Peritación digital: cuándo actúa y cómo se factura

La peritación digital es una pieza esencial del seguro de ciberseguridad cuando un incidente afecta a sistemas, datos, operaciones o reputación. El perito analiza qué ocurrió, cuánto daño causó y qué gastos pueden indemnizarse. También ayuda a separar los costes cubiertos de los que corresponden a decisiones internas, exclusiones contractuales o incumplimientos de las obligaciones de la póliza.

Qué es la peritación digital en un seguro de ciberseguridad

La peritación digital es el proceso técnico, económico y documental mediante el que se investiga un incidente informático y se valoran sus consecuencias. Puede intervenir después de un ransomware, una intrusión, una filtración de datos, un fraude electrónico, una interrupción de actividad o cualquier otro evento contemplado en la póliza.

Su finalidad no consiste únicamente en descubrir quién atacó a la empresa. En el contexto asegurador, el perito debe responder a varias preguntas:

• ¿Qué sucedió y cuándo comenzó?
• ¿Qué sistemas, cuentas o datos resultaron afectados?
• ¿Cuál fue la causa probable del incidente?
• ¿Qué medidas se adoptaron para contenerlo?
• ¿Qué daños directos e indirectos se produjeron?
• ¿Qué gastos son razonables, necesarios y están cubiertos?
• ¿Se cumplieron las obligaciones de seguridad declaradas al contratar?
• ¿Existe responsabilidad de terceros o posibilidad de recuperar parte del perjuicio?

La peritación suele coordinarse con otros especialistas: equipos de respuesta a incidentes, abogados, expertos en protección de datos, contables forenses y proveedores de recuperación tecnológica. Cada profesional aporta una perspectiva distinta. El investigador técnico examina evidencias; el abogado valora las obligaciones legales; el contable calcula las pérdidas; y el perito de seguros conecta todo ello con las condiciones de la póliza.

Por tanto, la peritación digital no equivale a una auditoría de ciberseguridad. Una auditoría busca conocer el nivel general de protección de una organización. La peritación, en cambio, se activa normalmente ante un siniestro y analiza un hecho concreto para determinar cobertura, alcance y cuantía indemnizable.

Cuándo actúa el perito digital

Tras la comunicación de un incidente

La actuación comienza habitualmente cuando el asegurado comunica a la compañía que ha sufrido un posible siniestro. Algunas pólizas ofrecen una línea de asistencia disponible las 24 horas y permiten contactar directamente con una central de respuesta. Otras exigen comunicar el incidente al mediador, al departamento de siniestros o a un proveedor designado.

La rapidez es especialmente importante en los incidentes digitales. Los registros pueden sobrescribirse, los atacantes pueden mantener accesos activos y una decisión precipitada puede destruir evidencias. Por eso, la aseguradora puede asignar un coordinador de incidente que determine qué especialistas deben intervenir y en qué orden.

La primera valoración suele ser urgente y preliminar. No pretende fijar todavía la indemnización definitiva, sino establecer el nivel de gravedad, contener el daño y decidir si existe una situación cubierta por la póliza.

Cuando existe una sospecha de ataque o acceso no autorizado

No es necesario esperar a conocer todos los detalles para solicitar asistencia. Una alerta de acceso anómalo, una cuenta comprometida, la aparición de malware o un mensaje de extorsión pueden justificar la intervención inicial. De hecho, la detección temprana permite reducir las pérdidas y demostrar que la empresa actuó con diligencia.

En esta fase, el perito o el equipo técnico puede revisar:

• Registros de autenticación y actividad de usuarios.
• Conexiones remotas y accesos desde ubicaciones inusuales.
• Cambios en permisos, reglas de correo o configuraciones críticas.
• Alertas del antivirus, sistema EDR, cortafuegos o herramientas de monitorización.
• Indicadores de cifrado, exfiltración o destrucción de información.
• Copias de seguridad, fechas de restauración y disponibilidad de los sistemas.

