Cyberförsäkringspremierna i USA har sjunkit med i genomsnitt 5 procent, enligt Marshs senaste marknadsuppdatering. På ytan ser det ut som goda nyheter för riskansvariga. Men en närmare granskning av försäkringsvillkoren ger en mer nyanserad bild.
Försäkringsbolagen blir allt mer restriktiva med vad de faktiskt är beredda att ersätta. Förluster kopplade till social manipulation, bedrägerier som initieras av anställda och en växande kategori av “insider actions” förekommer allt oftare som undantag eller begränsade delbelopp i förnyade försäkringar. Den amerikanska revisionsmyndigheten Government Accountability Offices (GAO) konstaterar i sin analys av cyberförsäkringsmarknaden att försäkringsbolag successivt skärpt villkoren för att begränsa oväntade förluster till följd av cyberincidenter. En lägre premie är därför inte nödvändigtvis liktydigt med ett bättre försäkringsskydd.
Samtidigt utvecklas rättspraxis i motsatt riktning. Enligt advokatbyrån Wileys prognos för cyberförsäkringsmarknaden 2026 har amerikanska domstolar i flera fall valt att tolka försäkringsvillkor till försäkringstagarnas fördel när det gäller social manipulation och bedrägerier vid penningöverföringar. I vissa mål har domstolarna till och med åsidosatt undantagsbestämmelser som försäkringsbolagen betraktat som etablerade. Resultatet är en marknad där försäkringsbolag skriver striktare avtal samtidigt som domstolar luckrar upp dem. Det är bra för försäkringstagare i tvister, men dåligt för alla som försöker förstå vad de faktiskt äger innan en incident inträffar.
Återförsäkring styr marknaden i bakgrunden
Premienivåerna är inte bara ett resultat av konkurrens mellan primära försäkringsbolag. Munich Res rapport om cyberförsäkringstrender för 2026 pekar ut återförsäkringskapacitet som den strukturella faktor som avgör hur aggressivt den primära marknaden kan prissätta. När återförsäkrare absorberar systemiska riskhändelser har primära försäkringsbolag råd att konkurrera med pris. När återförsäkrare drar sig tillbaka stramas hela marknaden åt, oavsett vad enskilda försäkringsbolag vill erbjuda.
Fitch Ratings varnade i april 2026 för att tillväxten inom cyberförsäkring i USA ökar den försäkringstekniska risken i sektorn. Oron handlar inte om den nuvarande skadeprocenten, utan om ackumuleringsproblemet. En enda storskalig incident som påverkar molninfrastruktur, brett använd programvara eller betalningssystem kan skapa korrelerade förluster hos tusentals försäkringstagare samtidigt. Det är detta scenario återförsäkrare prissätter för, och det är därför marknadens nuvarande generositet har sina gränser.
Gallaghers marknadsutsikter för cyberförsäkring 2026 uttrycker det tydligt. De gynnsamma förhållandena under 2025 speglar en relativt lugn skadeperiod, inte en strukturell minskning av cyberrisken. En större systemisk händelse kan snabbt förändra kalkylen.
Vad den växande mängden undantag betyder i praktiken
Bedrägerier som bygger på social manipulation är ofta det området där skillnaden mellan vad företag tror att de är försäkrade för och vad försäkringsvillkoren faktiskt säger är som störst. En anställd som överför pengar efter en trovärdig imitation av en leverantör eller chef utlöser i många nuvarande försäkringar inte nödvändigtvis en cyberförlust. Det kan i stället hamna under en brottsförsäkring, en fidelity bond eller inte täckas alls, beroende på hur organisationens försäkringsskydd är strukturerat.
Detta är viktigt eftersom Scattered Spider, gruppen bakom intrånget hos Marks & Spencer i våras, byggde hela sin metodik kring just denna typ av social manipulation. M&S-attacken började med ett telefonsamtal till en tredjeparts helpdesk. Ingen skadlig kod. Ingen exploit. Bara en övertygande imitation som ledde till en lösenordsåterställning. Om den typen av initial åtkomst skulle utlösa en cyberförsäkring, en brottsförsäkring eller båda beror helt på försäkringsvillkor som de flesta försäkringstagare inte har läst särskilt noggrant.
WTW cyberriskutsikter för 2026 rekommenderar att organisationer genomför en formell analys av täckningsgap före förnyelse, där deras faktiska hotexponering mappas mot varje undantag och delbegränsning i den nuvarande försäkringen. Det är ett råd som de flesta mäklare har gett i flera år. Skillnaden nu är att undantagsformuleringarna förändras snabbare än de flesta företags förnyelsecykler.
Före nästa förnyelse
Tre saker är värda att göra innan nästa försäkring skrivs under:
- Läs hela avsnittet om undantag, inte bara sammanfattningen av försäkringsskyddet. Social manipulation, anställdas agerande och “frivilliga” penningöverföringar är de kategorier där formuleringarna har förändrats mest. Om din mäklare inte kan förklara varje undantag på ett enkelt sätt är det ett problem med mäklaren.
- Kontrollera att dokumentationen av era säkerhetskontroller stämmer överens med det ni uppgav till försäkringsbolaget i ansökan. Försäkringsbolag behandlar i allt högre grad felaktiga uppgifter om säkerhetsnivån som grund för att neka ersättning. Om ni uppgav att MFA var infört för all fjärråtkomst och det inte stämde, kan ni förvänta er en konflikt vid skadeanmälan.
- Fråga specifikt om undantag för krig och statsstödda attacker. Flera stora försäkringsbolag införde eller utökade sådana klausuler efter NotPetya-tvisten mellan Merck och dess försäkringsbolag, som pågick i amerikanska domstolar i flera år innan en dom föll till Mercks fördel 2023. Formuleringarna varierar kraftigt mellan försäkringsbolag och är inte standardiserade.
Premiesänkningen på 5 procent är verklig. Det är även det finstilta. Behandla dem som två separata frågor.
Referenser
- Dark Reading: Cyber Insurance Rates Are Dropping, but Exclusions Widen
- US GAO: Rising Cyberthreats Increase Cyber Insurance Premiums While Reducing Availability
- Marsh: US Cyber Insurance Market Update
- Wiley: 7 Predictions For Cyber Risk And Insurance In 2026
- WTW: Cyber Risk – A Look Ahead to 2026
- Munich Re: Cyber Insurance Risks and Trends 2026
- Gallagher: 2026 Cyber Insurance Market Outlook
- Fitch Ratings: US Cyber Insurance Growth Raises Underwriting Risk
This post is also available in:
English
