El seguro cibernético en la República Dominicana: una necesidad evidente frente a una brecha de asegurabilidad que solo el sector privado puede cerrar
La República Dominicana atraviesa una transformación digital de una velocidad que pocos anticiparon. La banca electrónica, el comercio digital, los servicios gubernamentales en línea y la creciente industria de servicios tercerizados han convertido el ciberespacio dominicano en un activo económico de primer orden y, en igual medida, en una superficie de ataque cada vez más atractiva para la delincuencia organizada transnacional. Los acontecimientos del primer semestre de 2026 lo confirman con una elocuencia incómoda: en un lapso de apenas cinco semanas, tres empresas dominicanas de sectores distintos (Central Romana Corporation, Plaza Lama y Foodsmart Dominicana) fueron publicadas en los portales de extorsión de los grupos de ransomware LockBit 5.0, Payload y Krybit, respectivamente (Ransomware.live 2026; DeXpose 2026). Conviene precisar, con el rigor evidencial que el tema exige, que se trata de reivindicaciones de los propios atacantes, aún no confirmadas públicamente por las entidades afectadas. No obstante, el patrón es inequívoco. Los intermediarios de acceso inicial han descubierto el mercado dominicano.
Ante esta realidad, el seguro cibernético debería ocupar un lugar central en la gestión de riesgos de la empresa dominicana. Sin embargo, este ensayo sostiene una tesis que a primera vista parece paradójica: aunque la República Dominicana necesita con urgencia el beneficio de esta cobertura, la misma no está genuinamente disponible en el mercado local, ni lo estará, hasta que los propios usuarios y potenciales asegurados instituyan los cambios de gobernanza tecnológica necesarios para cerrar lo que la literatura actuarial denomina la «brecha de asegurabilidad» (insurability gap). El Estado dominicano, a través del Centro Nacional de Ciberseguridad (CNCS) y de las unidades especializadas de la Policía Nacional, ha construido una arquitectura institucional digna de reconocimiento; pero esa arquitectura, como se argumentará, no puede rendir sus frutos —ni habilitar un mercado asegurador funcional— sin la cooperación activa y sostenida de la empresa privada.
La función económica del seguro cibernético y su pertinencia dominicana
El seguro cibernético no es un simple mecanismo de transferencia de pérdidas. En los mercados maduros opera como un regulador privado de facto: el proceso de suscripción impone estándares mínimos de higiene digital, los cuestionarios de solicitud funcionan como auditorías de controles, y el panel de respuesta a incidentes del asegurador —forenses, abogados, negociadores— suple capacidades que la mayoría de las empresas no puede mantener internamente. Para una economía como la dominicana, donde la capacidad local de respuesta a incidentes es escasa y los especialistas deben con frecuencia importarse, esta última función es acaso la más valiosa: el costo de una brecha aumenta precisamente donde la infraestructura de respuesta es más delgada.
La exposición, por su parte, no es hipotética. La literatura especializada ha documentado que la mayoría de los delitos electrónicos en el país se relacionan con el robo de datos, el phishing, el fraude financiero y el hacking, en un contexto en que la economía dominicana depende crecientemente de las tecnologías de la información y el país se ha consolidado como centro de servicios y tercerización para empresas internacionales (Guerrero y colaboradores 2023). A ello se suman precedentes públicos de gravedad: el ataque de ransomware Quantum contra el Instituto Agrario Dominicano en 2022, que cifró la práctica totalidad de los servidores de esa entidad con una exigencia de rescate superior a los seiscientos mil dólares (BleepingComputer 2022), y la sustracción de datos de la Dirección General de Migración reivindicada por el grupo Rhysida en 2023 (The Record 2023). Los episodios de 2026 no constituyen, pues, una anomalía, sino la continuación de una tendencia.
La brecha de asegurabilidad: por qué la cobertura no está disponible
Si la necesidad es tan patente, ¿por qué el seguro cibernético afirmativo sigue siendo una rareza en el mercado dominicano? La respuesta no reside principalmente en la timidez de los aseguradores, sino en una asimetría estructural entre lo que el suscriptor requiere y lo que el asegurable promedio puede demostrar.
La suscripción cibernética contemporánea es, en esencia, una evaluación de controles. El suscriptor prudente exige, como condición precedente a la cotización, evidencia de autenticación multifactor en todos los accesos remotos, respaldos inmutables y probados, segmentación de redes, gestión de parches documentada, capacitación del personal y un plan de respuesta a incidentes ensayado. Una porción significativa de la mediana empresa dominicana —incluida la empresa familiar de facturación considerable pero gobernanza tecnológica incipiente— no superaría hoy ese cuestionario. Suscribir ese riesgo sin controles equivale, en términos técnicos, a comprar una pérdida; el asegurador que lo hace de manera sistemática no construye un mercado: lo envenena, mediante primas insostenibles primero y retiros de capacidad después, como lo demostró la corrección global del mercado cibernético de 2020–2022.
