サイバー保険は12四半期連続で安くなっている。Marshの世界商業保険料指数によると、2026年第2四半期もさらに4％低下した。その3カ月前には、世界全体で5％低下し、米国では2％低下していた。引受余力は潤沢で、保険会社は契約獲得をめぐって激しく競争している。買い手からは、値引きに加えて、より広い補償文言や高い補償限度額が提示されているとの声が上がる。
Strykerの第1四半期決算は、同じ3カ月を取引の反対側から描いている。ミシガン州の医療機器メーカーである同社は3月、Handalaを名乗るイラン関連の集団が同社のMicrosoft Intune環境を悪用し、数十カ国にまたがる数千台の端末からデータを消去したことで、生産時間を失った。純売上高は60億2000万ドル（約9550億円）となり、アナリストのコンセンサスである約63億3000万ドル（約1兆円）を下回った。調整後1株利益は2.60ドル（約1万未満円）で、市場予想の2.98ドル（約1万未満円）を下回り、前年同期比で8.5％減少した。粗利益率は63.3％だった。StrykerはSECへの訂正届出で、この攻撃は「同社の事業運営に重大な影響を及ぼし、その結果、2026年第1四半期の財務結果にも影響した」と述べる一方、通期のオーガニック成長率見通しは8.0％から9.5％に据え置いた。
どちらの事実も目新しいものではない。並べて読むと、ある市場がリスクを低く見積もる一方で、そのリスクが生む損失は高額化し、しかも保険会社の帳簿以外の場所に落ち着いていることが見えてくる。
損失はどこへ向かっているのか
AM Bestは、2026年の最初の四半期を米国サイバー保険市場における8四半期連続の値下げと位置づけた。同社の報告書には、格付けアナリストが1年近く繰り返してきた警告も盛り込まれている。すなわち、保険料が下がり続けるなか、保険会社は上昇する損害率を反転させるのに苦労するというものだ。第三者賠償請求はおおむね30％増えており、自社損害の請求に比べて解決までにかなり長い時間を要する。米国のサイバー保険料の3分の2近くを引き受けるサープラスライン保険会社は、2025年を既発生損害率が56％近辺で終えた。
ロングテールの損失は、それを値付けした引受担当者が去った後に到来しがちである。Lloyd'sは1990年代初頭、このことを思い知らされた。数十年前に引き受けられた保険契約に基づくアスベストや汚染関連の請求が一斉に到来し、その背後に立っていた多くのネームを破綻させたのである。サイバーは、その規模には遠く及ばない。それでも仕組みは十分に見覚えがあり、格付けアナリストが表面的な保険料収入の伸びよりも第三者請求の推移に注目する理由を説明している。
今後、保険料がどちらへ向かうのかについては見方が割れている。その相違は、単純に中間を取るのではなく、真剣に受け止める価値がある。Standard & Poor'sは、サイバー保険料が2022年のピークから22％下落した後、今年は15％から20％上昇すると予想している。最も大きな上昇は、強固な技術的管理策を示せない買い手に集中する見通しだ。2月に公表されたWTWの見通しは、ハードマーケットへの重大な移行はまだ確認できず、2026年初めはなお補償を購入するには悪くない時期だとしていた。その後、Marshのデータが2四半期分公表され、いずれもマイナスだった。現時点では、ブローカーであるMarshが格付け会社をポイントで上回っている形だ。
引受担当者は何を求めているのか
Marshの第1四半期に関する米国コメントは、補償を購入する者であれば精読する価値がある。報告によると、引受担当者は、相互接続された技術から生じる集積リスク、人工知能に起因するエクスポージャー、トラッキング技術をめぐるプライバシー問題を精査していた。また、ほとんど余談のように、一部の保険会社が外部からのコンプライアンス評価ツールを使い、顧客のセキュリティ態勢を自ら評価し始めたことにも触れている。買い手が記入するフォームを通じてではなく、買い手を直接評価することは、企業が購入したソフトウェアが実際に有効化されているかどうかに価格を付けることを意味する。
サニーベールに拠点を置き、従業員約30人を抱えるDiscern Securityは木曜日、Forgepoint Capitalが主導する1300万ドル（約20億6000万円）の資金調達ラウンドを発表した。「当社のデータでは、顧客は購入したセキュリティ製品の機能の25％未満しか使用していない」と、共同創業者兼CEOのSai Venkataramanは発表で述べた。「当社のエージェント型ループにより、顧客のツール利用率を少なくとも2倍にできる」
Discernの利用率の数字は顧客データに基づくものだが、より広範な課題は業界全体でよく知られている。企業の支出データと218人のITリーダーへの調査を基にしたZyloの2026年SaaS Management Indexによると、平均ライセンス利用率は54％で、購入されたソフトウェアの約46％が未使用のままになっており、典型的な企業では年間約1980万ドル（約31億4000万円）の無駄が生じている。Flexeraの資産管理調査も同様の結論に達しており、組織はIT予算の最大30％を、十分に使われていない、または重複したソフトウェアに費やしていると推定している。Discernの1300万ドル（約20億6000万円）のシリーズAは、組織が既存のセキュリティ投資の価値を最大化するのを支援する技術への投資家の関心が高まっていることを示す。保険会社が、セキュリティ管理策が単に購入されているだけでなく、実際に導入され機能しているかをますます評価するようになるなか、運用上の有効性を高めるプラットフォームは、サイバーリスクのエコシステムにおける重要な一部になりつつある。
Beazleyという取引
Beazleyは2025年の大半を、事業を断ることに費やした。9月30日までの9カ月間で、サイバーの総収入保険料は8％減の8億4800万ドル（約1350億円）となった。同社は、不十分と判断した料率での引き受けを拒んだのである。「請求は増え、より高額になっている」と、最高引受責任者のPaul Bantickは11月にFinancial Timesに語った。「われわれが理解しようとしているのは、市場がなぜそれらに反応していないのかということだ」
