Hva er cyber insurance claims severity?

Cyber insurance claims severity, på norsk alvorlighetsgrad av cyberforsikringskrav, er et mål på hvor store tapene er når et forsikringskrav blir meldt inn etter en cyberhendelse. Mens claims frequency forteller hvor ofte angrep skjer, sier severity noe om den økonomiske tyngden av hvert enkelt krav. Dette er en kritisk faktor for forsikringsselskaper som må prise polisene sine riktig, og for investorer som vil vurdere risikoen i selskaper som er avhengige av digital infrastruktur.

Målet uttrykkes vanligvis som gjennomsnittlig tapsbeløp per krav, men kan også brytes ned på ulike typer hendelser som ransomware, datainnbrudd, business email compromise (BEC) eller tredjepartsansvar. For eksempel viser rapporter at gjennomsnittskravet for et ransomware-angrep i 2025 var omtrent 269 000 dollar, mens enkelte store hendelser har kostet over 500 millioner dollar. Denne skjevheten – at noen få ekstremt dyre hendelser dominerer – gjør severity til et mer komplekst og volatilt mål enn frekvens.

Forstå cyber insurance claims severity

For å forstå severity må man først skille mellom to typer tap: førstepartstap og tredjepartstap. Førstepartstap dekker selskapets egne kostnader, som løsepenger, systemgjenoppretting, tapt omsetning og krisehåndtering. Tredjepartstap omfatter erstatningskrav fra kunder, partnere eller regulatorer etter at deres data er lekket. Willis’ rapport fra 2026 viser at over 95 % av gjennomsnittlige datainnbruddstap og 90 % av førstepartstap er dekket av forsikring, men severity varierer sterkt avhengig av hendelsestype.

En viktig innsikt er at store krav (over 1 million dollar) står for 88 % av alle utbetalte tap globalt de siste ti årene, ifølge Coalition. Det betyr at forsikringsselskapenes resultater i stor grad bestemmes av et lite antall svært alvorlige hendelser. Investorer som ser på selskaper som selger cyberforsikring, bør derfor ikke bare fokusere på antall kunder, men på hvordan selskapet håndterer severity-risiko – for eksempel gjennom gjenforsikring, risikopremier og skadeforebyggende tiltak.

Hvordan fungerer cyber insurance claims severity?

Severity beregnes ved å summere alle utbetalte beløp for en gitt type hendelse i en periode og dele på antall krav. For eksempel: Hvis et forsikringsselskap i 2025 mottok 100 krav relatert til BEC-svindel og betalte totalt 5 millioner dollar, er gjennomsnittlig severity 50 000 dollar per krav. Men fordi fordelingen er svært skjev, bruker analytikere ofte median i stedet for gjennomsnitt, eller de ser på persentiler (f.eks. topp 1 % av krav).

Forsikringsselskapene bruker severity-data til å sette premier, bestemme egenandeler og tegne gjenforsikringskontrakter. Høy severity fører til høyere premier for kundene, spesielt for bransjer som helse, finans og teknologi. For investorer er det nyttig å følge utviklingen i severity over tid – en stigende trend kan tyde på at cyberkriminelle blir mer effektive eller at sårbarheter øker, noe som kan påvirke aksjekursene til både forsikringsselskaper og teknologileverandører.

Historisk bakgrunn

Cyberforsikring oppsto på 1990-tallet, men var lenge et nisjeprodukt med lave premier. Etter hvert som digitale angrep ble mer sofistikerte og kostbare, spesielt med fremveksten av løsepengevirus som WannaCry (2017) og NotPetya, begynte severity å øke dramatisk. I 2020-2023 så man en eksplosjon i både frekvens og severity, drevet av økt digitalisering under pandemien og nye angrepsmetoder.

