Yubico i bevisläge

Det attraktiva i Yubico är lätt att förstå. Bolaget säljer fysisk, kryptografiskt förankrad autentisering i en värld där lösenord, phishing och svaga MFA-flöden fortsätter att vara stora attackytor. YubiKey är inte en abstrakt säkerhetsmodul gömd i ett powerpointpaket. Den är en konkret produkt med global distribution, brett protokollstöd och ett tydligt kundproblem. I high-risk-miljöer kan den vara skillnaden mellan ett konto med teoretisk policy och ett konto som faktiskt står emot phishing.

Den finansiella bilden är mer besvärlig. Yubico hade en stark 2021-2024-period, men 2025 bröt den rena tillväxtberättelsen. Nettoomsättningen föll 4,7%, EBIT-marginalen föll från 18,8% till 9,0% och bookings föll 10,6%. Q1 2026 var ännu svagare. Det gör att aktien vid SEK 62.95 inte kan köpas på ren kategoritro. Investeraren måste se hårda bevis för att 2025 och Q1 var timing, FX och kostnadsbas snarare än lägre strukturell efterfrågan.

Rådets sammanvägda slutsats är därför nykter. Yubico har bättre nedsideskydd än många svenska tillväxtcase genom SEK 945.1m i nettokassa, stark bruttomarginal och verklig kundbas. Men bolaget förtjänar ingen okritisk cybersäkerhetspremie innan Q2 och Q3 2026 visar återhämtning i bookings, sekventiell ARR, kostnadsbesparingar och orderkonvertering. Aktien är en mätbar återhämtningsoption, inte ett gratis kvalitetspapper.

Det centrala i Q1 är inte att ett enskilt kvartal blev svagt. Det centrala är kombinationen. Försäljningen föll kraftigt, bookings föll ännu mer, EBIT-marginalen föll till 3,1%, ARR föll sekventiellt och ledningen behövde peka på både valuta, timing, längre köpprocesser och en större affär som inte stängde. Om detta hade varit en isolerad händelse vore det mindre allvarligt. Men rapporterna för Q3 2025, Q4 2025 och Q1 2026 innehåller återkommande språk om försenade eller sent stängda större order. Då blir pipelinekvalitet en investeringsfråga, inte en IR-formulering.

Samtidigt är Q1 inte ett bevis på att produkten är bruten. Bruttomarginalen var fortfarande 76,8%, subscription sales ökade 13,8%, ARR SEK 383.5m +11.0% YoY and -1.9% QoQ, och kassaflödet var positivt. Problemet är att ARR även föll sekventiellt och att total bookings föll 25,4%. En recurring-berättelse som inte stabiliserar ett svagt orderkvartal behöver mer disclosure innan den får fullt värde i aktien.

Reorganisationen lägger till ett tydligt test. Bolaget tog en reorg cost på SEK 21m i Q1 och väntar sig SEK 95m expected gross annualized savings från Q2 2026. Det är stort relativt LTM EBIT kring SEK 122m. Men det är brutto. En del kan återinvesteras, ätas upp av svag försäljning eller motverkas av support- och säljfriktion. Därför är Q2 och Q3 en enkel kontroll: syns besparingen i opex, EBIT och cash before working capital, utan att bookings försämras?

Det fina med YaaS är att det gör Yubico mer än en engångsleverantör. Kunden får leverans, ersättningsnycklar, uppgraderingar, portal, support och livscykelhantering. För en stor organisation kan det vara mer värdefullt än en lägre styckkostnad. Införande av phishing-resistent autentisering handlar inte bara om kryptografi. Det handlar om att få tusentals människor, flera system, säkerhetspolicy, recovery och support att fungera utan att IT-avdelningen dränks.

Men värderingsarbetet måste hålla två tankar samtidigt. Högre subscription mix kan förtjäna högre multipel om retention, churn, NRR, seat expansion, duration och contribution margin är starka. Problemet är att Yubico inte redovisar tillräckligt av just dessa mått. ARR utan retentiondata är användbart, men det är inte samma sak som mogen recurring-kvalitet. När ARR är SEK 383.5m och fortfarande en mindre del av total intäkt kan man inte lägga hela EV på en SaaS-mall och känna sig analytisk.

