El quaranta per cent dels propietaris de petites empreses afirmen que un ciberatac que costi 100.000 dòlars o menys seria suficient per fer-los tancar el negoci. No obstant això, la majoria de les petites empreses encara no tenen cap assegurança de ciberseguretat, apostant que els pirates informàtics només ataquen empreses amb noms coneguts i ingressos de nou xifres. I no és així. Aproximadament una quarta part o un terç de les violacions de dades denunciades afecten ara directament petites empreses, i la factura mitjana de recuperació — 120.000 dòlars, només amb el temps d'inactivitat costant 53.000 dòlars per hora — és exactament el tipus de xifra que converteix una mala setmana en un tancament definitiu.
L'assegurança de ciberseguretat es troba en un punt estrany per a la majoria dels propietaris: sembla una despesa de grans empreses per a un problema de petites empreses. En realitat, és un dels pocs productes d'assegurança amb un preu específic per al risc real que afronta una consultoria de cinc persones o una botiga de comerç electrònic de vint treballadors. El problema és que les pòlisses són confuses, les primes varien fins a 10 vegades segons qui fa el pressupost, i les exclusives són on la majoria dels propietaris acaben cremant-se. A continuació us expliquem com pensar sobre el producte: el cost real d'una pòlissa, el cost real de no tenir-ne i la lletra petita que decideix si una reclamació es paga o no.
Què Costa Realment una Violació per a una Petita Empresa
Les xifres principals del "cost mitjà d'una violació de dades" que veieu a les notícies — 4,44 milions de dòlars a nivell mundial, més de 10 milions de dòlars als EUA — estan esbiaixades per incidents d'empreses grans que impliquen milions de registres de clients. No són la xifra que importa a una empresa amb una dotzena d'empleats i un grapat de proveïdors.
Les xifres més útils per a una petita empresa:
- 120.000 dòlars — cost total mitjà de recuperació per a un incident en una petita empresa (investigació, reparació, notificació i neteja combinats).
- 53.000 dòlars per hora — cost mitjà del temps d'inactivitat mentre els sistemes estan fora de servei, que per a una empresa minorista o de serveis pot superar la factura directa de reparació en un sol dia hàbil.
- Entre 120.000 i 1,24 milions de dòlars — el rang que informa la investigació de violacions de Verizon en funció de la gravetat de l'incident, el que significa que els incidents "petits" encara poden ascendir a sis xifres un cop es compten els costos legals, forenses i de notificació.
- 60% — la proporció de petites empreses que tanquen als sis mesos d'un ciberatac important, segons enquestes del sector àmpliament citades. Aquesta és la xifra que hauria de redefinir la conversa: no és realment un cost de TI, és un risc de supervivència.
El ransomware i el compromís de correu electrònic empresarial (BEC) són els dos tipus d'incidents amb més probabilitat d'afectar específicament una petita empresa, i es comporten de manera molt diferent. El ransomware és un atac oportunista i contundent: escàners automatitzats troben un port d'escriptori remot exposat o un servidor sense pegats, i qualsevol empresa és un objectiu independentment de la seva mida. El BEC està més enfocat: un estafador es fa passar per un proveïdor, un propietari o fins i tot el propietari mitjançant un correu electrònic i enganya algú del departament de comptabilitat perquè faci una transferència bancària o actualitzi les dades de domiciliació bancària. El Centre de Denúncies de Delictes a Internet de l'FBI va atribuir més de 2.700 milions de dòlars en pèrdues denunciades al BEC en un sol any recent, d'un total de 16.600 milions de dòlars en pèrdues totals per ciberdelinqüència denunciades — i el BEC és exactament la categoria on la cobertura de l'assegurança de ciberseguretat es complica, com veurem a continuació.
Què Paga Realment una Pòlissa
L'assegurança de ciberseguretat es divideix en dues meitats, i entendre la divisió explica per què les primes varien tant i per què la pòlissa més barata sol ser la incorrecta.
