Hva er cyber insurance underwriting cycle?

Cyber insurance underwriting cycle, eller syklusen for tegning av cyberforsikring, er et begrep som beskriver de regelmessige svingningene i forsikringsmarkedet for cyberrisiko. I likhet med tradisjonelle forsikringsmarkeder veksler cyberforsikring mellom perioder med stramme vilkår (hard market) og perioder med løsere vilkår (soft market). I en hard markedssyklus øker premiene, dekningen begrenses, og kravene til sikkerhetstiltak blir strengere. I en soft market faller premiene, dekningen utvides, og forsikringsselskapene konkurrerer mer aggressivt om kundene.

Syklusen drives av flere faktorer, men den viktigste er utviklingen i cyberangrep og skadeutbetalinger. Når store angrep som ransomware eller datalekkasjer fører til enorme erstatningskrav, strammer forsikringsselskapene inn vilkårene for å beskytte egen lønnsomhet. Når skadebildet er rolig og konkurransen øker, blir markedet mykere. For investorer er det avgjørende å forstå hvor i syklusen markedet befinner seg, fordi det påvirker både inntjeningen til forsikringsselskaper og kostnadene for bedrifter som trenger dekning.

I Norge har cyberforsikring blitt stadig viktigere, særlig etter angrep som det mot Hydro i 2019. Da ble det tydelig at selv store, velfungerende selskaper kan rammes hardt. Det norske forsikringsmarkedet følger i stor grad de internasjonale trendene, men med en noe mer konservativ tilnærming. For en norsk investor kan kunnskap om syklusen gi innsikt i hvordan selskaper som Gjensidige eller Tryg kan bli påvirket.

Forstå cyber insurance underwriting cycle

For å forstå syklusen må man først kjenne til de to hovedfasene: hard market og soft market. I en hard market er forsikringskapasiteten begrenset, premiene høye, og forsikringsselskapene stiller strenge krav til risikostyring. Dette skjer gjerne etter en periode med mange store skader. I en soft market er kapasiteten rikelig, premiene lavere, og vilkårene gunstigere for kundene. Overgangen mellom fasene kan skje gradvis eller brått, avhengig av ytre hendelser.

Syklusen påvirkes også av reguleringer og teknologisk utvikling. For eksempel har EU-direktivet NIS2 og nye personvernregler ført til økt fokus på cybersikkerhet, noe som igjen påvirker hvordan forsikringsselskapene vurderer risiko. I tillegg spiller gjenforsikringsmarkedet en viktig rolle. Hvis store gjenforsikringsselskaper trekker seg ut eller øker prisene, merkes det raskt i hele kjeden.

For investorer er det nyttig å se på historiske mønstre. Fra 2020 til 2022 opplevde cyberforsikring en eksplosiv vekst i premier, med en årlig vekst på nesten 61 prosent i 2021 ifølge National Association of Insurance Commissioners. Dette var en direkte reaksjon på en bølge av ransomware-angrep under pandemien. Etter 2022 har markedet stabilisert seg, og ifølge en rapport fra Gallagher forventes prisene å holde seg stabile gjennom midten av 2026. Denne stabiliseringen skyldes økt konkurranse og at forsikringsselskapene har blitt flinkere til å prissette risiko.

Hvordan fungerer cyber insurance underwriting cycle?

Syklusen fungerer i praksis som en tilbakemeldingssløyfe mellom skadehendelser, forsikringsselskapenes lønnsomhet og markedets konkurranseforhold. La oss bryte det ned i fire faser:

1. Myk fase (soft market) – Etter en periode med få store skader og god lønnsomhet blir forsikringsselskapene mer villige til å tilby lave premier og gunstige vilkår. Konkurransen øker, og flere aktører kommer inn i markedet. Dette fører til at premiene faller, og flere bedrifter tegner forsikring.

2. Økende skader – Etter hvert som flere er forsikret og risikoen øker (f.eks. gjennom nye angrepsmetoder), oppstår det flere og større skader. Forsikringsselskapene må betale store erstatninger, noe som tærer på overskuddet.

3. Hard fase (hard market) – Når skadeutbetalingene overstiger premieinntektene, strammer selskapene inn. Premiene øker kraftig, dekningen begrenses (f.eks. ved å ekskludere ransomware eller sette tak), og kravene til sikkerhetstiltak blir mye strengere. Noen selskaper trekker seg helt ut av markedet.

4. Normalisering – Etter hvert som premiene stiger og sikkerhetskravene forbedrer risikobildet, blir skadene færre og mindre. Lønnsomheten bedres, og konkurransen øker igjen – syklusen starter på nytt.

For investorer er det viktig å følge med på nøkkelindikatorer som combined ratio (skader + kostnader delt på premier), premieendringer og antall tilbydere i markedet. En combined ratio over 100 prosent betyr at selskapet taper penger på forsikringsvirksomheten, noe som ofte innleder en hard fase.

Historisk bakgrunn

Cyberforsikring som egen produktkategori oppsto på slutten av 1990-tallet, men det var først etter de store datalekkasjene og ransomware-angrepene på 2010-tallet at markedet virkelig tok av. Fram til rundt 2017 var cyberforsikring en nisje med relativt lave premier og få krav. Angrep som WannaCry (2017) og NotPetya (2017) viste imidlertid at cyberrisiko kunne føre til milliarderstatninger, og forsikringsselskapene begynte å justere kursen.

Perioden 2020–2022 var et vendepunkt. Under covid-19-pandemien økte cyberangrepene dramatisk, særlig mot helsesektoren og fjernarbeidende bedrifter. Ransomware-angrep ble mer sofistikerte, og forsikringsselskapene måtte utbetale enorme summer. Ifølge NAIC vokste premiene med 61 prosent i 2021 alene. Dette var den hardeste fasen i cyberforsikringens historie. Mange selskaper fikk avslag på søknader eller måtte akseptere svært høye priser.

