El derecho de seguros ofrece a toda persona física o jurídica la posibilidad de exigir la responsabilidad del autor de un daño y obtener una indemnización por el mismo. Este derecho suele ser ejercido por la aseguradora que ha indemnizado previamente a su asegurado, quien a continuación reclama a la persona realmente responsable: se trata del mecanismo de la acción subrogatoria, consagrado en el artículo L. 121-12 del Código de Seguros. Por otra parte, el tercero perjudicado dispone de un derecho de acción directa contra la aseguradora que cubre la responsabilidad civil de la persona responsable.

En un contexto de fuerte aumento de la siniestralidad cibernética —el año 2024 se caracterizó por un incremento del 82 % en los siniestros declarados y 55 millones de euros en indemnizaciones pagadas, es decir, 17 millones más que en 2023 —, estos mecanismos son cada vez más solicitados. Desde hace varios meses, observamos un aumento significativo de los expedientes de responsabilidad civil profesional basados en la culpa o el incumplimiento de un proveedor que interviene, de cerca o de lejos, en el sistema de información. Y, en muchos casos, la aseguradora cibernética no figura en el procedimiento. Estos expedientes suelen presentar cuantías de reclamación elevadas y van acompañados, desde el principio, de una fuerte presión comercial sobre los demandados y sus aseguradoras.

1. Expedientes de reclamación muy escasos

Más allá de las habituales cartas certificadas, en las que el tercero perjudicado y su asesor técnico atribuyen la responsabilidad íntegra del siniestro a su proveedor —mantenedor, proveedor de servicios gestionados, integrador—, hay dos constataciones que se repiten sistemáticamente:

1. La falta de argumentos técnicos convincentes y de contextualización
2. La imposibilidad de demostrar una falta grave en la ejecución del contrato

En la mayoría de los casos, la parte que interpone la reclamación se limita a los hechos brutos y no aporta los elementos que permitan reconstruir el entorno en el que se originó el siniestro. Estas pruebas suelen haber «desaparecido» y la reclamación se presenta varios meses después de los hechos.

Los informes de investigaciones digitales, cuando existen y han sido elaborados por un tercero independiente, no se facilitan. Cuando sí se facilitan —lo cual sigue siendo excepcional—, se hace de forma parcial: resúmenes, sin anexos, sin pruebas técnicas, sin registros ni artefactos.

El perito de responsabilidad civil, en el ejercicio de su función, está obligado a aplicar un nivel exigente de análisis y verificación de los argumentos de la parte contraria. La naturaleza de su especialidad le lleva también a cuestionar las medidas cautelares adoptadas por la víctima y la relación de causalidad directa entre la falta alegada y el perjuicio sufrido. Sin embargo, la expectativa legítima que se tiene de un perito de este tipo —que sea perspicaz, realice un análisis riguroso y verifique la materialidad de los hechos— suele verse defraudada desde el inicio del expediente, por falta de elementos suficientes.

El mundo digital deja poco margen para las aproximaciones: la prueba digital, cuando se presenta y se conserva, es difícilmente cuestionable en cuanto a su veracidad. Precisamente por eso, su ausencia, o su presentación parcial, es en sí misma una señal. Es muy poco frecuente que haya desacuerdo sobre cuestiones técnicas comprobadas y demostradas. En cambio, la interpretación de estos hechos en un contexto de responsabilidad civil —y el reparto de responsabilidades que de ello se deriva— sigue siendo una cuestión abierta, y ahí es donde reside el verdadero margen de debate.

En cuanto a la cuestión de la culpa, la constatación es idéntica. El mero hecho de que un tercero haya prestado un servicio o haya interactuado con el sistema de información basta, a ojos del demandante, para establecer su responsabilidad. Sin embargo, en más de la mitad de los recursos examinados, no existe ningún fundamento técnico que vaya más allá del principio general de responsabilidad civil. No hay una falta profesional caracterizada: ni error de juicio, ni omisión, ni negligencia en el ejercicio de la profesión.

No obstante, no debe subestimarse el incumplimiento del deber de asesoramiento, que constituye una espada de Damocles para el profesional en caso de litigio judicial. Esta obligación, tanto jurídica como deontológica, se impone a una amplia variedad de actores del sector digital. En el Derecho francés, la distinción entre obligación de medios y obligación de resultado —determinante según la naturaleza del contrato que vincula a las partes (prestación intelectual, gestión de sistemas informáticos, servicio gestionado de seguridad)— condiciona directamente el régimen de responsabilidad aplicable. A falta de poder demostrar una falta técnica, el incumplimiento del deber de asesoramiento o de información se convierte a menudo en la única tabla de salvación para el demandante. Sin embargo, teniendo en cuenta el nivel técnico de los magistrados y los peritos judiciales en materia informática, esta tabla puede resultar especialmente resbaladiza para el demandado.

2. La asimetría informativa: un obstáculo estructural para el peritaje contradictorio

La particularidad de la responsabilidad civil cibernética radica en que obliga a las partes a compartir información que, por su naturaleza, antes no se compartía. A diferencia de otras especialidades —como la construcción, por ejemplo, donde los planos, las normas técnicas unificadas (DTU), las licitaciones y los contratos se comparten ampliamente antes de que se produzca el siniestro—, las partes implicadas en un litigio cibernético disponen de información técnica fundamental de la que las demás carecen, y que se muestran reacias a revelar.

