Se kartleggingen: Alt du trenger å vite om cyberforsikring

Bare ransomware-angrep kan koste selskaper verden rundt 265 milliarder dollar i året innen 2030, ifølge Cybersecurity Ventures.

Også i Norge er dataangrep en konstant trussel for bedrifter i alle størrelser. Av 602 bedriftsledere svarte 64 prosent at bedriften deres har vært angrepet eller forsøkt svindlet av ondsinnede e-poster, dette kom fram i en undersøkelse forsikringsselskapet Frende selv bestilte.

Helt nylig har aktører som Hotel Continental, EasyPark og Nettdrift AS blitt utsatt for dataangrep med tap av personopplysninger og inntekt som følge.

Dette er første artikkel i en serie om cyberforsikring. Digi har kontaktet samtlige forsikringsselskaper i bransjen, sammenlignet priser, vilkår og tilbud for å undersøke hvordan og hvorfor du som leser bør forholde deg til disse relativt nye tilbudene.

Kan koste millioner

Løsepengevirus, eller såkalt ransomware, er den vanligste formen for rettet dataangrep. I slike angrep tar den ondsinnede aktøren kontroll over viktige filer og systemer ved å kryptere dem med et eget program. Prisen på løsepengene for å dekryptere dataene igjen, er basert på offerets anslåtte kapasitet. Fra hundretusener for små og mellomstore virksomheter, til hundrevis av millioner for de største.

De fleste angrep skjer som følge av menneskelig svikt eller uvitenhet. Skadevareprogrammer må som oftest aktiveres selv av offeret, gjerne gjennom en lenke eller falsk påloggingsside.

Siden 2015 har flere store forsikringsselskaper som opererer i Norge, begynt å tilby egen cyberforsikring.

Prisen på cyberforsikring varierer ut ifra faktorer som størrelse på selskapet og risiko for angrep. Leverandører Digi som har snakket med, oppgir priser fra 1800 til 25.000 kroner i året for små og mellomstore bedrifter.

Hva cyberforsikring egentlig dekker, kan du lese om i denne saken.

Hvem tilbyr cyberforsikring?

Det er alt annet enn lett å få en fullstendig oversikt over tilbydere av cyberforsikring her i Norge, til tross for at vi er et lite land med forholdsvis få innbyggere. Og, skulle det vise seg, få selskaper som tilbyr cyberforsikring.

Bare ordet «tilbydere» er litt vanskelig å definere i denne konteksten, siden det finnes både forsikringsselskaper som selger egne forsikringer så vel som meglerselskaper som selger andres forsikringer. Sistnevnte kan enten ha en enkelt samarbeidspartner som de selger for, eller de kan selge forsikringer fra flere andre selskaper, også fra utlandet.

Tenk på det som at du kjøper en forsikring gjennom fagforeningen din. Det er ikke den som forsikrer deg, selv om du kanskje bare forholder deg til fagforeningens forsikringskontor.

Få tilbydere og ferskt «produkt»

Selve cyberforsikringen er det relativt få norske selskap som tilbyr, og i vår undersøkelse har vi bare funnet disse seks:

• Eika – slås sammen med Fremtind, tidligst sommeren 2024. Begynte med cyberforsikring i mai 2018.
• Fremtind – absorberer Eika og fortsetter som Fremtind Forsikring. Har solgt cyberforsikring siden 2019.
• Frende – har ennå ikke svart på Digis spørsmål.
• Gjensidige – har solgt cyberforsikring siden 2016.
• If – begynte med cyberforsikring i 2016.
• Tryg – begynte med cyberforsikring i 2019.

Det finnes også spesialiserte leverandører som den norske krigsforsikring for skip, som leverer forsikring spesifikt for skipsfart.

Risikospredning

Antallet meglere er ukjent. Disse selger kun forsikringer på vegne av andre selskaper, både innenlandske og utenlandske.

Det later ikke til å være store forskjeller innen vilkår og dekning når det gjelder cyberforsikring for SMB-markedet, men der det er forskjeller, kan meglerne dermed tilby akkurat den forsikringen som passer best for en bestemt kundes behov.

Dette gjør også at forsikringsselskapene kan spre risikoen, dersom forsikringssummen er så høy at det er nødvendig.

Eksempelvis kan da et selskap dekke de første 50 prosentene av utbetalings­summen, mens et annet dekker de neste 50. For større summer kan den deles i enda flere deler mellom enda flere selskaper. Jo høyere oppe i rekken, jo mindre er risikoen – og dermed også andel av premien. Men med lavere risiko er det også mindre sannsynlig at denne andelen av premien er noe annet enn pur inntekt.

Spesialisert risikoforståelse

Tilsvarende er det mange som velger å «outsource» skadeoppgjøret til andre. I Norge er det Crawford som er det største selskapet innenfor skadeoppgjør generelt, og det vanligste å bruke innen cyberforsikring spesielt.

De fleste selskapene i listen over, om ikke alle, benytter Crawford til skadeoppgjør for cyberforsikring.

Henrik Brandt, nordic cyber lead i Crawford, sier til Digi at grunnen til dette, er at det fortsatt er en overraskende lav etterspørsel etter cyber­forsikring, noe som han tror skyldes manglende forståelse for cyber­risikoen ute hos kundene. Den lave etterspørselen medfører derfor at man heller ikke får bygget cyberkompetanse internt i forsikrings­selskapene.

– Det krever en spesialisert risikoforståelse som det kanskje ennå ikke svarer seg for et forsikringsselskap å etablere selv, innen et felt som er så komplekst som cyberforsikring. Nøkkelen er nok større oppmerksomhet om cyberrisko i styrerommene, sier Brandt.