Con la entrada en vigor de las nuevas normas de la SEC (Securities and Exchange Commission, el organismo federal estadounidense encargado de la regulación y la supervisión de los mercados financieros) en materia de ciberseguridad, las empresas que cotizan en bolsa se ven cada vez más obligadas a aplicar un enfoque integral para la evaluación de riesgos, la mitigación de pérdidas y la notificación de incidentes.

El seguro cibernético forma parte de la estrategia de gestión de riesgos de las organizaciones. Sin embargo, el impacto de las nuevas normas de la SEC en el mercado de los seguros es incierto y las condiciones del mercado sugieren que las empresas deberían empezar a revisar sus programas para prepararse ante los nuevos requisitos de información en los informes anuales correspondientes a los ejercicios fiscales.

Las nuevas normas

Las nuevas normas abarcan los informes actuales sobre incidentes de ciberseguridad y los informes anuales sobre la supervisión y la gestión de los riesgos significativos relacionados con las amenazas cibernéticas.

La norma relativa a la notificación de incidentes exige la publicación de un formulario específico. Se trata del formulario 8-K, cuyo objetivo es informar a la SEC y a los accionistas de los cambios significativos que se hayan producido en la empresa en los cuatro días hábiles siguientes al descubrimiento de un incidente de ciberseguridad importante, salvo algunas excepciones.

Esta norma exige la implantación de un plan de análisis y respuesta ante amenazas cibernéticas que debe integrar las obligaciones de la empresa en relación con las pólizas contratadas. La norma de notificación anual puede hacer que los miembros del consejo de administración y los directivos de la empresa incurran en responsabilidad.

El mercado de los seguros cibernéticos

En mayo de 2023, la agencia de calificación Fitch Ratings señaló un aumento de más de 7.000 millones de dólares en las primas de seguros cibernéticos suscritas directamente en 2022, frente a los aproximadamente 2.000 millones de dólares de 2018, con una demanda sostenida.

El aumento de las necesidades, debido al incremento de los incidentes, así como el impacto incierto de las nuevas normas de la SEC, obliga a las empresas que cotizan en bolsa a dotarse de forma proactiva de planes de gestión de riesgos cibernéticos que incluyan el componente asegurador.

Estos planes deben tener en cuenta la responsabilidad de la empresa y de sus directivos en caso de violación de la privacidad, fraude o incluso pérdidas directas derivadas del pago de rescates.

Las nuevas normas de la SEC plantean preocupaciones adicionales en materia de pérdidas y responsabilidad, derivadas de posibles litigios sobre el cumplimiento y la adecuación de la información facilitada.

Por lo tanto, será necesario actuar con mayor diligencia durante la fase de suscripción, por ejemplo, en lo que respecta a los siguientes aspectos:

La responsabilidad de la dirección: Las acciones judiciales relacionadas con productos derivados y valores suelen estar cubiertas por el programa de seguro de los consejeros y directivos de una empresa. Sin embargo, las pólizas de seguro de administradores y directivos pueden contener cláusulas que excluyan la cobertura de las pérdidas derivadas de un ciberataque.

Otras pueden incluir la violación de la privacidad en las cláusulas de exclusión aplicables a las reclamaciones por daños corporales. Aunque algunas pólizas de seguro cibernético (en el ámbito de la responsabilidad civil) incluyen una cobertura limitada para los directivos de la empresa, la mejor solución consiste en anticipar cómo se cubrirán estos nuevos riesgos relacionados con el incumplimiento de los requisitos de declaración y divulgación en materia de riesgos cibernéticos.

Pérdidas directas: Las nuevas normas no definen la importancia relativa de los riesgos cibernéticos, pero un incidente puede acarrear múltiples pérdidas. El plan de gestión de riesgos debe tener en cuenta la pérdida o corrupción de datos, los daños al sistema de información y la pérdida de margen bruto como consecuencia de un incidente cibernético. También se anima a las empresas a reflexionar sobre las consecuencias de un incidente cibernético en un tercero, como por ejemplo en un proveedor.

Exactitud de la información: La publicación de la estrategia de gobernanza y gestión de riesgos en materia de ciberseguridad subraya la necesidad de una coordinación dentro de la empresa durante el proceso de suscripción para garantizar la coherencia y la exactitud de la información.

Ingeniería social: A pesar de la mejora de los procedimientos de seguridad y de las campañas de sensibilización, las pérdidas debidas al phishing o a estafas similares siguen siendo elevadas. Los programas de seguros deben revisarse minuciosamente para cubrir este tipo de fraude.

Respuesta coordinada: Muchas pólizas prevén un equipo de expertos (investigación, respuesta a incidentes, comunicación y asuntos jurídicos). Si la empresa cuenta con proveedores preferentes o con un equipo ya existente que conoce bien la infraestructura de ciberseguridad de la empresa, debe preverse la aprobación de dichos terceros en la fase de suscripción.

Estos son solo algunos ejemplos de cuestiones que deberán coordinarse a medida que se adapten los programas de gestión de riesgos. La contratación de coberturas probablemente se volverá más compleja a medida que el mercado de los seguros cibernéticos evolucione para hacer frente a entornos normativos cambiantes y a la gestión de sus productos por parte de las aseguradoras.

Hay que reconocer que las consideraciones al otro lado del Atlántico no difieren realmente de las que tenemos aquí. El cumplimiento de los requisitos cada vez más complejos en materia de divulgación y de las obligaciones relacionadas con las pólizas de seguro requiere un plan de gestión de riesgos bien pensado, un seguimiento constante de los cambios (legales, normativos, técnicos y del sector asegurador) y un asesoramiento cada vez más especializado por parte de asesores con experiencia.