A esta selección adversa se añade el problema del «ciber silencioso» (silent cyber): buena parte del empresariado dominicano presume, erróneamente, que sus pólizas de incendio, de manejo (crime) o de responsabilidad civil responderán ante un evento cibernético, cuando dichos formularios jamás fueron tarifados para ese peligro. Esta cobertura ilusoria suprime la demanda de cobertura afirmativa y perpetúa el círculo: sin demanda calificada no hay oferta local, y sin oferta local el riesgo se retiene —inadvertidamente— en balances corporativos que no lo han cuantificado.
La conclusión es ineludible: la disponibilidad del seguro cibernético en la República Dominicana no es una decisión que tomará el mercado asegurador de manera unilateral. Es una condición que el propio tejido empresarial debe ganarse, elevando su madurez de controles hasta el umbral en que el riesgo se torna técnicamente suscribible. La asegurabilidad no se decreta; se construye.
La arquitectura estatal: méritos innegables del CNCS y de la Policía Nacional
Sería injusto atribuir la brecha descrita a la inacción del Estado. La República Dominicana fue uno de los primeros diez países de la región en adoptar una estrategia nacional de ciberseguridad, aprobada mediante el Decreto núm. 230-18, instrumento que además creó el Centro Nacional de Ciberseguridad como dependencia del Ministerio de la Presidencia, con mandato de formular la política pública, coordinar la respuesta a incidentes y proteger las infraestructuras críticas nacionales (Poder Ejecutivo 2018; República Digital 2020). La labor del CNCS en los años subsiguientes merece elogio expreso: la actualización de la estrategia bajo la Estrategia Nacional de Ciberseguridad 2030, la consolidación del equipo nacional de respuesta a incidentes CSIRT-RD y su admisión al Forum of Incident Response and Security Teams (FIRST), la suscripción de decenas de convenios interinstitucionales, y el impulso del Decreto núm. 685-22, que instituye la notificación obligatoria de incidentes cibernéticos para las instituciones públicas (CNCS 2026; Ministerio de la Presidencia 2023). Se trata de una institucionalidad que muchos países de ingreso medio aún no poseen.
En el plano represivo, la Ley núm. 53-07 sobre Crímenes y Delitos de Alta Tecnología dotó al país, desde 2007, de un régimen penal especializado y creó el Departamento de Investigación de Crímenes y Delitos de Alta Tecnología (DICAT) de la Policía Nacional, unidad que funge además como punto de contacto dominicano en la red internacional de asistencia 24/7 en materia de delitos tecnológicos (Congreso Nacional 2007). La firma del convenio de cooperación entre el CNCS y la Policía Nacional en 2023 formalizó la coordinación entre la función preventiva y la persecutoria, fortaleciendo la capacidad de respuesta conjunta ante incidentes (Presidencia de la República 2023). El profesionalismo creciente del DICAT —cuya ley orgánica exige certificaciones técnicas de industria a su personal— constituye un activo nacional que no debe subestimarse.
El eslabón faltante: la cooperación empresarial
Y sin embargo, toda esta arquitectura descansa sobre un supuesto que la práctica desmiente: que el sector privado reporte, coopere y preserve. El CNCS solo puede caracterizar el panorama de amenazas que le es visible; el DICAT solo puede investigar los hechos que le son denunciados. La realidad dominicana —común, en honor a la verdad, a casi toda la región— es el subreporte sistemático. La empresa víctima de ransomware teme el daño reputacional, la exposición regulatoria y el escrutinio de sus contrapartes, y opta por el silencio: paga o restaura, y no denuncia. Cada incidente no reportado es inteligencia de amenazas que el CSIRT-RD no recibe, evidencia forense que el DICAT no preserva conforme a las mejores prácticas que la propia Ley 53-07 ordena, y un dato actuarial que el mercado asegurador jamás incorporará a sus modelos de frecuencia y severidad. El Decreto 685-22 impone la notificación a las instituciones públicas; ningún instrumento equivalente vincula aún, con carácter general, a la empresa privada. Como ha reconocido el propio Centro, la ciberseguridad no es responsabilidad exclusiva del gobierno ni del sector privado por separado, sino un compromiso colectivo (CNCS 2026).
