Respuesta corta: Si su negocio guarda información de clientes, pacientes o empleados, o depende del correo y las computadoras para cobrar, un incidente cibernético le puede costar dinero aunque sea pequeño. La ley de California exige que los negocios avisen a los residentes de California afectados por una filtración de datos, y desde el 1 de enero de 2026 ese aviso en general debe darse dentro de 30 días naturales después de descubrir la filtración. Una póliza cibernética puede pagar la investigación forense, la asesoría legal, las cartas de aviso, el monitoreo de crédito, la respuesta a ransomware, los ingresos perdidos mientras los sistemas no funcionan, y las demandas o reclamos regulatorios que vengan después. Hoy la mayoría de las pólizas también exigen controles básicos de seguridad, como la autenticación de múltiples factores y los respaldos, antes de cotizar.
Esta guía es información general para pequeños negocios de California. No es asesoría legal; hable con un abogado de privacidad sobre sus obligaciones. El texto de su póliza es el que vale.
Paso 1: Conozca las reglas de California que generan costos cibernéticos
| Regla | Qué dice | Fuente |
|---|---|---|
| Aviso a residentes | Un negocio que posee o tiene licencia sobre información personal computarizada debe avisar a los residentes de California cuya información personal sin cifrar fue, o se cree razonablemente que fue, obtenida por una persona no autorizada. El aviso vence dentro de 30 días naturales después del descubrimiento o la notificación, con demoras permitidas por necesidades de las autoridades o para determinar el alcance y restaurar el sistema | Código Civil §1798.82, reformado por la SB 446 (vigente desde el 1 de enero de 2026) |
| Aviso al Procurador General | Si una sola filtración exige avisar a más de 500 residentes de California, debe enviar una copia de muestra del aviso al Procurador General | Código Civil §1798.82(f); Reporte de filtraciones del Procurador General |
| Seguridad razonable | Los negocios que poseen, tienen licencia o mantienen información personal de residentes de California deben implementar y mantener procedimientos y prácticas de seguridad razonables | Código Civil §1798.81.5 |
| Demanda privada de la CCPA | Para negocios sujetos a la Ley de Privacidad del Consumidor de California, los consumidores cuya información se filtró por no mantener seguridad razonable pueden demandar daños legales de $100 a $750 por consumidor por incidente, o los daños reales si son mayores | Código Civil §1798.150 |
La Agencia de Protección de la Privacidad de California (cppa.ca.gov) administra la CCPA. Si la CCPA aplica a su negocio depende de umbrales en la ley; pregunte a su abogado.
Paso 2: Haga una lista de lo que realmente perdería en un incidente
La mayoría de las pérdidas cibernéticas de pequeños negocios caen en pocos grupos:
- Ransomware: sus archivos o sistemas quedan cifrados y no puede operar.
- Compromiso del correo empresarial (BEC): un delincuente entra a una cuenta de correo y engaña a usted, a un cliente o a un proveedor para que envíe dinero a la cuenta equivocada.
- Filtración de datos: roban datos de clientes o pacientes, lo que activa obligaciones de aviso y posibles demandas.
- Ingresos perdidos: su sitio web, sistema de reservaciones o punto de venta no funciona.
- Ingeniería social: engañan a un empleado para que envíe dinero o tarjetas de regalo.
Anote de qué sistemas depende, qué datos guarda y cómo entra y sale el dinero. Eso es lo que preguntará el suscriptor.
Paso 3: Entienda la cobertura propia y ante terceros
| Tipo | Qué paga | Ejemplos |
|---|---|---|
| Propia (first-party) | Sus propios costos | Investigación forense, abogado de respuesta ("breach coach"), avisos y centro de llamadas, monitoreo de crédito, restauración de datos, negociación y pago de ransomware cuando sea legal, interrupción del negocio, gastos extra, relaciones públicas |
| Ante terceros (third-party) | Reclamos contra usted | Demandas de clientes, multas y sanciones regulatorias cuando sean asegurables, costos de defensa, cargos de la industria de tarjetas (PCI), responsabilidad de medios |
Una buena póliza para pequeños negocios incluye ambas. Pregunte si los límites son compartidos o separados, y cuáles son los sublímites para ransomware, interrupción del negocio e ingeniería social.
