Ciberseguros: qué cubren, qué no y cómo cumplir los requisitos

Según el informe Kaseya State of the MSP de 2026, el 44 % de los MSP afirma que al menos el 10 % de sus clientes sufrió un ciberataque en 2025. Esa cifra explica por qué el ciberseguro ha pasado de ser opcional a ser fundamental para la mayoría de las empresas y para todos los MSP que les prestan servicio.

El mercado ha atravesado un ciclo drástico. Las primas aumentaron un 73 % en 2021 y más de un 50 % en 2022 a medida que se acumulaban las pérdidas por ransomware. A continuación, la presión competitiva hizo bajar las tarifas durante 2023, 2024 y gran parte de 2025. A principios de 2026, esa moderación se está estancando: los analistas de WTW y S&P Global prevén que las primas suban entre un 15 y un 20 % en los próximos 12 meses, impulsadas por el aumento de la gravedad del ransomware y la presión del reaseguro. El mercado mundial de ciberseguros alcanzó aproximadamente los 16 000 millones de dólares en 2025 y se prevé que supere los 23 000 millones de dólares para 2026.

Las cuestiones más difíciles no son si se debe contratar un ciberseguro, sino qué cobertura buscar, cómo cumplir los requisitos en un mercado donde los suscriptores se han vuelto mucho más rigurosos y cómo evitar las exclusiones que dejan a las organizaciones expuestas justo en el momento en que más necesitan la póliza. La plataforma de Kaseya ayuda a los MSP a guiar a los clientes exactamente en este aspecto, y esta guía abarca lo que todo MSP y equipo de TI debe comprender.

Qué cubre el ciberseguro

Las pólizas de ciberseguro varían considerablemente entre aseguradoras, pero la mayoría de las pólizas integrales incluyen cobertura en varias categorías.

Los costos de primer año son los gastos en los que incurre directamente la organización asegurada como consecuencia de un incidente: servicios de investigación forense y respuesta a incidentes, recuperación de datos y restauración de sistemas, pérdidas por interrupción de la actividad durante el tiempo de inactividad, comunicación de crisis y relaciones públicas, y asesoramiento legal.

La responsabilidad civil frente a terceros cubre las reclamaciones de clientes, socios u otras partes cuyos datos se hayan visto comprometidos o cuyos sistemas se hayan afectado por una brecha originada en el entorno del asegurado. Esto es especialmente relevante para los MSP, cuyo compromiso de entorno puede propagarse a los entornos de los clientes y generar una exposición de responsabilidad agregada.

Los costos relacionados con el ransomware incluyen la respuesta a incidentes, los servicios de negociación de rescates y, en algunas pólizas y jurisdicciones, el pago del rescate en sí, siempre que pagarlo sea legalmente permitible y operacionalmente necesario. Tenga en cuenta que los pagos de ransomware se han vuelto complejos desde el punto de vista legal: las sanciones de la OFAC de EE. UU. se aplican a los pagos a ciertos grupos de ciberdelincuentes, y contar con asesoramiento legal es fundamental antes de tomar cualquier decisión de pago.

La defensa regulatoria y las sanciones cubren los costos legales y los acuerdos relacionados con las investigaciones regulatorias posteriores a una brecha de seguridad. Esto es fundamental para las organizaciones sujetas a HIPAA, PCI DSS, CCPA u otros marcos normativos con consecuencias punitivas significativas.

La extorsión cibernética es un concepto más amplio que el ransomware, ya que abarca amenazas de divulgación de datos, extorsión mediante DDoS y otras tácticas de presión que no llegan a ser un evento de cifrado total.

La ingeniería social y el fraude en transferencias de fondos cubren los ataques de compromiso del correo electrónico empresarial (BEC) que resultan en transferencias bancarias fraudulentas. Esto no se incluye de forma universal y a menudo está sujeto a sublímites específicos significativamente inferiores al límite principal de la póliza.

Qué no cubre el ciberseguro

Comprender las exclusiones es tan importante como entender la cobertura. Más del 40 % de las reclamaciones de ciberseguros en 2026 no resultan en ningún pago, y las exclusiones son el motivo más común.

Brechas preexistentes. Por lo general, se excluyen los incidentes que comenzaron antes de la fecha de inicio de la póliza. Muchos operadores de ransomware establecen accesos semanas o meses antes de desplegar la carga útil, lo que genera una brecha de cobertura significativa si la vulneración inicial es anterior a la entrada en vigor de la póliza.

