Mercado de seguros para infraestructura crítica: por qué las primas suben

El seguro de infraestructura crítica ha dejado de ser un producto financiero y se ha convertido en una auditoría técnica con prima. Quien todavía lo trate como una línea presupuestaria que se renueva cada doce meses por inercia, descubrirá en el ciclo 2026 que el contrato que firmó hace tres años no existe más, ni en condiciones ni en alcance.

La afirmación es dura porque la realidad lo es. Los reaseguradores globales, encabezados por Munich Re y Swiss Re, han reescrito su apetito de riesgo en los segmentos de ciber y propiedad industrial durante los últimos cuatro renovaciones. El resultado no es un encarecimiento lineal, sino una reconfiguración del producto. Lo que antes se aseguraba en una sola póliza, hoy se fragmenta en tres o cuatro coberturas con sublímites, exclusiones específicas y obligaciones de diligencia que se verifican antes y después del siniestro. Quien dirige una planta de tratamiento de agua, un nudo logístico, una subestación eléctrica o un centro de datos, ya no compra seguro: negocia su perfil de operador frente a un mercado que ha aprendido a leer la diferencia entre prevención declarada y prevención implementada.

El reaseguro ha cambiado de estado, no de precio

La narrativa pública sobre subida de primas se concentra en el porcentaje. Es un error de enfoque. El porcentaje es el síntoma. La causa está en la cadena de reaseguro, donde la capacidad disponible para riesgos sistémicos se ha contraído de forma estructural, no cíclica. Munich Re lleva varios ejercicios advirtiendo en sus informes anuales que la siniestralidad ciber agregada ha dejado de comportarse como una distribución manejable. Los grandes eventos, ataques a cadenas de suministro, ransomware con efecto cascada, interrupciones simultáneas en múltiples clientes de un mismo proveedor cloud, generan acumulaciones que no se pueden diversificar geográficamente. Swiss Re ha llegado a una conclusión similar para riesgos de propiedad ligados a infraestructura energética y a entornos OT.

Cuando la reaseguradora no puede diversificar, hace tres cosas en este orden. Primero, sube el coste del capital que cede al asegurador directo. Segundo, impone exclusiones contractuales que recortan el perímetro de cobertura, típicamente actos de guerra ampliados, infraestructura crítica designada, dependencias de proveedores únicos. Tercero, exige al asegurador directo que demuestre con datos que su cartera no concentra riesgo, lo que se traduce en cuestionarios de suscripción que el asegurado final percibe como una auditoría. La prima sube porque el producto que se vende ya no es el mismo. Quien compara la prima de 2023 con la de 2026 está comparando dos contratos distintos con el mismo nombre.

Para el operador de infraestructura crítica, este cambio tiene una consecuencia concreta. La capacidad asegurable, medida en límite agregado disponible para un mismo riesgo, se ha reducido en los segmentos más expuestos. En cobertura ciber para utilities, energía y telecomunicaciones, los límites máximos que ofrecen los mercados de Londres y centro Europa han bajado respecto a los picos de 2021. No porque el mercado quiera retirarse, sino porque el coste de capital reasegurador hace insostenible mantener exposiciones unitarias elevadas sin una mejora demostrable del perfil del riesgo subyacente. El operador que necesita un límite más alto encuentra hoy menos asientos disponibles en la mesa, y los que quedan vienen con condiciones que antes no existían. Esta es la lectura real del endurecimiento. No es una negociación de precio, es una redefinición del producto.

Lo que el suscriptor mira ahora y antes no miraba

El cuestionario de suscripción de una póliza de infraestructura crítica en 2026 no se parece al de 2020. La diferencia no es de extensión, es de exigencia probatoria. Donde antes bastaba con declarar la existencia de un plan de continuidad, hoy se pide la fecha del último ejercicio, el alcance del escenario probado, los hallazgos del informe posterior y las acciones cerradas frente a las pendientes. Donde antes se preguntaba si existía segmentación de red entre IT y OT, ahora se solicitan diagramas, evidencias de pruebas de penetración y registros de revisión periódica. El suscriptor ha aprendido que la declaración del tomador es un punto de partida, no un punto de cierre.

