Comparativa de ciberseguros 2026: aseguradoras, coste y datos

Busca «comparativa de ciberseguros» y la mayoría de lo que aparece o bien repite un porcentaje de descuento por control que ninguna aseguradora ha publicado jamás, o bien se detiene discretamente en «pide una cotización». Esta está construida al revés: solo se han quedado las afirmaciones que pudimos rastrear hasta una fuente primaria activa (un documento de un regulador, un estudio de reclamaciones, un informe de mercado que una aseguradora o un bróker publicó de verdad). Donde los datos no existen, lo decimos en lugar de rellenar el hueco con algo que suene plausible. Prueba la calculadora de primas y costes de ciberseguro que acompaña al artículo para ver las mismas cifras con fuente de forma interactiva.

El mercado ahora mismo: las tarifas bajan, el riesgo no

Hay dos cosas ciertas sobre el ciberseguro en EE. UU. en 2024–25, y apuntan en direcciones distintas. Los precios bajan: la prima media por póliza cayó a 1.523 $ en 2024, frente a 1.784 $ en 2023 y 1.645 $ en 2022 (Aon). Marsh informó de que las tarifas de ciberseguro en EE. UU. bajaron un 5 % en el cuarto trimestre de 2024, la primera bajada trimestral tras siete años seguidos de subidas. La prima directa suscrita total de ciberseguro en EE. UU., incluidas las líneas excedentes extranjeras (alien surplus lines), cayó un 7,11 %, hasta 9.140 millones de dólares, en 2024, la primera caída anual de la historia del mercado (NAIC).

El riesgo de fondo no se suavizó al mismo ritmo. Las reclamaciones comunicadas subieron aproximadamente un 40 % interanual, hasta unas 50.000 en 2024, y la siniestralidad global del sector (pérdidas incurridas más defensa y contención de costes, todos los tipos de póliza) subió al 49 %, desde el 42 % de 2023 (NAIC, verificado de forma independiente por Aon con los mismos datos estatutarios de base). A escala mundial, Howden ha informado de tarifas cibernéticas aproximadamente un 22 % por debajo de su máximo de mediados de 2022, con un crecimiento de las primas que se frenó a cerca del 6 % anual en 2022–2024 frente a una tasa de crecimiento anual compuesto de alrededor del 40 % durante el mercado duro de 2020–2022, y ratios combinados de alrededor del 70 % de media; son cifras citadas a través del informe de 2025 de la NAIC, así que verifícalas con el propio Cyber Report 2025 de Howden antes de apoyarte en la cifra mundial.

Una prima que baja frente a una siniestralidad que sube es, históricamente, la antesala de un cambio de mercado, no una promesa de que los precios seguirán bajando. Las aseguradoras fijan precios sobre todo a partir de la experiencia de pérdidas pasada; los datos de reclamaciones y de siniestralidad de 2024 se reflejarán en los precios de renovación de 2025–2026, no en las cifras ya contabilizadas.

Lo que cuesta de verdad un incidente, por tamaño de empresa

El Cyber Claims Study 2024 Report de NetDiligence, construido a partir de 10.464 reclamaciones reales comunicadas por aseguradoras y breach coaches entre 2019 y 2023, es lo más parecido a un conjunto de datos con fuente primaria y por franjas de ingresos sobre el coste de los incidentes:

• Menos de 50 M$ de ingresos: 3.891 reclamaciones, coste medio por incidente de 139.000 $
• De 50 M$ a 300 M$ de ingresos: 1.584 reclamaciones, media de 317.000 $
• De 300 M$ a 2.000 M$ de ingresos: 405 reclamaciones, media de 1,8 millones de dólares
• De 2.000 M$ a 10.000 M$ de ingresos: 112 reclamaciones, media de 4,7 millones de dólares
• De 10.000 M$ a 100.000 M$ de ingresos: 42 reclamaciones, media de 33,3 millones de dólares
• Más de 100.000 M$ de ingresos: 3 reclamaciones, media de 26,1 millones de dólares

Un corte más reciente y de mayor nivel (el estudio de 2025 de NetDiligence, según informó RSM US) sitúa la media a cinco años en 246.000 $ para las pymes (menos de 2.000 M$ de ingresos, el 98 % de las reclamaciones) frente a 10,3 millones de dólares para las grandes empresas (más de 2.000 M$, solo el 2 % de las reclamaciones pero el 51 % del coste total reclamado). Léelo como coste de reclamación o de incidente, una aproximación al riesgo contra el que suscriben las aseguradoras, no como una cifra de prima. La diferencia es importante, y confundirlas es el error más común en el contenido de «calculadoras de primas» en internet.