Zurichの3月の回答は、その全体に買収提案を行うことだった。合意条件は、1株当たり現金1310ペンスに25ペンスの配当を加えたもので、Beazleyの評価額は約82億ポンド、完全希薄化後で110億ドル（約1兆7500億円）となる。これは、買収提案期間の開始前の完全希薄化後時価総額を約62.8％上回る水準だ。Zurichは、既存現金約30億ドル（約4760億円）、新規債務枠29億ドル（約4600億円）、50億ドル（約7930億円）の株式発行で資金を手当てする。Beazleyの株主は4月、投じられた票の99.9％で賛成した。オーストラリアの競争当局は6月に同取引を承認し、欧州委員会も7月7日、簡易手続きで承認した。英国の健全性監督機構と金融行動監視機構、Lloyd's、スイスの規制当局FINMA、高等法院による承認はまだ残っており、完了は年後半に見込まれている。統合後のスペシャルティ事業は、総収入保険料で約150億ドル（約2兆3800億円）を引き受けることになる。
順位表については一言注意が必要だ。今後、必ず引用されることになるからである。AM Bestの2025年ランキングでは、Beazley USAは単独サイバー保険の直接収入保険料で4億9390万ドル（約784億円）となり、前年の10位から2位に上昇した。1位はChubb INAの5億820万ドル（約806億円）で、BeazleyはTravelersの4億7340万ドル（約751億円）を上回った。この上昇は主として会計上の出来事である。AM Bestは、Beazleyが一部の事業をオフショア事業体から米国事業へ移管したことによるものだとしており、その移管分を除くと市場全体の保険料はほぼ横ばいだったと指摘している。上位10社の半数超は、2025年のサイバー事業が2024年より少なかった。
インデックスファンドに潜むエクスポージャー
広範な株式ファンドを保有する投資家にとって、この問題のうち引受側は見えやすく、おそらく懸念すべき規模も小さい。Chubb、Travelers、Zurich、Tokio Marine、そして長いリストに並ぶサープラスライン保険会社は、下落する価格で拡大する保険ポートフォリオを、増加する損失に向けて引き受けている。現時点の数字では、これは支払能力の問題というより、利ざやの問題である。いずれにせよ、それを切り出して見るのは難しい。上場している専業企業が存在しないからだ。サイバーに特化した最大のマネージド・ジェネラル・エージェントであるCoalitionは、評価額約50億ドル（約7930億円）の非公開企業のままであり、共同創業者兼CEOのJoshua Mottaは株式上場が同社の最終的な進路だと述べているものの、まだ何も届け出られていない。
より難しい半分は、ファンド内のその他すべてである。免責額が上がり、除外条項が広がったことで補償が安くなったのだとすれば、リスクはどこにも消えていない。買い手に戻されただけであり、保険料の行から外れ、見えないところに置かれる。そしてインシデントが起きたときに初めて、アナリストが測定できる数字へと変換される。Strykerでは、その変換は遊休化した生産と未達の四半期決算という形を取った。年次報告書を読めば、株主は企業が保険にいくら使っているかを容易に知ることができる。企業がひそかに自社で抱えることに同意したものを見極めるには、はるかに多くの掘り下げが必要になる。
株主への開示は続くのか
これらすべてが投資家に見えているのは、SECが上場企業に重大なサイバーセキュリティ事案の開示を義務づけているからであり、その義務はいま見直しの対象になっている。American Bankers Association、Bank Policy Institute、SIFMA、Independent Community Bankers of America、Institute of International Bankersの金融業界5団体は、2025年5月にForm 8-KのItem 1.05の撤回をSECに請願し、今年4月10日には、Item 1.05とRegulation S-K Item 106の双方を廃止または縮小するよう求めるコメントレターを再提出した。Paul Atkins委員長は開示規則の幅広い見直しを進めている。2023年にサイバー規則に反対票を投じ、同規則を当局が書く資格のないコンプライアンス・チェックリストだと評したHester Peirce委員は、いまや多数派に属している。
この規則は、見出しが示唆していたほどのことを実際には行っていなかった。Debevoise & Plimptonのトラッカーによると、2024年5月のSECによる明確化声明以降、義務的なItem 1.05に基づいて届け出た発行体は29社である一方、50社は任意のItem 8.01のルートを選んだ。
それでも表に出てくるものは、より奇妙になっている。CB Financial Servicesは5月、Item 1.05を提出した。子会社のCommunity Bankが、従業員が顧客名、社会保障番号、生年月日を無許可の人工知能アプリケーションで処理していたことを発見したためで、侵入者はどこにも関与していなかった。American Bankerがこの表現をSECの全文データベースで検索したところ、見つかったのは1件の8-Kだけだった。
Marshは秋に第3四半期の指数を公表する。それは13四半期連続の低下を示すのか、それともStandard & Poor'sの方向感が正しかったことを示す最初の証拠になるのかを明らかにする。Zurichはおおむね同じ時期までにBeazleyを傘下に収める見通しだ。保険料がどちらへ向かうにせよ、世界最大のサイバー保険ポートフォリオが、3年間にわたり自らの料率を引き下げ続けてきた市場で手を移し、買い手はそれに62.8％のプレミアムを支払っている。