Hay cuatro bloques de información que se han vuelto decisivos en la suscripción. El primero es la gobernanza de seguridad física y lógica. No se pregunta si hay responsable de seguridad, se pregunta a quién reporta, con qué presupuesto, con qué autoridad para detener operaciones y con qué frecuencia presenta al consejo. El segundo es la madurez del control de accesos al perímetro físico de las instalaciones críticas. Quién entra, cómo se registra, qué tecnología se utiliza, qué tiempos de detección y respuesta se miden y se han verificado en ejercicios reales. INCIBE y CCN-CERT han publicado marcos de referencia que los suscriptores europeos utilizan como benchmark implícito. Quien está por debajo, paga más o no encuentra capacidad. El tercer bloque es la cadena de proveedores tecnológicos y operacionales. El suscriptor quiere saber qué dependencias críticas existen, qué cláusulas contractuales regulan la responsabilidad del proveedor en caso de incidente, y si se ha auditado al proveedor en los últimos doce meses. El cuarto bloque es la trazabilidad de los datos de seguridad. Logs, registros de cámaras, alertas de sistemas perimetrales. El suscriptor no quiere saber si existen, quiere saber durante cuánto tiempo se conservan, quién tiene acceso y cómo se garantiza su integridad frente a manipulación.

Quien responde estos cuatro bloques con documentación verificable obtiene condiciones que no están al alcance del operador que responde con declaraciones genéricas. La diferencia de prima entre ambos perfiles, dentro del mismo sector y con la misma exposición nominal, puede llegar a ser de un factor que el mercado calificaría hoy como estructural. La auditoría externa, realizada por un tercero técnico, se ha convertido en el documento más eficaz para mover una cotización en la dirección del tomador. No por la marca del auditor, sino por la traza independiente que aporta.

Los sectores donde la presión es máxima

No todos los operadores de infraestructura crítica reciben la misma presión. La diferencia se explica por la frecuencia siniestral observada, la severidad media de los incidentes y la concentración del riesgo en la cartera del reasegurador. El sector energético, en particular generación renovable distribuida y subestaciones de transmisión, ha visto subidas más acusadas porque combina vulnerabilidades físicas extensas con dependencia digital creciente. Los parques eólicos y solares, dispersos geográficamente y con conectividad remota, presentan un perfil de riesgo que el suscriptor entiende mal y, ante la duda, encarece.

El sector agua y saneamiento, especialmente las plantas de tratamiento y los sistemas SCADA asociados, ha pasado de ser una clase de riesgo de bajo perfil a una clase observada con atención. Los incidentes documentados de manipulación remota de parámetros químicos en plantas estadounidenses y europeos han movido a los reaseguradores a clasificar el agua como infraestructura ciber de primera línea, con las consecuencias de prima que eso implica. El operador medio de una empresa municipal de aguas se encuentra hoy con cuestionarios que hace cinco años solo recibían bancos.

El sector logístico y portuario es el tercero donde la dureza del mercado se nota más. La razón es la combinación de valor agregado en tránsito, dependencia de sistemas de gestión portuaria conectados, y exposición a interrupciones que generan reclamaciones de terceros de gran cuantía. Un puerto que pierde capacidad operativa durante cuarenta y ocho horas activa cláusulas de daños consecuenciales en docenas de contratos simultáneos. El reasegurador lo sabe y lo cobra. El centro de datos, finalmente, vive una paradoja. Es el sector que más ha invertido en seguridad y, al mismo tiempo, el que concentra mayor exposición acumulada por la dependencia de muchos clientes de pocos proveedores. La capacidad asegurable disponible para un hyperscaler europeo no es proporcional a su tamaño, es inversamente proporcional a la concentración que representa en la cartera del mercado.

Telecomunicaciones, sanidad y transporte ferroviario ocupan el segundo escalón de presión, con cuestionarios que se han endurecido pero con capacidad todavía disponible en condiciones negociables. El operador prudente, en cualquiera de estos sectores, no espera a que la dureza llegue a su segmento. Anticipa la próxima renovación con un trabajo de campo de noventa días que cambie su perfil documental antes de que el mercado lo cuantifique de nuevo.

