Responder a los cuestionarios de seguro cibernético

Un cliente le reenvía, una semana antes del vencimiento de su contrato, un cuestionario de seguro cibernético de cuarenta preguntas y le pide que lo rellene «rapidito». Hace unos años, ese mismo cuestionario cabía en una página. Esto es por qué se ha alargado, qué comprueba sistemáticamente, y cómo dejar de tratarlo como una tarea ingrata y gratuita.

¿Por qué los cuestionarios de seguro cibernético se han vuelto más largos y más estrictos?#

Porque las aseguradoras han dejado de fiarse de la mera declaración responsable. Ante la frecuencia y el coste de los siniestros ligados al ransomware, las compañías han apretado sus cuadros de suscripción: ahora piden elementos de prueba sobre controles concretos — captura de pantalla de la consola de MFA, informe de prueba de restauración, certificado de EDR — en lugar de una simple casilla marcada. Un cuestionario que se limitaba a «¿dispone usted de antivirus?» se ha convertido en una lista detallada de controles técnicos verificables, lo que desplaza una parte de la carga de respuesta hacia el prestador que gestiona realmente la infraestructura: usted.

El legislador ha seguido el mismo movimiento. En Francia, el artículo L12-10-1 del code des assurances (el código de seguros francés) subordina el pago de una indemnización al amparo de una cláusula que cubra las pérdidas causadas por un ataque a un sistema de tratamiento automatizado de datos a la presentación de una denuncia ante las autoridades competentes, a más tardar setenta y dos horas después de haber tenido conocimiento del ataque. La disposición solo alcanza a las personas jurídicas y a las personas físicas en el marco de su actividad profesional. Dicho de otro modo: la garantía cibernética de una pyme lleva ahora aparejada una condición procesal que hay que cumplir en los tres días siguientes al descubrimiento — algo que debería figurar en el plan de respuesta a incidentes que ese mismo cuestionario le pide describir.

¿Qué aspecto tiene, en concreto, la estructura de un cuestionario de aseguradora?#

El de un bloque común obligatorio, seguido de bloques condicionales que se activan según el perfil del cliente. La mayoría de las aseguradoras mantiene su cuadro en confidencialidad, pero existe un modelo público: el cuestionario tipo de recogida del riesgo que el GDV, la federación alemana de aseguradoras, publica con carácter no vinculante para los contratos cibernéticos dirigidos a pymes. No obliga a ninguna compañía española, pero muestra la mecánica — y esa mecánica es la misma en todas partes.

El principio: el número de preguntas formuladas depende de dos variables, la cifra de negocio y las actividades ejercidas. El modelo del GDV distingue tres categorías de riesgo — hasta 2 millones de euros de cifra de negocio, hasta 5, hasta 10 — y solo impone al bloque común una decena de preguntas sobre las obligaciones de base, completadas con cinco preguntas de filtrado que sirven únicamente para saber qué bloques adicionales activar.

Dos enseñanzas para un MSP. Primera: ocho de las diez preguntas del bloque base tratan de los accesos y de las copias de seguridad — solo una de la protección frente a código malicioso, solo una de las actualizaciones. Segunda: los bloques que de verdad mueven la prima son los bloques organizativos — revisión de permisos, separación de redes, gestión centralizada de parches, plan de recuperación. Son precisamente los que un cliente no puede rellenar solo.

¿Qué pide el bloque dedicado a los prestadores informáticos?#

Cinco preguntas por prestador, y hablan de usted. En el modelo del GDV, el cliente debe enumerar primero cada prestador y el alcance confiado — correo, alojamiento, aplicaciones de negocio — porque la naturaleza del alcance externalizado determina a la vez la dependencia del cliente y su potencial de siniestro. Vienen después cuatro preguntas sobre la relación contractual: si existe un contrato de servicio que regule la disponibilidad, las actualizaciones y la corrección de los fallos de seguridad; si el prestador está certificado o es objeto de un control de calidad independiente; si el cliente ha exonerado de responsabilidad a su prestador, y en qué casos; si el prestador está sujeto al derecho europeo de protección de datos.

La tercera de esas preguntas merece una lectura atenta. El modelo explica sin rodeos por qué la hace la aseguradora: una cláusula de exoneración de responsabilidad concedida al prestador impide a la aseguradora ejercer la acción de repetición contra él después del siniestro, lo que cambia su propio riesgo. El contrato que usted negoció con su cliente lo lee, por tanto, también su aseguradora — y pesa sobre la prima que el cliente paga.

