Hva er cyber insurance premium adequacy?

Cyber insurance premium adequacy (premietilstrekkelighet for cyberforsikring) er et begrep som brukes for å vurdere om premiene et forsikringsselskap tar for å forsikre mot cyberhendelser er høye nok til å dekke forventede erstatningsutbetalinger, administrasjonskostnader og samtidig gi en rimelig fortjeneste. I en tid der cyberangrep blir stadig mer sofistikerte og kostbare, er det avgjørende for forsikringsselskaper å sette riktig pris på risikoen. Hvis premiene er for lave, kan selskapet tape penger og i verste fall bli insolvent. Hvis de er for høye, mister de kunder til konkurrenter.

For investorer som analyserer forsikringsselskaper, er premietilstrekkelighet en nøkkelindikator på selskapets risikostyring og fremtidige lønnsomhet. Begrepet henger tett sammen med combined ratio, som måler forholdet mellom kostnader (erstatninger + driftskostnader) og premieinntekter. En combined ratio under 100 % betyr at selskapet tjener penger på forsikringsvirksomheten, mens en ratio over 100 % indikerer et underskudd.

I Norge har cyberforsikring blitt stadig viktigere etter flere høyprofilerte angrep, blant annet mot kommuner og helseforetak. Likevel er markedet relativt umodent sammenlignet med tradisjonelle forsikringer som brann- eller ansvarsforsikring. Det mangler lange tidsserier med skadedata, noe som gjør det vanskelig å beregne riktig premie. Derfor er premietilstrekkelighet et spesielt aktuelt tema for både forsikringsselskaper og investorer.

Forstå cyber insurance premium adequacy

For å forstå premietilstrekkelighet må man først se på hva som driver kostnadene ved cyberhendelser. Et cyberangrep kan føre til direkte tap som utbetaling av løsepenger (ransomware), kostnader til gjenoppretting av data, avbrudd i driften, og erstatning til tredjeparter for lekkede personopplysninger. I tillegg kommer indirekte tap som omdømmetap og tapte fremtidige inntekter. Forsikringsselskapene må prøve å forutsi både sannsynligheten for angrep og det potensielle skadeomfanget.

Utfordringen er at cyberrisiko er dynamisk og i stadig endring. Nye sårbarheter oppdages daglig, og angriperne blir mer profesjonelle. Historiske data er derfor ofte utilstrekkelige for å modellere fremtidig risiko. Dette fører til at mange forsikringsselskaper tar høyere sikkerhetsmarginer, noe som driver premiene opp. Samtidig kan selskaper som undervurderer risikoen, sette premiene for lavt og dermed oppleve store tap når et stort angrep inntreffer.

For investorer er det viktig å se på hvordan et forsikringsselskap håndterer denne usikkerheten. Har de gode risikomodeller? Bruker de eksterne datakilder som Cyberwrite eller lignende verktøy for å skreddersy dekning? Hvor stor andel av porteføljen deres utgjør cyberforsikring? Selskaper med for høy eksponering mot cyberrisiko uten tilstrekkelige premier kan være en betydelig risiko for aksjonærene.

Hvordan fungerer cyber insurance premium adequacy?

Vurderingen av premietilstrekkelighet starter med at forsikringsselskapet estimerer forventet tap (expected loss) for en gitt forsikringsportefølje. Dette gjøres ved hjelp av aktuarmodeller som tar hensyn til bransje, selskapsstørrelse, sikkerhetstiltak, tidligere hendelser og makrotrender. For eksempel vil et lite regnskapsbyrå med få digitale eiendeler ha lavere forventet tap enn en stor helseaktør med sensitive pasientdata.

Deretter legges det på administrasjonskostnader (underwriting, skadebehandling, salg) og en risikopremie for uventede store hendelser. Summen av disse komponentene utgjør den tekniske premien. Hvis markedsprisen (den faktiske premien kundene betaler) ligger over den tekniske premien, er premien tilstrekkelig. Hvis den ligger under, er den utilstrekkelig.

En vanlig metode for å måle tilstrekkelighet er å beregne combined ratio for cyberforsikring. Denne regnes ut slik:

Combined ratio = (Erstatningskostnader + Driftskostnader) / Opptjente premier

En combined ratio på 95 % betyr at selskapet sitter igjen med 5 % fortjeneste før investeringsinntekter. For cyberforsikring har combined ratio historisk vært volatil. I år med store angrep, som NotPetya i 2017 eller ransomware-bølgen i 2021, har mange selskaper hatt ratioer godt over 100 %, noe som indikerer at premiene ikke var tilstrekkelige.

Historisk bakgrunn

Cyberforsikring som eget produkt oppsto på slutten av 1990-tallet, men tok først av etter de store datainnbruddene hos Target (2013) og Sony (2014). I Norge ble cyberforsikring for alvor et tema etter angrepet på Hydro i 2019, som førte til store produksjonsstans. Dette angrepet viste at selv store, veldrevne selskaper kunne rammes hardt.

Etter NotPetya-angrepet i 2017, som forårsaket skader for over 10 milliarder USD globalt, strammet mange forsikringsselskaper inn vilkårene. De begynte å ekskludere statlige cyberangrep og krevde høyere premier. Ifølge en rapport fra WTW økte premiene for cyberforsikring i Europa med 30–50 % i 2021 alene.