Lo que el operador puede mover en doce meses

Frente al endurecimiento del mercado, el operador tiene tres palancas reales. La primera es la calidad documental. Un tomador con un dossier de suscripción estructurado, con evidencias verificables, con métricas de seguridad medidas en el tiempo y con un informe de auditoría externa de menos de doce meses, negocia desde una posición que el suscriptor reconoce. No se trata de presentar más papel, se trata de presentar el papel que reduce la incertidumbre del suscriptor. Cada incertidumbre que el suscriptor no puede resolver se traduce en carga de prima. La documentación que resuelve incertidumbre baja prima de forma medible.

La segunda palanca es la inversión en tecnología de seguridad física y monitorización perimetral que el suscriptor puede verificar. Un sistema de videoanalítica con detección automatizada, una flota de torres móviles de vigilancia en perímetros extensos, una capacidad robótica de patrullaje en instalaciones con personal limitado, son inversiones que el suscriptor entiende y valora. No porque sean modernas, sino porque reducen la frecuencia esperada de incidentes y porque generan registros que en caso de siniestro facilitan la peritación. La diferencia entre un operador que peritualmente entrega imágenes, registros y secuencias temporales del incidente, y uno que entrega un informe narrativo del jefe de turno, es del orden de magnitudes en la liquidación. El suscriptor sabe esto y lo descuenta en la prima por anticipado.

La tercera palanca es la gobernanza de proveedores. El operador que tiene mapeada su cadena de dependencias tecnológicas y operacionales, con cláusulas contractuales actualizadas, con auditorías recientes y con planes de contingencia para fallos de terceros, presenta un riesgo menor que el operador que descubre la dependencia el día del incidente. Esta palanca es la más infravalorada y la que mayor efecto tiene en sectores con concentración de proveedores. CNPIC y las directrices europeas de protección de infraestructura crítica han insistido en este punto durante años. El mercado asegurador lo ha incorporado a su suscripción más recientemente, y todavía premia bien a quien se ha anticipado.

Las tres palancas juntas no eliminan la subida de prima del ciclo de mercado, pero cambian la posición relativa del operador dentro de su segmento. Esto es lo que importa. En un mercado duro, no se trata de evitar la subida, se trata de subir menos que el promedio y de mantener capacidad asegurable disponible cuando otros operadores la pierden.

Por qué la auditoría externa se ha vuelto el documento más caro de no tener

Hay un patrón que se repite en las renovaciones de 2025 y que se acentuará en 2026. Los operadores que presentan al broker un informe de auditoría externa de seguridad, realizado por un tercero técnico independiente, con metodología documentada y con un plan de acción asociado, reciben cotizaciones diferentes a las de operadores comparables que no lo presentan. La diferencia no es solo de prima, es de capacidad disponible y de cláusulas accesorias.

La auditoría externa cumple tres funciones que la documentación interna no puede cumplir. Resuelve el problema de credibilidad, porque un tercero no tiene incentivo para suavizar hallazgos. Resuelve el problema de comparabilidad, porque utiliza marcos de referencia que el suscriptor reconoce. Y resuelve el problema de temporalidad, porque tiene una fecha, un alcance y unas conclusiones que sitúan al operador en un momento concreto frente al mercado. El operador que repite la auditoría cada doce o dieciocho meses construye una serie temporal que demuestra mejora. Esta serie es el activo más valioso que se puede presentar a un suscriptor en un ciclo duro.

El coste de una auditoría externa de tres a cinco días, realizada por un equipo que combine experiencia en seguridad física y tecnológica, se recupera con holgura en la primera renovación bien preparada. No por magia, sino por aritmética. Una reducción de cinco a quince puntos en la prima de una póliza de infraestructura crítica de tamaño medio supera con margen la inversión en auditoría. Cuando la reducción no se materializa en prima, suele materializarse en capacidad mantenida o en exclusiones evitadas, que en términos económicos es lo mismo. El operador que entiende esta mecánica utiliza la auditoría como herramienta de negociación, no como ejercicio de cumplimiento.

En el libro BOSWAU + KNAUER. Del oficio constructor a la tecnología de seguridad se describe el camino II de colaboración como una auditoría de tres a cinco días con seis entregables documentados antes del inicio. Este formato está pensado precisamente para que el operador disponga, al cierre, de un documento utilizable frente a aseguradores, frente a auditores internos y frente a su propio consejo. No es un informe que dependa del proveedor que lo emite. Es un documento que se sostiene por sí mismo.

