Una clínica dental con cuatro gabinetes, un centro de fisioterapia con historia clínica digitalizada o una pyme de telemedicina manejan lo mismo a ojos del RGPD: datos de categoría especial del artículo 9. Y eso cambia por completo la conversación con el broker de ciberriesgo. No es lo mismo que te roben una base de datos de newsletter que te exfiltren diagnósticos. La AEPD tampoco sanciona igual.
Aquí entran en liza las dos pólizas que, a nuestro juicio, dominan el segmento ciber de pyme en España cuando hay datos sanitarios de por medio: AIG CyberEdge y Hiscox CyberClear. Ambas están plenamente comercializadas aquí a través de mediadores, ambas tienen equipo de respuesta a incidentes operativo en castellano, y ambas se juegan la credibilidad en el mismo punto: ¿hasta dónde pagan de verdad la multa de la AEPD?
El problema real: la sanción administrativa, ¿se puede asegurar?
Pregunta trampa. En España, la asegurabilidad de las sanciones administrativas no está prohibida de forma expresa por la Ley 50/1980 de Contrato de Seguro, pero sí tropieza con el principio de personalidad de la pena y con el orden público cuando la infracción es dolosa. En la práctica, lo que ambas pólizas ofrecen es cobertura de la sanción "en la medida en que sea legalmente asegurable" — una cláusula que al lector le suena a escapatoria y que, siendo honestos, lo es en parte.
Ninguna aseguradora pagará una multa derivada de una conducta dolosa del administrador. Lo que sí cubren con solvencia es la sanción impuesta por negligencia (configuración defectuosa, parche no aplicado, formación insuficiente del personal), que es el 90% de los casos reales que llegan a la AEPD en clínicas.
Qué cubre cada póliza sobre el papel
AIG CyberEdge se ha construido históricamente desde la óptica del gran cliente adaptada a pyme: módulos de respuesta a brechas potentes, panel de proveedores forenses amplio y un planteamiento clásico de reclamaciones de terceros bien resuelto. Hiscox CyberClear, en cambio, nació más pensada para pyme digital: su fuerte es la rapidez de activación del equipo de respuesta y la claridad del clausulado, que para el mediador se agradece.
| Característica | AIG CyberEdge | Hiscox CyberClear |
|---|---|---|
| Capital orientativo pyme sanitaria | 250.000 € – 2.000.000 € por siniestro y año | 100.000 € – 1.000.000 € por siniestro y año |
| Sanción AEPD (en lo legalmente asegurable) | Sublímite dentro del capital, suele alinearse con el límite agregado | Sublímite específico, habitualmente inferior al capital general |
| Defensa jurídica ante AEPD | Incluida, con panel de despachos propio | Incluida, libre designación negociable |
| Respuesta a brechas (forense, notificación, call center) | Panel amplio, activación 24/7 en castellano | Equipo propio Hiscox CyberClear Response, activación muy rápida |
| Rescate por ransomware | Cubierto con autorización previa | Cubierto con autorización previa, sublímite claro |
| Pérdida de beneficios por interrupción | Hasta 90-120 días según contratación | Hasta 90 días estándar, ampliable |
| Franquicia orientativa pyme < 2M € facturación | 2.500 € – 5.000 € por siniestro | 1.000 € – 2.500 € por siniestro |
| Exclusiones diferenciales | Conducta dolosa, incumplimiento consciente de parcheado crítico | Conducta dolosa, sistemas sin soporte del fabricante |
| Prima orientativa clínica 500k € facturación | Desde 1.800 € / año | Desde 1.400 € / año |
Los importes son orientativos y dependen de la suscripción individual: facturación, volumen de registros tratados, medidas técnicas acreditadas y antecedentes de siniestralidad. No son tarifa.
Dónde gana AIG CyberEdge
El músculo de capital. Para una clínica con historia clínica electrónica de miles de pacientes, el riesgo real no es la multa de 40.000 € — es la de 300.000 € combinada con la reclamación civil de los pacientes afectados y el coste de notificación. CyberEdge se mueve con más holgura en capitales altos y su panel forense tiene recorrido internacional, útil si el proveedor del software clínico está fuera de España.