La actuación puede concluir que se trataba de un falso positivo, pero esa conclusión también debe documentarse. El tiempo dedicado a analizar el aviso y las medidas de comprobación pueden tener un tratamiento específico según la póliza y el proveedor contratado.

Durante un ransomware o una interrupción de actividad

El ransomware es uno de los supuestos más frecuentes. El ataque puede impedir el acceso a servidores, estaciones de trabajo, aplicaciones empresariales o copias de seguridad. En ese contexto, la peritación se desarrolla de forma paralela a la respuesta urgente.

Primero se intenta contener la propagación y preservar las evidencias. Después se determina si es posible recuperar la actividad mediante copias de seguridad, sistemas alternativos o reconstrucción de entornos. El perito analiza también la duración real de la interrupción y distingue entre la pérdida de ingresos, los gastos extraordinarios y los costes que no guardan una relación directa con el siniestro.

La eventual negociación con un extorsionador requiere especial cautela. No debe realizarse sin asesoramiento jurídico, técnico y de cumplimiento normativo. El pago de un rescate puede estar restringido por sanciones internacionales, legislación aplicable o condiciones de la póliza. Además, no garantiza la recuperación de la información ni impide nuevas exigencias.

Cuando se produce una filtración de datos

Si existe sospecha de exposición de datos personales, información financiera, secretos comerciales o credenciales, el perito trabaja junto con asesores legales y especialistas en privacidad. El objetivo es determinar qué información salió del entorno de la empresa, a quién podía afectar y durante qué periodo estuvo accesible.

Esta investigación resulta relevante para valorar los costes de notificación, atención a afectados, monitorización de identidad, defensa jurídica y posibles reclamaciones de terceros. La obligación de comunicar una brecha a la autoridad de control o a las personas afectadas dependerá de la normativa aplicable y de las circunstancias concretas. La existencia de un seguro no sustituye las obligaciones legales de la empresa.

Qué funciones desempeña durante el siniestro

Reconstruir la cronología del incidente

Una de las tareas principales consiste en establecer una línea temporal fiable. El análisis puede empezar con el primer acceso del atacante, continuar con la escalada de privilegios y finalizar con el cifrado, la extracción de datos o la interrupción del servicio.

La cronología se construye a partir de registros de servidores, herramientas de seguridad, correos electrónicos, información de proveedores, declaraciones de empleados y marcas temporales de los archivos. Las diferencias horarias entre sistemas, los registros incompletos y la eliminación deliberada de evidencias pueden dificultar el trabajo.

Una línea temporal sólida ayuda a decidir si el daño está relacionado con el evento comunicado y permite identificar posibles incumplimientos, como la falta de aplicación de un parche crítico o el uso continuado de una cuenta comprometida.

Preservar y analizar evidencias

La evidencia digital debe recopilarse de manera que conserve su integridad. Según el caso, puede ser necesario realizar imágenes forenses de discos, exportar registros, calcular funciones hash, documentar la cadena de custodia y limitar el acceso a la información sensible.

La preservación es importante por dos motivos. En primer lugar, permite entender el incidente y recuperar los sistemas de forma segura. En segundo lugar, puede resultar necesaria para reclamar frente a un proveedor, iniciar acciones legales o responder a una controversia sobre la cobertura.

La empresa debe evitar acciones que alteren innecesariamente el entorno. Apagar un equipo, reinstalarlo o borrar archivos sospechosos puede eliminar datos útiles. Sin embargo, la protección de la actividad empresarial y de la información de terceros también es prioritaria. Por eso, las decisiones deben tomarse con instrucciones del equipo de respuesta y quedar registradas.

Valorar los daños y los gastos

La valoración económica es una de las partes más complejas. El perito debe relacionar cada importe con el incidente, comprobar que el gasto fue necesario y determinar si se encuentra dentro de los límites, franquicias y sublímites de la póliza.

