Acaba de publicarse la edición de 2024 del informe LUCY (LUmière sur la CYberassurance). Cada vez más esperado, está siendo recogido y comentado por todas partes; nosotros hacemos lo mismo, pero desde otro punto de vista. 

Unas palabras introductorias ciertamente alentadoras, pero que recuerdan que, al fin y al cabo, el mercado sigue siendo frágil y que hay que mantenerse alerta, son reveladoras de una dirección difícil de definir; en el fondo, no sabemos hacia dónde vamos. Una breve mención de paso a la IA y a la situación geopolítica para estar a la última y, tras algunas divagaciones, nos sumergimos en el extenso informe (que podéis encontrar 👉 aquí, en la web de la AMRAE, si queréis descargarlo).

Por nuestra parte, los datos extraídos del informe LUCY 2024 y el estado del mercado, en particular la situación actual en materia de suscripción, no nos parecen saludables, ni mucho menos.

Considerar que «una empresa asegurada es una empresa que gestiona bien su riesgo cibernético hoy en día» (así reza el informe) es una excusa para eludir el fondo de la cuestión. Probablemente esto sea válido para las grandes empresas, pero muy poco probable para muchas empresas de tamaño medio, pymes y microempresas, sobre todo porque es bastante sencillo burlar los procesos de contratación, ya sean clásicos o automatizados.

Por lo demás, las grandes empresas que registran un descenso del 40 % en el número de siniestros y del 45 % en los importes indemnizados con respecto al año 2022 han sido prácticamente todas víctimas de un ciberataque en los últimos cinco años (recordemos que, en 2020, las aseguradoras habían indemnizado más de 201 millones de euros por 86 siniestros). Estos datos son, por tanto, lógicos; lo contrario habría sido preocupante. 

Por lo tanto, podemos alegrarnos de la toma de conciencia y de los importantes presupuestos invertidos por quienes pueden hacerlo (las grandes empresas). Esta categoría, que acapara algo más del 80 % de las primas recaudadas, constituye, en nuestra opinión, un riesgo seguro al menos durante los próximos cinco años y seguirá alimentando la capacidad del sector de los seguros cibernéticos. 

Otro aspecto que puede respaldar la ausencia de siniestros graves es el nivel de las franquicias de las grandes empresas, que sigue aumentando (más del 15 % para una media de 7,64 millones de euros) y que hace que muchos incidentes cibernéticos pasen desapercibidos. En este sentido, de cara a las renovaciones, la discreción sigue siendo la norma. Vaya, no hay ninguna gran empresa nueva asegurada en el mercado francés, ¿no es sorprendente? Pero ¿dónde están? LUCY no menciona las cautivas cibernéticas; el término no aparece en el informe, aunque quizá no haya datos disponibles.

En cambio, las franquicias bajan en todas las demás categorías, por no decir que se desploman (-50 % para las empresas de tamaño medio, -70 % para las pymes y -81 % para las pequeñas empresas).

Otra cifra clave que se destaca y que, probablemente, se ha malinterpretado, es la caída del 46 % «del importe total de los siniestros registrados», lo que, para los no iniciados, significa el importe total de las indemnizaciones pagadas (de 70,8 millones de euros en 2022 a 38,1 millones de euros en 2023). 

Y es que el número de siniestros entre 2022 y 2023 pasó de 177 a 615, lo que supone un aumento del 247 %, un incremento significativo, incluso si se compara a perímetro constante en función del número de pólizas suscritas. Si bien, en términos generales, el importe de las indemnizaciones disminuye, lo hace con grandes disparidades: un -48 % para las empresas de tamaño medio (ETI), con un 37 % menos de siniestros, frente a un -12 % para las pequeñas empresas, con un 1 580 % más de siniestros. 

¿Qué conclusiones podemos sacar? No es sencillo: LUCY trabaja con los datos que se le facilitan y el informe tiene el mérito de ofrecer mucha información útil. Sin embargo, no sabemos, por ejemplo, el número de denegaciones de cobertura, información importante para comprender en su conjunto el seguro cibernético. 

