La expansión del riesgo cibernético está obligando a la industria aseguradora a redefinir la forma en que diseña, suscribe y administra sus coberturas. En ese escenario, el informe “Cyber insurance unpacked: the corporate digital safety net”, elaborado conjuntamente por la Asociación Internacional de Supervisores de Seguros (IAIS) y el Financial Stability Institute (FSI) del Banco de Pagos Internacionales (BPI), identifica uno de los avances más relevantes de los últimos años: la reducción progresiva del denominado “silent cyber” (ciberriesgo silencioso) mediante la adopción de coberturas explícitas y pólizas independientes.
El documento analiza la evolución del mercado mundial del ciberseguro y concluye que, si bien persisten importantes desafíos para modelizar y tarificar este tipo de riesgos, las aseguradoras han dado pasos significativos para delimitar con mayor precisión su exposición, fortaleciendo al mismo tiempo sus marcos de gestión de riesgos y resiliencia operativa.
Qué es el “silent cyber” y por qué preocupa a las aseguradoras
El denominado ciberriesgo silencioso hace referencia a aquellas situaciones en las que el riesgo cibernético no está expresamente cubierto ni expresamente excluido dentro de pólizas de otros ramos, como seguros patrimoniales, de responsabilidad civil o líneas especializadas. Esa falta de definición puede generar importantes incertidumbres cuando ocurre un incidente informático de gran magnitud.
Según el informe, un mismo ciberataque puede desencadenar reclamaciones simultáneas en distintas líneas de negocio. Además del propio ciberseguro, podrían verse involucradas coberturas de propiedad, responsabilidad civil, delitos financieros o incluso seguros para directores y administradores.
Esta superposición dificulta que las compañías puedan calcular con precisión su exposición agregada y administrar adecuadamente el riesgo de acumulación, especialmente cuando un único evento afecta simultáneamente a miles de asegurados.
Uno de los casos paradigmáticos fue el ataque global NotPetya de 2017. Aunque se trató de un ciberataque, alrededor del 85% de las pérdidas aseguradas fueron reclamadas a través de pólizas patrimoniales que no incluían ni excluían expresamente el riesgo cibernético, evidenciando el problema que representa el “silent cyber” para la solvencia y la gestión del riesgo de las aseguradoras.
El mercado migra hacia coberturas explícitas
Frente a este escenario, la IAIS y el FSI observan una clara tendencia hacia la afirmación explícita del riesgo cibernético.
Las aseguradoras están trasladando progresivamente estas coberturas hacia pólizas independientes de ciberseguro, o bien incorporando cláusulas específicas que determinan con precisión qué eventos quedan cubiertos y cuáles permanecen excluidos.
Paralelamente, las entidades están reforzando sus políticas de suscripción mediante límites de cobertura, sublímites, exclusiones específicas y una redacción contractual mucho más precisa, con el objetivo de reducir la incertidumbre y facilitar una tarificación alineada con el riesgo real.
El informe destaca además el papel desempeñado por Lloyd’s de Londres, que impulsó diversos boletines obligando a declarar expresamente si cada póliza cubre o excluye riesgos cibernéticos, una iniciativa que posteriormente fue acompañada por reguladores como el Banco de Inglaterra, la Autoridad Monetaria de Bermudas y otras autoridades supervisoras.
Un mercado que todavía tiene amplio margen para crecer
A pesar de estos avances, el informe señala que el mercado mundial del ciberseguro continúa siendo relativamente pequeño frente a la dimensión del riesgo.
Las pólizas independientes de ciberseguro representan actualmente el segmento de mayor crecimiento y prácticamente duplican en volumen de primas a las coberturas empaquetadas dentro de otros productos comerciales. Sin embargo, la contratación sigue concentrándose principalmente en grandes empresas, mientras que el segmento de personas físicas continúa siendo reducido.
Los autores advierten además que persisten importantes desafíos para la suscripción de este tipo de riesgos debido a la escasez de datos históricos, la rápida evolución de las amenazas y la creciente interdependencia entre organizaciones, proveedores tecnológicos y plataformas digitales.
Inteligencia artificial y conflictos geopolíticos elevan la complejidad
El informe sitúa esta evolución en un contexto donde el riesgo cibernético se vuelve cada vez más sofisticado.
Por un lado, el uso creciente de inteligencia artificial está modificando el panorama de amenazas, facilitando campañas automatizadas de phishing, ataques mediante deepfakes, malware más avanzado e ingeniería social asistida por IA. Al mismo tiempo, la propia IA comienza a plantear un nuevo desafío para las aseguradoras: el denominado “silent AI”, es decir, posibles pérdidas relacionadas con inteligencia artificial que podrían quedar cubiertas por pólizas que nunca fueron diseñadas específicamente para esos riesgos.
Por otro lado, el documento señala que los conflictos geopolíticos con componentes cibernéticos, las sanciones internacionales y los ataques patrocinados por Estados complican cada vez más la aplicación práctica de las tradicionales exclusiones de guerra presentes en muchas pólizas.
A ello se suma un problema adicional: la atribución del origen de un ciberataque. Determinar quién está detrás de una intrusión y cuál fue su verdadera motivación resulta cada vez más complejo, lo que puede afectar tanto la interpretación de las coberturas como la resolución de los siniestros.
Más que transferir riesgos: impulsar la resiliencia
Uno de los mensajes más relevantes del informe es que el papel del ciberseguro ya no se limita únicamente a indemnizar pérdidas.
Cada vez más aseguradoras utilizan el proceso de suscripción para incentivar mejores prácticas de ciberseguridad entre sus clientes, exigiendo estándares mínimos como autenticación multifactor, sistemas de respaldo, segmentación de redes, monitoreo continuo de vulnerabilidades y controles sobre proveedores críticos.
Muchas compañías complementan estas exigencias ofreciendo servicios preventivos de consultoría, capacitación y respuesta ante incidentes, transformando al ciberseguro en una herramienta para fortalecer la resiliencia digital de las organizaciones y no solamente para transferir el riesgo financiero.
Una prioridad para la supervisión internacional
La IAIS y el FSI consideran que la evolución del ciberseguro forma parte de un proceso más amplio de fortalecimiento de la estabilidad financiera y de la resiliencia operativa del sector asegurador.
No casualmente, el impacto de la inteligencia artificial y de las nuevas tecnologías sobre la ciberresiliencia de las aseguradoras constituye uno de los tres grandes focos prioritarios del Ejercicio Global de Monitorización (Global Monitoring Exercise – GME) para 2026, junto con los riesgos macroeconómicos y las tensiones geopolíticas.
El mensaje de los supervisores internacionales es claro: avanzar hacia coberturas explícitas, mejorar la calidad de la suscripción y delimitar con precisión el alcance del riesgo cibernético será un paso fundamental para que el mercado pueda seguir creciendo de manera sostenible en un entorno donde las amenazas evolucionan cada vez más rápido que los modelos tradicionales de evaluación del riesgo.
