Hva er cyber insurance risk selection? – Forklart for investorer

Hva er cyber insurance risk selection?

Cyber insurance risk selection, eller risikoutvelgelse for cyberforsikring, er den systematiske prosessen forsikringsselskaper bruker for å avgjøre om de skal tilby en cyberforsikringspolise til en bestemt organisasjon, og i så fall til hvilken pris og med hvilke vilkår. Prosessen ligner på tradisjonell underwriting, men er spesielt tilpasset den raske og komplekse naturen til cybertrusler. Forsikringsgiveren samler inn data om selskapets IT-infrastruktur, sikkerhetspraksis, bransje, størrelse, tidligere hendelser og etterlevelse av standarder som NIST Cybersecurity Framework eller ISO 27001.

Målet er å kvantifisere sannsynligheten for et cyberangrep og det potensielle økonomiske tapet, slik at premien settes i forhold til risikoen. En solid risikoutvelgelse beskytter forsikringsselskapets egen portefølje mot for store tap, samtidig som det gir rettferdige premier til kundene. For børsnoterte selskaper kan denne prosessen ha direkte innvirkning på aksjekursen, fordi kostnaden for cyberforsikring påvirker resultatet, og fordi et avslag eller svært høy premie kan signalisere svakheter i sikkerhetsarbeidet.

I Norge har cyberforsikring blitt stadig viktigere, spesielt etter flere høyprofilerte angrep mot norske virksomheter. Finans Norge har utarbeidet retningslinjer for cyberforsikring, og mange norske selskaper må nå dokumentere sikkerhetstiltak for å få dekning. For investorer er det derfor verdifullt å forstå hvilke kriterier forsikringsselskapene legger vekt på, fordi dette gir innsikt i selskapets reelle risikobilde.

Forstå cyber insurance risk selection

For å forstå cyber insurance risk selection må man først innse at cybertrusler er dynamiske og i konstant utvikling. I motsetning til tradisjonell forsikring, hvor historiske data ofte gir god prediksjonsevne (f.eks. for bil- eller brannforsikring), er cyberhendelser preget av nye angrepsmetoder, null-dagers sårbarheter og rask spredning. Derfor kombinerer forsikringsgivere historiske data med sanntidsvurderinger av selskapets sikkerhetsnivå.

En sentral del av risikoutvelgelsen er innhenting av informasjon gjennom spørreskjemaer, tekniske skanninger og tredjepartsvurderinger. Forsikringsselskapene ser blant annet på:

• Bransje: Finans, helse og e-handel anses som høyrisiko på grunn av store mengder sensitive data.
• Sikkerhetstiltak: Brannmurer, kryptering, multifaktorautentisering, oppdateringsrutiner.
• Tidligere hendelser: Har selskapet opplevd datainnbrudd eller ransomware-angrep?
• Etterlevelse: Overholdelse av standarder som NIST, ISO 27001 eller norske forskrifter.
• Størrelse og kompleksitet: Større selskaper med mange systemer og ansatte har større angrepsflate.

Basert på disse faktorene tildeles en risikoscore, som igjen bestemmer premie, egenandel og eventuelle unntak i dekningen. For investorer er det viktig å merke seg at selskaper med lav risikoscore ofte får lavere premier og bedre dekning, noe som kan gi et konkurransefortrinn. Motsatt kan et selskap som får avslag eller svært høy premie, være et faresignal om underliggende svakheter.

Hvordan fungerer cyber insurance risk selection?

Prosessen starter gjerne med at en potensiell kunde sender inn en søknad med detaljert informasjon om selskapets cybersikkerhet. Forsikringsselskapet bruker deretter en kombinasjon av automatiserte verktøy og manuell ekspertise for å vurdere risikoen. Moderne plattformer som SAFE (Security Assessment Framework for Enterprises) gjør dette mer effektivt ved å samle inn data direkte fra kundens systemer og sammenligne med bransjenormer. Ifølge en pressemelding fra april 2025 har SAFE vunnet flere priser for sin evne til å bringe fart og åpenhet til cyberforsikringsunderwriting.

