¿Qué es el seguro de responsabilidad cibernética y lo necesita tu negocio en Texas?

El seguro de responsabilidad cibernética paga la respuesta que la ley de Texas te obliga a dar después de una filtración de datos: avisarle a cada cliente afectado, reportarle al estado, contratar al perito que revisa tus sistemas y al abogado que contesta. No es una póliza contra hackers. Cubre el trabajo que viene después, y ese trabajo tiene fecha límite.

Si la filtración toca a 250 residentes de Texas o más, tienes 30 días para reportarla a la Procuraduría General del estado. A las personas afectadas les avisas dentro de 60 días. No hay excepción por tamaño: un taller de 4 personas con 300 expedientes en una laptop cae bajo la misma regla que una cadena.

¿Qué es el seguro de responsabilidad cibernética?

El seguro de responsabilidad cibernética es una póliza comercial que cubre el costo de responder a una filtración de datos o un ataque informático: la investigación forense, el aviso a los clientes afectados, el monitoreo de crédito, la defensa legal, las multas de reguladores y los ingresos perdidos mientras tu sistema está caído.

Si guardas nombres, correos, números de tarjeta o licencias de conducir, ya tienes la exposición. Una lista de clientes en una hoja de cálculo cuenta igual que una tienda con carrito. Si tu negocio tiene sitio web con formularios, pregúntale a quien te lleva el sitio y el marketing qué datos se guardan y dónde.

El reloj empieza el día que te das cuenta: 60 días, 30 días y 250 clientes

El Código de Negocios y Comercio de Texas le pone 3 obligaciones a cualquier negocio que opere en el estado y maneje información personal sensible. Sin piso de empleados ni de ingresos.

Lo que tienes que hacer	Cuándo aplica	Plazo
Avisarle a cada persona afectada	Se expuso información personal sensible sin encriptar	Sin demora irrazonable y a más tardar el día 60 después de que determinas que ocurrió
Reportarle a la Procuraduría General de Texas	La filtración involucra al menos 250 residentes del estado	Lo antes posible y a más tardar el día 30, en el formulario electrónico del sitio de la Procuraduría
Avisarle a las agencias de crédito nacionales	Tienes que notificar a más de 10,000 personas a la vez	Sin demora irrazonable

Desde el 1 de septiembre de 2023 ese reporte va por formulario electrónico, no por carta, y tiene que decir cuántos residentes ya recibieron el aviso. El mismo cambio recortó el plazo estatal de 60 días a 30.

Las sanciones son civiles y las cobra la Procuraduría: de $2,000 a $50,000 por violación, más hasta $100 por cada individuo por cada día consecutivo que no tomes acción razonable para avisar, con tope de $250,000 por una sola filtración.

Eso es lo que casi ninguna página sobre este tema te dice. Hablan de hackers. La ley habla de plazos.

¿Ya lo cubre mi BOP o mi responsabilidad civil general?

Casi siempre no. La responsabilidad civil general responde por lesiones corporales y daños a propiedad física. Un expediente copiado de tu servidor no es propiedad física, y la mayoría de los formularios lo excluyen de forma expresa.

Una póliza de dueño de negocio a veces trae un endoso de filtración de datos, con un límite chico pensado para el aviso, no para la defensa legal ni el ingreso perdido. Revisa qué cubre y qué no cubre tu BOP antes de darlo por hecho: saca la página de declaraciones y busca el límite por separado. Si no aparece, no lo tienes.

Qué paga la póliza y qué te reclaman a ti

La cobertura se parte en 2 mitades, y esa distinción decide si un reclamo te sirve.

Primera parte: tus propios costos	Tercera parte: lo que otros te reclaman
Investigación forense del incidente	Demandas de clientes cuyos datos se expusieron
Aviso a los afectados y monitoreo de crédito	Defensa legal por fallas de privacidad y de red
Recuperación de datos, del sistema y del ingreso perdido	Investigaciones y sanciones de reguladores

Lo que el seguro cibernético no paga

No paga tu equipo físico dañado, eso va en propiedad comercial. No paga los errores en tu servicio profesional, eso va en errores y omisiones. No paga lesiones ni daño físico, eso va en responsabilidad civil general. Tampoco cubre la pérdida de propiedad intelectual, y hay sanciones que según la jurisdicción no son asegurables. Cada una de esas es una póliza aparte dentro de los 6 tipos de seguro que casi todo negocio necesita.

Si un cliente te pide prueba de cobertura, el certificado de seguro tiene que mostrar la línea cibernética por separado.

¿Por qué el correo falso cuesta más que el ransomware?

En 2025 el Centro de Denuncias de Delitos por Internet del FBI recibió 24,768 denuncias por compromiso de correo empresarial, con pérdidas de más de $3,000 millones. Por ransomware recibió 3,611, con pérdidas reportadas de $32.3 millones.

Antes de sacar la conclusión fácil: el propio informe advierte que la cifra de ransomware queda baja, porque muchas víctimas reportan el incidente sin el monto, y porque deja fuera el negocio perdido, el tiempo, los sueldos y el equipo.

Aun así, el reclamo que más dinero mueve no es el rescate. Es el correo que parece de tu proveedor y te hace mandar una transferencia a la cuenta equivocada. Pregúntale a tu agente si tu póliza cubre fraude en transferencia de fondos y con qué límite, porque esa cobertura no siempre viene adentro del límite principal.

Qué revisamos en el mostrador en Houston en 2026

Texas quedó segundo en el país en 2025, con 97,912 denuncias y más de $1,825 millones en pérdidas reportadas. Solo California reportó más.

Cuando llega un dueño de negocio a preguntar por esta cobertura, lo primero no es el límite. Son 4 datos: cuántos expedientes guardas, dónde están, quién más tiene acceso, y si firmaste un contrato que te obliga a avisar en menos de 60 días. Un cliente grande puede apretar el plazo más que la ley.

En Paga Menos Insurance hacemos ese cálculo en español. Si ya tienes seguro para tu negocio con nosotros, revisar si te hace falta agregar seguro de responsabilidad cibernética toma una llamada y la página de declaraciones que ya está en tu expediente.

Preguntas frecuentes

¿Qué es el seguro de responsabilidad cibernética?

Es una póliza comercial que cubre el costo de responder a una filtración de datos o un ataque informático. Paga la investigación forense, el aviso a los clientes, el monitoreo de crédito, la defensa legal y los ingresos perdidos mientras el sistema está caído.

¿Necesito seguro de responsabilidad cibernética si mi negocio es chico?

La ley de Texas no tiene excepción por tamaño. La obligación de avisar aplica a cualquier persona que haga negocios en el estado y maneje información personal sensible, sin piso de empleados ni de ingresos. El plazo de 60 días te aplica igual que a una empresa grande.

¿Cuánto tiempo tengo para avisarles a mis clientes de una filtración en Texas?

Sin demora irrazonable y a más tardar el día 60 después de que determinas que ocurrió. El plazo se puede pausar si la policía pide que esperes, o por el tiempo que necesites para medir el alcance y restaurar el sistema.

¿Cuándo tengo que reportarle la filtración al estado de Texas?

Cuando involucra al menos 250 residentes de Texas, lo antes posible y a más tardar el día 30 después de que determinas que ocurrió, por el formulario electrónico de la Procuraduría General. Si notificas a más de 10,000 personas a la vez, también hay que avisarle a las agencias de crédito.

¿El seguro cibernético paga el rescate de un ransomware?

Muchas pólizas incluyen la negociación y el pago de extorsión, pero rara vez sin condiciones. Suele traer un límite separado del principal y la obligación de avisarle a la aseguradora antes de pagar nada.