Den mer robusta modellen är blended. Perpetual-intäkter ska bära lägre multipel eftersom de är leveransnära, hårdvarubundna, orderlumpiga och beroende av större affärer. Subscription ska bära högre kvalitet, men med rabatt tills Yubico visar churn, retention, expansion och tydligare ARR-bro. Om bolaget börjar ge den disclosure som krävs kan multipeln höjas. Om inte, ska marknaden fortsätta kräva bevis.

Vid share SEK 62.95, market cap SEK 5.399bn och EV SEK 4.454bn visar multiplarna två olika historier. Scenarioankaret är bear/base/bull SEK 26.5/80.6/192.6. EV/Sales runt 2,15x på TTM sales om cirka SEK 2.074bn är inte orimligt för ett säkerhetsbolag med 75-80% bruttomarginal om tillväxten återkommer. EV/EBIT runt 36,5x och P/E runt 55x på deprimerad TTM-vinst är däremot högt om Q1/LTM är den nya basen. Därför blir värderingsfrågan inte "är multipeln hög". Frågan är vilken vinstnivå som är hållbar.

Base case på SEK 80.6 per aktie använder försäljning på SEK 2.3bn, EBIT-marginal på 12%, 22x EV/EBIT och SEK 945m nettokassa. Det är inte ett heroiskt bull case. Det är en partiell återställning, där 2024 års marginal inte antas komma tillbaka fullt ut. Det kräver ändå att SEK 95m i bruttoårliga besparingar faktiskt rinner ned mot EBIT och att försäljningen inte fortsätter falla.

Bear case på SEK 26.5 är nyttigt eftersom det inte kräver konkurs, bedrägeri eller produktkollaps. Det kräver bara att stora affärer fortsätter glida, att plattformar och standardiserade passkeys pressar attach rates, att subscription är för liten för att bära bolaget och att marknaden sätter en mer mogen hardware/security-token-multipel. Bull case på SEK 192.6 är möjligt, men det är ännu inte förtjänat. Det kräver orderbevis, marginalbevis och bättre recurring-disclosure.

Första villkoret är att franchisevärdet måste separeras från aktievärdet. Yubico kan vara ett viktigt säkerhetsbolag och ändå vara en dålig aktie under en period. Det är inget motsägelsefullt i det. En YubiKey kan lösa ett verkligt problem för en offentlig organisation, ett AI-säkerhetsteam eller en utvecklarplattform, samtidigt som aktien blir dyr om EBIT inte normaliseras. Den investerare som blandar ihop produktrelevans med aktieavkastning kommer sannolikt att överskatta bolaget när pressmeddelanden är starka och underskatta det när kvartalen är svaga.

Andra villkoret är att bookings måste väga tyngre än allmän efterfrågekommentar. Säkerhetsefterfrågan kan vara strukturellt stark, men inköp sker ändå genom budgetar, compliance-krav, proof-of-concept, upphandling, förseningar och interna prioriteringar. Q1 visade exakt den friktionen. Därför ska kommentarer som "solid demand" eller "strong conversations" bara få värde om de följs av order. En kunddialog är en ledtråd. En booking är bevis. Det låter hårt, men publika aktier belönar inte trevliga säljtrattar.

Tredje villkoret är att subscription inte får användas som värderingsgenväg. YaaS kan göra Yubico mer återkommande, mer kundnära och mer deployable. Det är positivt. Men så länge subscription är under en femtedel av Q1 sales och ARR saknar churn, retention, NRR, seat count och cohort-data ska recurring-inslaget värderas försiktigt. En låg churn och hög expansion skulle vara värdefullt. Men frånvaron av disclosure betyder att investeraren måste kräva rabatt tills bolaget visar siffrorna.

Fjärde villkoret är att kostnadsprogrammet måste ses i kronor, inte i presentationston. SEK 95m i gross annualized savings kan vara mycket värdefullt relativt dagens EBIT-bas. Men gross savings är inte net EBIT. Om säljkapacitet, support, utveckling eller kundframgång försämras kan besparingen vara dyr. Om den återinvesteras kan aktiemarknaden få vänta. Om svag sales absorberar besparingen förbättras inte marginalen. Därför ska investeraren följa både opex-raderna och affärsutfallet. En kostnadsbas som faller samtidigt som bookings återhämtar sig är bra. En kostnadsbas som faller för att organisationen tappar kraft är inte samma sak.