La cobertura de primer afectat paga els costos directes de la vostra pròpia empresa després d'un incident: investigació forense per esbrinar què va passar, restauració de dades, reparació del sistema, pèrdua d'ingressos per interrupció de l'activitat mentre els sistemes estan avall, notificació als clients i monitorització de crèdit si es van exposar dades personals, relacions públiques de crisi i, si decidiu pagar, les demandes de rescat per ransomware.
La cobertura de tercer afectat paga quan algú altre us demanda perquè la vostra violació va exposar les seves dades o va perjudicar el seu negoci: costos de defensa legal, acords, multes i sancions regulatòries (quan són assegurables) i el cost d'un client o proveïdor que afirmi que la vostra negligència li va causar un perjudici financer.
La majoria de les pòlisses per a petites empreses combinen ambdues coses, però l'equilibri canvia en funció del que emmagatzemeu realment. Una empresa que conserva dades de targetes de pagament de clients, informació de salut o números de la Seguretat Social necessita una forta cobertura de tercer afectat perquè aquí es concentren les demandes i l'exposició regulatòria. Una empresa que principalment necessita mantenir el seu propi funcionament — un contractista, un petit fabricant, un consultori professional amb poca exposició de dades — es recolza més en la part de primer afectat: recuperar els sistemes i cobrir els ingressos perduts mentre estan avall.
Quant Costa Realment el 2026
Les primes s'han estabilitzat després de diversos anys de fortes pujades, i el mercat s'ha tornat significativament més accessible per a les petites empreses amb pràctiques de seguretat raonables. Preus actuals per a una petita empresa:
- Rang típic: aproximadament entre 400 i 1.600 dòlars anuals per una pòlissa amb un límit agregat d'1 milió de dòlars, amb una mediana comuna al voltant de 130–145 dòlars al mes.
- Rang més ampli: les empreses en categories de risc més alt (tecnologia, sanitat, serveis financers, qualsevol que emmagatzemi dades importants de clients) poden veure primes molt superiors als 2.000–5.000 dòlars anuals, mentre que les empreses de serveis i comerç minorista de risc més baix solen situar-se a la part baixa del rang.
- Els factors determinants del cost més importants: el sector (les empreses de tecnologia i TI paguen aproximadament un 88% per sobre de la mitjana nacional; les empreses d'oci i amb poca exposició a dades paguen aproximadament un 38% per sota), el volum i la sensibilitat de les dades que emmagatzemeu, els vostres ingressos i, cada cop més, si podeu demostrar controls de seguretat bàsics com l'autenticació multifactor (MFA), la protecció de punts finals i les còpies de seguretat periòdiques.
Aquest darrer punt és cada cop més important en cada cicle de renovació. Les asseguradores han endurit la subscripció després d'anys de pèrdues per ransomware, i l'MFA en concret ha passat de ser una "bona opció" al formulari de sol·licitud a un requisit ferm per a la cobertura a la majoria de companyies. Si no podeu marcar aquesta casella, espereu una prima més alta, una exclusió de cobertura per la mancança o una sol·licitud rebutjada directament.
On es Deneguen Realment les Reclamacions
La prima és la part fàcil. El que determina si la pòlissa us ajuda realment quan la necessiteu són les exclusives i els sublímits — i aquí és on molts propietaris de petites empreses descobreixen, enmig de la crisi, que la seva "pòlissa d'1 milió de dòlars" no cobreix la pèrdua que acaben de patir.
Sublímits per enginyeria social i BEC. Aquesta és la mancança més habitual. Moltes pòlisses limiteixen discretament els pagaments per pèrdues d'enginyeria social i frau per transferència bancària — l'escenari exacte de BEC descrit anteriorment — entre 25.000 i 50.000 dòlars, fins i tot quan el límit principal de la pòlissa és d'1 milió de dòlars o més. Si un estafador enganya el vostre comptable perquè transfereixi 180.000 dòlars a un compte de proveïdor fals, una pòlissa amb un sublímit d'enginyeria social de 25.000 dòlars us deixa cobrir els altres 155.000 dòlars pel vostre compte. Pregunteu específicament sobre aquest sublímit abans de comprar; rarament es destaca en un resum de pressupost.
