Un correo falso que parece de un proveedor, una contraseña reutilizada o un servidor sin actualizar bastan para que una empresa quede sin sistemas durante días o vea expuestos los datos de sus clientes. La póliza cyber, también llamada seguro de ciberriesgos o seguro cibernético, existe para cubrir las consecuencias económicas de esos incidentes. Esta guía explica qué cubre, qué no cubre, de qué depende su precio y qué debe hacer una empresa en Colombia si sufre un ataque.
El riesgo en Colombia, en cifras
- 7.100 millones de intentos de ciberataque recibió Colombia en el primer semestre de 2025, según Fortinet (citado por Portafolio).
- El 74 % de los ciberataques de 2024 en el país empezó con un correo electrónico fraudulento, según la Policía Nacional y Fortinet (citado por Bloomberg Línea).
- En 2025, ColCERT atendió 697 incidentes; el fraude representó cerca del 80 % de los casos de los dos últimos años, con el phishing y el uso no autorizado de cuentas de correo como métodos principales.
- Entre enero y julio de 2026 se registraron al menos 23 víctimas colombianas de ransomware, más que en todo 2025, según ColCERT.
- El costo promedio de recuperarse de un ataque de ransomware en Colombia fue de US$870.000, sin contar el rescate (Sophos, State of Ransomware 2025, empresas de 100 a 5.000 empleados).
Qué es la póliza cyber
Es un seguro que protege el patrimonio de una empresa frente a los costos que genera un incidente informático: la respuesta técnica y legal, la pérdida de ingresos mientras los sistemas no funcionan y los reclamos de terceros cuyos datos quedaron expuestos. No reemplaza la ciberseguridad (antivirus, copias de respaldo, autenticación de dos factores); la complementa, porque ningún control elimina el riesgo por completo.
Qué cubre: daños propios y frente a terceros
Daños propios (primera parte)
- Respuesta al incidente: expertos forenses que identifican qué pasó, contienen el ataque y determinan qué datos salieron.
- Recuperación de datos y sistemas dañados, borrados o cifrados.
- Notificación a clientes y personas afectadas, y monitoreo de identidad cuando aplica.
- Pérdida de beneficios por interrupción de la red: la utilidad que la empresa deja de recibir mientras no puede operar.
- Extorsión cibernética: asesoría especializada y, según la póliza, el pago exigido por los atacantes.
- Gestión de crisis y reputación: consultoría de comunicaciones para proteger la imagen de la empresa.
Frente a terceros
- Reclamos de clientes, pacientes, empleados o socios por la filtración de sus datos personales.
- Divulgación de información confidencial de terceros, como bases de clientes o información financiera.
- Defensa en investigaciones administrativas de la Superintendencia de Industria y Comercio (SIC) por protección de datos.
- Responsabilidad por contenidos digitales publicados en sitios web o redes sociales de la empresa.
Qué no cubre
- Hechos ocurridos o conocidos antes de contratar la póliza o antes de la fecha de retroactividad.
- Actos intencionales o fraudulentos de los directivos de la empresa.
- Daños físicos a equipos y lesiones a personas, que corresponden a otras pólizas.
- Fallas de infraestructura externa, como cortes generalizados de energía o de telecomunicaciones.
- Multas que la ley no permite asegurar; en esos casos la póliza suele cubrir los gastos de defensa.
- Incidentes en empresas que no mantienen los controles de seguridad declarados al contratar.
El fraude por suplantación de correo, en el que se engaña a la empresa para transferir dinero a una cuenta falsa, merece atención aparte: algunas pólizas lo incluyen como cobertura adicional y otras lo excluyen. Conviene revisarlo al cotizar.
Lo que exige la ley: Ley 1581 de 2012
Toda empresa que recolecta datos personales de clientes, empleados o proveedores es responsable de protegerlos. Si ocurre un incidente de seguridad, debe reportarlo a la SIC a través del Registro Nacional de Bases de Datos dentro de los 15 días hábiles siguientes a su detección (Circular Externa 003 de 2018). Por incumplir las normas de protección de datos, la SIC puede imponer multas de hasta 2.000 salarios mínimos mensuales, cerca de $3.500 millones en 2026 (artículo 23 de la Ley 1581).
¿Cuánto cuesta una póliza cyber?
No hay una tarifa estándar. La aseguradora calcula la prima según:
- La actividad de la empresa y sus ingresos anuales.
- La cantidad y el tipo de datos personales que maneja (los datos de salud o financieros pesan más).
- Las medidas de seguridad: autenticación de dos factores, copias de respaldo, actualizaciones, capacitación del personal.
- Los incidentes de años anteriores.
- El valor asegurado, el deducible y las coberturas adicionales elegidas.
Una pyme con buenos controles básicos suele acceder a primas más bajas que una empresa sin copias de respaldo ni doble autenticación.
Qué hacer si la empresa sufre un ataque
- Aislar los equipos afectados de la red, sin apagarlos ni borrar nada, para no perder evidencia.
- Avisar a la aseguradora o al asesor de seguros de inmediato, por los canales que indica la póliza.
- No pagar ningún rescate ni negociar con los atacantes sin autorización de la aseguradora.
- Presentar la denuncia ante la Policía Nacional (CAI Virtual).
- Reportar el incidente a la SIC dentro de los 15 días hábiles si se comprometieron datos personales.
- Notificar a los afectados con el apoyo de los asesores legales que asigna la póliza.
Cómo contratarla
La aseguradora pide diligenciar un formulario técnico sobre la empresa y sus controles de seguridad. Un asesor de seguros independiente ayuda a responderlo correctamente (una respuesta inexacta puede afectar una reclamación) y a comparar las opciones de varias aseguradoras: coberturas, sublímites, deducibles y exclusiones. Para conocer las coberturas y solicitar una cotización, ver la página de seguro cyber para empresas.
Preguntas frecuentes
¿Una pyme necesita una póliza cyber?
Sí. Los ataques por correo y el fraude afectan sobre todo a empresas pequeñas, que suelen tener menos controles y menos recursos para recuperarse. Ver también: seguro para pymes.
¿La póliza paga el rescate de un ransomware?
Algunas pólizas incluyen la extorsión cibernética, siempre con autorización previa de la aseguradora y cumpliendo la ley. Otras no lo cubren. Hay que revisarlo en las condiciones.
¿Las firmas contables o de servicios profesionales la necesitan?
Sí: manejan datos financieros y tributarios de muchos clientes. La póliza cyber complementa la de responsabilidad civil profesional, que cubre errores en la prestación del servicio.
¿Cubre a los empleados que trabajan desde casa?
Generalmente sí, cuando acceden a los sistemas de la empresa con los controles declarados; conviene confirmarlo en la póliza.
Este artículo tiene fines informativos. Las coberturas y exclusiones dependen de cada póliza y aseguradora. La información legal es general y no reemplaza la asesoría de un abogado.
Fuentes: Fortinet (vía Portafolio, ago. 2025); Policía Nacional y Fortinet (vía Bloomberg Línea, nov. 2025); ColCERT, Tendencias de Amenazas Cibernéticas 2025 e informe de ransomware 2026; Sophos, State of Ransomware in Colombia 2025; Ley 1581 de 2012; SIC, Circular Externa 003 de 2018.