El modelo añade una observación que todo MSP debería conocer: en estas preguntas no espera que el cliente sepa responder sin investigar, y recomienda a la aseguradora recoger la información directamente. En la práctica, «directamente» quiere decir a través de usted. Más vale preparar la respuesta que descubrirla por teléfono un viernes por la tarde.

¿Qué categorías de controles comprueban sistemáticamente los cuestionarios?#

Seis familias vuelven en la práctica totalidad de los cuestionarios, sea cual sea la aseguradora:

• La autenticación multifactor (MFA) — en el correo, en los accesos remotos y, cada vez más, en las cuentas privilegiadas.
• Las copias de seguridad y su restauración probada — la pregunta ya no versa solo sobre la existencia de una copia, sino sobre la última fecha en que se intentó efectivamente una restauración.
• El EDR (Endpoint Detection and Response) — un antivirus de firmas por sí solo ya no responde a la pregunta.
• La gestión de parches (patch management) — el plazo entre la publicación de una vulnerabilidad crítica y su aplicación.
• La concienciación de los usuarios — la frecuencia de las campañas, en particular sobre phishing, primer vector de entrada de los siniestros.
• El plan de respuesta a incidentes — su existencia, su última actualización y, a veces, la prueba de un ejercicio.

No son controles arbitrarios: son, casi término a término, las mismas familias que las del referencial ANSSI ReCyF que la mayoría de los MSP ya evalúa para sus clientes sujetos a NIS2 — gestión de identidades, continuidad y recuperación de la actividad, protección frente a código malicioso, reacción ante incidentes. Un cliente que ya ha hecho ese ejercicio para NIS2 o para la ISO 27001 responde al cuestionario del seguro con pruebas que ya existen, no con afirmaciones improvisadas.

Un detalle de redacción merece señalarse, porque atrapa con regularidad. Las preguntas más habituales no son binarias pese a su apariencia. «¿Prueba usted regularmente la restauración de sus copias de seguridad?» no pregunta si la restauración es técnicamente posible: pregunta si existe una periodicidad definida y pruebas realizadas conforme a esa periodicidad. «¿Las actualizaciones de seguridad se instalan automáticamente o con rapidez?» no pregunta si el servicio de actualización está activado: pide un plazo. Responder «sí» a esas preguntas sin el acta fechada correspondiente es declarar más de lo que se puede demostrar.

¿Qué respuestas valen para toda una cartera y cuáles siguen siendo cliente por cliente?#

La distinción es la clave de la rentabilidad del ejercicio. Una parte de las preguntas versa sobre usted, el prestador — y esa parte no cambia de un cliente a otro. Otra versa sobre el parque del cliente, y hay que volver a medirla para cada uno, en cada vencimiento.

La columna de la izquierda se redacta una vez y se relee cada año. La de la derecha no puede redactarse de antemano: se mide. Es también la que, si la rellena de memoria, le expone — porque usted es la única parte capaz de verificarla.

¿Por qué una declaración inexacta puede anular la garantía en el peor momento?#

Porque el contrato de seguro descansa sobre lo que el asegurado declaró al suscribirlo, y el derecho de seguros trata de forma muy distinta un error de buena fe y una declaración falsa. Una respuesta inexacta descubierta después del siniestro — «MFA activado en todas las cuentas» cuando la mitad de las cuentas privilegiadas quedaban fuera — nunca se examina en plena tormenta: resurge en el momento en que la aseguradora instruye el expediente de indemnización, es decir, justo cuando el cliente más necesita que la garantía funcione.

El code des assurances francés distingue explícitamente las dos situaciones, y la diferencia entre ambas sanciones es considerable. El artículo L113-8 prevé la nulidad del contrato en caso de reticencia o de declaración falsa intencionada que cambie el objeto del riesgo o disminuya su apreciación por la aseguradora — y precisa que la nulidad opera incluso si el riesgo omitido o desnaturalizado no influyó en el siniestro, quedando las primas pagadas en poder de la aseguradora. El artículo L113-9 trata la omisión o la declaración inexacta cuya mala fe no se acredita: el contrato no es nulo, pero si la inexactitud solo se descubre después de un siniestro, la indemnización se reduce en proporción a la relación entre las primas pagadas y las que se habrían debido si el riesgo se hubiera declarado de forma completa y exacta.