Así, al leer el informe, entendemos que solo ha habido una denegación de cobertura. De hecho, la tabla de la página 14 indica 615 siniestros, pero la página 8 menciona 614 siniestros indemnizados... ¿Así que un único caso de denegación de cobertura? Poco probable… a menos que se trate de otra cosa.

Sea como fuere, lo interesante es el segmento inferior, ya que anuncia una tendencia que ya se estaba produciendo en 2024 en el segmento medio del mercado. 

Es como un deseo de siniestro

El notable aumento observado en el número de contratos suscritos en los segmentos que van desde el segmento inferior hasta el segmento medio del mercado refleja, sin duda, una dinámica positiva, pero con una disminución de la capacidad entre las pymes y las empresas de tamaño intermedio (por el contrario, aumenta ligeramente en el caso de las microempresas). ¿Cuál es la contrapartida? ¿Da miedo este segmento de mercado? No solo eso. Las aseguradoras tradicionales se alinean, o más bien intentan seguir las condiciones (tarifarias) de las insurtech, que basan su crecimiento en modelos de negocio muy diferentes. 

En consecuencia, los actores que no asumen el riesgo como lo hacen las aseguradoras de la «vieja escuela», por así decirlo, ofrecen al mercado condiciones tarifarias insostenibles en segmentos que antes les estaban reservados. 

Ahora se corteja a las pymes industriales más prometedoras y a las empresas de tamaño intermedio. Así pues, el número de empresas de tamaño medio, pymes (y pequeñas empresas) aseguradas aumenta significativamente y la tasa de prima desciende de forma anómala en un segmento que dista mucho de estar maduro o que, en el mejor de los casos, carece de los recursos técnicos y humanos necesarios para hacer frente a una crisis. 

El observador atento señalará que la tasa de prima para las empresas de tamaño intermedio es la única que ha aumentado (un modesto +7 %) con respecto a 2022, con un incremento del +47 % en el número de empresas aseguradas, mientras que todas las demás tasas bajan (incluido un vertiginoso y preocupante -69 % en el caso de las pequeñas empresas). Sin embargo, en esas mismas empresas de tamaño medio (consideradas seguras por estar aseguradas), el importe medio de la franquicia se ha reducido a una tercera parte. 

Es decir, al ritmo que van las cosas, no tardarán en producirse siniestros de gran envergadura. Más aún teniendo en cuenta que estas pymes y «pequeñas» empresas de tamaño intermedio son más vulnerables al riesgo sistémico, ya que están lejos, pero muy lejos, de ser seguras y resilientes. ¿Cuántos servidores Windows 2008 siguen en funcionamiento en estas empresas? ¿Cuántos servidores Exchange siguen instalados en las propias instalaciones?

«Cuantificar las exposiciones y no bajar nunca la guardia», por citar las palabras del editorial del informe LUCY. En este primer semestre de 2024, no parece que esto sea lo que prevalezca. Queda mucho camino por recorrer en materia de prevención, incluso para los riesgos ya asegurados; unas cuantas auditorías de seguridad informática no estarían de más. 

Los próximos siniestros están ahí, en las pymes y las empresas de tamaño intermedio, es decir, en un segmento de mercado codiciado y muy disputado, respecto al cual nos planteamos cada vez más dudas sobre la calidad de las carteras. Una situación que, por desgracia, perjudica a medio plazo a los asegurados, que tarde o temprano acabarán pagando los platos rotos.

Por último, se rumorea que unos cuantos siniestros serían bienvenidos para sanear estas carteras dudosas y permitir el retorno a un entorno competitivo más saludable que el actual. Una cantinela que se ha oído muchas veces en el mundo de los seguros. ¿Podrá el sector cibernético, que evidentemente aprende mal de sus errores, escapar a ello? El futuro lo dirá.

Lucy... No está escrito en los libros que lo más importante en la vida es vivir el día a día y mantenerse al día.