Los gastos de comunicación se refieren principalmente a los gastos de comunicación de crisis en los que se incurre a raíz de un incidente cibernético. Estos gastos suelen producirse en una fase muy temprana de la gestión del incidente.

Por este motivo, es habitual que una parte de ellos quede cubierta en el marco de la asistencia en crisis o de las medidas de emergencia, en ocasiones sin aplicación de la franquicia durante un período determinado, que varía según la compañía y suele oscilar entre 24 y 96 horas.

A partir del 11 de septiembre de 2026, el descubrimiento de una vulnerabilidad que se esté explotando activamente en un producto digital ya no solo dará lugar a una carrera técnica para encontrar una solución. Para los fabricantes afectados, también podrá dar inicio a una cuenta atrás reglamentaria especialmente breve: deberá enviarse una primera alerta en un plazo de 24 horas.

Esta nueva obligación se deriva de la Ley de Ciberresiliencia (Cyber Resilience Act, CRA), la normativa europea destinada a reforzar la seguridad de los productos que incorporan componentes digitales.