Paso 4: Cierre el hueco del fraude en transferencias
Muchas pérdidas de pequeños negocios vienen del fraude en transferencias, no de un hackeo. La cobertura suele estar repartida en:
- Fraude en transferencias de fondos: un delincuente le ordena directamente a su banco mover su dinero.
- Ingeniería social / instrucciones fraudulentas: engañan a un empleado para que envíe dinero.
- Manipulación de facturas: un delincuente cambia la factura de un proveedor y su cliente le paga al delincuente.
Estas coberturas pueden estar en la póliza cibernética o en una póliza de crimen, a menudo con sublímites bajos. Pregunte dónde está cada una y con qué límite. Si sospecha un fraude, repórtelo de inmediato a su banco y al Centro de Denuncias de Delitos en Internet del FBI (ic3.gov); la rapidez importa para recuperar transferencias.
Paso 5: Tenga sus controles listos antes de solicitar
Las aseguradoras cibernéticas ahora esperan seguridad básica. Las solicitudes suelen preguntar por:
- Autenticación de múltiples factores (MFA) en el correo, el acceso remoto y las cuentas de administrador.
- Respaldos fuera de línea o inmutables que se prueban.
- Detección y respuesta en equipos (EDR) o antivirus moderno en todos los dispositivos.
- Actualizaciones y parches de software.
- Capacitación contra phishing para empleados.
- Procedimientos para verificar pagos, como llamar a un número conocido antes de cambiar instrucciones de transferencia.
- Cifrado de laptops y datos sensibles.
La guía gratuita de CISA para pequeños negocios (cyber guidance for small businesses) es un buen punto de partida. Conteste la solicitud con exactitud; una respuesta equivocada sobre MFA o respaldos puede causar problemas en un reclamo.
Paso 6: Elija límites y retenciones
No hay un solo límite correcto. Piense en:
- El número de registros que guarda (clientes, pacientes, empleados).
- Cuánto costaría una semana o un mes sin sistemas.
- Requisitos de contratos con clientes, arrendadores o socios, sobre todo en salud, finanzas y tecnología.
- Cuánto deducible puede asumir (en cibernético se llama retención).
Un punto de partida común es $1 millón, ajustado hacia arriba para negocios que guardan muchos datos sensibles.
Paso 7: Lea los términos importantes de la póliza
- Por reclamo presentado (claims-made): la mayoría de las pólizas cibernéticas cubren reclamos presentados por primera vez durante el periodo de la póliza. Mantenga la cobertura sin interrupción y revise la fecha retroactiva.
- Proveedores del panel: muchas pólizas exigen usar el abogado de respuesta y la firma forense aprobados por la aseguradora. Llame primero a la línea de la aseguradora.
- Exclusiones de guerra y de actores estatales: lea qué tan amplias son.
- Exclusiones por dispositivos sin cifrar y por no mantener la seguridad.
- Apagado voluntario: si la interrupción del negocio aplica cuando usted apaga sistemas para contener un ataque.
- Interrupción contingente: pérdidas cuando un proveedor clave (como su software en la nube) deja de funcionar.
- Mejoras: si la póliza paga para mejorar sus sistemas después de un incidente.
Paso 8: Alinee sus contratos
Cada vez más clientes y proveedores exigen cobertura cibernética y límites específicos. Lea:
- Los contratos con clientes, por requisitos de seguro cibernético e indemnización.
- Los contratos con proveedores (TI, nómina, nube), para saber quién responde si su filtración expone sus datos.
- Los acuerdos con su procesador de pagos, por obligaciones PCI.
Paso 9: Haga un plan de respuesta a incidentes
Escriba un plan de una página:
- A quién llamar primero: la línea de la aseguradora, su proveedor de TI y su abogado.
- Cómo aislar los dispositivos infectados sin destruir evidencia.
- Dónde están sus respaldos y quién puede restaurarlos.
- Quién decide sobre avisar a los clientes y cómo cumplirá el plazo de 30 días de California.
- Cómo comunicarse rápido con su banco si se transfirió dinero.
Guarde una copia en papel; sus sistemas podrían no funcionar.
Paso 10: Si tiene un incidente
- No pague un rescate ni borre nada antes de llamar a la línea de la aseguradora.
