A finales de noviembre de 2019, la ANSSI y la AMRAE publicaron una guía sobre la gestión del riesgo digital dirigida a los directivos de empresas. Una guía de 15 pasos para «acompañar» a los directivos de organizaciones públicas y privadas de todos los tamaños en la elaboración de una política de gestión del riesgo digital.

La ironía del destino quiso que esta guía, aunque pertinente, llegara con dos años de retraso respecto a la realidad de la amenaza. Mientras tanto, el ransomware avanzaba inexorablemente, pillando por sorpresa a un mundo empresarial mal preparado, pero que creía lo contrario. En 2019, el riesgo que se percibía como más importante era el del cumplimiento normativo. 

Hay que reconocer que nadie estaba preparado. La AMRAE declaraba en 2019 que el seguro cibernético era una herramienta interesante, pero difícil de manejar. Hay que recordar que, en aquella época, las pólizas eran, en su mayoría, traducciones de textos anglosajones orientados a la responsabilidad civil por razones históricas. La historia ha demostrado desde entonces que un siniestro cibernético es, ante todo, un daño al sistema de información.

En aquel momento, la AMRAE subrayaba las dificultades de las pymes para evaluar y valorar los riesgos cibernéticos, recordando que en las grandes empresas ya existía una conciencia consolidada sobre el riesgo cibernético. Sin embargo, la mera concienciación no es suficiente. 

El año 2020 supuso un punto de inflexión para los seguros cibernéticos y puso de manifiesto, por un lado, que las grandes empresas no estaban preparadas para hacer frente a la situación y, por otro, que el mercado se cerraba a las pymes porque las capacidades de las aseguradoras se habían agotado, precisamente debido a las grandes cuentas, que, mal preparadas, habían sufrido ataques devastadores. 

Es también esta situación la que creará las condiciones para la llegada al mercado de las «insurtech», que sabrán dirigirse a las pymes.  

Entre 2020 y 2022, el mundo fue testigo de una explosión de siniestros cibernéticos, que afectaron incluso a empresas consideradas «preparadas». La reacción del mercado fue brutal, hasta el punto de que, en enero de 2022, el presidente de la AMRAE lanzó una señal de alarma: «Puede que el mercado de los seguros cibernéticos ya no exista el año que viene». 

Este mensaje provocador tuvo el mérito de sacudir a todos los actores del sector, empujándolos a la introspección.

Eso es lo que se ha hecho, pero quizá aún no sea suficiente, ya que, así es la naturaleza humana: en cuanto las cosas mejoran, vuelven los excesos. Y eso es lo que está ocurriendo ahora mismo, hasta tal punto que algunos desearían que se produjeran algunos siniestros para que el mercado se regulase, de lo dura que es la competencia. 

Y es que en dos años han pasado muchas cosas. El seguro cibernético no ha desaparecido, sigue ahí; se han revisado las pólizas y los actores han ganado en competencia y en número (insurtech, nuevos participantes). 

Es la ley del mercado, sí, de acuerdo. Pero este movimiento es tan fuerte que está creando el caldo de cultivo para una repetición de lo ocurrido en 2020. Y hay muchas posibilidades de que se produzca mientras siga acelerándose. Algunos actores del mercado que no quieren ceder a una forma de dumping empiezan a desearlo. Con la bajada de las primas, los objetivos fijados hace dos años no se están alcanzando, por lo que hay que encontrar nuevos asegurados y formalizar nuevas pólizas.

Inevitablemente, la calidad de los riesgos disminuye. Por el contrario, lo que va en aumento es la evolución de los atacantes y el uso ofensivo de la IA, ya sea en el ámbito cibernético, del fraude o de ambos combinados. 

Un riesgo atípico: 

El riesgo cibernético no puede abordarse como los demás riesgos, que son bastante estables y tienen, fundamentalmente, un componente de seguridad.  

Queda un último punto que hay que tener en cuenta, si aún no se ha hecho: el riesgo cibernético tiene la particularidad de ser muy cambiante y constituye, ante todo, un problema de seguridad. 

La seguridad se centra en la reducción de riesgos, mientras que la protección tiene como objetivo prevenir de forma intencionada las amenazas. 

La estrategia para lograrlo es diferente. Comprender, percibir y anticipar el estado de la amenaza, y no solo el del mercado, debe ser una constante. Sin duda, ahí es donde reside la madurez a la hora de contratar una póliza.

No repitamos los errores del pasado.