El cuarenta por ciento de los propietarios de pequeñas empresas afirma que un ciberataque que cueste 100.000 dólares o menos sería suficiente para llevarlos a la quiebra. Sin embargo, la mayoría de las pequeñas empresas aún no cuentan con ningún ciberseguro, apostando a que los hackers solo atacan a compañías con nombres conocidos y facturación de nueve cifras. No es así. Aproximadamente entre una cuarta parte y un tercio de las violaciones de datos reportadas ahora afectan directamente a pequeñas empresas, y la factura promedio de recuperación —120.000 dólares, solo con el tiempo de inactividad costando 53.000 dólares por hora— es exactamente el tipo de cifra que convierte una mala semana en un cierre permanente.
El ciberseguro ocupa un lugar extraño para la mayoría de los propietarios: se siente como un gasto de gran empresa para un problema de pequeña empresa. En realidad, es uno de los pocos productos de seguros cuyo precio se fija específicamente para el riesgo real que enfrenta una firma de consultoría de cinco personas o una tienda de comercio electrónico de veinte personas. El problema es que las pólizas son confusas, las primas varían hasta 10 veces dependiendo de quién te cotice, y las exclusiones son donde la mayoría de los propietarios salen perdiendo. Aquí te explicamos cómo pensar en esta disyuntiva: el costo real de una póliza, el costo real de no tener una, y la letra pequeña que decide si una reclamación se paga o no.
Lo que realmente cuesta una violación de datos a una pequeña empresa
Las cifras titulares de "costo promedio de una violación de datos" que ves en las noticias —4,44 millones de dólares a nivel global, más de 10 millones en EE. UU.— están sesgadas por incidentes empresariales que involucran millones de registros de clientes. No son la cifra que importa a un negocio con una docena de empleados y un puñado de proveedores.
Las cifras más útiles para una operación pequeña:
- 120.000 dólares — costo total promedio de recuperación para un incidente de pequeña empresa (investigación, remediación, notificación y limpieza combinados).
- 53.000 dólares por hora — costo promedio del tiempo de inactividad mientras los sistemas están fuera de línea, que para un negocio minorista o de servicios puede superar la factura directa de remediación en un solo día hábil.
- De 120.000 a 1,24 millones de dólares — el rango que reporta la investigación de brechas de Verizon según la gravedad del incidente, lo que significa que los incidentes "pequeños" aún pueden alcanzar seis cifras una vez que se cuentan los costos legales, forenses y de notificación.
- 60% — la proporción de pequeñas empresas que cierran dentro de los seis meses posteriores a un ciberataque importante, según encuestas de la industria ampliamente citadas. Esta es la cifra que debería replantear la conversación: en realidad no es un costo de TI, es un riesgo de supervivencia.
El ransomware y el compromiso de correo electrónico empresarial (BEC, por sus siglas en inglés) son los dos tipos de incidentes con mayor probabilidad de afectar específicamente a una pequeña empresa, y se comportan de manera muy diferente. El ransomware es un ataque oportunista y contundente: escáneres automatizados encuentran un puerto de escritorio remoto expuesto o un servidor sin parchear, y cualquier negocio es un objetivo independientemente de su tamaño. El BEC es más dirigido: un estafador se hace pasar por un proveedor, un arrendador o incluso el propietario a través del correo electrónico y engaña a alguien en contabilidad para que transfiera fondos o actualice los detalles de depósito directo. El Centro de Denuncias de Delitos en Internet del FBI atribuyó más de 2.700 millones de dólares en pérdidas reportadas al BEC en un solo año reciente, de un total de 16.600 millones en pérdidas totales reportadas por ciberdelitos — y el BEC es exactamente la categoría donde la cobertura del ciberseguro se vuelve complicada, como veremos a continuación.
Lo que realmente paga una póliza
El ciberseguro se divide en dos mitades, y entender esta división explica por qué las primas varían tanto y por qué la póliza más barata suele ser la incorrecta.
La cobertura de primera parte paga los costos directos de tu propio negocio después de un incidente: investigación forense para determinar qué sucedió, restauración de datos, reparación de sistemas, pérdida de ingresos por interrupción del negocio mientras los sistemas están inactivos, notificación al cliente y monitoreo de crédito si se expusieron datos personales, relaciones públicas de crisis, y —si optas por pagar— demandas de rescate por ransomware.
La cobertura de tercera parte paga cuando otra persona te demanda porque tu violación expuso sus datos o perjudicó su negocio: costos de defensa legal, acuerdos, multas y sanciones regulatorias (cuando sean asegurables), y el costo de que un cliente o proveedor alegue que tu negligencia les causó daño financiero.
La mayoría de las pólizas para pequeñas empresas combinan ambas, pero el equilibrio cambia según lo que realmente almacenes. Un negocio que guarda datos de tarjetas de pago de clientes, información de salud o números de Seguro Social necesita una sólida cobertura de tercera parte porque ahí se concentran las demandas y la exposición regulatoria. Un negocio que principalmente necesita mantener sus propias operaciones en funcionamiento —un contratista, un pequeño fabricante, un consultorio profesional con poca exposición de datos— se apoya más en el lado de primera parte: restaurar los sistemas y cubrir los ingresos perdidos mientras están inactivos.
Lo que realmente cuesta en 2026
Las primas se han estabilizado después de varios años de fuertes aumentos, y el mercado se ha vuelto significativamente más accesible para las pequeñas empresas con prácticas de seguridad razonables implementadas. Los precios actuales para una pequeña empresa:
- Rango típico: aproximadamente de 400 a 1.600 dólares al año por una póliza con un límite agregado de 1 millón de dólares, con una mediana común alrededor de 130 a 145 dólares al mes.