Las 10 principales aseguradoras cibernéticas de EE. UU. por cuota de mercado

El informe de mercado de 2025 de la NAIC ofrece una tabla real, publicada por el regulador, de la prima directa suscrita de 2024, la siniestralidad y la cuota de mercado, sin incluir las líneas excedentes extranjeras:

Destaca la siniestralidad del 96,26 % de Starr: una aseguradora que paga 96 céntimos de cada dólar de prima en reclamaciones y costes de defensa está cerca de no ser rentable en esa línea, algo que conviene saber si valoras la estabilidad de la renovación. Las siniestralidades de Chubb y AXA, en la franja media del 30 %, sugieren en cambio margen para ser más competitivas en precio frente a sus pares.

En qué se diferencian de verdad las aseguradoras y las MGA

Los puntos siguientes proceden de los propios materiales públicos de cada empresa (autodescripción del proveedor, claramente señalada como tal, no investigación independiente), salvo cuando se cita una fuente externa.

• Coalition incluye en cada póliza «Coalition Control», monitoreo gratuito de la superficie de ataque, bloqueo de anomalías de inicio de sesión, una calificación de salud cibernética y monitoreo de riesgos de terceros, y ha informado de un 73 % menos de reclamaciones que la media del sector en su cartera, que exige MFA, cifrado y formación de concienciación en seguridad.
• At-Bay se presenta como «InsurSec» (seguro más monitoreo activo del riesgo por parte de un equipo de seguridad propio) y ha informado anteriormente de una frecuencia de ransomware 7 veces inferior a la del sector y de una corrección de vulnerabilidades 5 veces más rápida para sus asegurados; esa cifra concreta parece remontarse aproximadamente a 2021, a juzgar por los hechos a los que hace referencia, así que tómala como histórica y no como actual.
• Cowbell segmenta explícitamente por tamaño (Prime 100/100 Pro para pequeñas empresas, Prime One/250 para el mercado medio) y aplica una suscripción continua mediante una puntuación de riesgo propia («Cowbell Factors») y una plataforma de monitoreo, en contraste con el ciclo de suscripción tradicional del sector, solo anual.
• Resilience se dirige al mercado medio y a las grandes empresas, combina software de cuantificación del riesgo cibernético con pólizas respaldadas por aseguradoras de daños con calificación A y ofrece límites que, según se informa, llegan a 20 M$ en primaria o en exceso.
• Corvus forma parte ahora de Travelers, que completó una adquisición de Corvus Insurance por 435 millones de dólares el 2 de enero de 2024 e integró las capacidades de suscripción, escaneo y apoyo en reclamaciones de Corvus en su línea cibernética.
• Chubb ofrece «Cyber Enterprise Risk Management», dice asegurar al 95 % de las empresas de la Fortune 1000 y ofrece una línea directa de respuesta a incidentes 24/7, además de herramientas gratuitas de gestión de vulnerabilidades y concienciación sobre la póliza.
• Hiscox comercializa un producto CyberClear para pequeñas y medianas empresas y una plataforma antiransomware automatizada gratuita («Paladin Shield») para sus asegurados.

Beazley, AIG/Lexington y la línea cibernética heredada de Travelers (anterior a Corvus) tienen una presencia real en el mercado (Beazley, en particular, es un líder veterano del mercado cibernético), pero no pudimos verificar de forma independiente ninguna afirmación concreta y actual sobre lo que las diferencia en el momento de escribir, y preferimos dejar el hueco a adivinar.

