- La nueva Directiva aumenta las obligaciones de gobernanza tecnológica que normas como la Directiva NIS2 o el Reglamento de Ciberresiliencia ya imponen a las compañías y a sus órganos de administración
Este artículo ha sido publicada en el número 1033 de Actualidad Jurídica Aranzadi (AJA), regístrarte una vez en este enlace y recibirás una comunicación con cada número desde la que podrás acceder a la revista en Legalteca.
¿Puede la responsabilidad por producto defectuoso acabar en una reclamación bajo una póliza de D&O? ¿Debe preocuparse el consejo de administración? Con la nueva Directiva (UE) 2024/2853 sobre responsabilidad por productos defectuosos, que debe transponerse antes del 9 de diciembre de 2026, es cada vez más probable que la respuesta a estas preguntas sea sí.
La nueva Directiva aumenta las obligaciones de gobernanza tecnológica que normas como la Directiva NIS2 o el Reglamento de Ciberresiliencia ya imponen a las compañías y a sus órganos de administración, y les añade consecuencias en el terreno de la responsabilidad civil. Al fijar nuevos estándares sobre cómo se actualiza, se documenta y se defiende un producto, da a los reclamantes una vara de medir para cuestionar la gestión de los administradores. No cambiará los clausulados de D&O, pero sí lo que llega a ellos.
Del defecto del producto al fallo de gobernanza
Un primer foco de riesgo son las actualizaciones y la ciberseguridad. La Directiva parte de que la seguridad de determinados productos digitales depende también de lo que ocurra después de su comercialización. Así, cuando el fabricante mantiene bajo su control las actualizaciones del software, puede responder si el producto resulta defectuoso por no haber incorporado las actualizaciones necesarias para mantener su seguridad. Esto abre, a su vez, la cuestión de cómo se identificaron, gestionaron y supervisaron internamente esos riesgos.
Pensemos en una vulnerabilidad de ciberseguridad conocida cuya corrección se retrasa y que posteriormente es explotada mediante un ciberataque. La compañía puede enfrentarse a una reclamación por los daños causados por el producto, pero la cuestión puede no terminar ahí. Si esa reclamación genera una pérdida para la sociedad, cabe esperar que los reclamantes se pregunten cómo se gestionó internamente la vulnerabilidad: cuándo se detectó, qué medidas se adoptaron, cómo se escaló el riesgo y qué información recibió el consejo. El incidente deja así de ser una cuestión exclusivamente de responsabilidad por producto y pone también bajo escrutinio la actuación de los administradores.
Un segundo foco son los mecanismos de exhibición de prueba y presunciones que facilitan la posición del reclamante. Así, el defecto puede presumirse cuando no se exhiban las pruebas pertinentes o se incumplan requisitos obligatorios de seguridad. Es decir, si la compañía no dispone de documentación suficiente para acreditar las pruebas realizadas, versiones, actualizaciones, decisiones adoptadas o la monitorización del producto, su posición frente a una reclamación puede verse debilitada al poder presumirse el defecto del producto y/o producirse un proceso de exhibición documental mucho más amplio que el que se hubiese producido si se hubiese gestionado correctamente la situación.
Ese incremento de la exposición puede abrir, a su vez, una segunda vía de reclamación contra los administradores si se cuestiona su supervisión de los sistemas internos establecidos para documentar y gestionar estos riesgos.
De la pérdida de la compañía a la reclamación D&O
El salto a D&O es indirecto y pasa siempre por un mismo punto: la pérdida económica de la sociedad. Esa pérdida va mucho más allá de la indemnización al perjudicado. Incluye los costes de defensa, las retiradas de producto, las medidas correctoras, las posibles sanciones regulatorias y, a menudo, lo más costoso: el daño reputacional y la pérdida de valor de la compañía. Cuando la factura es relevante, la pregunta deja de ser qué falló en el producto y pasa a ser quién debía haberlo evitado.
Ahí es donde la nueva Directiva cambia las reglas del juego. Los incumplimientos regulatorios en materia de ciberseguridad o de actualizaciones pueden convertirse ahora en reclamaciones por daños contra la compañía y, desde ahí, en reclamaciones contra el consejo. El reclamante ya no tendrá que construir el estándar de diligencia exigible a los administradores: lo encontrará escrito en la normativa. Y si la compañía no puede documentar cómo gestionó el riesgo, defender la actuación del consejo será mucho más difícil.
Las pólizas D&O suelen excluir los daños personales y materiales, que corresponden a Product Liability. Pero la reclamación contra los administradores no busca reparar ese daño, sino la pérdida económica que una gestión deficiente ha causado a la sociedad o a sus socios. El riesgo no entra por la puerta del producto, sino por la de la gestión.
El reto para el mercado de Financial Lines
El impacto de la Directiva en D&O previsiblemente no estará en los clausulados, sino en el riesgo que llega a ellos. Cabe esperar un cambio en el perfil, la frecuencia y la severidad de las reclamaciones y, con ello, en la forma en que el mercado suscribe, dimensiona y tarifica estos riesgos.
Para las aseguradoras, esto exigirá un mayor foco durante la suscripción en la gobernanza tecnológica del asegurado: cómo identifica y gestiona vulnerabilidades, qué protocolos aplica a las actualizaciones, cómo escala los riesgos relevantes y cómo documenta las decisiones adoptadas. También será importante valorar los posibles solapamientos de cobertura entre D&O, Cyber y Product Liability y la interacción entre las distintas pólizas.
Para brokers y asegurados, el análisis deberá centrarse también en la suficiencia de los límites y la coordinación entre coberturas. Una mayor exposición a este tipo de reclamaciones puede traducirse en mayores necesidades de cobertura y en un precio más alto.
En definitiva, la pregunta para el mercado de Financial Lines no es si la nueva Directiva exigirá cambiar las pólizas D&O, sino si los límites, la capacidad y el precio actuales están dimensionados para las reclamaciones que este nuevo entorno de responsabilidad puede generar.