Entre las partidas que pueden analizarse se encuentran:

• Servicios de investigación forense y respuesta a incidentes.
• Recuperación, reconstrucción o sustitución de sistemas.
• Horas extraordinarias del personal interno.
• Contratación de especialistas externos.
• Gastos de comunicación y notificación a afectados.
• Asesoramiento jurídico y regulatorio.
• Restauración de datos y recuperación de copias de seguridad.
• Alquiler temporal de equipos, servidores o espacios de trabajo.
• Pérdida de beneficios o margen durante la interrupción.
• Costes de relaciones públicas y gestión de crisis, si están contemplados.
• Reclamaciones de clientes, proveedores u otros terceros.

No todo gasto relacionado temporalmente con el incidente es automáticamente indemnizable. Por ejemplo, una renovación completa de la infraestructura puede mejorar la seguridad futura, pero quizá solo sea cubierta la parte estrictamente necesaria para devolver la empresa a la situación anterior al siniestro.

Cómo se factura la peritación digital

Facturación a cargo de la aseguradora

En muchas pólizas de ciberseguridad, la compañía asume directamente el coste de determinados servicios de respuesta. Esto puede incluir la investigación forense inicial, la contención, la recuperación urgente o la asesoría legal asociada a una brecha. En esos casos, el proveedor factura a la aseguradora, aunque el asegurado debe colaborar y facilitar la información necesaria.

Esta modalidad suele estar sujeta a una red de profesionales autorizados. Si la empresa contrata por su cuenta a un proveedor no aprobado, la compañía puede cuestionar el reembolso, salvo que exista una situación de urgencia, imposibilidad de contacto o autorización posterior.

La póliza puede establecer un límite global para los gastos de respuesta. También puede distribuir el capital entre varias garantías: investigación, interrupción de negocio, responsabilidad frente a terceros, recuperación de datos y gestión de crisis. El hecho de que exista capital disponible para una cobertura no significa que pueda utilizarse libremente en otra.

Facturación por horas, por proyecto o mediante tarifa fija

Los servicios de peritación pueden facturarse de distintas formas. La más habitual en investigaciones complejas es la tarifa por horas, diferenciando perfiles y niveles de especialización. Un investigador sénior, un analista, un técnico de recuperación y un director de proyecto pueden tener precios distintos.

También existen presupuestos cerrados para actuaciones concretas, como una revisión inicial, un informe de afectación o la recuperación de un número determinado de equipos. En otros casos se pacta una tarifa diaria, un importe por sistema analizado o una combinación de fijo más variables.

Antes de comenzar, conviene solicitar información sobre:

• Precio por hora o por jornada de cada perfil.
• Mínimos de facturación y tiempos de desplazamiento.
• Recargos por noches, fines de semana o festivos.
• Costes de herramientas, licencias, laboratorio y almacenamiento.
• Gastos de viaje, alojamiento y dietas.
• Impuestos aplicables.
• Alcance del informe final y número de reuniones incluidas.
• Procedimiento para autorizar trabajos adicionales.

Facturación directa al asegurado y posterior reembolso

En ocasiones, el proveedor factura a la empresa y esta solicita después el reembolso. Es una práctica habitual cuando el asegurado ya tiene contratado un equipo de confianza o cuando la urgencia impide esperar a la autorización formal. Para reducir riesgos, debe conservarse la evidencia de la comunicación realizada a la compañía, las instrucciones recibidas y la justificación de la necesidad inmediata.

La factura debe ser suficientemente detallada. Una descripción genérica como “servicios informáticos” puede dificultar la revisión. Es preferible que indique las fechas, los profesionales, las horas, las tareas ejecutadas, los sistemas afectados y la relación con el incidente comunicado.

La aseguradora puede pagar el importe cubierto y dejar a cargo del asegurado la franquicia, los impuestos no recuperables, los conceptos excluidos o el exceso sobre los límites contratados.

Anticipos, reservas y ampliaciones

En siniestros de gran tamaño, el proveedor puede solicitar un anticipo o una provisión de fondos. La aseguradora puede autorizarlo dentro de la cobertura, pero esa autorización no siempre equivale a aceptar definitivamente toda la responsabilidad del siniestro. Es posible que el pago se haga “a cuenta” mientras continúa la investigación.

