Un cifrado inesperado un lunes por la mañana, un correo del DPO avisando de que hay datos personales expuestos y, dos semanas después, una carta de la Agencia Española de Protección de Datos abriendo procedimiento sancionador. Ese es el guion real que un ciberseguro tiene que soportar, no el folleto comercial. Y aquí es donde AXA Cyber Secure y Hiscox CyberClear juegan en ligas parecidas sobre el papel, pero con matices que cambian la decisión según quién firme.
Vaya por delante una aclaración incómoda: las sanciones administrativas de la AEPD no son asegurables en sí mismas cuando derivan de una infracción dolosa o muy grave imputable al asegurado. Lo que se asegura, cuando la ley lo permite, es la defensa jurídica frente al procedimiento y determinados costes asociados. Cualquier compañía que te venda "cubrimos la multa de la AEPD" sin matices está simplificando de más.
Qué está en juego cuando revienta la brecha
Una pyme española que sufre exfiltración de datos se enfrenta, en paralelo, a cuatro frentes: notificación a la AEPD en 72 horas (art. 33 RGPD), comunicación a afectados si el riesgo es alto, posible sanción administrativa y reclamaciones civiles de terceros. El ciberseguro serio cubre los cuatro. El malo cubre el forense y poco más.
AXA Cyber Secure: el enfoque asegurador clásico, con músculo español
AXA lleva años en el ramo de ciber en España a través de su red de mediadores y con respaldo de AXA XL para cuentas medianas y grandes. Su producto Cyber Secure está pensado para pyme y mid-market, con límites que arrancan en torno a los 100.000 € y escalan hasta varios millones según suscripción.
Lo que hace bien: gestión del siniestro con equipos locales, forense concertado con proveedores españoles y una defensa jurídica frente a AEPD que se activa desde la primera notificación de la Agencia. La coordinación con el DPO del asegurado, en la práctica, funciona sin fricción excesiva.
Lo que no me convence del todo: el clausulado de AXA es más restrictivo en ingeniería social pura (fraude del CEO sin intrusión técnica previa), donde suele exigir sublímites y verificación reforzada. Si tu perfil de riesgo es sobre todo estafa por email, no es su terreno más cómodo.
| Característica | AXA Cyber Secure |
|---|---|
| Capital asegurado orientativo | Desde 100.000 € hasta varios millones |
| Cobertura sanción AEPD | Defensa jurídica sí; multa solo en la parte legalmente asegurable |
| Gestión de brecha 24/7 | Sí, con proveedores forenses concertados en España |
| Ransomware / rescate | Incluido con sublímite y autorización previa |
| Ingeniería social | Sublímite específico, condiciones reforzadas |
| Franquicia orientativa | Desde 1.000 € (según capital y facturación) |
| Precio orientativo pyme | Desde 600-1.200 €/año para pyme estándar |
Hiscox CyberClear: especialista, ágil y con reputación en siniestros
Hiscox nació especialista en riesgos profesionales y cibernéticos, y eso se nota. CyberClear tiene un clausulado más amplio de origen en gestión de crisis: no solo forense, también comunicación de crisis, notificación a afectados y monitorización post-brecha incluidos sin discusión.
Lo que hace mejor que AXA: la respuesta en la primera hora. El servicio de asistencia cibernética atiende, activa forense y abre expediente en tiempos que, según mediadores que trabajan ambas casas, están claramente por debajo de la media del ramo. También es más generoso con la definición de "datos personales" a efectos de cobertura de notificación.
Lo que no le pongo tan alto: el precio. A igualdad de capital, Hiscox suele salir entre un 15% y un 25% más caro que AXA para la misma pyme. Y sus franquicias, en ransomware sobre todo, tienden a ser más altas. No es un seguro barato — es un seguro que se paga cuando pasa algo, y ahí devuelve el dinero. Antes, duele.
| Característica | Hiscox CyberClear |
|---|---|
| Capital asegurado orientativo | Desde 100.000 € hasta 5 millones en pyme |
| Cobertura sanción AEPD | Defensa jurídica robusta; multa en la parte asegurable, con clausulado amplio |
| Gestión de brecha 24/7 | Sí, respuesta rápida y coordinación de comunicación de crisis |
| Ransomware / rescate | Incluido, con negociador especializado |
| Ingeniería social | Cobertura más amplia que la media, con sublímite |
| Franquicia orientativa | Desde 1.500-2.500 € según cobertura |
| Precio orientativo pyme | Desde 800-1.500 €/año para pyme estándar |
La cuestión de la multa: qué se puede asegurar y qué no
Aquí conviene ir despacio. La Ley 50/1980 de Contrato de Seguro y la doctrina de la DGSFP dejan claro que las sanciones administrativas derivadas de conducta dolosa no son asegurables. Punto. Ni AXA ni Hiscox pueden pagar una multa de la AEPD impuesta por, digamos, ceder datos sin base legal a sabiendas.
