Cyberforsikring tilbys i dag av de fleste store forsikringsforetakene i Norden. I det norske forsikringsmarkedet kjennetegnes dagens Cyberforsikring av tre elementer som utløses av cyberhendelser; bistand til håndtering av hendelsen, økonomisk bistand for tap/skade hos virksomheten, og dekning for erstatningsansvar overfor tredjeparter som følge av hendelsen. Dette er tre forskjellige typer dekninger, men alle svært viktige for å imøtegå den risikoen virksomheter er utsatt for i 2026.
Målbildet har endret seg
Der man opprinnelig antok at risikoen for cyberhendelser begrenset seg til samfunnskritiske eller store virksomheter, viser erfaring at sårbarheter i IT-systemer utnyttes uavhengig av virksomhetens størrelse. De økonomisk motiverte cyberangrepene, som løsepengevirus, virker å rette seg mot sårbarheter i system, uavhengig av hvilken type informasjon som finnes der eller tjeneste virksomheten leverer. Likevel er det mange virksomheter som anser seg selv for utenfor risikosonen, og følgelig ikke tar alle forholdsreglene vi mener de burde.
Dette kan ha sammenheng med hvor høy tillit til systemer og leverandørkjeder virksomheter har, og hvor raskt det forventes at systemer kan være oppe igjen etter en cyberhendelse. DNV Cyber har gjennomført en undersøkelse knyttet til Cyberrisiko i kritisk infrastruktur i nordiske markeder, hvor to tredeler av deltakende bedriftsledere mente at det er tilstrekkelig motstandsdyktighet i Norge.
Når dette er oppfatningen til de som kjenner godt til risikoen, er det lett å forstå at det finnes sårbarheter en trusselaktør kan utnytte i resten av landets virksomheter.
Bistand når det smeller
Rask reaksjonstid kan være avgjørende når man først blir utsatt for en cyberhendelse. Samtidig sitter de færreste foretak med egne IT-avdelinger rustet til å stanse, begrense eller gjenopprette etter et cyberangrep helt på egenhånd. For full effekt av dekningen er tidlig melding til forsikringsselskapet essensielt. Med rask tilgang til ekstern ekspertise vil virksomheter ha en måte å effektivt begrense egen risiko, uten å binde opp ressurser internt.
Dekning for eget og andres tap
En cyberhendelse kan føre til kostnader for virksomheten i form av nedetid, tap av og gjenoppretting av tapt data/IT-miljø, og erstatningansvar overfor tredjeparter. Erstatningsansvaret stammer gjerne fra tap av kunders data, manglende leveranse til kunder eller fristoversittelser som følge av å ha mistet tilgang til eget system. Ved mistet tilgang reduseres også driftsinntektene for virksomheten, et tap som vanligvis ikke dekkes under andre næringslivsforsikringer. Driftstap etter cyberhendelser er vanligvis kun dekket gjennom en Cyberforsikring, som gjør at forsikringen kan være forskjellen på midlertidig og varig stans av virksomheten.
Bevisstgjøring av risikoen og veien videre – med forsikringsselskapenes rolle
Som Ateas sikkerhetsundersøkelse, Bevissthet og Beredskap, viser, er det en stadig økning i bevisstheten rundt og etterspørselen av Cyberforsikring. Ekstra synlig er denne trenden i etterkant av store offentlig kjente hendelser, eksempelvis CrowdStrike-hendelsen i 2024, hvor virksomheters sårbarhet og avhengighet til data blir synlig. Behovet for sikring av datasystemene våre, og å ha sikkerhetsnett for datasystemene hvis de blir kompromittert, blir stadig klarere for alle. I fremtiden vil trolig denne risikoen ha tilsvarende plass i bevisstheten vår, som risikoen for brann- og vannskader for de fysiske eiendommene våre.
I et risikolandskap preget av svært raske endringer, nulldags-sårbarheter og kontinuerlig utvikling av AI (til både gode og onde formål), er virksomheter i dag nødt til å kontinuerlig arbeide med sikkerhet, fra opplæring av personell til systemtekniske løsninger. En del av tiltakene virksomheter bør gjøre finnes i forsikringsselskapenes sikkerhetsforskrifter, som gir retningslinje for en minstestandard for digital sikkerhet. På denne måten ønsker forsikringsselskapene å skape trygghet, også før en cyberhendelse finner sted.
