El mercado de ciberseguros ha crecido rápidamente en los últimos años.
Pese a ello, los precios bajos de las primas y los riesgos elevados se combinan para frenar un mayor crecimiento y dejar a muchas empresas insuficientemente aseguradas frente a esta creciente amenaza.
Estas son dos formas de impulsar la capacidad en el sector de los ciberseguros.
Los ciberseguros pueden seguir en su infancia, pero en los últimos años hemos visto un rápido crecimiento seguido de lo que todos esperamos sea una meseta temporal. Las aseguradoras emiten más pólizas. Los montos de protección están aumentando. De hecho, nuestra comunidad ha visto por fin el primer programa de ciberseguros que supera los 1.000 millones de dólares. Mientras tanto, la amplitud de la cobertura sigue ampliándose. Al margen de la desaceleración del crecimiento, parece que el ciberseguro está madurando y que las empresas se están adaptando a la nueva y emergente amenaza de ciberseguridad.
Desafortunadamente, los ciberataques se han vuelto más frecuentes y graves. Hemos visto cómo los autores de ataques de ransomware se envalentonan, con rescates que han pasado de precios de cinco y seis cifras a una cifra reportada de 10 millones de dólares a principios de este año. Hiscox Re informa pérdidas cibernéticas aseguradas de 1.800 millones de dólares en 2019, un aumento del 50% interanual. Las pérdidas agregadas de esa cuantía frente a primas estimadas de más de 5.000 millones de dólares no son, sin duda, motivo de alarma, incluso con el crecimiento del 50% en las reclamaciones. Precaución, quizá. Pero no alarma. Si quiere preocuparse por los ciberseguros, debe fijarse en las empresas que no los tienen.
Pese al rápido crecimiento descrito anteriormente, los asegurados originales a menudo no tienen suficiente ciberseguro, si es que tienen alguno. Los «grandes», es decir, las empresas aseguradas con una protección de al menos 200 millones de dólares, representan alrededor del 20% de lo que se considera que son 5.500 millones de dólares en primas globales de ciberseguros, según una investigación interna realizada por PCS Global Cyber. Eso equivale a unos 1.100 millones de dólares en primas.
Ya podemos ver lo delicado que es este entorno. Con aproximadamente 250 programas de seguros en este grupo, bastarían solo cuatro pérdidas aseguradas de 300 millones de dólares para borrar la prima de un año entero, y es probable que las aseguradoras tardaran décadas en recuperar dichas pérdidas. Peor aún, considere las unas 40 empresas con cobertura de al menos 500 millones de dólares. Dos grandes pérdidas podrían borrar la prima de un año y tardar medio siglo en recuperarse.
Sobre esta base, parece que simplemente no merece la pena ofrecer protección frente al ciberriesgo. Incluso para las empresas que ocupan el nivel inmediatamente inferior al de los grandes, de 100 millones a 199 millones de dólares en primas, la decisión de estar en este mercado es complicada (véase la figura siguiente). Creemos que hay unas 500 empresas en este grupo, que representan otro 25% de las primas de seguros globales. Probablemente más. De nuevo, bastaría con un puñado de pérdidas para diezmar las 1.400 millones de dólares en primas de este grupo.
Así pues, los precios son bajos y el riesgo es alto. Esta dinámica ha influido negativamente en la capacidad del mercado para seguir creciendo al ritmo agresivo anterior y ha provocado una grave escasez de ciberseguros. La forma más sencilla de evaluarlo es considerar las empresas de la lista Fortune 500. Con solo unos 250 programas de seguros con una cobertura de al menos 200 millones de dólares, cabría suponer que la mitad de las empresas Fortune 500 no tiene esa cuantía de cobertura. Casi 10 de los 50 mayores programas de ciberseguros cubren empresas privadas, y tres de esas coberturas acaban beneficiando en última instancia a un mismo asegurado (de distintas maneras). Hay incluso menos ciberseguros en las Fortune 500 de lo que podría pensarse. Amplíe su campo de atención y no tardará en comprobar lo pocas empresas que tienen algún tipo de protección de ciberseguro, y mucho menos una suficiente para marcar la diferencia.
En la industria global de reaseguros y seguros, no es ningún secreto que el mercado de ciberseguros ha tropezado con algunos problemas estructurales. Todo el ejercicio de fijación de precios, aunque sofisticado y eficaz para llevar al mercado hasta donde ha llegado, no ha sido puesto a prueba por un gran evento de pérdidas. Y, para ser franco, la escasa penetración de los ciberseguros reduciría la eficacia de un escenario así. Más difícil, sin embargo, es el hecho de que no se asigne más capital al sector. Especialmente en el caso de los programas de riesgo elevado, las aseguradoras necesitan desplegar importantes cantidades de capital. Históricamente, se han apoyado mucho en el respaldo del reaseguro. (Tenemos entendido que se cede al reaseguro alrededor de un 40% de las primas de ciberseguros). Actualmente, los reaseguradores no están destinando más capacidad al sector.
Hay dos formas en que más capital podría fluir hacia los ciberseguros. La primera son los datos. En los primeros tiempos del mercado de ciberseguros, no existía una visión de los datos de ciberseguros de alcance sectorial. Al fin y al cabo, el mercado estaba tan concentrado que nadie necesitaba un mecanismo de este tipo. Los pocos agentes del mercado lo veían prácticamente todo. Desde entonces, a medida que el mercado ha crecido, también se ha ido fragmentando cada vez más. Y, aunque los mayores suscriptores de ciberseguros puedan seguir viendo mucho, hay amplias franjas del mercado que no ven: los reaseguradores tampoco suelen obtener el panorama completo. Como puede apreciar en el análisis anterior, hemos empezado a encontrar formas de remediar este problema, pero el equipo de PCS sigue en las primeras etapas de ese esfuerzo.
La segunda forma de aportar más capacidad al mercado de ciberseguros (que se beneficiaría de unos datos mejorados y más abundantes) es la retrocesión. Cuando las aseguradoras adquieren protección de los reaseguradores, estos también adquieren protección sobre sus carteras, en el mercado de retrocesión. Hasta la fecha, la retrocesión solo ha estado disponible de forma limitada y táctica para los reaseguradores de ciberriesgos. Son pocos los agentes con capital para asignar a este ámbito que no se enfrentan a aumentos irrazonables del riesgo de concentración al suscribir retrocesión. El problema se agrava aún más por la falta de disposición de los compradores de retrocesión a compartir datos, dado que probablemente estén comprando protección a un competidor actual o futuro. Desarrollar un mercado de retrocesión consistente, fiable y sólido ayudaría a proporcionar una mayor capacidad hasta llegar al asegurado original.
