurador, o que obtenga consentimiento antes de contratar a cualquier otro, y no pagan a una firma contratada sin ese consentimiento. Pida el panel por adelantado y, si la empresa quiere a su propio abogado, pídale al corredor que lo añada a la póliza por endoso antes de que la póliza quede en vigor. Quién contrata a la firma forense decide además si su informe queda protegido en un pleito posterior, como explicamos en nuestro Legal Update del 26 de octubre (en inglés).
8. ¿Cuándo hay que notificar al asegurador, y qué pasa si llegamos tarde?
Las pólizas exigen notificar "tan pronto sea practicable", y el aviso tardío es una de las razones más comunes de denegatoria. En Puerto Rico, donde hay que notificar al Departamento de Asuntos del Consumidor dentro de los 10 días de detectada una violación y a PRITS dentro de 48 horas en el caso de los proveedores del Gobierno, el asegurador debe enterarse del incidente el primer día, antes de contratar a nadie y antes de que salga carta alguna. Ponga los teléfonos fuera de horario del corredor y del asegurador en el plan de respuesta a incidentes, junto al de la firma forense. Nuestro Legal Update del 22 de octubre (en inglés) explica por qué esos términos corren desde la detección.
9. ¿Están cubiertas las multas regulatorias y las evaluaciones de las marcas de tarjetas?
La cubierta regulatoria paga la respuesta a investigaciones del DACO, de HHS, de la FTC o de un fiscal general estatal, y las multas y penalidades cuando la ley permite asegurarlas. Las evaluaciones de las marcas de tarjetas tras una violación de datos de tarjetas son un renglón aparte. Ambas suelen tener sublímite. Pida las cifras y pregunte si los costos de defensa consumen el límite.
10. ¿Está el asegurador autorizado aquí, y qué ley rige una disputa?
La cubierta cibernética a menudo la suscriben aseguradores de líneas excedentes y no aseguradores admitidos por la Oficina del Comisionado de Seguros, y la mayoría de las pólizas contiene cláusulas de ley aplicable y foro que envían una disputa de cubierta a otra jurisdicción, a veces a arbitraje. Ninguna de las dos cosas descalifica la póliza, pero la empresa debe saber antes de que surja la disputa quién regula a su asegurador y dónde se peleará la cubierta.
Antes de renovar
Si tiene preguntas sobre los asuntos tratados en esta Alerta Legal, puede comunicarse con los abogados de Maceira Zayas con quienes trabaja regularmente.
Preparada en colaboración con Marc A. Maceira, presidente de Honra, consultora tecnológica, y Senior Technology Advisor de Maceira Zayas.
Notas
Esta publicación ofrece información general sobre desarrollos jurídicos de interés para los clientes y amigos de Maceira Zayas. No es un tratamiento exhaustivo de la materia ni constituye asesoría legal. El lector debe consultar a su abogado antes de actuar sobre cualquier asunto aquí tratado. Los desarrollos posteriores a la fecha de esta Alerta Legal no están reflejados.
