Un nuevo mundo digital y conectado
La Jornada de C&P Abogados se centró en el mercado de los ciberseguros y su potencial de crecimiento a medio y largo plazo. El bufete también trató de arrojar algo de luz sobre algunos de los asuntos que despiertan más dudas en torno a las pólizas de ciberriesgos, como la cobertura silenciosa o las exclusiones por actos de guerra o terrorismo.
“Nuestra vida ha dado un cambio radical y nos ha hecho más dependientes de la tecnología e internet. Esto provoca un riesgo y una exposición mucho mayor que la que teníamos”, declaraba Jesús Sánchez Campos, socio director de C&P Abogados, en la apertura. Explicó que este aumento del riesgo ha quedado demostrado en ataques como los que han sufrido el SEPE, Colonial Pipeline o The Phone House, que ponen de manifiesto el alcance e impacto de los incidentes cibernéticos. “Todos ellos tienen un denominador común: son ataques ransomware”, anotaba. No en vano, reseñó que el número de ataques ransomware ocurridos en el último trimestre de 2020 fue un 486% superior al registrado el primer trimestre 2018. “El ciberseguro tiene que adaptarse a estos tiempos y acometer una transformación”, declaraba.
Además, apuntó algunos datos que muestran la relevancia del mercado de los ciberseguros y el potencial de crecimiento que ofrece a medio y largo plazo. Así, indicó que el mercado mundial de pólizas de ciberriesgos alcanzó un valor de 7.800 millones de dólares en primas en 2020. Aunque su penetración en España todavía es reducida, captando alrededor de 50 millones. En cualquier caso, remarcó que este mercado crecerá significativamente, con incrementos interanuales en torno al 20%. Se pronostica que alcanzará un valor de 20.400 millones de dólares en primas en 2025.
Este incremento se verá impulsado por la evolución de diversos factores, como el desarrollo de tecnologías como el internet de las cosas, el internet de las personas, la Inteligencia Artificial, el machine learning o la adopción masiva de la nube. “Esto va a obligar a actualizar tanto en la estrategia de ciberseguridad como el ciberseguro”, manifestaba.
Por último, abordó las novedades normativas, centrándose en la Directiva NIS, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información de la Unión Europea, desarrollada reglamentariamente en nuestro país a través del Real Decreto-Ley 12/2018 y el Real Decreto 43/2021.
Cobertura silenciosa
Emilio Sánchez Pintado, responsable del Departamento de Ciberriesgos del despacho, se detuvo en algunas de las lagunas que están surgiendo en el ámbito de los ciberseguros, como resultado de la síntesis que se está produciendo entre realidad física y mundo virtual. Como resultado de este proceso de integración, surgen problemas en torno a las pólizas de ciberseguridad. La cobertura silenciosa es uno de ellos. “Son pólizas en las que no se incluye la cobertura ‘ciber’, pero en las que tampoco hay ninguna exclusión respecto a los riesgos que puedan provenir del mundo cibernético. Esto causa problemas, sobre todo, en pólizas de Daños Materiales y de RC, porque los aseguradores, involuntariamente, pueden estar asegurando riesgos que no querrían”.
Para evitar esta circunstancia, recomendó definir y delimitar con precisión el riesgo cibernético, para poder excluir con claridad su cobertura. En caso de que el asegurador desee cubrir este tipo de riesgos, aconsejó una fórmula combinada, incluyendo los ciberriesgos como una ampliación de cobertura en las pólizas tradicionales, delimitando de forma precisa las coberturas de daños por incidentes cibernéticos, evitando lagunas.
Emilio Sánchez Pintado: “es recomendable definir y delimitar con precisión el riesgo cibernético, para poder excluir con claridad su cobertura”
Otro punto conflictivo de los ciberseguros son las posibles exclusiones por actos de guerra o terrorismo. “Los Estados son actores prominentes del cibercrimen mundial. Estos ciberataques, cada vez más numerosos, antes eran considerados ‘guerra suave’, pero cada vez causan más daño. Esto está llevando a valorar que los ciberataques puedan ser considerados actos de guerra”, explicaba.
Sin embargo, “guerra no es el término más adecuado” para este tipo de incidentes, puesto que no se encuentra una analogía exacta en el ámbito cibernético. Por ello, aconsejó modificar estas exclusiones en el clausulado de las pólizas, para evitar resolver el problema en los tribunales.
Incidió en que “litigar sobre conceptos que no son idóneos y que pueden ser vagos no es lo mejor”. Además, recordó que, si se aplica la exclusión por actos de guerra o terrorismo, la carga de la prueba corre a cargo de la aseguradora, siendo difícil demostrar la vinculación entre el ataque y el Estado que se supone está detrás, pues ninguno ha reconocido los ataques. Advirtió que la interpretación en los tribunales favorecerá a la parte que no ha redactado la póliza.
Concluyó abogando por crear una nueva exclusión de riesgos catastróficos, donde se incorpore este tipo de incidentes. I