Requisits de verificació amb trucada de retorn. Algunes endorses d'enginyeria social només paguen si la vostra empresa ja havia implementat un procés de verificació amb trucada de retorn o verificació dual per canviar les dades de pagament — és a dir, la reclamació es pot denegar no perquè el frau no estigués cobert en principi, sinó perquè no podeu demostrar que vau seguir el procediment de verificació requerit en el seu moment.
Requisits de controls de seguretat. Si la vostra sol·licitud deia que teníeu activat l'MFA i una auditoria posterior a l'incident demostra que no, les asseguradores poden denegar la reclamació per tergiversació. Aquesta és la categoria de denegació de reclamacions que creix més ràpidament a mesura que la subscripció s'ha endurit.
Retards en la notificació. La majoria de pòlisses requereixen notificar a l'asseguradora dins d'un termini definit (sovint 30–60 dies) des del descobriment d'un incident. Esperar a veure si el problema "es resol sol" abans de trucar a la vostra asseguradora és una manera habitual — i totalment evitable — de perdre la cobertura.
Multes regulatòries i exclusives per guerra. No totes les sancions regulatòries són assegurables segons la jurisdicció, i la majoria de pòlisses exclouen les pèrdues relacionades amb incidents cibernètics patrocinats per estats o d'"acte de guerra", una categoria que les asseguradores han estat definint de manera més àmplia des del 2022.
La conclusió pràctica: no us limiteu a comparar les primes entre pressupostos. Compareu el sublímit d'enginyeria social, els controls de seguretat específics necessaris per mantenir la pòlissa vigent i el termini de notificació d'incidents. Una pòlissa més barata amb un sublímit de frau de 25.000 dòlars no és una millor oferta que una de lleugerament més cara amb un sublímit de 250.000 dòlars si l'exposició real és al BEC.
Decidir si en Necessiteu
L'assegurança de ciberseguretat té més sentit quan almenys una d'aquestes condicions s'aplica al vostre negoci: emmagatzemeu dades de pagament o personals de clients, gestioneu transferències bancàries o canvis de pagament per correu electrònic, perdríeu ingressos importants per tan sols un o dos dies d'inactivitat, o una despesa imprevista de 100.000 dòlars amenaçaria realment el negoci. Per a una gran part de les petites empreses, això és la major part de la llista.
Si decidiu comprar-la, pressuposteu-la com ho faríeu per a qualsevol altre cost operatiu fix — i si decidiu no fer-ho, tracteu la despesa en prevenció (MFA, còpies de seguretat, formació dels empleats sobre la verificació de transferències bancàries) com l'alternativa d'autoassegurança, ja que costa una fracció del que costa la recuperació, independentment de si hi ha una pòlissa vigent.
Mantingueu el Vostre Risc Visible als Vostres Comptes
Tant si teniu una pòlissa com si no, les empreses que es recuperen més ràpidament d'un incident cibernètic són les que poden respondre immediatament "quant ens ha costat això i què està cobert". Això comença amb uns registres financers nets i actualitzats: conèixer la vostra posició de caixa, els vostres deutes pendents i exactament quines transaccions es van moure abans i després d'un incident. Beancount.io us ofereix una comptabilitat en text pla i amb control de versions amb una traça d'auditoria completa, de manera que si mai necessiteu documentar una pèrdua per a una reclamació d'assegurança o simplement entendre els danys, les xifres ja hi són. Començeu gratuïtament i mantingueu els vostres registres financers tan auditables com ho haurien de ser els vostres registres de seguretat.