Sin embargo, quien presenta una reclamación debe necesariamente revelar su información técnica para demostrar el perjuicio, establecer el nexo de causalidad y caracterizar la culpa. Ahí es precisamente donde está el problema.

En muchos casos, la parte que interpone la demanda no desea compartir su información técnica, limitándose a facilitar extractos, resúmenes o síntesis. La razón es sencilla: existe una gran probabilidad de que revele elementos que puedan matizar —o incluso invertir— la valoración de las responsabilidades.

Se puede establecer un paralelismo esclarecedor con la peritación tras un incendio: la investigación de las causas y circunstancias de un siniestro por incendio (RCCI) la lleva a cabo un proveedor reconocido, independiente de las partes, en el marco de una investigación contradictoria a la que asisten todas las partes y en la que pueden hacer valer sus observaciones.

Este procedimiento no tiene equivalente en el ámbito cibernético. La investigación digital se pone en marcha con carácter de urgencia, en pleno apogeo de la crisis. No la lleva a cabo sistemáticamente un tercero independiente, y no es contradictoria —lo cual es fácilmente comprensible en el contexto de una crisis en curso—. Por este motivo, cada vez más aseguradoras cibernéticas solicitan la conservación de las pruebas utilizadas durante la investigación forense. Los resultados de esta investigación pueden poner en apuros al propio solicitante, lo que explica que, en materia de responsabilidad civil, sea poco habitual disponer del informe completo con sus anexos técnicos.

3. Dos casos prácticos

🔎 Caso n.º 1 — Proveedor de EDR/SOC y falta de alerta

El asegurado reprocha a su proveedor de servicios SOC la falta de alerta la víspera de un fin de semana. El lunes por la mañana, el sistema de información estaba cifrado. La investigación forense revela que la alerta sí se transmitió el viernes a las 22:00. Sin embargo, el contrato de suscripción al SOC preveía una supervisión en días laborables, de 08:00 a 18:00. Además, el alcance de la implementación del EDR había sido limitado deliberadamente por la propia víctima, que se había negado a incluir sus servidores de virtualización (ESX).

¿En qué se ha fallado?

🔎 Caso n.º 2 — Robo de credenciales y ausencia de MFA

El robo de una credencial de administrador permite la filtración de datos. Se culpa al proveedor encargado de la gestión del ERP. El historial de la relación contractual y las actas de los comités de dirección revelan que este proveedor llevaba varios meses recomendando la implantación de la autenticación multifactorial (MFA) y la recertificación de las cuentas con privilegios. Estas medidas habían sido aprobadas a nivel de grupo hacía más de un año, pero la filial en cuestión no las había aplicado. Su aplicación habría evitado directamente el siniestro.

¿Dónde radica la responsabilidad del proveedor?

4. Los riesgos para el demandante: cuando la demanda se vuelve en su contra

¿Cuáles son las consecuencias para la víctima de un ciberataque que interpone una reclamación sin haber evaluado su solidez?

Es cierto que una reclamación puede prosperar a fuerza de presión comercial y de tácticas dilatorias. Sin embargo, en cuanto la aseguradora de responsabilidad civil, sus asesores y sus peritos se toman el tiempo necesario para examinar seriamente los hechos y el fondo de la reclamación, un expediente insuficientemente fundamentado no tiene ninguna posibilidad de prosperar. La falta de transparencia en cuestiones técnicas —que, por su propia naturaleza, no admiten aproximaciones— siempre resulta sospechosa y se señalará sistemáticamente.

La obstinación en mantener una postura sin fundamento puede llevar al demandante a interponer una demanda. En ese caso, se verá obligado a revelar los elementos que se negaba a compartir en el marco de la negociación amistosa. Es ahí donde el recurso puede realmente volverse en su contra.

De hecho, el peritaje judicial puede poner de manifiesto:

La aseguradora cibernética del demandante puede así descubrir que el riesgo que creía cubrir no era del nivel que suponía —con las consecuencias que ello implica sobre el alcance de la garantía y la renovación.

Conclusión: el análisis objetivo, requisito previo indispensable para cualquier recurso

No se trata de desalentar cualquier recurso. La iniciativa puede ser legítima y fundada. Pero antes de emprenderla, es imprescindible realizar un análisis riguroso y objetivo de los puntos fuertes y débiles del expediente.

El demandante debe comprender con precisión a qué se expone, incluso si su acción está fundamentada jurídicamente. Las zonas grises son inherentes a cualquier caso complejo; en materia cibernética, son especialmente numerosas y extensas. La obstinación nunca es una estrategia que dé resultados. Hay que saber cuándo detenerse y, en su caso, mitigar el riesgo.

Conclusión 

• Una reclamación de responsabilidad civil profesional tras un incidente cibernético sin un expediente técnico sólido puede exponer al demandante a un efecto boomerang.
• La falta de comunicación de los elementos forenses es una señal de alerta que el perito señala sistemáticamente.
• La distinción entre obligación de medios y obligación de resultado es determinante a la hora de evaluar la culpa.
• El peritaje judicial puede revelar discrepancias con la póliza cibernética y debilitar la cobertura del asegurado demandante.
• En un expediente poco sólido, el deber de asesoramiento sigue siendo el argumento jurídico más arriesgado para el demandado, pero también puede volverse en contra del demandante.
• Las aseguradoras podrían reflexionar sobre la obligación contractual de conservación de las pruebas.