Su defensa jurídica frente a procedimiento sancionador de la AEPD, con despachos de panel especializados en protección de datos, es, para mi gusto, más predecible. Y eso en un expediente de la Agencia vale su peso.
Dónde gana Hiscox CyberClear
Velocidad y claridad. El equipo de respuesta de Hiscox CyberClear activa el forense en horas, y el clausulado está escrito para que un gestor de clínica lo entienda sin traductor. La franquicia es más baja, lo que importa cuando el incidente típico es un phishing con exfiltración limitada: la pyme no quiere pelearse por 3.000 € de franquicia.
También gana en prima para la pyme sanitaria pequeña — centros de menos de 500.000 € de facturación —, donde CyberEdge resulta a veces sobredimensionada.
Qué ha cambiado en los últimos meses
Ambas compañías han endurecido las preguntas de suscripción desde la oleada de ransomware a centros sanitarios de 2023-2024: autenticación multifactor obligatoria para accesos remotos, copias de seguridad offline verificadas y gestión de parches documentada. Entrar sin MFA en el acceso al software de historia clínica es, hoy, motivo de rechazo o recargo severo en las dos. No es un capricho comercial — es dónde se han concentrado los siniestros.
Veredicto por perfil
- Clínica o centro sanitario pequeño (hasta 500.000 € facturación, un local, menos de 5.000 pacientes activos): Hiscox CyberClear. Prima ajustada, franquicia baja, respuesta rápida. El capital de 250.000-500.000 € cubre el escenario realista.
- Grupo clínico mediano, telemedicina o laboratorio con tratamiento masivo de datos del art. 9: AIG CyberEdge. El capital alto, el panel forense y la defensa frente a AEPD compensan la prima superior.
- Pyme sanitaria con siniestralidad previa o auditoría de seguridad floja: ninguna te va a querer sin trabajo previo. Antes de pedir oferta, cierra MFA, backups offline y política de parches. Después negocias.
Para el encaje fino del clausulado conviene pasar por mediador colegiado y, si hay dudas sobre la asegurabilidad concreta de una sanción en tu caso, consultar la doctrina de la DGSFP y de la propia AEPD. Un análisis complementario sobre respuesta a ransomware en pymes con e-commerce ayuda a entender cómo se activan en la práctica estos equipos de respuesta.
Tabla resumen con puntuación
| Criterio (1-10) | AIG CyberEdge | Hiscox CyberClear |
|---|---|---|
| Capacidad de capital | 9 | 7 |
| Cobertura sanción AEPD (legalmente asegurable) | 8 | 8 |
| Defensa jurídica especializada | 9 | 8 |
| Velocidad de respuesta a brecha | 8 | 9 |
| Claridad del clausulado | 7 | 9 |
| Franquicia | 7 | 9 |
| Precio pyme pequeña | 7 | 9 |
| Precio pyme mediana/grande | 8 | 7 |
| Nota global pyme sanitaria | 8,0 | 8,3 |
FAQ
¿El ciberseguro paga realmente la multa de la AEPD a una clínica?
Paga la parte legalmente asegurable: la derivada de culpa o negligencia, no la dolosa. En la práctica, cubre la mayoría de expedientes sancionadores por brecha de seguridad en pymes sanitarias, siempre dentro del sublímite contratado y con la defensa jurídica incluida.
¿Qué pasa si el centro no tenía MFA activado cuando ocurrió el incidente?
Depende del clausulado y de las declaraciones hechas en la propuesta. Si el asegurado declaró tener MFA y no lo tenía, la aseguradora puede reducir o rechazar la prestación por inexactitud. Si no se exigió y la configuración de seguridad era razonable para el tamaño, se suele cubrir.
¿Cubren el rescate si se paga a los atacantes?
Ambas lo contemplan, pero exigen autorización previa de la aseguradora y análisis de sanciones internacionales (no se paga a entidades listadas). No es una decisión libre del asegurado.
¿Es obligatorio tener ciberseguro para una clínica en España?
No. El seguro de ciberriesgo es voluntario. Lo obligatorio es cumplir el RGPD y la LOPDGDD, incluida la notificación de brechas en 72 horas a la AEPD. El seguro es la red de seguridad financiera y operativa cuando el cumplimiento, pese a todo, falla.