I 2023 og 2024 har markedet begynt å stabilisere seg noe, men premiene er fortsatt langt høyere enn før pandemien. Samtidig har flere nye aktører entret markedet, noe som øker konkurransen. Likevel advarer eksperter om at premiene fortsatt kan være for lave i forhold til den reelle risikoen, spesielt gitt fremveksten av kunstig intelligens-drevne angrep.

For norske investorer er det verdt å merke seg at store norske forsikringsselskaper som Gjensidige og Tryg har økt sin satsing på cyberforsikring. Gjensidige rapporterte i 2023 at cyberpremiene utgjorde om lag 2 % av totale premieinntekter, men vokste med 40 % årlig.

Praktisk eksempel

La oss se på et tenkt norsk forsikringsselskap, Norsk Cyberforsikring AS. De har en portefølje med 500 små og mellomstore bedrifter. Basert på historiske data og risikomodeller estimerer de at forventet årlig tap (erstatninger) er 10 millioner NOK. Administrasjonskostnader (lønn, IT, markedsføring) er 2 millioner NOK. I tillegg legger de til en risikopremie på 3 millioner NOK for å dekke uventede store hendelser. Den tekniske premien blir dermed 10 + 2 + 3 = 15 millioner NOK.

For å finne premie per bedrift deler de dette på 500, noe som gir 30 000 NOK per bedrift per år. I markedet er gjennomsnittsprisen for tilsvarende dekning 25 000 NOK. Det betyr at Norsk Cyberforsikring AS har en premie som er 20 % høyere enn markedet. Hvis selskapet klarer å selge til denne prisen, er premietilstrekkeligheten god. Hvis de må tilpasse seg markedet og senke prisen til 25 000 NOK, blir dekningsgraden dårligere og combined ratio stiger.

I dette eksempelet kan vi regne ut combined ratio ved markedspris: Erstatninger (10 mill.) + admin (2 mill.) = 12 mill. / opptjente premier (500 * 25 000 = 12,5 mill.) = 96 %. Det gir en fortjeneste på 4 %. Men hvis et stort angrep inntreffer og erstatningene blir 20 millioner, stiger combined ratio til 176 %, noe som betyr et betydelig tap. Derfor er det avgjørende for selskapet å ha tilstrekkelig kapital og gjenforsikring.

Fordeler og ulemper

Fordeler for investorer:

  • Innsikt i risikostyring: Selskaper med god premietilstrekkelighet viser at de forstår cyberrisiko og priser den riktig.
  • Vekstpotensial: Cyberforsikringsmarkedet vokser raskt, og selskaper med tilstrekkelige premier kan oppnå god lønnsomhet.
  • Diversifisering: Cyberforsikring kan gi forsikringsselskaper en ny inntektskilde som ikke er korrelert med tradisjonelle forsikringer.

    • Ulemper for investorer:

  • Høy usikkerhet: Mangelen på historiske data gjør det vanskelig å vurdere om premiene faktisk er tilstrekkelige.
  • Systemisk risiko: Et stort cyberangrep kan ramme mange forsikringstakere samtidig, noe som kan true hele selskapets soliditet.
  • Regulatorisk risiko: Myndigheter kan innføre krav som påvirker prisingen, for eksempel påbud om dekning av visse typer angrep.
For selskapene selv er ulempen at for høye premier kan føre til kundeflukt, mens for lave premier kan gi store tap. Balansegangen er krevende.

Vanlige misforståelser

Misforståelse 1: Cyberforsikring dekker alle typer angrep. Sannheten er at de fleste poliser har unntak, for eksempel for statlig sponsede angrep, krigshandlinger eller terror. Etter NotPetya nektet flere selskaper å betale erstatning med henvisning til krigsunntak. Det er viktig å lese vilkårene nøye.

Misforståelse 2: Høyere premier betyr alltid bedre dekning. Premien kan være høy på grunn av selskapets risikovurdering, men dekningen kan fortsatt være begrenset. Noen selskaper tar høye premier fordi de har liten konkurranse, ikke fordi dekningen er bedre.

Misforståelse 3: Premietilstrekkelighet er bare et aktuarfaglig begrep uten betydning for investorer. Tvert imot: Hvis et forsikringsselskap systematisk underpriser cyberrisiko, kan det føre til store tap og svekket aksjekurs. Investorer bør derfor sjekke selskapets combined ratio for cyberforsikring og sammenligne med bransjen.

Oppsummering

Cyber insurance premium adequacy er et kritisk begrep for investorer som ønsker å forstå risikoen og lønnsomheten i forsikringsselskaper med cybereksponering. I et marked preget av rask vekst og høy usikkerhet er evnen til å sette riktig premie avgjørende for langsiktig suksess. Investorer bør overvåke combined ratio, risikomodeller og regulatoriske endringer. Selv om cyberforsikring byr på spennende vekstmuligheter, må man være oppmerksom på at feilprising kan få alvorlige konsekvenser. Ved å forstå premietilstrekkelighet kan du ta mer informerte beslutninger om hvilke forsikringsselskaper som er verdt å investere i.