Lo que de verdad mueve la suscripción y lo que no tiene una cifra pública

Este es el estado honesto de las pruebas: ninguna fuente primaria citable publica un descuento de prima concreto vinculado a un control de seguridad individual. Si has visto una afirmación como «la MFA te ahorra un 8 % de prima», no viene de un documento de una aseguradora, ni de un informe de un regulador, ni de un estudio de reclamaciones que hayamos podido encontrar: es una cifra inventada, y este artículo deliberadamente no repite ninguna.

Lo que es real y citable: la MFA, el EDR o la detección gestionada, las copias de seguridad sin conexión o inmutables, la gestión de accesos privilegiados y un plan de respuesta a incidentes probado se han convertido en requisitos previos de suscripción en la mayoría de las aseguradoras; no tenerlos lleva con más frecuencia a que se rechace o no se renueve una solicitud que a un simple recargo. El resultado de un 73 % menos de reclamaciones que comunica Coalition para su cartera, en la que estos controles son obligatorios, es la prueba más sólida disponible de que estos controles se correlacionan con mejores resultados de pérdidas a nivel de cartera, aunque no exista una cifra aislada por control. Por otra parte, se ha informado (a través de la cita que hace la NAIC de Arctic Wolf) de que los especialistas en negociación de ransomware reducen los pagos de rescate un 64 % de media y evitan por completo el pago en el 70 % de los casos negociados: una palanca sobre el resultado de las reclamaciones, no un control, pero relevante para las cuentas de pérdidas de cualquier aseguradora.

Comprueba tu propia postura frente a los controles por los que preguntan de verdad las aseguradoras con la evaluación de preparación para el ciberseguro de PlayCISO: puntúa las mismas preguntas sobre MFA, EDR, copias de seguridad, PAM y respuesta a incidentes que usan las solicitudes de suscripción, sin pretender tampoco dar una cifra de prima.

Lo que no pudimos verificar y dejamos fuera

Con la misma honestidad que este artículo pide al sector: varias estadísticas de ciberseguros que se repiten a menudo no pudieron rastrearse hasta una fuente primaria activa y se han omitido deliberadamente, entre ellas rangos concretos de prima anual para pequeñas empresas (varias páginas de marketing de brókers citan cifras sin ningún conjunto de datos detrás), una cifra muy repetida de sublímite para la ingeniería social y un supuesto requisito de coaseguro de AIG para el ransomware. Si has visto esas cifras en otro sitio, pide la fuente primaria antes de usarlas en una presentación al consejo.

Cómo comparar cotizaciones de verdad

1. Consigue al menos tres cotizaciones que abarquen una aseguradora tradicional (Chubb, Travelers, AXA), una MGA con plataforma de seguridad (Coalition, At-Bay, Cowbell) y el mercado de exceso y excedentes de tu bróker si eres lo bastante grande para necesitarlo.
2. Compara la siniestralidad, no solo el precio. Una cotización barata de una aseguradora con una siniestralidad del 96 % (como la cifra de Starr en 2024) es un riesgo para la estabilidad de la renovación: ese precio puede no mantenerse.
3. Lee lo que viene incluido. Coalition, At-Bay y Cowbell incluyen herramientas de monitoreo y escaneo en el precio de la póliza; la prima más baja de una aseguradora tradicional puede no incluir herramientas equivalentes.
4. Confirma los controles exigidos antes de buscar. Si no puedes certificar MFA en todas partes, EDR en todos los endpoints y copias de seguridad sin conexión probadas, cuenta con rechazos o condiciones desfavorables sea cual sea la aseguradora: cumple primero esos requisitos.
5. Pregúntate cuánto te costaría de verdad una pérdida usando datos reales de reclamaciones para tu tamaño (consulta la tabla de costes de incidentes de arriba), no el peor escenario que plantea un proveedor, para dimensionar el límite que de verdad compras.

Preguntas frecuentes

¿Cuánto debería costar un ciberseguro? No hay un precio único: las primas crecen con los ingresos, el sector, los datos que guardas, tus controles de seguridad y los límites de cobertura que elijas, así que una pequeña empresa paga mucho menos que una grande. Como el mercado es competitivo ahora mismo, la respuesta práctica es reunir varias cotizaciones en lugar de anclarte en una media publicada.

