Bortfall av cyberforsikring – hva investorer bør vite

Hva er bortfall av cyberforsikring?

Bortfall av cyberforsikring, på engelsk kalt cyber insurance policy lapse, beskriver en situasjon der en bedrifts forsikringspolise mot cyberangrep opphører å være gyldig. Dette kan skje av flere årsaker: manglende betaling av premie, at forsikringsselskapet velger å ikke fornye avtalen på grunn av økt risiko, eller at en megler ikke håndterer fornyelsen korrekt. Uansett årsak står bedriften da uten økonomisk sikkerhetsnett mot hendelser som datainnbrudd, ransomware-angrep eller driftstans som følge av cyberangrep.

For en investor er dette viktig fordi bortfall av cyberforsikring kan påvirke et selskaps bunnlinje direkte. Uten dekning må selskapet selv bære alle kostnader knyttet til et angrep, inkludert løsepenger, IT-gjenoppretting, advokatutgifter, bøter for brudd på personvernregler og tap av inntekter under driftsstans. I verste fall kan et cyberangrep true selskapets overlevelse.

I Norge har cyberforsikring blitt stadig vanligere, spesielt etter store hendelser som NotPetya-angrepet i 2017 og Colonial Pipeline-angrepet i 2021. Norske forsikringsselskaper som Gjensidige, If og Tryg tilbyr egne cyberforsikringer for bedrifter, men kravene til sikkerhetstiltak blir stadig strengere. Et bortfall kan derfor også signalisere at selskapet ikke har tilstrekkelig fokus på IT-sikkerhet, noe investorer bør ta med i vurderingen.

Forstå bortfall av cyberforsikring

For å forstå alvoret i et bortfall må man se på hva cyberforsikring faktisk dekker. En typisk cyberforsikring kan dekke kostnader knyttet til varsling av berørte kunder, juridisk bistand, IT-undersøkelser, løsepenger ved ransomware, tap av inntekt under driftsstans og omdømmebygging. Uten denne dekningen må selskapet finansiere alt dette av egen lomme, noe som kan tømme kontantbeholdningen på kort tid.

Bortfall er spesielt kritisk fordi cyberangrep ofte skjer uventet og kan ramme hardt. Ifølge en rapport fra Hiscox i 2023 var gjennomsnittskostnaden for et cyberangrep mot en mellomstor bedrift i Norge på omtrent 1,5 millioner kroner. For større selskaper kan beløpet være tidoblet. Hvis forsikringen har bortfalt, blir hele regningen stående på selskapets resultatregnskap.

Investorer bør derfor være oppmerksomme på tegn på at et selskap kan ha problemer med forsikringsdekningen. Dette kan inkludere forsinkede kvartalsrapporter, økning i gjeld eller plutselige endringer i forsikringspremier i regnskapet. I tillegg kan nyheter om søksmål mot meglere eller forsikringsselskaper være en rød flagg, slik vi så i saken mot radiologigruppen i North Carolina.

Hvordan fungerer bortfall av cyberforsikring?

Bortfall skjer gjerne i grensesnittet mellom forsikringstaker, megler og forsikringsselskap. En typisk prosess er at forsikringsselskapet sender en fornyelsesfaktura noen uker før polisen utløper. Dersom betalingen uteblir, eller selskapet ikke svarer på spørsmål om risikovurdering, kan polisen bortfalle. Noen ganger kan meglere unnlate å informere kunden om at fornyelsen er påkrevd, eller de kan gjøre feil i papirarbeidet.

Når først polisen har bortfalt, er det ofte vanskeligere å få ny dekning. Forsikringsselskapene vil da stille strengere krav til IT-sikkerhet, og premien kan bli betydelig høyere. I noen tilfeller nekter selskapene å tegne ny cyberforsikring før en grundig sikkerhetsrevisjon er gjennomført. Dette kan ta uker eller måneder, i en periode hvor selskapet er helt ubeskyttet.

For investorer er det viktig å forstå at bortfall ikke bare er et operasjonelt problem, men også et signal om svak styring. Hvis ledelsen ikke har sørget for kontinuerlig forsikringsdekning, kan det tyde på manglende risikostyring. Dette kan påvirke aksjekursen negativt, spesielt hvis selskapet opererer i en sektor med høy cyberrisiko som helse, finans eller kritisk infrastruktur.

Historisk bakgrunn

Cyberforsikring som eget produkt vokste frem på 2000-tallet, men tok for alvor av etter de store ransomware-angrepene på 2010-tallet. Angrep som WannaCry (2017) og NotPetya (2017) viste at cybertrusler kunne lamme hele organisasjoner og at tradisjonelle forsikringer ofte ikke dekket slike hendelser. Dette førte til at forsikringsselskapene utviklet spesialiserte cyberpoliser.

