Un asegurador que ofrece seguro cibernético suele solicitar una combinación de documentos: un resumen de qué datos personales procesa y para qué, una descripción de sus medidas técnicas y organizativas de seguridad, pruebas de que tiene acuerdos con proveedores que procesan datos en su nombre, y un protocolo para cuando algo sale mal. Algunos aseguradores solicitan esto por separado, otros lo procesan en un único cuestionario digital.
No existe una lista legal de documentos requeridos para un seguro cibernético. La propia GDPR impone una obligación de responsabilidad: una organización debe ser capaz de demostrar que reflexiona sobre la protección de datos personales y que lo tiene en orden. La forma en que esa capacidad de demostración se ve es determinada por el asegurador mismo, no por la ley. Este es precisamente el detalle que se pasa por alto más a menudo en este momento de compra: los empresarios buscan el formulario o el certificado que sea suficiente, mientras que en la práctica los aseguradores principalmente quieren ver que hay un conjunto coherente.
Lo que un asegurador normalmente quiere ver
El núcleo de la mayoría de cuestionarios es un registro de tratamientos: un resumen de qué datos personales procesa, con qué propósito, cuánto tiempo los conserva y quién tiene acceso. Además, a menudo se pregunta sobre los acuerdos de procesamiento con partes que procesan datos en su nombre, como su software de contabilidad, su sistema de recursos humanos o una herramienta de marketing. Una tercera parte recurrente es el protocolo de incidentes de datos: cómo identifica un incidente, a quién informa dentro de su organización y cómo evalúa si es necesaria una notificación a la Autoridad de Protección de Datos. Quien dude si un caso entra en esta categoría, puede verlo en un par de preguntas donde está aproximadamente una situación.
Los aseguradores a menudo miran más allá de solo la GDPR. Las preguntas sobre copias de seguridad, política de contraseñas, verificación en dos pasos y quién dentro de la empresa tiene acceso a qué sistemas forman parte de la seguridad de la información en un sentido más amplio. Esto se superpone con la privacidad, pero no es lo mismo: una empresa puede tener un registro de tratamientos impecable y al mismo tiempo una seguridad técnica débil, o viceversa. Un resumen de las medidas que ha tomado ayuda a conectar estos dos; vea también cómo se ve esto al evaluar datos y privacidad.
Por qué la responsabilidad es diferente de una certificación
Una pregunta común es si un certificado ISO u otra certificación reemplaza la prueba que busca un asegurador. Una certificación puede pesar, pero rara vez reemplaza la pregunta sobre su situación específica: qué datos procesa exactamente esta empresa, con qué proveedores trabaja, y qué sucede si algo sale mal. Los supervisores y aseguradores miran cosas similares en este punto, pero con un propósito diferente: el supervisor evalúa el cumplimiento de la ley, el asegurador estima un riesgo antes de emitir una póliza. Esta diferencia explica por qué dos aseguradores a veces solicitan documentos ligeramente diferentes, mientras que la base subyacente —el registro, los acuerdos, el protocolo— es siempre la misma.
Lo que puede preparar con antelación
Es aconsejable comenzar con lo que ya existe: qué software y proveedores utiliza su empresa, y si hay un acuerdo de procesamiento que lo acompañe. Luego es una cuestión de documentar lo que realmente sucede: qué datos están dónde, quién puede acceder y cuánto tiempo se conservan. Para empresas que cartografían esto por primera vez, un resumen estructurado de preguntas frecuentes es un buen punto de partida; vea respuestas a preguntas que reaparecen más a menudo en este tipo de solicitudes.
Quien prefiera entender primero cómo se construye una lista de documentos de este tipo y en qué información se basa, puede leerlo en la base de conocimientos. Allí hay una respuesta breve por tema con la referencia en el texto oficial, para que pueda comprobar de dónde proviene cada requisito; consulte, por ejemplo, en la base de conocimientos con explicaciones por tema antes de hablar con una aseguradora.
De documentos sueltos a un registro operativo
Lo más difícil en este momento de compra no es redactar un documento, sino mantenerlo actualizado. Un registro de operaciones de tratamiento que se elaboró hace un año y no se ha actualizado desde entonces a menudo ya no se ajusta a las herramientas que una empresa utiliza mientras tanto. Un sistema que permite que el registro crezca junto con el software realmente utilizado, y que realiza un seguimiento de qué acuerdos de procesamiento aún faltan, ahorra tiempo cuando una aseguradora de repente lo solicita.
Si esto es relevante para su empresa en este momento y qué documentos concretos necesita, es algo que es mejor discutir directamente con la aseguradora o con un asesor; este artículo proporciona orientación, no asesoramiento jurídico sobre su póliza específica.
¿Desea ver primero dónde se encuentra aproximadamente su empresa? El escaneo rápido gratuito proporciona una indicación en unos pocos pasos, y en la base de conocimientos encontrará la respuesta breve por tema con la referencia correspondiente. Si desea mantener el registro y el seguimiento de forma estructurada después, lea en cuál es el coste del sistema qué implica.