¿Merece la pena un ciberseguro? Para la mayoría de las organizaciones, sí: transfiere el riesgo de cola de un incidente cuyos costes directos e indirectos pueden superar con creces la prima, y las aseguradoras exigen cada vez más controles básicos (MFA, EDR, copias de seguridad) que de todos modos mejoran la seguridad. Complementa esos controles, no los sustituye.

¿Qué tipo de seguro es el ciberseguro? El ciberseguro es una línea especializada que cubre las pérdidas propias (tu respuesta a incidentes, el análisis forense, la interrupción del negocio y la extorsión) y la responsabilidad frente a terceros (reclamaciones de clientes o socios afectados). Convive con la responsabilidad civil general o la de errores y omisiones, y no las sustituye.

¿Se está abaratando el ciberseguro ahora mismo? Sí, según los datos publicados más recientes. La prima media por póliza en EE. UU. bajó a 1.523 $ en 2024 desde 1.784 $ en 2023 (Aon), y Marsh informó de una bajada de tarifas del 5 % en el cuarto trimestre de 2024, la primera bajada trimestral tras siete años consecutivos de subidas. La prima directa suscrita total de ciberseguro en EE. UU. cayó un 7,11 % en 2024, hasta 9.140 millones de dólares, la primera caída anual de la historia del mercado (NAIC).

¿Por qué bajan las tarifas si las reclamaciones suben? No van a moverse en direcciones opuestas por mucho tiempo: esa es la tensión que conviene vigilar. Las reclamaciones comunicadas subieron aproximadamente un 40 % interanual en 2024 y la siniestralidad del sector subió al 49 % desde el 42 % (NAIC), aunque las primas bajaron. Una siniestralidad que sube frente a una prima que baja es, históricamente, lo que precede al endurecimiento del mercado; los suscriptores fijan precios a partir de la experiencia de pérdidas pasada, así que las cifras de 2024 son un indicador adelantado para las renovaciones de 2025–2026, no una garantía de que los precios sigan bajando.

¿Qué aseguradora es la «mejor» para el ciberseguro? No hay una respuesta única: depende de tu tamaño y de lo que valores. Chubb y Travelers lideran por cuota de mercado y prima directa suscrita con siniestralidades comparativamente bajas (36 % y 54 %, respectivamente, en 2024). Las MGA como Coalition, At-Bay y Cowbell incluyen una plataforma de monitoreo de seguridad en la póliza y se dirigen a cuentas de pequeño y medio tamaño con precios basados en el uso y suscripción continua. Resilience y el mercado de exceso y excedentes atienden a las grandes empresas. Compara según lo que tu bróker consiga de verdad en las cotizaciones, no según las afirmaciones de marketing, incluidas las de este artículo, que se señalan como autodescripción del proveedor cuando lo son.

¿Tener MFA, EDR o copias de seguridad baja de verdad mi prima? Ninguna fuente pública y citable vincula un descuento concreto en dólares o en porcentaje a un control individual. Lo que es real: prácticamente todas las aseguradoras exigen ya la MFA, el EDR y las copias de seguridad sin conexión o inmutables como requisito previo para emitir la cobertura; no tenerlos lleva a un rechazo o a una no renovación con más frecuencia que a un precio peor. Coalition ha informado de que sus asegurados, a quienes se exige aplicar estos controles, registran un 73 % menos de reclamaciones que la media del sector: un resultado agregado real de la cartera de una aseguradora, no una fórmula de prima.

¿Qué es lo que más cuesta cuando ocurre un incidente cibernético? La escala importa muchísimo. Los datos de reclamaciones de NetDiligence (2019–2023) muestran un coste medio por incidente que va de 139.000 $ para las empresas con menos de 50 M$ de ingresos a 33,3 millones de dólares para las de la franja de 10.000 M$ a 100.000 M$; no es una línea recta, porque unos pocos incidentes catastróficos de grandes empresas elevan mucho la media en relación con la frecuencia de reclamaciones. Una actualización de 2025 (a través de lo que publicó RSM sobre NetDiligence) situó la media a cinco años en 246.000 $ para las pymes frente a 10,3 millones de dólares para las grandes empresas, y el 2 % de reclamaciones de grandes empresas supuso el 51 % del coste total reclamado.