I kjølvannet av Colonial Pipeline-angrepet i 2021, som førte til drivstoffmangel på USAs østkyst, ble cyberforsikring nesten obligatorisk for mange bedrifter. Samtidig ble premiene kraftig økt, og kravene til sikkerhetstiltak skjerpet. Dette gjorde at flere selskaper opplevde bortfall fordi de ikke lenger oppfylte forsikringsselskapets krav, eller fordi de ikke hadde budsjett til de høyere premiene.

I Norge har vi sett en lignende utvikling. Ifølge Finans Norge økte antallet cyberforsikringer med over 50 prosent fra 2019 til 2022. Samtidig økte også antallet tvister knyttet til bortfall og manglende dekning. En kjent norsk sak var da en mellomstor regnskapsbedrift ble rammet av et dataangrep i 2022 og oppdaget at forsikringen var bortfalt på grunn av en administrativ feil. Selskapet måtte betale over 3 millioner kroner i gjenopprettingskostnader selv.

Praktisk eksempel

La oss se på et tenkt norsk eksempel: Fiktivt AS er et mellomstort regnskapsfirma med 60 ansatte i Oslo. Selskapet har hatt en cyberforsikring hos et norsk forsikringsselskap i flere år. I januar 2024 sender forsikringsselskapet en fornyelsesfaktura på 120 000 kroner for neste år. På grunn av interne omorganiseringer blir fakturaen oversett, og polisen bortfaller 1. mars.

To uker senere blir Fiktivt AS rammet av et ransomware-angrep som krypterer alle kundedata. Angriperne krever 500 000 kroner i løsepenger. Uten forsikring må selskapet selv betale løsepengene, samt kostnader til IT-konsulenter for å gjenopprette systemene (300 000 kroner), advokater for å håndtere personvernbrudd (200 000 kroner) og tap av inntekter under nedetiden på én uke (400 000 kroner). Totalt 1,4 millioner kroner.

Selskapet forsøker å tegne ny cyberforsikring, men får avslag hos flere tilbydere. Til slutt får de et tilbud med en premie på 300 000 kroner per år – en økning på 150 prosent. I tillegg må de gjennomføre en omfattende sikkerhetsoppgradering som koster ytterligere 500 000 kroner. Aksjekursen faller 15 prosent på nyheten om angrepet og den manglende dekningen.

Fordeler og ulemper

Fordelene med å ha en aktiv cyberforsikring er åpenbare: økonomisk trygghet, tilgang til eksperthjelp ved angrep, dekning av løsepenger og juridisk bistand. For investorer betyr dette at selskapet er bedre rustet til å håndtere cyberhendelser uten at det går vesentlig ut over aksjekursen.

Ulempene med bortfall er mange. For det første mister selskapet all beskyttelse og må selv bære kostnadene. For det andre kan et bortfall føre til at selskapet blir stemplet som høyrisiko, noe som gjør fremtidig forsikring dyrere eller umulig. For det tredje kan det utløse søksmål mot styret eller ledelsen for manglende risikostyring, noe som kan svekke tilliten ytterligere.

En tabell under oppsummerer forskjellen mellom et selskap med og uten cyberforsikring ved et typisk angrep:

Vanlige misforståelser

En vanlig misforståelse er at cyberforsikring automatisk fornyes så lenge man betaler premien. I realiteten kan forsikringsselskapet nekte fornyelse dersom selskapets risikoprofil har endret seg, for eksempel etter et tidligere angrep eller manglende sikkerhetsoppdateringer.

En annen misforståelse er at bortfall bare er et problem for store selskaper. Små og mellomstore bedrifter er ofte like sårbare, og et cyberangrep kan være ødeleggende for dem. Ifølge en undersøkelse fra Næringslivets Sikkerhetsråd i 2023 hadde over 40 prosent av norske SMB-er ingen cyberforsikring i det hele tatt.

Noen investorer tror også at bortfall av cyberforsikring er en midlertidig tilstand som enkelt kan rettes opp. I praksis kan det ta måneder å få ny dekning, og i mellomtiden er selskapet eksponert. I tillegg kan bortfall føre til at selskapet må rapportere til myndighetene om manglende dekning, noe som kan påvirke kontrakter med kunder som krever forsikring.

Oppsummering

Bortfall av cyberforsikring er en alvorlig risiko for enhver bedrift som er avhengig av digitale systemer. For investorer er det viktig å være oppmerksom på tegn på manglende eller bortfalt dekning, da dette kan få store økonomiske konsekvenser og påvirke aksjekursen negativt.

Ved å følge med på selskapers regnskap, nyheter om søksmål og bransjetrender innen cyberforsikring, kan investorer bedre vurdere risikoen i porteføljen. God risikostyring inkluderer å sikre at selskaper har kontinuerlig og oppdatert cyberforsikring, spesielt i sektorer med høy digital eksponering.

Husk at et bortfall ikke bare er et operasjonelt problem, men også et signal om svak ledelse. Derfor bør investorer stille spørsmål ved selskapers forsikringsdekning under kvartalspresentasjoner og i dialog med ledelsen.