{"id":3091,"date":"2020-07-23T22:00:00","date_gmt":"2020-07-23T22:00:00","guid":{"rendered":""},"modified":"-0001-11-30T00:00:00","modified_gmt":"-0001-11-29T23:00:00","slug":"cyber-y-business-interruption-madrid-espana","status":"publish","type":"publicacion","link":"https:\/\/belzuz.com\/en\/publicacion\/cyber-y-business-interruption-madrid-espana\/","title":{"rendered":"Cyber y business interruption: \u00bffen\u00f3menos distintos o trigger de cobertura?"},"content":{"rendered":"

A lo largo de una serie de tres artículos (interrumpidos por la pandemia) hemos ido desgranando la problemática que presentan los ciberriesgos<\/strong> desde diferentes puntos de vista, analizando algunas de las coberturas más características, su alcance y sus efectos.<\/p>\n

En anteriores entregas, hemos tratado de analizar las implicaciones de los ciberriesgos cuando se pretenden imputar a pólizas que no han sido diseñadas para dar cobertura a este tipo de riesgos. Dejando aparte las dudas que suscita el , lo cierto es que la interacción de los ciberriesgos con las pólizas de property constituye una preocupación creciente en el mercado. Uno de los aspectos menos conocidos del cyber es, precisamente, su potencial para actuar como trigger (disparador) de las coberturas de business interruption<\/strong> previstas en muchas de las pólizas de property.<\/p>\n

En estos días, las cláusulas de business interruption se encuentran de actualidad dado el contexto generado por la COVID-19 y su notable impacto sobre la economía mundial. Las cláusulas de business interruption tienen por objeto cubrir el perjuicio patrimonial que supone el cese de la actividad productiva por la materialización de un evento que, normalmente, se identifica con un daño material; este tipo de coberturas, tradicionalmente, nacen de la materialización de un evento catastrófico como un incendio, una deflagración, un evento meteorológico extremo… Todos ellos eventos que provocan la destrucción de los medios de producción o de las instalaciones productivas y el consecuente cese o reducción de la actividad productiva.<\/p>\n

El problema fundamental que presentan las cláusulas de business interruption es que suelen encontrarse ligadas a la ocurrencia de un daño material; en ausencia de un daño material a las instalaciones o medios de producción, no se podrían activar este tipo de coberturas.<\/p>\n

Diferentes tribunales se han visto obligados a analizar estas cláusulas a la luz de la COVID-19. En Francia, una de las aseguradoras sistémicas (y buque insignia del sector asegurador francés) se veía obligada a afrontar el pago de una indemnización como consecuencia de la interrupción de la actividad de una conocida cadena de restauración durante la primera ola de la pandemia mientras que, en fecha bien reciente, un tribunal de Ciudad del Cabo (Sudáfrica) consideraba que el hecho de que se hubiese producido una interrupción de negocio de un restaurante como consecuencia del confinamiento impuesto por las autoridades sanitarias, en realidad, tiene relación con la COVID-19 y, por lo tanto, dispara las coberturas previstas para la pandemia en la póliza suscrita al efecto.<\/p>\n

En ninguno de los casos anteriores se ha producido un daño material, un daño sobre los medios de producción o sobre las instalaciones productivas, sino el mero cese de la actividad productiva con motivo de las restricciones impuestas por la pandemia. El hecho de que se hayan disparado las coberturas de business interruption en ausencia de un daño material pone en cuestión el alcance de este tipo de cláusulas y el cálculo del riesgo efectuado por la entidad aseguradora. En tanto en cuanto pueda considerarse que el cese de actividad, sin daño, es el disparador de este tipo de coberturas, resulta claro que los ciberriesgos pueden convertirse en un trigger para considerar.<\/p>\n

La naturaleza de los ciberriesgos es diversa, cambiante y versátil. En el ADN del ciberriesgo se encuentra su capacidad para adaptarse a la víctima, rastrear y explotar sus debilidades. En este sentido, más allá del malware destinado a la obtención de información y al espionaje, en las últimas décadas estamos asistiendo al desarrollo y sofisticación de malware que tiene la capacidad (intencionada o no) de provocar un daño material sobre su objetivo, bien de forma directa, bien indirecta. En muchos casos, este tipo de malware se ha desarrollado para el sabotaje industrial, aunque algunos de ellos forman parte de lo que, técnicamente, se ha dado en denominar APTs (Advanced Persistent Threats): ciberataques con motivación política, perpetrados por organizaciones de cierto tamaño o por estados.<\/p>\n