Lo que permanece

El mercado de seguros para infraestructura crítica ha entrado en una fase que no es transitoria. Munich Re, Swiss Re y los principales reaseguradores han ajustado su apetito de riesgo de forma estructural, y este ajuste se transmite hacia los aseguradores directos y, finalmente, hacia el tomador. La subida de primas que se observa en el ciclo 2026 no es el techo de una curva, es la nueva pendiente. Quien lo lea como un episodio coyuntural perderá tres años de negociación antes de descubrir que tenía que haberse preparado en 2024.

La conclusión operativa es directa. El operador que quiera mantener condiciones razonables en la próxima renovación debe trabajar en dos frentes durante los próximos doce meses. El frente documental, con una auditoría externa que estructure el dossier de suscripción y aporte trazabilidad independiente. Y el frente tecnológico, con inversiones en seguridad física y monitorización que el suscriptor pueda verificar y que reduzcan la frecuencia esperada de incidentes. Ambos frentes se refuerzan mutuamente. La auditoría documenta la inversión, la inversión justifica la auditoría.

Para el operador que prefiere empezar por una conversación antes de comprometer recursos, el camino I del libro describe un formato de sesenta minutos confidencial y sin coste, en el que se traza una primera lectura del perfil del operador frente al mercado asegurador. Para quien necesita pasar de la conversación al documento, el camino II ofrece la auditoría de tres a cinco días con seis entregables. Para quien quiere medir el efecto de una intervención tecnológica antes de escalarla, el camino III propone un piloto de noventa días con criterio de éxito definido antes de empezar. Los tres caminos son independientes. El operador elige el que corresponde a su momento.

Preguntas frecuentes

¿Por qué suben las primas?

Las primas suben porque el mercado de reaseguro ha redefinido su apetito de riesgo en infraestructura crítica de forma estructural. Munich Re y Swiss Re han observado que la siniestralidad ciber y los incidentes en entornos OT generan acumulaciones que no se diversifican geográficamente, lo que sube el coste del capital reasegurador. Este coste se transmite al asegurador directo y al tomador. La subida no es coyuntural, es la nueva pendiente del mercado. Además, el producto que se vende ha cambiado: hay más exclusiones, sublímites y obligaciones de diligencia que antes no existían en las pólizas.

¿Qué sectores más afectados?

Energía, especialmente generación renovable distribuida y subestaciones, es el sector con presión más alta. Agua y saneamiento ha pasado de bajo perfil a primera línea por incidentes documentados en sistemas SCADA. Logística y puertos viven endurecimiento por daños consecuenciales en cadenas contractuales. Centros de datos enfrentan capacidad limitada por concentración de exposición. Telecomunicaciones, sanidad y ferrocarril ocupan el segundo escalón con cuestionarios más exigentes pero capacidad todavía negociable. La diferencia entre sectores se explica por frecuencia siniestral observada, severidad media y concentración en la cartera del reasegurador.

¿Qué puede hacer el operador?

El operador tiene tres palancas en doce meses. La primera es la calidad documental, con una auditoría externa que estructure el dossier de suscripción y aporte trazabilidad independiente verificable. La segunda es la inversión en tecnología de seguridad física y monitorización perimetral que el suscriptor pueda verificar y que reduzca la frecuencia esperada de incidentes. La tercera es la gobernanza de proveedores, con cláusulas contractuales actualizadas y planes de contingencia para fallos de terceros. Las tres palancas juntas no evitan la subida del ciclo, pero cambian la posición relativa del operador dentro de su segmento.

¿Quién suscribe?

En infraestructura crítica europea, los suscriptores directos son aseguradoras grandes con capacidad propia, complementadas por sindicatos de Lloyd's en Londres y por capacidad de mercados continentales centroeuropeos. Detrás de ellos opera el reaseguro global, con Munich Re y Swiss Re como referentes principales, junto a Hannover Re, SCOR y otros. La decisión de suscripción ya no la toma exclusivamente el asegurador directo, está condicionada por el apetito del reasegurador. En España, Unespa publica datos agregados del sector que ayudan a contextualizar tendencias. El broker especializado sigue siendo la pieza que articula la negociación entre tomador y mercado.