Etter 2022 har markedet gradvis myknet opp. Forsikringsselskapene har investert i bedre risikomodeller og krever nå at kundene implementerer konkrete sikkerhetstiltak som multifaktorautentisering og regelmessige sikkerhetskopier. Dette har bidratt til å redusere skadefrekvensen. I 2024 var det globale cyberforsikringsmarkedet verdt 15,3 milliarder USD i netto premieinntekter, og det forventes å vokse til 16,3 milliarder i 2025. For norske investorer er det relevant at også norske forsikringsselskaper som Gjensidige og Tryg har økt sin satsing på cyber, men med en mer forsiktig tilnærming enn mange amerikanske aktører.

Praktisk eksempel

La oss se på et tenkt, men realistisk eksempel fra Norge. Et mellomstort norsk logistikkselskap, Norsk Frakt AS, har hatt en cyberforsikring hos et norsk forsikringsselskap i flere år. I 2021, midt i den harde fasen, betalte de 1,2 millioner kroner i årlig premie for en dekning på 50 millioner kroner. Forsikringsselskapet krevde da at selskapet implementerte tofaktorautentisering og ukentlige sikkerhetskopier.

I 2023 ble Norsk Frakt AS rammet av et ransomware-angrep som låste alle systemer i to uker. Erstatningskravet var på 8 millioner kroner, hovedsakelig knyttet til driftsstans og datagjenoppretting. Forsikringsselskapet betalte ut, men ved fornyelse i 2024 økte premien til 2,5 millioner kroner, og dekningen ble redusert til 40 millioner kroner. I tillegg ble det innført en egenandel på 500 000 kroner per skade.

Dette eksemplet illustrerer hvordan en enkelt skade kan påvirke både prisen og vilkårene for en kunde. For investorer som følger forsikringsselskapet, vil en økning i combined ratio etter mange slike skader signalisere at en hard fase kan nærme seg. Motsatt, hvis selskapet klarer å holde combined ratio under 100 prosent, kan det tyde på at de priser risikoen riktig og at markedet er i en mykere fase.

Fordeler og ulemper

Fordeler for investorer: For investorer som eier aksjer i forsikringsselskaper, kan en hard markedssyklus være svært positiv. Høyere premier og strengere vilkår fører til bedre lønnsomhet, forutsatt at skadene ikke øker tilsvarende. I tillegg tvinger harde markeder frem bedre risikostyring hos kundene, noe som kan redusere fremtidige skader. Investorer kan også dra nytte av å forstå syklusen for å time sine kjøp og salg av aksjer i forsikringsbransjen.

Ulemper for investorer: Syklusen er vanskelig å forutsi, og brå endringer som følge av et stort cyberangrep kan gi store tap. I en soft market faller premiene, og forsikringsselskapenes inntjening presses. I tillegg kan strengere reguleringer eller teknologiske endringer gjøre at gamle risikomodeller ikke lenger stemmer. For investorer som ikke følger med, kan det være lett å bli overrasket over plutselige kursfall.

Fordeler for bedrifter: I en soft market får bedrifter tilgang til rimeligere og mer omfattende dekning, noe som kan frigjøre kapital til andre investeringer. I en hard market tvinges bedrifter til å forbedre sin cybersikkerhet, noe som på sikt reduserer risikoen for angrep.

Ulemper for bedrifter: I en hard market kan premiene bli uoverkommelige for små og mellomstore bedrifter, og noen kan stå uten dekning. Dette øker den finansielle sårbarheten ved et cyberangrep.

Vanlige misforståelser

En vanlig misforståelse er at cyber insurance underwriting cycle er det samme som konjunktursyklusen i økonomien. Selv om det kan være sammenhenger, drives forsikringssyklusen primært av skadehendelser og forsikringsselskapenes lønnsomhet, ikke av BNP-vekst eller renter. En annen misforståelse er at syklusen er forutsigbar og følger et fast mønster. I virkeligheten kan den bli brutt av uventede hendelser som et nytt, svært skadelig virus eller en endring i regulering.

Mange tror også at cyberforsikring dekker alle typer cyberhendelser. I praksis har de fleste policyser eksklusjoner, for eksempel for krigshandlinger eller for skader som følge av manglende sikkerhetsoppdateringer. Under en hard fase blir disse eksklusjonene enda strengere. En tredje misforståelse er at syklusen bare påvirker forsikringsselskaper. I realiteten påvirker den alle bedrifter som trenger cyberforsikring, og dermed også aksjekursene til selskaper i sårbare bransjer som helse, finans og teknologi.

Oppsummering

Cyber insurance underwriting cycle er et sentralt begrep for investorer som ønsker å forstå dynamikken i cyberforsikringsmarkedet. Syklusen veksler mellom harde og myke faser, drevet av skadehendelser, konkurranse og regulering. For investorer i forsikringsselskaper gir kunnskap om syklusen mulighet til å vurdere lønnsomhet og risiko, mens for øvrige investorer kan den gi innsikt i kostnadsbildet for selskaper som er avhengige av cyberdekning.

Markedet er i vekst, med forventede netto premieinntekter på 16,3 milliarder USD i 2025. Samtidig er syklusen blitt mer stabil etter de store svingningene i 2020–2022. For norske investorer er det viktig å følge med på både globale trender og lokale forhold, som norske forsikringsselskapers konservative tilnærming. Å forstå hvor i syklusen vi befinner oss, kan være et nyttig verktøy i investeringsbeslutninger, men det bør alltid kombineres med annen fundamental analyse.