Etter datainnsamlingen beregnes en risikoscore. Denne kan uttrykkes som en sannsynlighet for hendelse multiplisert med forventet tap. En enkel formel kan se slik ut:

Risikopremie = Sannsynlighet for angrep × Forventet tap ved angrep

For eksempel: Hvis et selskap har 5 % sannsynlighet for et datainnbrudd som i snitt koster 10 millioner NOK, blir risikopremien 500 000 NOK. I praksis justeres dette for sikkerhetstiltak, egenandel og markedsforhold.

Forsikringsgiveren bestemmer deretter om de vil tilby dekning, og i så fall til hvilken premie. Ofte stilles det krav om forbedringer, for eksempel innføring av multifaktorautentisering eller bedre backup-rutiner, før polisen trer i kraft. Dette kalles «risk selection with conditions» og er vanlig i cybermarkedet.

For investorer er det nyttig å følge med på endringer i et selskaps cyberforsikringsvilkår. En kraftig premieøkning eller innskrenkning av dekning kan være en tidlig indikator på at selskapet har svakheter som kan føre til fremtidige tap. Tilsvarende kan en stabil eller fallende premie tyde på god risikostyring.

Historisk bakgrunn

Cyberforsikring oppsto på slutten av 1990-tallet, men markedet var lite og premiene lave frem til rundt 2010. De første polisene dekket hovedsakelig tredjepartsansvar og kostnader knyttet til datainnbrudd. Etter hvert som cyberangrep ble mer sofistikerte og kostbare, vokste etterspørselen. To hendelser endret markedet fundamentalt: NotPetya-angrepet i 2017 og SolarWinds-angrepet i 2020. NotPetya alene forårsaket skader for over 10 milliarder dollar globalt, og forsikringsselskapene måtte betale store erstatninger. Dette førte til en kraftig stramming av risikoutvelgelsen.

I kjølvannet av disse hendelsene begynte forsikringsselskapene å kreve mye mer detaljert informasjon om kundenes sikkerhetspraksis. De innførte også eksklusjoner for statlig støttede angrep og krigslignende handlinger. Ifølge en rapport fra Willis (WTW) i 2026 dekker cyberforsikring nå over 95 % av gjennomsnittlige datainnbruddstap og 90 % av førstepartstap. Likevel har premiene steget betydelig, og mange selskaper opplever strengere vilkår.

I Norge har Finanstilsynet og Nærings- og fiskeridepartementet oppfordret virksomheter til å tegne cyberforsikring, spesielt etter angrep mot norske kommuner og helseforetak. Norske forsikringsselskaper som Gjensidige, If og Tryg har utviklet egne cyberprodukter med risikoutvelgelse tilpasset norsk næringsliv. For børsnoterte selskaper på Oslo Børs har cyberforsikring blitt en standard del av risikostyringen, og investorer forventer åpenhet rundt dette i årsrapporter.

Praktisk eksempel

La oss se på et fiktivt, men realistisk eksempel. NorskTech AS er et mellomstort IT-selskap med 200 ansatte, notert på Oslo Børs. Selskapet utvikler programvare for helsesektoren og behandler sensitive pasientdata. De søker cyberforsikring med en dekning på 50 millioner NOK. Forsikringsselskapet gjennomfører en risikovurdering og finner følgende:

• Bransje: Helse – høy risiko (vekt 30 %)
• Sikkerhetstiltak: Har multifaktorautentisering, kryptering av data i hvile, men mangler regelmessig penetrasjonstesting (vekt 25 %)
• Tidligere hendelser: Ingen kjente datainnbrudd siste 5 år (vekt 20 %)
• Etterlevelse: Sertifisert etter ISO 27001, men ikke NIST (vekt 15 %)
• Størrelse: 200 ansatte, middels kompleksitet (vekt 10 %)

Basert på en intern modell beregnes risikoscore til 62 av 100 (der 100 er høyest risiko). Selskapet får et tilbud med premie på 1,2 millioner NOK per år og en egenandel på 500 000 NOK. Forsikringsselskapet anbefaler også at NorskTech gjennomfører årlig penetrasjonstesting for å kunne få redusert premien neste år.

