Los gastos de comunicación se refieren principalmente a los gastos de comunicación de crisis en los que se incurre a raíz de un incidente cibernético. Estos gastos suelen producirse en una fase muy temprana de la gestión del incidente.

Por este motivo, es habitual que una parte de ellos quede cubierta en el marco de la asistencia en crisis o de las medidas de emergencia, en ocasiones sin aplicación de la franquicia durante un período determinado, que varía según la compañía y suele oscilar entre 24 y 96 horas.

Durante este período, el proveedor de asistencia o el consultor de gestión de crisis puede, si lo considera necesario, intervenir directamente o recurrir a un proveedor especializado, en particular a uno de los que integran el panel de la aseguradora. El objetivo es prestar servicios de comunicación de crisis y relaciones públicas destinados a prevenir o limitar las consecuencias negativas del incidente, especialmente para la reputación del asegurado.

Teniendo en cuenta las posibles implicaciones en materia de responsabilidad civil y normativa, las comunicaciones externas suelen prepararse en coordinación con los asesores jurídicos de la empresa y pueden ser revisadas por los abogados que intervienen en la gestión del incidente.

La comunicación de crisis constituye una especialidad por derecho propio, cuyo nivel de preparación varía considerablemente de una empresa a otra. Las grandes organizaciones suelen disponer de procedimientos específicos y de una lista de proveedores especializados, en ocasiones previamente aprobados por su aseguradora. De este modo, es posible formalizar una estrategia y un plan de comunicación para incidentes cibernéticos y someterlos a la aprobación de la dirección antes de que se produzca una crisis.

Por el contrario, muchas empresas no cuentan ni con una guía de comunicación de crisis ni con borradores de mensajes preparados de antemano. En estos casos, debe prestarse especial atención a este aspecto desde las primeras horas del incidente. La comunicación debe integrarse plenamente en el dispositivo general de gestión de crisis.

El importe de los gastos depende, entre otros factores, del nivel de preparación del asegurado, de la magnitud del incidente y de los objetivos perseguidos: proteger la reputación de la empresa, reducir la presión mediática, informar a las partes interesadas o anticipar las consecuencias de una divulgación pública.

En términos generales, la estrategia de comunicación buscará ser lo suficientemente proactiva como para evitar que la empresa se vea obligada a reaccionar de urgencia ante información parcial, errónea o distorsionada. Este aspecto es especialmente importante en los casos de ransomware en los que los atacantes amenazan con publicar los datos robados o se comunican directamente con los medios, los clientes o los socios de la víctima.

Los gastos que pueden quedar cubiertos incluyen, en particular:

• El asesoramiento en comunicación de crisis: intervención de un consultor especializado, definición de la estrategia y preparación de los mensajes clave y del plan de comunicación.
• Las relaciones con los medios y la comunicación externa: redacción de comunicados de prensa y respuesta a las consultas de los periodistas.
• La comunicación con las partes interesadas: información a clientes, empleados, socios o accionistas, en particular mediante la preparación de cartas, mensajes o preguntas frecuentes.
• La gestión de la reputación: seguimiento de los medios y las redes sociales y apoyo en la gestión del impacto reputacional del incidente.

Aspecto que debe vigilarse: la comunicación específica dirigida a los mercados financieros no está siempre incluida en las coberturas y debe comprobarse expresamente.

Al igual que ocurre con las actuaciones de los despachos de abogados, las facturas presentadas por gastos de comunicación en el marco de la gestión de crisis deben estar suficientemente detalladas. Deben permitir identificar las actuaciones realizadas, el tiempo dedicado y, cuando resulte pertinente, los entregables producidos.

Dado que el ámbito de la comunicación es especialmente amplio y las coberturas varían de una compañía a otra, el asegurado debe prestar atención a los límites de cobertura, a los posibles sublímites y a la redacción exacta de la póliza contratada.

En particular, deben examinarse las definiciones contractuales de «gastos de comunicación» y «gastos de comunicación de crisis». No todo gasto que el asegurado califique como comunicación constituye necesariamente un gasto de comunicación cubierto en el sentido de la póliza.

Por ejemplo, los gastos destinados a limitar el daño a la reputación de la sociedad tomadora a raíz del descubrimiento, durante el período del seguro, de un acontecimiento mediático pueden corresponder a una cobertura independiente de daño a la reputación, cuando el contrato contemple dicha cobertura.

Por último, desde la perspectiva pericial, debe comprobarse que los gastos sean razonables y necesarios, que estén directamente relacionados con el evento cubierto y que respondan al objeto de la cobertura invocada.

Así, es poco probable que la renovación de la imagen de marca de la empresa o la financiación de una campaña comercial destinada a recuperar a los clientes perdidos tras un ciberataque se consideren gastos de comunicación de crisis en el sentido de una póliza de ciberriesgos.

Algunas pólizas también limitan el período durante el cual pueden generarse y quedar cubiertos los gastos de un experto en comunicación de crisis.