- Llame a su aseguradora, luego a su proveedor de TI y luego a su abogado.
- Conserve los registros y los dispositivos afectados.
- Reporte de inmediato el fraude en transferencias a su banco y a ic3.gov.
- Lleve registro de todos los costos e ingresos perdidos desde el primer día.
- Siga el consejo de su abogado sobre el aviso a los residentes y, si son más de 500, al Procurador General.
Paso 11: Dónde encaja el cibernético en su programa
El cibernético va junto con la responsabilidad general, la propiedad, el crimen y la responsabilidad profesional. Las pólizas GL y de propiedad normalmente excluyen o limitan mucho las pérdidas cibernéticas. Vea Seguros para pequeños negocios en California: obligatorio vs. recomendado, Seguro de responsabilidad cibernética y Seguro cibernético para pequeños negocios.
Preguntas para su agente
- ¿Esta póliza incluye cobertura propia y ante terceros?
- ¿Cuáles son los sublímites para ransomware, interrupción del negocio e ingeniería social?
- ¿El fraude en transferencias está cubierto aquí o en una póliza de crimen?
- ¿Cuál es la retención y el periodo de espera para la interrupción del negocio?
- ¿Qué controles de seguridad se exigen y qué pasa si uno falla?
- ¿Hay una exclusión de guerra o de actores estatales, y cómo está redactada?
- ¿Quiénes son los proveedores del panel, y puedo usar mi propia firma de TI?
Términos clave
- Breach coach: Un abogado de privacidad que guía su respuesta.
- Retención: La versión cibernética de un deducible.
- BEC: Compromiso del correo empresarial.
- Ingeniería social: Engañar a alguien para que envíe dinero o datos.
- Claims-made: Cobertura ligada a cuándo se presenta el reclamo.
- Fecha retroactiva: La fecha más antigua de incidentes que cubre la póliza.
Errores comunes
- Creer que es demasiado pequeño para ser un blanco.
- Suponer que la GL o la propiedad cubren lo cibernético.
- Contestar "sí" a MFA cuando no está en todas las cuentas.
- Pagar un rescate antes de llamar a la aseguradora.
- No tener un plan para cumplir el plazo de aviso de 30 días de California.
Preguntas frecuentes
¿Qué tan rápido debe un negocio de California reportar una filtración de datos?
Según el Código Civil §1798.82, reformado con vigencia desde el 1 de enero de 2026, el aviso a los residentes de California afectados en general vence dentro de 30 días naturales después del descubrimiento, con un margen limitado de demora por necesidades de las autoridades o para determinar el alcance y restaurar los sistemas.
¿Tengo que avisar al Procurador General de California de una filtración?
Si una sola filtración exige avisar a más de 500 residentes de California, debe enviar electrónicamente una copia de muestra del aviso al Procurador General.
¿Qué pueden demandar los consumidores bajo la CCPA después de una filtración?
Para negocios sujetos a la CCPA, los consumidores pueden pedir daños legales de $100 a $750 por consumidor por incidente, o los daños reales si son mayores, cuando la filtración se debe a no mantener seguridad razonable (Código Civil §1798.150).
¿El seguro cibernético cubre el fraude en transferencias?
A veces, a menudo con un sublímite bajo. El fraude en transferencias y la ingeniería social pueden estar en la póliza cibernética o en una póliza de crimen. Pregunte a su agente dónde está cada una.
¿Necesito autenticación de múltiples factores para obtener seguro cibernético?
La mayoría de las aseguradoras ahora esperan MFA en el correo, el acceso remoto y las cuentas de administrador, además de respaldos y otros controles. Conteste la solicitud con exactitud.
¿La responsabilidad general cubre una filtración de datos?
Normalmente no. La mayoría de las pólizas GL excluyen o limitan mucho los datos electrónicos y los reclamos cibernéticos. Una póliza cibernética está hecha para estas pérdidas.
Alishahi Insurance · 439 N Canon Dr, Penthouse, Beverly Hills, CA 90210 · (877) 711-4545 · CA License #4348151. Información general únicamente. No es asesoría legal, fiscal ni financiera, ni una determinación de cobertura. La cobertura depende del texto de la póliza y de la suscripción.