Hva er styrking av reserver for cyberforsikring? En guide for investorer

Hva er styrking av reserver for cyberforsikring?

Styrking av reserver for cyberforsikring (på engelsk «cyber insurance reserve strengthening») er en prosess der forsikringsselskaper øker sine avsetninger for å dekke forventede utbetalinger knyttet til cyberhendelser. Disse reservene er en del av selskapets tekniske reserver og skal sikre at det har nok kapital til å betale erstatningskrav når kunder rammes av datainnbrudd, ransomware-angrep eller andre cybertrusler.

Reservene beregnes basert på historiske skadedata, aktuarmodeller og vurderinger av fremtidig risiko. Når selskapet styrker reservene, betyr det at det øker beløpet som settes av per forsikringspolise eller totalt for porteføljen. Dette kan skje jevnlig, men ofte skjer det etter store cyberhendelser eller når myndigheter skjerper kravene til kapitaldekning.

Forstå styrking av reserver for cyberforsikring

For å forstå hvorfor dette er viktig, må man se på særtrekkene ved cyberforsikring. Cyberrisiko er dynamisk og kan endre seg raskt – et nytt angrepsmønster kan påvirke tusenvis av selskaper samtidig. Dette gjør det vanskeligere å forutsi fremtidige krav sammenlignet med tradisjonelle forsikringer som bil- eller husforsikring.

Reservene fungerer som en buffer. Hvis et selskap har for lave reserver og får en bølge av krav, kan det få likviditetsproblemer eller i verste fall bli insolvent. Derfor er reserve-styrking et tegn på ansvarlig risikostyring. Samtidig koster det penger – midlene som settes av, kunne ellers vært brukt til investeringer eller utbytte. For aksjonærer er det derfor en avveining mellom sikkerhet og avkastning.

Hvordan fungerer styrking av reserver for cyberforsikring?

Prosessen starter med at forsikringsselskapets aktuarer analyserer skadehistorikk og oppdaterer risikoestimater. Dersom de ser en trend med økende skadefrekvens eller større gjennomsnittskrav, anbefaler de en reserveøkning. Ledelsen og styret godkjenner deretter beløpet, som føres som en kostnad i resultatregnskapet og en forpliktelse i balansen.

Reservene kan styrkes på flere måter: ved å øke avsetningen per polise, ved å legge til en sikkerhetsmargin, eller ved å opprette en egen katastrofereserve for ekstreme scenarioer. Noen selskaper bruker også gjenforsikring for å spre risikoen, men reserve-styrking er en intern handling.

I Norge reguleres forsikringsreserver av Finanstilsynet, som følger Solvens II-regelverket. Dette regelverket krever at selskaper har tilstrekkelig kapital til å tåle uventede tap. Cyberrisiko er spesielt fremhevet i de siste oppdateringene av Solvens II.

Historisk bakgrunn

Cyberforsikring vokste frem på 1990-tallet, men reservene var lite standardisert. Etter store hendelser som WannaCry (2017) og NotPetya (2017) ble mange forsikringsselskaper tvunget til å betale store erstatninger. Dette avdekket at reservene var for lave. I 2019–2020 begynte flere selskaper å styrke reservene betydelig.

I 2021 førte ransomware-angrepet mot det amerikanske oljerørledningsselskapet Colonial Pipeline til en ny bølge av reserve-økninger. Samme år ble det innført strengere rapporteringskrav i EU (NIS2-direktivet) og i USA (SEC-regler). Dette satte ytterligere press på forsikringsselskapene.

I Norge har Gjensidige og Tryg begge opplyst i årsrapporter at de har økt avsetningene til cyberforsikring. Ifølge Finans Norge utgjorde cyberforsikring om lag 1,5 milliarder kroner i premieinntekter i 2023, en dobling fra 2020. Samtidig har erstatningsgraden økt, noe som har ført til at selskapene setter av mer per polise.

Praktisk eksempel

La oss ta et tenkt norsk forsikringsselskap, Norsk Cyberforsikring AS. Selskapet har 10 000 bedriftskunder med en gjennomsnittlig årspremie på 50 000 kroner. I 2023 hadde de samlede erstatningskrav på 200 millioner kroner, og reservene var 250 millioner kroner. Etter en analyse i 2024 ser de at gjennomsnittskravet har økt med 30 % på grunn av flere store ransomware-angrep.

Selskapet bestemmer seg for å styrke reservene med 80 millioner kroner, slik at totalreserven blir 330 millioner kroner. Dette reduserer årets resultat med 80 millioner kroner (før skatt), men gir en tryggere buffer. For aksjonærene betyr det lavere utbytte i år, men mindre risiko for fremtidige tap.

Tabellen under viser hvordan nøkkeltallene endrer seg:

Fordeler og ulemper

Fordeler:

• Økt finansiell stabilitet: Selskapet tåler flere store krav uten å gå konkurs.
• Bedre risikostyring: Reserve-styrking tvinger selskapet til å ha oppdaterte risikoanalyser.
• Tillit hos kunder og regulatorer: Sterke reserver signaliserer seriøsitet.
• Konkurransefortrinn: Selskaper med solide reserver kan vinne anbud i det offentlige og hos store bedrifter.

Ulemper:

• Redusert resultat: Kostnaden belastes direkte, noe som kan gi lavere utbytte eller kursfall.
• Høyere premier for kunder: For å finansiere reservene må selskapet ofte øke premiene, noe som kan gjøre cyberforsikring dyrere.
• Vanskelig å dimensjonere: For mye reserver binder kapital unødvendig, for lite gir risiko.

Vanlige misforståelser

Misforståelse 1: «Styrking av reserver betyr at selskapet har økonomiske problemer.» Sannheten er det motsatte: Det viser at selskapet tar risiko på alvor og handler proaktivt. Selskaper som unngår å styrke reservene, kan derimot være i faresonen.

Misforståelse 2: «Reservene er penger som ligger i en boks.» Nei, reservene er bokførte forpliktelser som må dekkes av eiendeler (for eksempel obligasjoner). Pengene er investert, men må være likvide nok til å utbetales ved behov.

Misforståelse 3: «Cyberforsikring er bare for store teknologiselskaper.» I Norge har også små og mellomstore bedrifter (SMB) økende behov. Ifølge en undersøkelse fra GlobalData hadde bare 13 % av norske enkeltpersonforetak cyberforsikring i 2024, mens andelen var 63 % for mellomstore bedrifter. Dette viser et stort markedspotensial.

Oppsummering

Styrking av reserver for cyberforsikring er en sentral del av risikostyringen i forsikringsselskaper, spesielt i en tid med økende cybertrusler. For investorer gir kunnskap om reservepraksis innsikt i selskapets finansielle helse og fremtidsutsikter. Selv om det kan svekke kortsiktige resultater, styrker det den langsiktige bærekraften.

Ved å følge med på regulatoriske endringer, som Solvens II og NIS2, og selskapenes egne rapporteringer om cyberreserver, kan aksjonærene bedre vurdere risikoen i porteføljen. I et marked der cyberangrep blir stadig mer sofistikerte, er solid reservekapital et konkurransefortrinn som kan gi tryggere avkastning over tid.