Qué cubre un seguro de ciberriesgos en México, y qué no

Un seguro de ciberriesgos en México se vende con varios nombres: seguro cibernético, de riesgos cibernéticos, de protección de datos, cyber. Detrás de casi todos hay la misma estructura: unas coberturas que se parecen mucho entre pólizas y una lista de exclusiones donde de verdad se separan.

El 13 de octubre de 2026 buscamos «ciber» y «cyber» en el Registro de Contratos de Adhesión de Seguros (RECAS) de la CONDUSEF y salieron 13 registros distintos, algunos de ellos paquetes con otros seguros. Leímos las condiciones generales de nueve seguros cibernéticos. Esta guía cuenta qué cubren, qué dejan fuera y cómo comparar dos ofertas sin ser agente de seguros.

Dónde se leen las condiciones antes de firmar

Las aseguradoras registran sus productos ante la Comisión Nacional de Seguros y Fianzas. El artículo 204 de la Ley de Instituciones de Seguros y de Fianzas las obliga además a mandar a la CONDUSEF la documentación de los productos que se contratan con contratos de adhesión, para que el público la consulte.

Eso es el RECAS. De cada producto puedes bajar los documentos registrados: la carátula, las condiciones generales, la solicitud y, en muchos, el folleto de derechos básicos. La mayoría de estos seguros aparece en el ramo Diversos misceláneos, tipo «Riesgos cibernéticos», y algunos en Responsabilidad civil.

Una advertencia del propio registro: inscribir un contrato no implica que la CONDUSEF lo haya revisado. Las condiciones las lees tú.

Qué cubre un seguro de ciberriesgos

Con nombres distintos, las coberturas se agrupan en cinco bloques. Cada póliza contrata unos y otros no, y cada uno lleva su límite.

Respuesta al incidente. Es lo que se usa la primera hora. Una de las condiciones que leímos, por ejemplo, paga a un experto informático para investigar y contener el incidente, los gastos de cumplir las leyes de protección de datos tras una vulneración (como notificar a los afectados), un experto en relaciones públicas y la defensa legal ante la autoridad.

Restauración de datos. Recuperar y reconfigurar datos, software y sistemas. Ojo con la condición: en esa misma póliza se restaura a partir de la última copia de seguridad que hayas hecho.

Extorsión cibernética. El rescate y los gastos para terminar la extorsión. En esa póliza, sólo cuando la ley lo permite y con autorización previa y por escrito de la aseguradora.

Interrupción del negocio. Lo que dejas de ganar mientras tus sistemas están caídos. Aquí manda la letra chica: en una de las pólizas, el pago empieza después de un período de espera de 12 horas y dura como máximo 7 días.

Responsabilidad frente a terceros. Las reclamaciones de clientes o personas cuyos datos se expusieron. Otra de las condiciones incluye una cobertura específica para procedimientos de la LFPDPPP: multas y gastos de defensa.

Las exclusiones que se repiten

Esta es la parte que conviene leer con calma. Estas exclusiones aparecen en varias de las nueve condiciones que abrimos:

• Lo que ya conocías antes de contratar. Hechos o circunstancias existentes o descubiertos antes del inicio de vigencia.
• Fallas de infraestructura ajena. Al menos cuatro de las nueve excluyen las caídas de electricidad, telecomunicaciones o internet de proveedores que no controlas.
• Software ilegal, sin licencia o sin soporte del fabricante.
• Dolo o fraude del asegurado, de sus directivos o administradores.
• Guerra y operación cibernética.
• Daños a bienes físicos, y la infracción de propiedad intelectual.
• Mejoras. El seguro te deja como estabas antes del incidente, no con un sistema mejor.
• Multas, salvo las que la póliza acepta y que la ley permite asegurar.

Hay dos que pesan más de lo que parece.

La primera es la de estándares mínimos. Una de las pólizas excluye el incidente si no tenías antivirus activo, parches críticos al día dentro del mes y firewall en los accesos a internet. Con una salida: no aplica si demuestras que el incumplimiento no fue por dolo ni negligencia grave, o que no causó ni agravó el incidente. Lo que declaraste en la solicitud es lo que tienes que poder mantener. Lo explicamos en qué contestar sobre la IA en el cuestionario de ciberseguridad.