Vulnerabilidades conocidas y sin parchar. Las pólizas excluyen cada vez más los incidentes atribuibles a vulnerabilidades conocidas que el asegurado tenía motivos razonables para corregir. Si una brecha explota una CVE que se divulgó públicamente y para la cual existía un parche seis meses antes del incidente, es posible que se deniegue la cobertura. Esta exclusión convierte la gestión de parches en una obligación directa de la póliza, y no solo en una práctica recomendada de seguridad.

Ataques de estados nación. Históricamente, las exclusiones por guerra abarcaban la guerra cinética. Lloyd's of London actualizó sus requisitos de mercado en 2023 para excluir formalmente las pérdidas derivadas de ciberataques respaldados por estados en muchas pólizas independientes. Las organizaciones de infraestructura crítica, servicios financieros y la cadena de suministro de defensa son las que enfrentan una mayor exposición ante esta brecha. La redacción varía significativamente entre pólizas y amerita una cuidadosa revisión legal.

Eventos no maliciosos. Las pólizas cibernéticas cubren eventos maliciosos. Las fallas de hardware, el error humano sin intencionalidad maliciosa y la exposición accidental de datos suelen enmarcarse en otros tipos de cobertura, como errores y omisiones.

Sublímites. Muchas categorías de cobertura tienen sublímites significativamente inferiores al límite general de la póliza. La interrupción del negocio, la ingeniería social y el criptominería ilícita (cryptojacking) son categorías comunes con sublímites. Una póliza con un límite de 5 millones de dólares puede tener un sublímite de 250 000 dólares para pérdidas por ingeniería social. Comprender los sublímites es esencial para realizar cualquier evaluación realista de la cobertura.

Cómo ha cambiado la suscripción de pólizas

Los criterios de suscripción de los ciberseguros se endurecieron drásticamente entre 2020 y 2022. La frecuencia y la gravedad de los incidentes de ransomware generaron pérdidas considerables para las aseguradoras, lo que impulsó aumentos en las primas, reducciones en las coberturas y requisitos de seguridad mucho más rigurosos antes de emitir una póliza.

El mercado se moderó entre 2022 y 2025, ya que la presión competitiva entre aseguradoras redujo las tarifas y aumentó la capacidad. Dicha moderación no flexibilizó los requisitos de seguridad. Las aseguradoras que redujeron las primas mantuvieron o incrementaron sus exigencias de control, lo que dio lugar a un mercado donde la cobertura es más accesible, pero el listón para calificar no ha bajado.

Para 2026, el escrutinio de suscripción se está intensificando nuevamente. Las aseguradoras están prestando mayor atención a la evidencia de implementación de controles en lugar de conformarse con declaraciones juradas. Los programas de gestión de riesgos de terceros se están convirtiendo en un requisito, y no en un elemento diferenciador. Las organizaciones que no puedan demostrar una postura de seguridad actual y documentada descubren que la póliza no está disponible o tiene un precio prohibitivo.

El cambio práctico: las organizaciones que antes habrían calificado con una declaración jurada de una sola página ahora se enfrentan a cuestionarios de seguridad detallados, requisitos obligatorios de controles técnicos y, en algunos casos, evaluaciones de seguridad externas antes de que se emitan las pólizas. Las aseguradoras se han convertido, en la práctica, en un elemento dinamizador basado en el mercado para garantizar una higiene de seguridad básica.

Lo que exigen ahora las aseguradoras

La mayoría de las aseguradoras de ciberseguros de prestigio exigen lo siguiente como controles de seguridad de referencia antes de emitir una cobertura.

Autenticación multifactor (MFA) en todos los accesos remotos, correos electrónicos y cuentas con privilegios. La brecha en Change Healthcare en 2024, en la que se explotó un portal de Citrix sin protección y sin MFA, lo que derivó en un pago de rescate de 22 millones de dólares y 872 millones de dólares en costos de respuesta inmediata, se ha convertido en la referencia estándar de la industria sobre por qué la MFA no es negociable. Muchas aseguradoras ahora consultan específicamente sobre la cobertura de MFA por aplicación en lugar de aceptar un «sí» general.

Detección y respuesta en puntos de extremidad (EDR) implementada en todos los endpoints, no solo en los servidores. El antivirus tradicional ya no es suficiente para la mayoría de las pólizas. Algunas aseguradoras ahora preguntan si el EDR es administrado o no administrado, y las soluciones EDR administradas (MDR) obtienen mejores condiciones.