En claro: de buena fe, al cliente se le indemniza menos; de mala fe, no se le indemniza en absoluto. La frontera entre ambas se juega en la demostración de una intención — y en lo que se escribió en el cuestionario.

Ese riesgo no recae solo sobre el cliente: a menudo es el MSP quien ha rellenado las casillas técnicas del cuestionario, con la información de que disponía. Una respuesta aproximada sobre un punto que usted es el único que puede verificar — el estado real del parque, la cobertura efectiva del MFA — compromete su credibilidad tanto como la póliza de su cliente.

¿Una respuesta al cuestionario obliga durante toda la vida del contrato?#

Lo más frecuente es que sí, y es el punto que la mayoría de los prestadores descubre demasiado tarde. Las preguntas del bloque base no son simples elementos de tarificación: recogen obligaciones que el asegurado se compromete a mantener durante la vida del contrato. El modelo del GDV es explícito al respecto — las preguntas de su categoría de base se corresponden con las obligaciones que figuran en sus condiciones tipo de garantía cibernética.

La consecuencia práctica es la que motivó todo un artículo aparte: una respuesta verdadera el día de la suscripción y falsa seis meses después no es un detalle administrativo. El MFA desactivado un viernes por la tarde para desbloquear a un usuario y nunca reactivado, el nuevo dispositivo incorporado al parque antes de que se le aplique la política de conformidad, la copia que falla en advertencia en lugar de en error — cada uno de esos incidentes anodinos convierte una declaración sincera en una declaración inexacta, sin que nadie haya mentido a nadie.

Es también la razón por la que la buena unidad de prueba no es la captura de pantalla sino la serie de registros fechados. Documenta qué declaró usted, cuándo y sobre la base de qué medición.

¿Cómo convertir la respuesta al cuestionario en una prestación facturable?#

Dejando de tratarla como una formalidad administrativa accesoria y estructurándola como un entregable recurrente. Tres elementos concretos:

1. Constituir un expediente de pruebas permanente, en lugar de una respuesta improvisada en cada renovación — las mismas capturas de pantalla (MFA, EDR, última restauración probada) sirven para el cuestionario del seguro, para la evaluación NIS2 y para el expediente ISO 27001 del mismo cliente. El trabajo de recogida, hecho una vez, sirve varias veces.
2. Facturar la revisión anual del cuestionario como una prestación aparte, situada antes del vencimiento del contrato en lugar de en la urgencia de la semana previa — un cliente entiende que se le facture una pericia de seguridad, no el relleno de un formulario.
3. Documentar las desviaciones tanto como las conformidades: un control ausente, señalado con claridad al cliente antes de que responda «sí» por exceso de confianza, le protege a usted tanto como a él.

Un cuarto punto, menos evidente, separa a los MSP que ganan dinero con este ejercicio de los que lo padecen: no entregue nunca el cuestionario relleno sin una nota de desviaciones. Bastan dos o tres líneas — las preguntas cuya respuesta hoy es «no», lo que haría falta para que pasara a «sí», y el orden de magnitud del trabajo. Esa nota hace dos cosas a la vez: documenta que usted no dejó al cliente declarar más de lo que podía sostener, y constituye su propuesta comercial para el año siguiente. Las mismas líneas que le protegen jurídicamente son las que llenan su cartera de pedidos.

Existen, por último, herramientas públicas para preparar la conversación de antemano. El GDV publica una versión interactiva de su cuestionario, el Cyber-Sicherheits-Check, que devuelve una evaluación intermedia y recomendaciones priorizadas. Es alemán, no vinculante y calibrado para pymes alemanas — pero da una idea honesta del nivel de detalle que se espera, que ya es más de lo que la mayoría de los clientes imagina antes de abrir el formulario de su propia aseguradora.

---

Vigicap ofrece ayuda a la redacción de los cuestionarios de seguridad — de aseguradora o de gran cuenta: usted pega las preguntas y la herramienta produce propuestas de respuesta para validar, apoyadas en el registro de conformidad del cliente, su puntuación de madurez y los últimos registros de conectores. Son borradores para releer y corregir, no un formulario enviado en su lugar: la firma sigue siendo suya, y precisamente por eso tiene valor.