La segunda es la de datos personales. Una de las pólizas excluye el uso ilegal de información personal en incumplimiento de la LFPDPPP. Otra excluye la responsabilidad profesional: un error en tu asesoría no es un ciberataque, aunque el texto lo haya escrito una IA.

Lo que estas pólizas dicen de la inteligencia artificial

Nada. En las nueve condiciones generales y en las siete solicitudes que leímos, la expresión «inteligencia artificial» no aparece. Ni para cubrirla ni para excluirla.

Ese silencio no es una cobertura. Si alguien pega el expediente de un cliente en un chat y eso termina en una reclamación, la póliza se lee con sus definiciones de siempre: qué es un incidente, qué es una vulneración de datos, qué se excluye. Lo práctico es que el problema no empiece: que los datos del cliente no lleguen al chat.

Plazos que corren desde el primer día

La Ley sobre el Contrato de Seguro fija tres que conviene tener a mano:

• Aviso del siniestro (artículo 66). Máximo cinco días desde que lo conoces, salvo disposición en contrario, y por escrito si el contrato no dice otra cosa. Revisa si tu póliza pide antes.
• Aviso tardío (artículo 67). La aseguradora puede reducir el pago a lo que habría costado si avisabas a tiempo.
• Prescripción (artículo 81). Dos años para las acciones que salen del contrato, contados desde el hecho que les dio origen.

Y el reloj de la ley de datos corre aparte. El artículo 19 de la LFPDPPP pide informar de inmediato a las personas titulares cuando una vulneración afecta de forma significativa sus derechos.

Qué hacer paso a paso, si el incidente empezó en un chat de IA, está en vulneración de seguridad con IA.

Cómo comparar dos pólizas, en ocho preguntas

1. ¿Qué bloques de cobertura trae y con qué límite cada uno?
2. ¿Cubre multas y procedimientos de protección de datos, o sólo si la carátula lo dice?
3. ¿Cuánto es el deducible y cuál el período de espera de la interrupción del negocio?
4. ¿Exige estándares mínimos de seguridad? ¿Cuáles?
5. ¿Excluye las fallas de proveedores de internet o de nube?
6. ¿Desde cuándo cubre? ¿Hay fecha de retroactividad?
7. ¿Qué plazo y qué forma pide para avisar un siniestro?
8. ¿Tiene una línea de respuesta a incidentes y quién la atiende?

Con las condiciones generales de cada oferta bajadas del RECAS, las ocho se contestan en una tarde.

Lo que un seguro no hace por ti

Un seguro paga después. Lo que evita la reclamación pasa antes, en el día a día de tu equipo. Y si eres tú quien vende pólizas, mira cómo se trabajan la cotización y el siniestro en IA para agentes y brókers de seguros.

Nonimo es una app para Windows y Mac, con extensión para el navegador, que en tu computadora cambia por marcadores los nombres, los correos, la CURP, el RFC, y la fecha de nacimiento y el domicilio cuando van rotulados, antes de que el texto llegue a ChatGPT, Claude, Gemini o Copilot. La IA trabaja igual y los datos de tus clientes no salen de tu computadora. Para que esa regla quede por escrito, apóyate en la guía de política de uso de IA en empresas.

Fuentes

Todas consultadas el 13 de octubre de 2026.

• CONDUSEF, Registro de Contratos de Adhesión de Seguros (RECAS): condiciones generales de los registros CONDUSEF-003778-03, CONDUSEF-004528-02, CONDUSEF-004607-03, CONDUSEF-004824-01, CONDUSEF-004989-05, CONDUSEF-005140-05, CONDUSEF-006248-03, CONDUSEF-007026-02 y CONDUSEF-007154-03.
• Cámara de Diputados, Ley de Instituciones de Seguros y de Fianzas, artículos 202 y 204.
• Cámara de Diputados, Ley sobre el Contrato de Seguro, artículos 66, 67 y 81.
• Cámara de Diputados, Ley Federal de Protección de Datos Personales en Posesión de los Particulares, artículo 19.