VI.1 Inleiding

Op de Nederlandse verzekeringsmarkt spelen intermediairs een belangrijke rol. Aspirant-verzekeringnemers kunnen zich bij het vinden en afsluiten van een passende verzekering wenden tot een assurantietussenpersoon die voor hen bemiddelt bij de verzekeraar.2 Wat een ‘passende’ verzekering is, hangt af van de wensen van de (aspirant-)verzekeringnemer. Soms zijn (aspirant-)verzekeringnemers zich er echter niet van bewust dat zij bepaalde risico’s lopen en dat er verzekeringsproducten bestaan om deze risico’s af te dekken. Onder omstandigheden is de intermediair verplicht om ‘spontaan’ te adviseren.3 Van tussenpersonen mag immers een actieve houding worden verwacht.4

Een voorbeeld van risico’s waarvan het bewustzijn weliswaar groeit (zeker sinds de mondiale WannaCry ransomware-aanval in mei 2017),5 maar waarvan veel bedrijven (met name in het MKB) zich nog niet altijd bewust zijn,6 zijn de risico’s die de steeds verdergaande digitalisering van onze samenleving met zich meebrengt. Het Verbond van Verzekeraars definieert deze ‘cyberrisico’s’ als ‘het financiële nadeel dat een verzekerde oploopt door of via computer- en/of ICT-systemen, zonder dat sprake is van materiële schade’.7

Anders dan veel bedrijven denken, bieden de traditionele verzekeringen veelal geen of onvoldoende dekking voor de schade die uit cyberrisico’s voortvloeit.8 Het risico op dergelijke schade wordt evenwel steeds groter, zeker gezien de snelheid waarmee de techniek zich ontwikkelt en de groeiende afhankelijkheid van ICT- en computersystemen.9 Verzekeraars bieden sinds een aantal jaren aparte verzekeringsproducten aan om deze risico’s te ondervangen. Uit recent onderzoek van een Brits verzekeringsbedrijf blijkt echter dat meer dan de helft van het Britse MKB aangeeft dat hun tussenpersoon hen nog nooit heeft geattendeerd op de mogelijkheid van het afsluiten van een cyberverzekering.10

Deze relatief nieuwe en onbekende risico’s roepen in combinatie met de eveneens relatief nieuwe en onbekende verzekeringsproducten de vraag op in hoeverre zij tot nieuwe of andere (zorg)verplichtingen leiden voor de bij verzekeringen betrokken actoren, zoals de assurantietussenpersoon. De bestaande literatuur en jurisprudentie over traditionele risico’s en verzekeringen maken niet direct duidelijk onder welke omstandigheden een assurantietussenpersoon met betrekking tot cyberrisico’s een plicht heeft om de (aspirant-)verzekeringnemer te adviseren.11 In dit artikel onderzoek ik (de reikwijdte van) de zorgplicht van de assurantietussenpersoon in de context van cybersecurity. De nadruk ligt daarbij op de privaatrechtelijke zorgplicht. Tevens komt aan de orde tegen welke problemen de tussenpersoon op dit gebied mogelijk aanloopt. Tot slot geef ik een voorzet hoe de zorgplicht op dit punt in de toekomst meer gestalte kan krijgen.