Femte villkoret är att lager ska behandlas som strategisk resurs och finansiell risk på samma gång. För ett säkerhetsbolag som säljer hårdvara kan säker tillgång, komponentresiliens och global leverans vara konkurrensfördelar. Lager kan också skydda kunder när supply chain blir stökig. Men när inventory är stort relativt LTM sales och produkterna dessutom har certifieringsgenerationer, firmwareversioner och formfaktorer är kapitalbindningen inte gratis. Ett lager kan vara beredskap. Det kan också vara framtida nedskrivning. Man måste följa datapunkterna, inte välja den läsning som passar innehavet.

Sjätte villkoret är att OpenAI, FIPS 140-3 och AI-agent-säkerhet ska placeras i rätt låda. De är legitima katalysatorer. De visar att Yubicos kategori är relevant, att högprofilerade aktörer bryr sig om hårdvarubunden kontosäkerhet och att reglerad efterfrågan kan fortsätta kräva certifierade autentiserare. Men de är inte samma sak som intäkter. OpenAI-partnerskapet saknar offentliggjord volym, minimum, exklusivitet, marginal och ARR-effekt. FIPS öppnar dörrar, men dörrar är inte fakturor. AI-agent-flöden kan bli ett nytt användningsområde, men det måste synas i orders innan det får fullt base-case-värde.

Det bästa bull-argumentet är inte OpenAI. Det är att Yubico redan har produkt-market fit i en krävande del av säkerhetsmarknaden, där kunder bryr sig om trust, certifieringar, fysisk device-binding, leverans och kompatibilitet över gamla och nya system. Bolaget har sålt ungefär 40 miljoner YubiKeys, har över 4 500 business customers och finns i miljöer där misslyckad autentisering är dyr. Om kundernas ökade krav på phishing-resistens, reglerad identitet och AI-account-security översätts till orders kan marginalhävstången bli kraftig eftersom gross margin redan är hög.

Det näst bästa bull-argumentet är balansräkningen. Net cash på SEK 945.1m betyder att ledningen inte behöver jaga kapital mitt i en svag period. Det ger tid att städa kostnadsbas, hålla lager för säker leverans, finansiera certifieringar och försvara produktpositionen. Om aktien ligger under rimligt normaliserat värde kan återköp också vara per-share-positivt. Detta är en viktig skillnad mot bolag där varje försening blir en finansieringsfråga.

Det bästa bear-argumentet är att aktien fortfarande kräver för mycket bevis relativt vad Q1 levererade. Om bookings är ned 25.4%, organic sales är negativt och ARR faller sekventiellt, då hjälper det inte att kategorin är attraktiv. En investerare köper inte kategorin i ett vakuum. Investeraren köper Yubicos intäkter, marginaler, kassaflöden och aktieantal. Om dessa inte förbättras kan EV/Sales se rimligt ut samtidigt som EV/EBIT fortsätter att vara för högt.

Det näst bästa bear-argumentet är disclosure. Ett bolag som vill få betalt för recurring-kvalitet måste visa mer än ARR. Om churn, gross retention, NRR, seats, cohort expansion och product-level margin saknas får marknaden gissa. Gissningar förtjänar rabatt. Det behöver inte betyda att metrics är dåliga. Det betyder bara att investeraren saknar instrumentpanelen. Att köra fort utan instrumentpanel är inte modigt, det är mest dyrt när vägen svänger.

Den mest rättvisa slutsatsen är därför inte binär. Yubico är varken ett uppenbart fynd eller ett uppenbart undvik. Det är ett bolag där kvaliteten syns i produkten, balansräkningen och bruttomarginalen, medan risken syns i bookings, operating leverage, inventory, disclosure och aktieantal. Vid SEK 62.95 är frågan om investeraren får betalt för att vänta på bevisen. Base case säger kanske. Bear case säger nej. Bull case säger ja, men bara om nästa rapporter faktiskt gör jobbet.