La aplicación de la normativa es cada vez más estricta y técnica

Aon plc ha publicado el informe “Asegurabilidad de las multas cibernéticas”, elaborado junto a A&O Shearman, en el que advierte de que las empresas con presencia en la región EMEA afrontan un riesgo creciente de sanciones vinculadas a la ciberseguridad. El incremento de incidentes cibernéticos y la evolución normativa están elevando la probabilidad de multas significativas tanto para las organizaciones como para sus directivos en caso de incumplimiento.

El estudio señala que, aunque la exposición a este tipo de sanciones aumenta de forma acelerada, la posibilidad de asegurarlas sigue siendo limitada y depende en gran medida de cada jurisdicción. En muchos casos, las multas solo son asegurables si la legislación lo permite, lo que deja a las compañías potencialmente expuestas incluso contando con pólizas de ciberseguridad.

En contraste, otros costes asociados a incidentes, como la defensa legal, las investigaciones, la notificación de brechas de seguridad o la interrupción del negocio, suelen estar cubiertos de manera más consistente. Esta situación pone de manifiesto una brecha creciente entre el riesgo regulatorio y la protección real que ofrecen los seguros.

Las conclusiones del informe coinciden con la Encuesta Global de Gestión de Riesgos 2025 de Aon, que sitúa los ciberataques y las filtraciones de datos como el principal riesgo emergente para las empresas de la región EMEA, reforzando la preocupación del sector empresarial ante este tipo de amenazas.

Marco normativo

El análisis destaca además la ampliación del marco normativo, en el que regulaciones como el RGPD se ven complementadas por nuevas obligaciones derivadas de normativas como NIS2, DORA o la Ley de Inteligencia Artificial de la Unión Europea. Estas legislaciones incrementan la presión sobre las empresas, con sanciones que pueden alcanzar hasta el 7% de la facturación global en determinados supuestos.

Asimismo, el informe subraya que la aplicación de la normativa es cada vez más estricta y técnica, incorporando controles sobre aspectos como la gestión de accesos, el registro de incidentes o la capacidad de respuesta ante ciberataques. Además de las multas económicas, se advierte del impacto de sanciones no monetarias, como suspensiones de actividad o prohibiciones de gestión, que pueden resultar igualmente perjudiciales y que, en general, no son asegurables.

Ante este escenario, Aon apunta a la necesidad urgente de adoptar medidas prácticas de prevención y gobernanza. Entre ellas, destacan la evaluación de riesgos por jurisdicción, auditorías de cumplimiento, simulaciones de crisis, relación proactiva con reguladores y una gestión sólida de proveedores, con el objetivo de reducir la exposición acumulada a sanciones y litigios en un entorno cada vez más exigente.