For investorer gir dette nyttig informasjon: NorskTechs risikoscore er moderat, men forbedringspotensialet er tydelig. Hvis selskapet gjennomfører testene og får premien ned til for eksempel 800 000 NOK, sparer de 400 000 NOK årlig – en direkte positiv effekt på resultatet. Samtidig signaliserer viljen til å forbedre sikkerheten at ledelsen tar cyberrisiko på alvor, noe som kan styrke tilliten i markedet.

Fordeler og ulemper

Fordeler med en god risikoutvelgelse for cyberforsikring:

• For forsikringsselskaper: Bedre kontroll over porteføljerisiko, færre uventede store tap, mulighet til å tilby konkurransedyktige premier til lavrisikokunder.
• For selskaper: Lavere premier og bedre dekning for de som investerer i sikkerhet, samt insentiver til å forbedre cybersikkerheten.
• For investorer: Økt innsikt i selskapets risikostyring, mulighet til å sammenligne selskaper på tvers av bransjer, og tidlige signaler om potensielle problemer.

Ulemper:

• Risikoutvelgelse kan være kostbar og tidkrevende for både forsikringsselskap og kunde. Små selskaper kan oppleve at administrative byrder overstiger nytten.
• Modellene er ikke perfekte; de kan undervurdere nye trusler eller overvurdere historiske data. For eksempel var mange modeller dårlig forberedt på supply chain-angrep som SolarWinds.
• For investorer kan risikoutvelgelsen føre til asymmetrisk informasjon: Forsikringsselskapet vet mer om selskapets cyberrisiko enn markedet, noe som kan skape uventede justeringer i aksjekursen når informasjonen blir offentlig.

Vanlige misforståelser

En vanlig misforståelse er at cyberforsikring dekker alle typer cyberhendelser. I virkeligheten har de fleste poliser eksklusjoner, for eksempel for krigshandlinger, statlig støttede angrep eller hendelser som følge av manglende grunnleggende sikkerhetstiltak. Risikoutvelgelsen er nettopp ment å identifisere disse hullene. En annen misforståelse er at risikoutvelgelse kun handler om å straffe selskaper med dårlig sikkerhet. Tvert imot er målet å skille mellom god og dårlig risiko, slik at de som investerer i sikkerhet belønnes.

En tredje misforståelse er at investorer ikke trenger å bry seg om cyberforsikring fordi det er en «back-office»-funksjon. I realiteten kan store cyberhendelser føre til betydelige erstatningskrav og driftsavbrudd som påvirker aksjekursen direkte. For eksempel mistet det norske selskapet Visma (ikke børsnotert, men illustrerende) flere hundre millioner kroner i inntekter etter et angrep i 2021, og forsikringsdekningen var avgjørende for å begrense tapet.

Endelig tror noen at risikoutvelgelse er en ren kvantitativ prosess. Selv om tall spiller en stor rolle, er det også betydelig skjønn og kvalitative vurderinger involvert. Erfaringen til underwriteren og kunnskap om bransjespesifikke trusler er ofte like viktig som algoritmene.

Oppsummering

Cyber insurance risk selection er en kritisk prosess som påvirker både forsikringsselskaper, kunder og investorer. For investorer handler det om å forstå hvordan selskaper blir vurdert, hvilke faktorer som teller, og hvordan endringer i forsikringsvilkår kan signalisere underliggende styrker eller svakheter i cybersikkerheten. God risikoutvelgelse belønner selskaper som tar sikkerhet på alvor, og straffer de som ikke gjør det – noe som direkte kan påvirke aksjeverdien.

Ved å følge med på utviklingen i cyberforsikringsmarkedet, for eksempel gjennom rapporter fra Willis, SAFE-plattformen og norske forsikringsselskaper, kan investorer få et forsprang i å vurdere risiko. Husk at cybertruslene utvikler seg raskt, og at risikoutvelgelsen derfor kontinuerlig må oppdateres. Som investor er det lurt å inkludere cyberforsikringsanalyse som en del av den helhetlige due diligence-prosessen.

Avslutningsvis: Cyber insurance risk selection er ikke bare et teknisk fagområde for forsikringsspesialister – det er en viktig brikke i puslespillet for å forstå et selskaps reelle risikoprofil. Ved å sette seg inn i dette begrepet, kan du som investor ta mer informerte beslutninger og potensielt unngå selskaper med skjulte cyberrisikoer.