Gestión de accesos con privilegios (PAM) con MFA y controles de acceso justo a tiempo (just-in-time) en cuentas administrativas. La separación entre el acceso diario y el acceso privilegiado es cada vez más una pregunta específica en la suscripción.

Gestión de parches con un proceso documentado y evidencia de plazos de corrección razonables para vulnerabilidades críticas. Las aseguradoras están pasando de preguntar si existe la gestión de parches a solicitar métricas: tiempo promedio para aplicar parches a CVE críticas y porcentaje de endpoints dentro de la política de parches.

Copias de seguridad probadas y aisladas. Las copias de seguridad que existen pero que se encuentran en la misma red que los sistemas de producción y son accesibles para el ransomware no ofrecen ningún valor de recuperación ni ningún beneficio de seguro. Las aseguradoras exigen pruebas de copias de seguridad aisladas de la red o fuera de línea, almacenamiento inmutable y resultados documentados de pruebas de recuperación. Las copias de seguridad que nunca se han probado se consideran cada vez más como si no existieran.

Capacitación de concientización sobre seguridad con constancia de entrega y, en muchos casos, resultados de simulaciones de phishing. Algunas aseguradoras exigen evidencia de que la capacitación se imparte al menos trimestralmente en lugar de anualmente.

Plan de respuesta a incidentes con evidencia de pruebas mediante ejercicios de simulación en mesa (tabletop exercises). Un plan documentado que nunca se ha puesto a prueba constituye una evidencia menos sólida que un plan evaluado con resultados documentados.

Los controles de seguridad que determinan la cobertura y la prima

La relación entre los controles de seguridad y la economía de los seguros funciona de manera directa en ambas direcciones.

Las organizaciones con controles de seguridad sólidos y documentados reúnen los requisitos para obtener una cobertura más amplia, límites más altos y primas más bajas. La inversión en seguridad ofrece un rendimiento financiero cuantificable en la reducción de los costos de los seguros, además del beneficio principal de disminuir el riesgo de incidentes.

Las organizaciones con controles débiles o sin documentación se enfrentan a primas más altas, límites más bajos, más sublímites, deducibles mayores y, en algunos casos, a la imposibilidad de obtener cobertura. Un MSP que ayuda a un cliente a documentar su postura de seguridad para una renovación no solo está ofreciendo un servicio de cumplimiento; está mejorando directamente la economía de los seguros de ese cliente.

El historial de siniestros afecta significativamente las condiciones de renovación. Una organización que haya sufrido una brecha importante puede enfrentarse a términos de cobertura sustancialmente modificados al momento de renovar, independientemente de las mejoras realizadas tras el incidente. Los 12 meses posteriores a un siniestro grave suelen ser el periodo de seguro más costoso al que se enfrentará una empresa.

Desde la perspectiva de un MSP, ayudar a los clientes a alcanzar y documentar el nivel básico de seguridad que exigen las aseguradoras constituye tanto un valor añadido en la prestación de servicios como una función de gestión de riesgos. Esto reduce el costo del seguro para el cliente, disminuye la propia exposición a la responsabilidad civil del MSP derivada de los incidentes de los clientes y fortalece su posicionamiento como asesor.

Ciberseguro para MSPs

Los MSPs deben tener en cuenta dos aspectos distintos en cuanto al ciberseguro: la cobertura interna para sus propias operaciones y un rol de asesoría para ayudar a los clientes a calificar y mantener la cobertura.

La cobertura interna debe reflejar el perfil de riesgo único de las operaciones de los MSPs. El acceso con altos privilegios a múltiples entornos de clientes genera una exposición de responsabilidad civil fundamentalmente diferente a la de una función de TI de una sola organización. Una brecha de seguridad en un MSP puede propagarse simultáneamente a decenas de entornos de clientes, creando una responsabilidad civil agregada frente a terceros que una póliza comercial estándar de ciberseguridad difícilmente cubrirá de manera adecuada. Las pólizas de ciberseguridad para MSPs deben incluir una cobertura específica para la responsabilidad civil de terceros y límites proporcionales al valor agregado de la cartera de clientes.

La oportunidad de asesoramiento es significativa y va en aumento. Cada vez se solicita más a los MSPs que ayuden a los clientes a documentar los controles de seguridad para los cuestionarios de suscripción, a garantizar que los servicios prestados se ajusten a los requisitos de las pólizas y a asesorar sobre la idoneidad de la cobertura. Esto representa una extensión natural de la oferta de servicios de seguridad administrados y genera una oportunidad de ingresos: los servicios de asesoría de cumplimiento y preparación para seguros son cada vez más facturables a tarifas prémium.