Si el incidente se prolonga, deben aprobarse las ampliaciones de alcance. La empresa no debería asumir que todas las horas posteriores están cubiertas por el primer encargo. Una autorización inicial para contener el ataque puede no incluir una investigación histórica, un litigio, una reconstrucción completa o una auditoría posterior.

Qué documentos necesita el perito

La calidad de la documentación influye directamente en la rapidez de la peritación. La empresa debe reunir, en la medida de lo posible, la póliza y sus suplementos, el parte de siniestro, las comunicaciones con la aseguradora y los contratos con los proveedores tecnológicos.

También pueden solicitarse:

• Facturas y presupuestos relacionados con la respuesta.
• Registros de actividad, alertas y copias de seguridad.
• Inventario de equipos, aplicaciones y datos afectados.
• Informes de proveedores de alojamiento, nube o telecomunicaciones.
• Pruebas de la pérdida de ingresos y pedidos no atendidos.
• Costes salariales y horas extraordinarias.
• Reclamaciones recibidas de clientes o socios.
• Pruebas de notificaciones a autoridades o interesados.
• Políticas internas de seguridad y formación de empleados.

La información debe compartirse siguiendo criterios de necesidad y confidencialidad. Es aconsejable designar a una persona responsable de centralizar las comunicaciones y evitar que diferentes empleados proporcionen versiones contradictorias o remitan documentos sin control.

Qué puede provocar una discusión sobre la factura

Trabajos no autorizados

Una de las causas más frecuentes de conflicto es la realización de tareas adicionales sin aprobación. Aunque la actuación pueda ser técnicamente útil, la aseguradora puede considerar que excede el alcance autorizado o que no era urgente. La solución consiste en documentar por escrito cada ampliación y explicar sus motivos.

Falta de relación con el siniestro

La peritación debe distinguir entre la reparación del daño y la mejora estructural. Cambiar todos los equipos antiguos por modelos nuevos, implantar una plataforma avanzada o migrar toda la infraestructura puede exceder la reparación necesaria. La póliza suele cubrir la restauración razonable, no necesariamente la modernización completa de la empresa.

Incumplimiento de medidas de seguridad declaradas

Al contratar, el tomador puede haber declarado que utiliza autenticación multifactor, copias de seguridad desconectadas, sistemas actualizados o controles de acceso concretos. Si después se comprueba que esas medidas no existían o no se aplicaban, la compañía puede analizar si el incumplimiento influyó en el siniestro.

Las consecuencias dependen del contrato y de la legislación aplicable. Pueden incluir una reducción de la indemnización, una exclusión o una discusión sobre la validez de la cobertura. No obstante, no todo fallo operativo implica automáticamente la pérdida del seguro. El análisis debe atender a la declaración realizada, la importancia de la medida y su relación causal con el daño.

Costes internos mal justificados

Las horas del personal propio suelen requerir una metodología clara. No basta con afirmar que varios empleados estuvieron ocupados durante una semana. Es necesario identificar a cada persona, sus funciones, el tiempo dedicado, el coste utilizado y las tareas vinculadas directamente con el incidente.

En la interrupción de negocio, además, deben acreditarse los ingresos que razonablemente se habrían obtenido, los gastos que se evitaron y el periodo indemnizable. La contabilidad, los datos históricos y la evolución del mercado ayudan a calcular una pérdida realista.

Cómo preparar una peritación eficiente

La empresa puede mejorar el proceso si actúa con orden desde el primer momento. Debe comunicar el incidente dentro del plazo previsto, seguir las instrucciones de la aseguradora y conservar una copia de todas las comunicaciones. La notificación inicial debe ser clara, aunque todavía no se conozca el alcance definitivo.

Es recomendable crear un expediente interno con:

• Una cronología actualizada de los hechos.
• El nombre de las personas que toman decisiones.
• Las acciones de contención y recuperación.
• Las autorizaciones de la aseguradora.
• Los presupuestos, pedidos y facturas.
• Las horas dedicadas por personal interno y externo.
• Las comunicaciones con clientes, proveedores y autoridades.

