Ciberseguridad: la Nueva Prioridad del Directorio Empresarial
Durante años, la ciberseguridad se discutió casi exclusivamente en el lenguaje de la tecnología: firewalls, parches, autenticación de dos factores. Hoy esa conversación ha subido de piso, del área de sistemas al directorio, porque un ciberataque ya no se mide solo en horas de sistema caído. Se mide en obligaciones legales incumplidas, en continuidad del negocio interrumpida y, en algunos casos, en la responsabilidad personal de quienes toman las decisiones.
» La ciberseguridad dejó de ser un asunto exclusivo del área de TI: hoy es una decisión de gobierno corporativo, con impacto directo en el balance y en la responsabilidad de quienes dirigen la empresa. «
Un riesgo que ya se puede medir
Durante mucho tiempo, hablar de riesgo cibernético era hablar de algo hipotético. Ya no. Según el informe Cost of a Data Breach 2025 de IBM y el Ponemon Institute, el costo promedio de una brecha de datos en América Latina alcanzó los USD 3.81 millones, una cifra que incluye contención del incidente, notificación, pérdida de negocio y sanciones. Para una empresa mediana, ese número puede representar meses de utilidad. Y ese costo no aparece de golpe: se acumula entre el momento en que ocurre el ciberataque y el momento en que la empresa logra contenerlo, un período durante el cual la operación, la reputación y las relaciones contractuales con clientes y proveedores quedan expuestas.
Minería, construcción y agroindustria, comparten un factor que amplía esta exposición: dependen de cadenas de proveedores y contratistas que no siempre manejan los mismos estándares de seguridad de la información que la empresa principal. Un ciberataque no siempre entra por la puerta principal; con frecuencia entra por el proveedor que gestiona la facturación o por el sistema remoto que monitorea una planta o un yacimiento. Una adecuada gestión de riesgos ya no puede limitarse a la propia red: debe extenderse a todo el ecosistema con el que la empresa opera.
- LEE TAMBIÉN: Lecciones del hackeo a Interbank: Seguro cibernético
El marco legal peruano en materia de protección de datos
En noviembre de 2024 se publicó el Decreto Supremo N.º 016-2024-JUS, que aprueba el nuevo reglamento de la Ley N.º 29733, Ley de Protección de Datos Personales, vigente desde marzo de 2025. Entre sus principales novedades, el reglamento establece que toda organización debe notificar a la Autoridad Nacional de Protección de Datos Personales los incidentes de seguridad que comprometan datos personales dentro de las 48 horas siguientes a tomar conocimiento de ellos, y comunicar directamente a los titulares afectados dentro del mismo plazo cuando el incidente pueda impactar sus derechos. También exige documentar cada incidente y, en determinados supuestos, designar a un Oficial de Datos Personales. El incumplimiento de estas obligaciones puede calificar como infracción grave o muy grave, con las sanciones económicas correspondientes.
Este marco no sustituye a la ciberseguridad técnica; la complementa con un componente de cumplimiento normativo que tiene plazos concretos y consecuencias administrativas concretas. Adicionalmente, en el caso de entidades supervisadas por la Superintendencia de Banca, Seguros y AFP, existen exigencias propias de gestión de riesgo cibernético que, en la práctica, muchas de ellas trasladan por vía contractual a sus proveedores. Esto significa que una empresa puede verse sujeta a estándares de ciberseguridad más exigentes que los que la ley le impone directamente, simplemente por ser proveedora o contraparte de una entidad financiera.
La responsabilidad de directores y gerentes
El deber de diligencia previsto en la Ley General de Sociedades exige a los directores actuar con la diligencia de un ordenado comerciante y de un representante leal. Frente a un ciberataque, ese estándar puede traducirse en preguntas muy concretas: ¿el directorio conocía los riesgos cibernéticos de la empresa?, ¿destinó recursos razonables a mitigarlos?, ¿actuó con oportunidad ante señales de alerta? Cuando la respuesta es insuficiente, la exposición ya no es solo de la empresa, sino también de quienes la dirigen.
Es en este punto donde el seguro cibernético y el seguro de Responsabilidad Civil de Directores y Gerentes (D&O) dejan de ser dos pólizas independientes y pasan a ser parte de una misma estrategia de gobierno corporativo. Revisar ambas coberturas en conjunto permite evitar zonas grises sobre quién responde —la empresa o sus directivos a título personal— cuando un incidente cibernético deriva en un reclamo de accionistas, clientes o terceros.
Por qué una póliza cibernética es parte de la gestión de riesgos
Un seguro cibernético bien estructurada no se limita a la recuperación de datos. Tres elementos explican por qué se ha vuelto central en la protección de las empresas modernas.
El primero es la continuidad del negocio: cuando un ciberataque paraliza la operación, la póliza responde por la pérdida de ingresos durante el tiempo de inactividad, incluso cuando el origen del problema está en un proveedor tecnológico crítico y no en los propios sistemas de la empresa.
El segundo es la responsabilidad frente a terceros: clientes, proveedores y reguladores pueden exigir explicaciones y compensaciones cuando sus datos se ven comprometidos, y esta cobertura respalda tanto la defensa legal como los costos de notificación que exige hoy la normativa peruana.
El tercero es el fraude por engaño digital: transferencias de fondos realizadas por error humano inducido, como el correo que suplanta a un proveedor o a un gerente para solicitar un pago urgente. Este riesgo, cada vez más frecuente, suele quedar fuera de las pólizas de fraude tradicionales, precisamente porque no involucra un robo en sentido clásico sino un engaño.
Estos tres elementos explican por qué el seguro cibernético debe revisarse como parte de la arquitectura completa de seguros de la empresa, y no como una cobertura aislada que se contrata solo para cumplir con la ley.
Reflexión final
La ciberseguridad y el seguro cibernético que la respalda ya no son un tema exclusivo del área de tecnología ni una casilla más de cumplimiento corporativo. Son, cada vez más, un indicador de qué tan preparada está una empresa para operar en un entorno donde el riesgo empresarial no depende solo de sus propios sistemas, sino de todo el ecosistema con el que trabaja y del marco legal que la regula. En PRADO Insurance Group acompañamos a nuestros clientes a evaluar esa exposición de manera integral, legal, técnica y financiera para que la decisión de protegerse llegue antes del ciberataque, y no después.
Proteje tu organización con los seguros adecuados.
Para obtener más información, ponte en contacto con un representate de PRADO.