Lo que sí cubren ambas, con diferencias:
- Defensa jurídica en el procedimiento sancionador de la AEPD.
- Costes de notificación a los afectados.
- Peritaje forense para acreditar el origen y alcance.
- Reclamaciones civiles de terceros afectados por la brecha.
- Multa asegurable solo en la porción que la jurisdicción permita — y esto Hiscox lo redacta con algo más de amplitud que AXA.
Tabla resumen con puntuación
| Criterio | AXA Cyber Secure | Hiscox CyberClear |
|---|---|---|
| Defensa jurídica AEPD | 8/10 | 9/10 |
| Gestión de brecha 24/7 | 7,5/10 | 9,5/10 |
| Cobertura ransomware | 8/10 | 8,5/10 |
| Ingeniería social | 6,5/10 | 8/10 |
| Red local y mediación en España | 9/10 | 7,5/10 |
| Precio | 8,5/10 | 6,5/10 |
| Amplitud del clausulado | 7/10 | 9/10 |
| Nota global | 7,8/10 | 8,3/10 |
Cambios recientes a tener en cuenta
Ambas compañías han endurecido en los últimos meses los requisitos de suscripción: MFA obligatorio, backups offline verificados y EDR en endpoints. Sin eso, o te rechazan o te aplican sublímites duros. Hiscox ha ajustado su cuestionario en 2025 con más preguntas sobre proveedores cloud; AXA ha reforzado las exclusiones en fraude del CEO puro. Si tu última renovación fue hace más de un año, revisa el clausulado nuevo — no es el mismo contrato.
Un contexto útil: esta misma lógica de "quién responde mejor cuando ya está ardiendo" la vimos comparando Hiscox frente a Zurich en ransomware para pyme, y el patrón se repite.
Veredicto por perfil
- Autónomo o micro-pyme con facturación baja y datos personales limitados: AXA Cyber Secure. Precio más contenido, red local sólida, defensa AEPD suficiente para el riesgo real que corres. Hiscox te sobra.
- Pyme de servicios profesionales (asesorías, clínicas, e-commerce, software) que trata volumen relevante de datos personales: Hiscox CyberClear. La respuesta rápida y la amplitud de clausulado compensan sobradamente el sobreprecio el día que ocurre.
- Gran cuenta o grupo con DPO propio y exposición internacional: Hiscox por clausulado, con AXA XL como alternativa seria si ya tienes póliza marco con el grupo AXA. Aquí la mediación colegiada marca más diferencia que la marca del papel.
Antes de firmar, cotiza con un mediador colegiado y contrasta el clausulado exacto: la letra pequeña de un ciberseguro cambia cada renovación, y la DGSFP publica criterios actualizados sobre asegurabilidad de sanciones que conviene revisar para tu caso.
Preguntas frecuentes
¿Se puede asegurar íntegramente una sanción de la AEPD en España?
No. Las sanciones derivadas de dolo o infracción muy grave imputable al asegurado no son asegurables por prohibición del ordenamiento. Sí es asegurable la defensa jurídica del procedimiento y, con matices, la porción de multa que la jurisprudencia admita. Ni AXA ni Hiscox pagan multas por conducta dolosa — nadie lo hace legalmente.
¿Qué ciberseguro responde más rápido tras detectar una brecha, AXA o Hiscox?
Por experiencia de mediadores en el mercado español, Hiscox CyberClear activa el equipo forense y el hotline de crisis en tiempos menores que AXA Cyber Secure de media. AXA compensa con red local más densa fuera de Madrid y Barcelona.
¿Cubren el pago del rescate en un ransomware?
Ambas incluyen cobertura de rescate con sublímite y autorización previa de la compañía, siempre que el pago no infrinja sanciones internacionales (OFAC, UE). Hiscox aporta negociador especializado; AXA trabaja con proveedores externos concertados.
¿Qué capital contratar para una pyme española estándar?
Como orientación, una pyme de 10-50 empleados con datos personales relevantes debería moverse entre 300.000 € y 1.000.000 € de capital. Por debajo de 250.000 € el seguro se queda corto en cuanto hay notificación masiva a afectados y defensa jurídica en paralelo. Consulta con un mediador colegiado o con la DGSFP para dimensionar tu caso concreto.
