Forsikring og erstatning: hvad forsikringstagere skal vide om cybertab

I forsikringsbranchen angiver begrebet erstatningsperiode den tidsramme, inden for hvilken forsikringstageren (den forsikrede) kan kræve erstatning for økonomiske tab som følge af en forsikret begivenhed. Det fungerer som en grænse for forsikringens dækning og begrænser den til tab som følge af driftsafbrydelse (BI) til det mindste af enten det tidspunkt, hvor påvirkningen af virksomheden ophører, eller den maksimale periode, der er fastsat i policen.

Overraskende nok overses dette vigtige aspekt af en police ofte, når det er tid til fornyelse. Lad os se nærmere på årsagen til dette, og hvad forsikringstagere kan gøre for at komme foran. 

Hvordan fastsættes en erstatningsperiode?

Lad os først se på, hvordan erstatningsperioder fastsættes i et standardprogram for industrielle særrisici (ISR). Da det drejer sig om en ejendomspolice, er fysisk genopretning ofte i forgrunden, når man overvejer policens vilkår og hvordan en skadesanmeldelse kan fungere i praksis. Dette kan undertiden være kontraintuitivt, da erstatningsperioden bør fastsættes således, at de fleste tænkelige økonomiske konsekvenser for virksomheden som følge af forsikrede skader vil indtræde inden for den maksimale erstatningsperiode (MIP), der er fastsat i policen.

En typisk ISR fastsætter en maksimal erstatningsperiode på mindst 12 måneder. Denne periode fastsættes normalt på baggrund af den tid, der er nødvendig for at genoprette et hypotetisk totalt tab, under hensyntagen til den sandsynlige reparationsperiode for den forsikrede ejendom. Det overses imidlertid ofte, at krav om erstatning for driftsafbrydelse ikke nødvendigvis ophører, når skaden er genoprettet. 

Der er flere grunde til, at en erstatningskrav for driftsafbrydelse kan strække sig ud over den dato, hvor den forsikrede skade er blevet udbedret. Tab af markedsandele, tidsmæssige problemer i forbindelse med indregning af indtægter og brug af eksisterende lagre samt længere tid til at komme tilbage til normale driftsniveauer, for blot at nævne nogle få. Medmindre der er tale om et totalt tab, bør den maksimale erstatningsperiode i de fleste tilfælde være tilstrækkelig til at dække tab, der strækker sig ud over afslutningen af de fysiske reparationer. Ved længerevarende og mere komplekse reparationer kan tab ud over erstatningsperiodens afslutning imidlertid blive et problem i forbindelse med en erstatningskrav. 

Cyberpolitik og hvordan den adskiller sig fra en ISR

Billedet bliver mere komplekst, og erstatningsperioden eksponentielt vigtigere, hvis vi anvender ovenstående begreber på encyberforsikring. Virkningen af en cyberbrud på forretningsafbrydelser kan være langt sværere at forudse, før den finder sted. Der er ingen fysiske tidsfrister for genopbygning af bygninger eller anden ejendom, der kan bruges som grundlag for fastsættelse af en erstatningsperiode. Den skade, et brud kan forårsage, kan også være vidtrækkende og vanskelig at forudsige i et miljø før tabet, i betragtning af den potentielle rækkevidde og omfanget af virkningerne for virksomheden, især i betragtning af den mere begrænsede historie med cyberbrud sammenlignet med traditionelle ejendomsskader og reparationer. Overvej desuden, at et typisk cyberbrud er kort, skarpt og normalt overstået inden for få dage eller uger. Virkningerne af bruddet kan dog ofte vare langt længere. 

Hvis vi overfører ovenstående tankegang fra fastlæggelsen af ISR-politikker, er det rimeligt at antage, at erstatningsperioden for en cyberpolitik normalt vil blive fastsat på baggrund af selve cyberbruddet og ikke den vedvarende indvirkning på virksomheden. En hjemmeside eller server med stor indvirkning kan ofte være online igen inden for få timer, dage eller højst uger ved hjælp af sikkerhedskopier eller gendannelse. Erstatningsperioden i en cyberforsikring afspejler ofte dette og fastsættes typisk til omkring 90 dage. I betragtning af den kompleksitet, der kan opstå i forbindelse med en erstatningskrav for driftsafbrydelse, er dette så tilstrækkeligt til at dække risikoen for både den forsikrede og forsikringsselskabet?