La alineación contractual es fundamental. Los acuerdos de servicio de los MSPs deben abordar con claridad la responsabilidad por incidentes de seguridad, las obligaciones de notificación de brechas y el alcance de la responsabilidad sobre la protección de datos de los clientes. El ciberseguro y los términos contractuales deben revisarse en conjunto. Un MSP cuyo contrato limite la responsabilidad a tres meses de honorarios, pero cuya brecha en el cliente genere 2 millones de dólares en reclamaciones de terceros, tiene una brecha de cobertura que debe comprender antes de que ocurra un incidente.

Cómo ayuda Kaseya a los MSPs a cumplir los requisitos de las aseguradoras

Kaseya 365 agrupa en una única plataforma los controles de seguridad que las aseguradoras exigen actualmente, proporcionando a los MSPs tanto la protección como el historial de evidencias que solicitan los suscriptores.

Datto EDR ofrece detección y respuesta en endpoints en todos los endpoints administrados, con capacidad de detección y respuesta administradas (MDR) para aquellas organizaciones que requieran una capa de SOC supervisada. La evidencia del despliegue de EDR y de la respuesta a alertas es una pregunta estándar de suscripción.

BullPhish ID ofrece capacitación en concienciación sobre seguridad y simulaciones de phishing en todos los entornos de clientes, con informes que documentan la frecuencia de entrega y los resultados de los empleados para la documentación de suscripción.

Dark Web ID supervisa de forma continua los dominios de los clientes en busca de credenciales comprometidas, detectando aquellas que han sido expuestas antes de que sean explotadas. La monitorización de credenciales es un requisito de suscripción cada vez más común.

INKY proporciona seguridad de correo electrónico y protección contra phishing impulsadas por IA, abordando el vector de amenaza de ingeniería social que provoca la mayoría de los eventos de acceso inicial.

Datto SIRIS proporciona copias de seguridad aisladas e inmutables con verificación automatizada mediante capturas de pantalla, generando las pruebas documentadas de pruebas de recuperación que las aseguradoras exigen cada vez más como demostración de que las copias de seguridad se pueden restaurar realmente.

Compliance Manager GRC genera la documentación de la postura de seguridad y el historial de evidencias de cumplimiento que exigen los cuestionarios de suscripción, abarcando múltiples clientes desde una sola plataforma.

Para los MSPs que cumplan los requisitos, el programa Kaseya Cyber Insurance Fast Track, disponible a través de KaseyaOne en colaboración con Cysurance, ofrece una cobertura de responsabilidad cibernética precalificada de hasta 1,5 millones de dólares para los MSPs y sus clientes que hayan implementado el conjunto de herramientas de seguridad de Kaseya. Los MSPs elegibles acceden a una cobertura con tarifas significativamente inferiores a las del mercado estándar, mediante un proceso de solicitud simplificado a través del portal KaseyaOne.

Explore la seguridad de Kaseya 365 para MSPs

Puntos clave

• El ciberseguro cubre los costos de incidentes de primera parte, la responsabilidad frente a terceros, la defensa regulatoria y los gastos relacionados con el ransomware, pero las exclusiones por ataques estatales, brechas preexistentes y vulnerabilidades conocidas sin parchear invalidan las reclamaciones de forma habitual. Comprender las exclusiones es tan importante como entender la cobertura.
• Los requisitos de suscripción no se han relajado a la par que las primas. Las aseguradoras ahora exigen evidencia documentada de MFA, EDR, copias de seguridad probadas, gestión de parches y pruebas de planes de respuesta a incidentes antes de emitir la cobertura. La mera declaración jurada ya no es suficiente.
• La inversión en seguridad y la economía de los seguros están directamente vinculadas. Unos controles sólidos y documentados generan una mejor cobertura, primas más bajas y una gestión de reclamaciones más sencilla. Unos controles débiles o sin documentación producen el efecto contrario, independientemente de lo que indique el cuestionario.
• Para los MSPs, la asesoría en ciberseguros (ayudar a los clientes a documentar los controles, alinear los servicios con los requisitos de las pólizas y calificar para la cobertura) representa una línea de servicio en crecimiento y facturable que fortalece las relaciones con los clientes y el posicionamiento competitivo del MSP.