La cooperación empresarial que aquí se reclama tiene, además, una dimensión autointeresada que conviene explicitar: los mismos controles que el suscriptor exige —autenticación robusta, respaldos verificados, respuesta ensayada, reporte oportuno— son los que reducen la probabilidad y la severidad del siniestro. Cerrar la brecha de asegurabilidad y reducir el riesgo operativo son, literalmente, el mismo acto.
En fin
La República Dominicana necesita el seguro cibernético no como un lujo corporativo, sino como infraestructura financiera de su transformación digital. Esa cobertura no llegará por generación espontánea. El Estado ha cumplido una parte sustancial de su tarea: el CNCS ha dotado al país de estrategia, doctrina y capacidad de respuesta; la Policía Nacional, a través del DICAT, de capacidad investigativa especializada. Lo que falta no puede proveerlo ningún decreto: la decisión empresarial de invertir en controles verificables, de reportar los incidentes que hoy se ocultan y de tratar la higiene cibernética como condición de acceso al mercado —crediticio, contractual y asegurador— y no como un gasto discrecional. El día en que la mediana empresa dominicana pueda responder afirmativamente el cuestionario de un suscriptor cibernético, la cobertura estará disponible, será tarifable y cumplirá su función. Hasta entonces, la brecha de asegurabilidad seguirá siendo, en rigor, un espejo: no refleja la indiferencia del mercado asegurador, sino el estado de nuestra propia casa digital.
~ C. Constantin Poindexter Salcedo, MA, JD, CPCU, AFSB, ASLI, ARe, AINS, AIS, CPLP
Bibliografía
- BleepingComputer. 2022. «Quantum Ransomware Attack Disrupts Govt Agency in Dominican Republic». BleepingComputer, agosto de 2022. https://www.bleepingcomputer.com/news/security/quantum-ransomware-attack-disrupts-govt-agency-in-dominican-republic/.
- Centro Nacional de Ciberseguridad (CNCS). 2026. Avances en Ciberseguridad en la República Dominicana 2022–2025. Santo Domingo: Centro Nacional de Ciberseguridad. https://cncs.gob.do/wp-content/uploads/2026/03/Avances-en-Ciberseguridad-en-la-Republica-Dominicana_2022-2025.pdf.
- Congreso Nacional de la República Dominicana. 2007. Ley núm. 53-07 sobre Crímenes y Delitos de Alta Tecnología. Gaceta Oficial núm. 10416, 23 de abril de 2007. https://www.oas.org/juridico/PDFs/repdom_ley5307.pdf.
- DeXpose. 2026. «LockBit 5.0 Targets Central Romana Corporation in Ransomware Attack»; «Payload Ransomware Strikes Plaza Lama in Dominican Republic»; «Krybit Ransomware Strikes Foodsmart Dominicana». DeXpose Threat Intelligence, mayo–junio de 2026. https://www.dexpose.io/.
- Guerrero, J., et al. 2023. «Cybersecurity and Geopolitics in the Dominican Republic: Threats, Policies and Future Prospects». ResearchGate, junio de 2023. https://www.researchgate.net/publication/371724849.
- Ministerio de la Presidencia. 2023. «Consejo Directivo del Centro Nacional de Ciberseguridad establece medidas para fortalecer la ciberseguridad nacional». Nota de prensa, octubre de 2023. https://minpre.gob.do/.
- Poder Ejecutivo de la República Dominicana. 2018. Decreto núm. 230-18 que establece y regula la Estrategia Nacional de Ciberseguridad 2018–2021. Santo Domingo, 19 de junio de 2018.
- Poder Ejecutivo de la República Dominicana. 2022. Decreto núm. 685-22 sobre notificación obligatoria de incidentes cibernéticos e intercambio de información de amenazas. Santo Domingo, 2022.
- Presidencia de la República Dominicana. 2023. «Centro Nacional de Ciberseguridad y Policía Nacional firman convenio de cooperación interinstitucional». https://presidencia.gob.do/noticias/centro-nacional-de-ciberseguridad-y-policia-nacional-firman-convenio-de-cooperacion.
- Ransomware.live. 2026. «Victims for Dominican Republic». Consultado en agosto de 2026. https://www.ransomware.live/map/DO.
- República Digital. 2020. «Ciberseguridad». Gobierno de la República Dominicana. https://republicadigital.gob.do/eje/ciberseguridad/.
- The Record (Recorded Future News). 2023. «Rhysida Ransomware Gang Claims Attacks on Governments in Portugal, Dominican Republic». https://therecord.media/rhysida-ransomware-gang-attacks-on-portugal-dominican-republic-governments.