- Rango más amplio: las empresas en categorías de alto riesgo (tecnología, atención médica, servicios financieros, cualquiera que almacene datos significativos de clientes) pueden ver primas muy por encima de 2.000 a 5.000 dólares anuales, mientras que los negocios de servicios y comercio minorista de menor riesgo a menudo se sitúan en el extremo inferior del rango.
- Los mayores factores de costo: la industria (las empresas de tecnología y TI pagan aproximadamente un 88% más que el promedio nacional; los negocios de recreación y con baja exposición de datos pagan aproximadamente un 38% menos), el volumen y la sensibilidad de los datos que almacenas, tus ingresos y, cada vez más, si puedes demostrar controles de seguridad básicos como la autenticación multifactor (MFA), la protección de endpoints y las copias de seguridad periódicas.
Ese último punto importa más en cada ciclo de renovación. Las aseguradoras han endurecido la suscripción después de años de pérdidas por ransomware, y la MFA específicamente ha pasado de ser una pregunta "agradable de tener" en la solicitud a un requisito estricto para la cobertura en la mayoría de las aseguradoras. Si no puedes marcar esa casilla, espera una prima más alta, una exclusión de cobertura por la brecha, o una solicitud rechazada directamente.
Dónde se deniegan realmente las reclamaciones
La prima es la parte fácil. La parte que determina si la póliza realmente te ayudará cuando la necesites son las exclusiones y los sublímites, y aquí es donde muchos propietarios de pequeñas empresas descubren, en medio de una crisis, que su "póliza de un millón de dólares" no cubre la pérdida que acaban de sufrir.
Sublímites de ingeniería social y BEC. Esta es la brecha más común. Muchas pólizas limitan silenciosamente los pagos por pérdidas de ingeniería social y fraude de transferencias —el escenario exacto de BEC descrito anteriormente— a 25.000 a 50.000 dólares, incluso cuando el límite principal de la póliza es de 1 millón de dólares o más. Si un estafador engaña a tu tenedor de libros para que transfiera 180.000 dólares a una cuenta de proveedor falsa, una póliza con un sublímite de ingeniería social de 25.000 dólares te deja cubriendo los otros 155.000 dólares por tu cuenta. Pregunta específicamente sobre este sublímite antes de comprar; rara vez se destaca en un resumen de cotización.
Requisitos de verificación mediante devolución de llamada. Algunos endosos de ingeniería social solo pagan si tu negocio ya había implementado un proceso de devolución de llamada o verificación dual para cambiar los detalles de pago, lo que significa que la reclamación puede ser denegada no porque el fraude no estuviera cubierto en principio, sino porque no puedes demostrar que seguiste el procedimiento de verificación requerido en el momento.
Requisitos de controles de seguridad. Si en tu solicitud indicaste que tenías MFA habilitada y una auditoría posterior al incidente muestra que no era así, las aseguradoras pueden denegar la reclamación por tergiversación. Esta es la categoría de denegación de reclamaciones que crece más rápido a medida que la suscripción se ha endurecido.
Demoras en la notificación. La mayoría de las pólizas requieren notificar a la aseguradora dentro de un plazo definido (a menudo de 30 a 60 días) desde el descubrimiento de un incidente. Esperar a ver si el problema "se resuelve solo" antes de llamar a tu aseguradora es una forma común —y totalmente evitable— de perder la cobertura.
Multas regulatorias y exclusiones por guerra. No todas las sanciones regulatorias son asegurables según la jurisdicción, y la mayoría de las pólizas excluyen las pérdidas relacionadas con incidentes cibernéticos patrocinados por el estado o "actos de guerra", una categoría que las aseguradoras han estado definiendo de manera más amplia desde 2022.
La conclusión práctica: no te limites a comparar las primas entre cotizaciones. Compara el sublímite de ingeniería social, los controles de seguridad específicos necesarios para mantener la póliza válida y el plazo de notificación de incidentes. Una póliza más barata con un sublímite de fraude de 25.000 dólares no es una mejor oferta que una ligeramente más cara con un sublímite de 250.000 dólares si el BEC es tu exposición realista.
Decidir si lo necesitas
El ciberseguro tiene más sentido cuando al menos una de estas situaciones se aplica a tu negocio: almacenas datos de pago o personales de clientes, manejas transferencias bancarias o cambios de pago por correo electrónico, perderías ingresos significativos aunque solo sea por uno o dos días de inactividad, o un gasto imprevisto de 100.000 dólares amenazaría genuinamente el negocio. Para una gran parte de las pequeñas empresas, eso es la mayor parte de la lista.
Si decides comprarlo, presupuestalo como lo harías con cualquier otro costo operativo fijo; y si decides no hacerlo, trata el gasto en prevención (MFA, copias de seguridad, capacitación de empleados sobre verificación de transferencias) como la alternativa de autoseguro, ya que cuesta una fracción de lo que cuesta la recuperación, independientemente de si existe una póliza.
Mantén tu riesgo visible en tus libros
Ya sea que tengas una póliza o no, las empresas que se recuperan más rápido de un incidente cibernético son las que pueden responder de inmediato "¿cuánto nos costó esto y qué está cubierto?". Eso comienza con registros financieros limpios y actualizados: conocer tu posición de efectivo, tus cuentas por pagar pendientes y exactamente qué transacciones se movieron antes y después de un incidente. Beancount.io te brinda contabilidad en texto plano y control de versiones con un registro de auditoría completo, de modo que si alguna vez necesitas documentar una pérdida para una reclamación de seguro o simplemente entender el daño, los números ya están ahí. Comienza gratis y mantén tus registros financieros tan auditables como deberían ser tus registros de seguridad.