Un ejemplo muy conocido de los efectos potencialmente lesivos del malware sobre los procesos de producción se encuentra en “Stuxnet”, descubierto en 2010. Este gusano informático tenía como objetivo los sistemas SCADA (Supervisory Control and Data Acquisition), aquellos que permiten el control y monitorización, a distancia, de los procesos productivos. El fin último de Stuxnet era, según medios especializados, sabotear el programa nuclear iraní (probablemente en Bushehr o Natanz). ¿Cómo lo lograba?<\/p>\n

Stuxnet tomaba el control de los sistemas de medición de presión y velocidad de válvulas y rotores de forma que los operadores no pudiesen conocer los parámetros reales de medición. Stuxnet conseguía, así, dañar las centrifugadoras tan necesarias para el proceso de enriquecimiento de uranio paralizando y, en todo caso, ralentizando el programa nuclear iraní. Stuxnet sí produce un daño material en los medios de producción.<\/p>\n

Otro ejemplo del potencial para provocar un business interruption por un ciberataque lo encontramos en NotPetya, del que ya tuvimos ocasión de hablar en . Este virus, también una APT pero, esta vez, en forma de ransomware, tenía como objetivo la administración ucrania, pero infectó centenares de equipos del laboratorio Merck & Co. Este “secuestro” de los equipos provocó el cese total de la producción del laboratorio, con sus consecuentes pérdidas millonarias. No existió daño material, pero sí daño patrimonial consecutivo.<\/p>\n

Tanto en el caso del NotPetya como en el caso del Stuxnet el laboratorio o la, en su caso, empresa gestora de la planta nuclear podrían haber declarado un siniestro en su póliza de property; en el caso de Stuxnet, de no haberse conocido la autoría de esta APT, este siniestro difícilmente podría haber sido rehusado. El potencial destructivo de los ciberriesgos para con los medios de producción debe ser abordado de forma adecuada: es preciso desarrollar y comercializar productos de ciberseguro adaptados a la casuística de cada empresa y sector productivo, ya que todos pueden ser víctima (objetivo o daño colateral) de un ciberataque.<\/p>\n

A la hora de valorar la cobertura de una póliza de property, así como la posibilidad de que la póliza cubra un business interruption sin daño, es preciso acudir a los clausulados y a la literalidad de cada una de las pólizas (diversas, en todo caso). En este sentido, resulta ciertamente improbable que se reinterpreten los clausulados, cuando éstos exigen la materialización de un daño material a los medios de producción, para dar cobertura a un business interruption sin daño material.<\/p>\n

Desde el  de Belzuz Abogados S.L.P. seguimos haciendo hincapié en la clarificación y simplificación de los clausulados de forma que, tanto Tomador como Aseguradora, conozcan los riesgos cubiertos y hasta dónde se extienden sus responsabilidades. Evitar el silent cyber, contribuir a la concienciación sobre los ciberriesgos y fomentar el desarrollo de productos de ciberseguro completos y efectivos no es sino una obligación de todos en este verano de incertidumbre.<\/p>\n<\/p>\n<\/p>\n

 <\/p>\n","protected":false},"featured_media":431,"template":"","categories":[],"area-de-practica":[],"publicaciones":[],"idioma-publicacion":[70],"areas-practica-publicacciones":[],"class_list":["post-3091","publicacion","type-publicacion","status-publish","has-post-thumbnail","hentry","idioma-publicacion-espanol"],"acf":[],"_links":{"self":[{"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/publicacion\/3091","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/publicacion"}],"about":[{"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/types\/publicacion"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/media\/431"}],"wp:attachment":[{"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/media?parent=3091"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/categories?post=3091"},{"taxonomy":"area-de-practica","embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/area-de-practica?post=3091"},{"taxonomy":"publicaciones","embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/publicaciones?post=3091"},{"taxonomy":"idioma-publicacion","embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/idioma-publicacion?post=3091"},{"taxonomy":"areas-practica-publicacciones","embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/areas-practica-publicacciones?post=3091"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}