Coalitions 2026-rapport viser at severity nådde rekordnivåer i første halvdel av 2023, med et gjennomsnitt på 365 000 dollar per krav. Siden da har utviklingen vært todelt: Frekvensen av krav har gått noe ned i Europa, men severity har fortsatt å stige. Dette skyldes at kriminelle i større grad går etter store mål og krever høyere løsepenger. Willis’ rapport bekrefter at gjennomsnittlig ransomware-hendelse varer i 25 dager og koster 5,3 millioner dollar, med enkelttilfeller over 500 millioner.

Praktisk eksempel

La oss ta et norsk eksempel: Et mellomstort norsk logistikkselskap med 500 ansatte blir rammet av et ransomware-angrep i 2025. Angriperne krypterer alle servere og krever 15 millioner kroner i løsepenger. Selskapet har en cyberforsikring med en egenandel på 500 000 kroner og en dekning på 50 millioner kroner.

Etter angrepet melder selskapet krav på totalt 22 millioner kroner: 15 millioner i løsepenger, 4 millioner i IT-konsulentkostnader og 3 millioner i tapt omsetning under nedetiden på 10 dager. Forsikringsselskapet utbetaler 21,5 millioner kroner (22 millioner minus egenandel). Dette kravet har en severity på 21,5 millioner kroner. Hvis selskapet samme år får 10 slike krav, blir gjennomsnittlig severity 2,15 millioner kroner per krav. For investorer i forsikringsselskapet er det avgjørende å vite om slike store krav er innenfor selskapets risikotoleranse og om de har tilstrekkelig gjenforsikring.

Fordeler og ulemper

Fordeler: For investorer gir severity-data en dypere forståelse av risikoen i forsikringsbransjen. Det hjelper til å identifisere hvilke selskaper som har god risikostyring og hvilke som er overeksponert. For forsikringsselskapene selv gjør severity-analyser det mulig å prisse poliser mer presist og bygge robuste gjenforsikringsprogrammer.

Ulemper: Severity er svært volatil og påvirkes av enkelthendelser. Et eneste stort angrep kan forvrenge gjennomsnittet og gi et misvisende bilde. I tillegg er det vanskelig å sammenligne severity på tvers av land og bransjer fordi dekningsnivåer og rapporteringsstandarder varierer. For en nybegynnerinvestor kan det være forvirrende å skille mellom frekvens og severity, og å forstå at høy severity ikke nødvendigvis betyr høy totalrisiko hvis frekvensen er lav.

Vanlige misforståelser

En utbredt misforståelse er at cyberforsikring dekker alle tap fullt ut. I virkeligheten har de fleste poliser egenandeler, dekningsrammer og unntak for visse typer angrep (for eksempel statssponsede angrep). Høy severity betyr at selv med forsikring kan et selskap sitte igjen med betydelige udekkede tap.

En annen misforståelse er at severity og frekvens alltid beveger seg i samme retning. Data viser at frekvensen av angrep kan gå ned samtidig som severity øker, fordi kriminelle blir mer målrettede. Investorer som kun ser på antall krav, kan derfor undervurdere risikoen. Til slutt tror mange at små bedrifter er mindre utsatt for høy severity, men ett enkelt angrep kan være nok til å ruinere en liten bedrift uten tilstrekkelig dekning.

Oppsummering

Cyber insurance claims severity er et sentralt risikomål for alle som investerer i forsikringsselskaper, teknologibedrifter eller selskaper med høy digital eksponering. De siste årene har severity økt markant, spesielt for ransomware, og store krav dominerer de totale utbetalingene. For investorer er det viktig å følge med på severity-trender, forstå forskjellen på frekvens og alvorlighetsgrad, og vurdere hvordan forsikringsselskaper håndterer denne risikoen gjennom prising og gjenforsikring.

Selv om cyberforsikring gir viktig beskyttelse, er den ikke en fullstendig løsning. Selskaper må fortsatt investere i forebygging og beredskap. For deg som investor kan kunnskap om severity hjelpe deg å gjøre mer informerte vurderinger av risiko og avkastning i en stadig mer digitalisert verden.