Jak globální pojišťovnictví hodnotí kybernetická rizika?

Mezinárodní asociace orgánů dohledu v pojišťovnictví (IAIS) zveřejnila hlavní závěry z hodnocení kybernetických rizik v pojišťovnictví s implikacemi pro finanční stabilitu. V tomto případě jde o speciální edici zprávy o globálním pojistném trhu (Global Insurance Market Report, GIMAR).

Zpráva[1] je založena na datech shromážděných v průběhu roku 2022. Je v ní obsažena analýza rizik a trendů spojených s kybernetickým pojištěním, kybernetickou odolností v pojišťovnictví a dopadem, jež by tato rizika mohla mít na finanční stabilitu. Vicky Saporta, předsedkyně výkonného výboru IAIS, v této souvislosti uvedla, že kybernetické riziko se stalo důležitou oblastí, na niž orgány dohledu zaměřují svoji pozornost, jelikož v sobě zahrnuje nejen operační riziko, ale rovněž upisovací riziko.

Cílem zprávy je nastínit globální perspektivu založenou na datech, pokud jde dopad kybernetického rizika na pojišťovnictví a s tím spojené dohledové reakce. Zpráva dokládá, že rozšiřující se kybernetické útoky, rostoucí závislost na technologiích a komplexní oblast kybernetických hrozeb přispěly ke zvýšené poptávce po pojistných produktech kybernetického pojištění. Na základě toho se předepsané pojistné vyšplhalo v roce 2021 na rekordní úroveň a zlepšila se ziskovost.

Podle získaných informací a údajů IAIS dospěla k závěru, že kybernetický pojistný trh doznal podstatných změn co se týče kontroly upisování, včetně tvrdších pojistných podmínek a přísnější selekce rizika a upisovacích standardů v rámci reakce na vyšší než očekávané škody v roce 2020 způsobené zejména požadováním výkupného za opětovné zpřístupnění zašifrovaných dat. Důsledkem pak bylo, že ti klienti, kteří nesplnili minimální kybernetické standardy, si obtížněji zajišťovali pojistné krytí.

Analýzy provedené IAIS dále poukazují na potenciální katastrofickou dimenzi, kterou může kybernetické riziko mít a jak může ovlivnit pojistitelnost. Ovšem závažnost pojistných událostí označovaných jako velké kybernetické událostí byla relativně nízká ve srovnání s těmi, jež vznikají z přírodních katastrof. Ze zprávy také vyplývá, že většina pojistitelů, a to ve vybraném vzorku, implementovala různá opatření v oblasti kybernetické bezpečnosti. To ukazuje na pozitivní vnímání a řízení vlastních kybernetických rizik. Nicméně efektivnost jejich rámců pro kybernetickou bezpečnost je obtížné vyhodnotit z důvodu nedostatku dat a řady rozdílů mezi jurisdikcemi. Analýza poukazuje též na skutečnost, že globální nedostatek odborníků na kybernetickou bezpečnost zvyšuje kybernetická operační rizika, jimž pojistitelé čelí.

Pokud jde o systémové riziko, aktivity vybraných pojistitelů v upisování kybernetického rizika nebyly zkoumány z hlediska případného ohrožení finanční stability. Důvodem je, že daný trh je příliš malý a případné „dlouhé“ škody (ochrana pro případ, kdy nárok je učiněn po zániku pojištění) vznikající při afirmativním[2] krytí by byly absorbovány úrovní krytí, jež se nabízí. Nicméně v této oblasti existuje nedostatek dat k vymezení či alespoň odhadu systémového rizika, jež by mohlo být vyvoláno neafirmativním krytím.

Na závěr IAIS upozorňuje, že bude pokračovat v monitorování globálního kybernetického pojistného trhu a bude komunikovat se všemi zainteresovanými osobami.

[1] Úplné znění – viz https:// www.iaisweb.org/uploads/2023/04/GIMAR-2023-special-topic-edition-on-cyber.pdf
[2] Afirmativním krytím v případě pojištění kybernetických rizik se rozumí krytí obsažené buď v samostatných pojistných smlouvách o bezpečnosti sítě a ochraně soukromí nebo v dodatku k pojistným smlouvám o pojištění majetku a odpovědnosti, jež kryjí náklady související s dopady při narušení bezpečnosti osobních údajů a při útoku na bezpečnost sítě (GUY CARPENTER - viz www.guycarp.com/insights/2018/11/affirmative-versus-silent-cyber-an-overvi... )