Indvirkning på en skadesanmeldelse

Lad os nu se på et scenario, hvor en virksomhed oplever et cyberangreb, der fører til en betydelig forstyrrelse af dens drift.

Hvis virksomheden med succes kommer sig og genoptager normal drift inden for erstatningsperioden, dækkes eventuelle erstatningsberettigede tab, der er opstået i denne periode (uanset om det drejer sig om tabt fortjeneste eller ekstraomkostninger), typisk af policen.

Hvis genopretningsprocessen imidlertid tager længere tid end forventet, eller, hvad der er mere almindeligt, hvis den faktiske økonomiske indvirkning på virksomheden først bliver tydelig efter udløbet af erstatningsperioden, gælder forsikringspolicens dækning ikke længere. Der er en række måder, hvorpå dette kan materialisere sig i en skadesanmeldelse. For eksempel kan en forsikret miste langvarige kontrakter som følge af, at vedkommende ikke er i stand til at udføre sin normale virksomhed, eller vedkommende kan fakturere kvartalsvis/ved projektets afslutning, og selvom arbejdet går tabt, er der ingen økonomisk indvirkning på virksomheden inden for erstatningsperioden. Cyber-tab bliver også kraftigt publiceret, og risikoen for vedvarende omdømmeskade er en væsentlig bekymring.

Begrænsninger i dækningen

Når en erstatningsperiode udløber, dækker forsikringspolicen generelt ikke yderligere tab, der opstår efter denne periode. Det betyder, at tab, der opstår efter udløbet af erstatningsperioden, ikke vil blive erstattet af forsikringsselskabet, selvom de er en direkte følge af den oprindelige begivenhed.

Det er vigtigt at bemærke, og det er noget, der undertiden overses, at det omvendte også er tilfældet, og det efterlader forsikringsselskaberne sårbare. Hvis en forsikret lider et tab i løbet af erstatningsperioden, men derefter fuldt ud genvinder dette tab efter erstatningsperiodens udløb, er forsikringsselskaberne forpligtet til at erstatte den forsikrede for de lidte tab, selvom der måtte være sket en delvis eller fuld genvinding, som normalt ville have udlignet de krævede tab.

Dette er især relevant, når det drejer sig om cyber-tab, af to hovedårsager. For det første indeholder cyber-policer, som tidligere nævnt, typisk kortere erstatningsperioder. For det andet kan det nogle gange være svært at forstå den fulde virkning af et brud, før der er gået lang tid efter genoprettelsen. Derfor kan det være, at den forsikredes netværksinfrastruktur er fuldt genoprettet, men at de operationelle konsekvenser stadig ikke er tydelige.

Resumé

Sammenfattende kan man sige, at hvis erstatningsperioden er for kort, og den forsikredes tab strækker sig ud over denne periode, kan virksomheden stå over for uerstatede økonomiske tab for perioden efter dækningsperiodens udløb. Omvendt skal forsikringsselskaber være opmærksomme på, at selvom en kort erstatningsperiode kan synes fordelagtig med henblik på erstatning for et tab, kan den virke til den forsikredes fordel, hvis der sker en genopretning efter erstatningsperiodens udløb.

Den korrekte fastsættelse af en erstatningsperiode ved policens ikrafttræden eller fornyelse kan have væsentlig betydning for de praktiske konsekvenser i forbindelse med en skadesanmeldelse. Det er vigtigt at konsultere eksperter, der er fortrolige med driftsafbrydelsestab, der er specifikke for den pågældende police, for at sikre, at der tages de nødvendige hensyn. Forhåbentlig resulterer dette i en smidig og passende skadesbehandling for alle parter.

Få mere at vide > Kontakt [email protected].