Repaso a la AMRAE, que se celebró en Deauville en buenas condiciones (2.300 asistentes) a pesar de las medidas especiales adoptadas debido a la crisis sanitaria. Agradecemos a todos los interlocutores con los que pudimos intercambiar opiniones y compartir análisis. Tras haber participado en varias reuniones sobre suscripción de seguros cibernéticos a finales del año pasado, teníamos la sensación de que la situación era aún más tensa que en 2020. Como era de esperar, es en el ámbito cibernético donde se concentran las dificultades de renovación (no renovación, subida vertiginosa de las primas, franquicias...). 

No vamos a volver sobre la falta de capacidad que todos conocemos aquí, sino sobre el hecho de que bastan tres o cuatro siniestros importantes para agotarla. Lo que llama la atención es el nivel de las reclamaciones, sobre todo si tenemos en cuenta que las entidades afectadas son grandes empresas que contaban con todas las garantías y buenas prácticas en materia de gestión de la seguridad informática. ¿Cómo puede suceder esto cuando sabemos que estos ataques no son sofisticados y que dejan numerosos rastros e indicios antes de producirse?

Por lo tanto, no es normal que menos del 1 % de los siniestros indemnizados perturben tanto el mercado. Como efecto colateral, estos grandes siniestros bloquean el acceso al mercado de las empresas de tamaño intermedio (el 8 % están aseguradas) y de las pymes (menos del 1 % están cubiertas). 

¿El fin del seguro cibernético?

En los pasillos de la AMRAE mantuvimos conversaciones interesantes y enriquecedoras, en las que compartimos nuestros puntos de vista e ideas sobre el seguro cibernético y sus posibles evoluciones. Un tema que se repitió a menudo fue la desaparición del mercado del seguro cibernético, que muchos anuncian. Nosotros no lo creemos.

Las grandes empresas ya no son un motor de crecimiento para los seguros cibernéticos. Los datos sobre la cobertura de las empresas de tamaño medio y las pymes (véase más arriba) indican que el margen de crecimiento es enorme y que unas pólizas adaptadas podrían permitir reequilibrar la relación entre primas y siniestros. Sin embargo, es necesario que los servicios de asistencia ofrecidos sean eficaces y económicos, lo que no ocurre en la actualidad. 

El otro aspecto es la prevención y, también en este caso, el sentido común y unas normas sencillas de gobernanza de la seguridad pueden permitir que las empresas medianas alcancen rápidamente un mayor nivel de madurez a un menor coste. 

Estamos convencidos de que los corredores pueden desempeñar un papel impulsor en la prevención, al igual que las aseguradoras a través de contratos adaptados. El avance técnico de los actores del sector de los seguros cibernéticos es esencial y debe situarse al mismo nivel que el de otras especialidades de seguros de daños. A las medianas empresas y a las pymes les cuesta discernir entre la miríada de soluciones de ciberseguridad más o menos pertinentes que abundan en el mercado. Lo más caro no es necesariamente lo mejor. Ahí es donde debemos ayudarles. 

No creemos que el seguro cibernético vaya a desaparecer. Objetivamente, su desarrollo es escaso en comparación con los 60 000 millones de primas recaudadas en Francia (2020) en el ámbito de los seguros de daños. 

En cambio, creemos en su especialización por segmentos de mercado y en la implantación de nuevos mecanismos (fondos, cautivas...). Cada uno debe dar un paso hacia el otro: las aseguradoras deben adaptar sus productos, los corredores deben asesorar técnicamente sobre bases sólidas y las empresas deben comprometerse con un enfoque de prevención gradual y de transparencia. 

¿Pagar o no pagar los rescates?

Otro tema sobre el que hemos tenido el placer de intercambiar opiniones (y que es objeto de un debate permanente) es el pago de rescates. El informe (2021) sobre el ciberseguro de la diputada Faure-Muntian propone «...incluir en la ley la prohibición de que las aseguradoras garanticen, cubran o indemnicen el pago del rescate...». Recordemos que, en la actualidad, ningún texto sanciona penalmente el pago de un rescate por parte de una víctima. 

El pago de un rescate es el último recurso cuando se ha intentado todo; no se trata de una elección económica. Es una decisión que se toma para evitar la quiebra y el desempleo de los empleados de una empresa. 

Esta garantía no constituye actualmente una actividad ilícita (en el sentido del Código Civil, del Código de Seguros o de la jurisprudencia). 

Sin embargo, desde el punto de vista penal, se configura un delito cuando se tiene conocimiento previo de que los fondos proporcionados están «destinados a ser utilizados, total o parcialmente, con el fin de cometer un acto de terrorismo» (artículo 421-2-2 del Código Penal). Parece ser que la gran mayoría de los países no prohíbe la asegurabilidad del reembolso de rescates en caso de ciberataque, pero la supedita a determinadas condiciones (en particular, la lucha contra el blanqueo de capitales y el terrorismo). Por lo tanto, el riesgo no es desdeñable.

No obstante, cabe destacar que, hasta la fecha, ningún país de la Unión Europea prohíbe esta cobertura, aunque no se pueden descartar cambios en los próximos meses.

En nuestra opinión, solo una normativa a nivel europeo sería pertinente y coherente en un mercado común. Sobre todo porque dicha normativa establecería obligaciones para las aseguradoras con el fin de fijar un marco (si no se trata de una prohibición) en materia de lucha contra el blanqueo de capitales y la financiación del terrorismo. 

A nuestro juicio, un próximo paso (que ya se está estudiando seriamente) es el rastreo de las transacciones con criptomonedas, sobre todo porque este tipo de pagos y sus activos están destinados a crecer en los próximos años, en consonancia con el interés de los actores de la economía y las finanzas. Este enfoque de trazabilidad y transparencia, que resulta necesario, va en la línea de la evolución de las herramientas económicas y contribuye, además, a la lucha contra el ransomware. 

Por último, nos mostramos muy escépticos respecto a las cifras presentadas sobre el pago de rescates y la participación de las aseguradoras. La mayoría de las empresas afectadas pagan rescates de pequeña cuantía (las pymes), que a menudo son consecuencia de una falta de prevención o de conocimientos técnicos por parte de sus proveedores de servicios. Son víctimas de bots que las escanean y aprovechan las vulnerabilidades de los equipos —mal configurados, desactualizados u obsoletos— expuestos en Internet (dispositivos VPN, NAS, cortafuegos…). 

La gran mayoría de estas empresas no están cubiertas (menos del 10 % tiene un seguro cibernético). ¿Deberían haberlo estado, con la obligación contractual de realizar copias de seguridad fuera de línea y un acompañamiento real en materia de prevención? Ese es otro debate, y quizá sea el más acertado.