La organización debe evitar especular sobre la causa o atribuir públicamente el ataque antes de contar con evidencias. También debe limitar la difusión de información sensible y coordinar cualquier comunicación externa con los responsables legales y de crisis.

Si el siniestro es importante, puede ser conveniente que el asegurado cuente con un asesor independiente que revise la valoración. Este profesional puede ayudar a interpretar las garantías, comprobar los cálculos de lucro cesante y presentar documentación adicional. Su coste no siempre está cubierto, por lo que debe consultarse previamente la póliza.

La diferencia entre perito de la aseguradora y perito del asegurado

El perito designado por la aseguradora actúa para investigar y valorar el siniestro conforme al contrato. Su función no es necesariamente defender los intereses económicos del asegurado, aunque debe realizar un análisis técnico objetivo y documentado.

El perito del asegurado, cuando se contrata, asesora a la empresa en la preparación de la reclamación. Puede revisar las coberturas, discutir la cuantificación, identificar partidas omitidas y negociar con la compañía. Su remuneración puede consistir en una tarifa fija, por horas o, en algunos mercados y supuestos, en un porcentaje de la indemnización. Las condiciones deben quedar por escrito.

Contratar un perito independiente puede tener sentido cuando existe una interrupción prolongada, numerosos proveedores, daños económicos elevados o desacuerdo sobre la cobertura. En incidentes pequeños y claramente cubiertos, quizá sea suficiente con la asistencia incluida en la póliza.

Qué debe comprobar una empresa al contratar la póliza

La mejor forma de evitar sorpresas en la facturación es revisar las condiciones antes de que ocurra el incidente. No basta con conocer el capital asegurado. Hay que entender quién presta los servicios, qué gastos se pagan directamente, qué límites operan y qué autorizaciones son necesarias.

• Definición de incidente: debe indicar qué eventos activan la asistencia y la cobertura.
• Gastos de respuesta: conviene saber si incluyen forense, recuperación, abogados y comunicación.
• Red de proveedores: debe aclararse si es obligatorio utilizar profesionales designados.
• Límites y sublímites: algunas garantías tienen capitales independientes.
• Franquicia: puede aplicarse por siniestro o de forma distinta según la cobertura.
• Interrupción de negocio: hay que revisar el periodo de carencia, la duración máxima y el método de cálculo.
• Obligaciones de seguridad: las respuestas del cuestionario deben ser exactas y mantenerse actualizadas.
• Plazos de comunicación: un retraso injustificado puede complicar la gestión del siniestro.
• Costes de mejora: conviene distinguir entre recuperar sistemas y elevar su nivel de protección.

También es útil preguntar qué ocurre si la empresa necesita actuar antes de recibir autorización, qué documentación exige la compañía y cómo se gestionan los gastos urgentes fuera del horario habitual.

Una factura clara protege a todas las partes

La peritación digital conecta la investigación técnica con la decisión aseguradora. Su eficacia depende de la rapidez de la respuesta, de la conservación de evidencias y de una valoración económica trazable. La factura, por su parte, debe permitir entender qué se hizo, quién lo hizo, cuánto tiempo requirió y por qué era necesario.

Para el asegurado, una documentación ordenada facilita el reembolso y reduce discusiones. Para la aseguradora, permite comprobar la cobertura y controlar los límites. Para el proveedor, evita confusiones sobre el alcance del encargo y las tareas adicionales.

En definitiva, el perito actúa cuando existe un posible siniestro digital y su intervención puede mantenerse desde la detección hasta el cierre económico y técnico. Se factura según lo establecido en la póliza y en el encargo profesional: directamente a la compañía, al asegurado con posterior reembolso o mediante una combinación de ambas fórmulas. Revisar las condiciones, pedir autorizaciones por escrito y conservar pruebas son las medidas más eficaces para que la peritación sea rápida, justificable y coherente con la cobertura contratada.