Rb. Rotterdam, 15-06-2022, nr. C/10/579422 / HA ZA 19-711

Het verdere verloop van de procedure blijkt uit:

Hierna is wederom vonnis gevraagd.

Voordat wordt ingegaan op hetgeen partijen in de akten naar voren hebben gebracht, merkt de rechtbank op dat Zabawas bij haar eerste akte na tussenvonnis erop heeft gewezen dat de rechtbank daarin geen acht lijkt te hebben geslagen op de brief van de advocaat van Zabawas van 28 mei 2021 met opmerkingen naar aanleiding van het proces-verbaal van de comparitie van partijen van 18 mei 2021. Die constatering is juist. De rechtbank was met deze brief niet bekend bij het wijzen van het tussenvonnis en die brief is daarom daarin niet vermeld. Deze omissie wordt in het onderhavige vonnis rechtgezet. De rechtbank zal alsnog ingaan op een aantal opmerkingen in die brief, voor zover relevant. Voor wat betreft wat door partijen op de mondelinge behandeling naar voren is gebracht bevat het proces-verbaal daarvan overigens naar het oordeel van de rechtbank een juiste zakelijke weergave.

in conventie

De rechtbank heeft in het tussenvonnis, kort samengevat, overwogen dat voor de beoordeling van de vraag of POS4 kan worden verweten tekortgeschoten te zijn in de nakoming van de tussen partijen gesloten overeenkomst, een deskundigenonderzoek noodzakelijk is op twee punten:

(1) Na de ransomware-aanval bij Zabawas is vastgesteld dat bepaalde bestanden niet waren geback-upt, en dat dit met name gold voor de recentste door het bedrijf Verito gemaakte maatwerksoftware (programmeercode). Voor de beoordeling van de vraag of POS4 verantwoordelijk kan worden gehouden voor het ontbreken van deze back-ups, meer in het bijzonder of dat ook het geval is met betrekking tot de SQL-bestanden, waarvan POS4 heeft aangevoerd dat deze niet geback-upt zijn omdat Verito heeft nagelaten de map SQLBackup, die speciaal voor het back-uppen van SQL-bestanden was aangelegd, te vullen met haar meest recente SQL-bestanden, heeft de rechtbank, kort gezegd, overwogen dat een onderzoek door een deskundige hier uitkomst zou kunnen bieden.

(2) Het tweede punt waarop de rechtbank een onderzoek door een deskundige wenste uit te voeren betreft de stelling van Zabawas dat POS4 voor onvoldoende veiligheid van het ICT-systeem van Zabawas had zorggedragen, waardoor ransomware het ICT-systeem van Zabawas heeft kunnen binnendringen. Op dit punt heeft de rechtbank overwogen dat niet kan worden vastgesteld of de ransomware-besmetting het gevolg was van onvoldoende beveiliging van het ICT-systeem door POS4 of heeft kunnen plaatsvinden door een menselijke fout door medewerkers (van Verito) en dat ook op dat punt een onderzoek door een (onafhankelijke) deskundige aangewezen was.

Zabawas heeft in haar eerste akte na tussenvonnis onder verwijzing naar de brief van haar advocaat van 28 mei 2021 erop gewezen dat de voorzitter en de secretaris van het bestuur van Zabawas bij de mondelinge behandeling hebben verklaard “dat de ICTomgeving van Zabawas zoals die bestond in april 2018 niet meer voorhanden is (vernietigd), alles is het kader van regulier onderhoud in eigen beheer vervangen.”

In aansluiting hierop heeft Zabawas in haar eerste akte daaraan toegevoegd:

“Voor zover de rechtbank beoogt dat het ICT-systeem van Zabawas dient te worden onderzocht (op de oorzaak van de ransomwarebesmetting, behoort dat dus niet tot de mogelijkheden.”

Uit deze stellingname leidt de rechtbank af dat het volgens Zabawas geen zin heeft een deskundige te benoemen om te onderzoeken hoe het ransomware-incident heeft kunnen plaatsvinden, omdat het destijds bestaande ICT-omgeving van Zabawas niet meer aanwezig is en dus ook niet kan worden onderzocht.

De rechtbank zal dat standpunt respecteren en daarom niet overgaan tot het laten uitvoeren van een deskundigenonderzoek. Dit brengt echter wel mee dat niet kan worden vastgesteld dat POS4 jegens Zabawas aansprakelijk is voor het zich voordoen van de ransomwareaanval. Het enkele feit dat dit incident zich heeft voorgedaan betekent immers nog niet dat POS4 tekortgeschoten is in het voldoende waarborgen van de veiligheid van de ICT-systemen van Zabawas. Ook is het voor het vaststellen van aansprakelijkheid van POS4 niet voldoende dat de destijds aanwezige beveiliging van het ICT-systeem van Zabawas beter had kunnen worden ingericht en dat de kans op besmetting door ransomware daardoor is vergroot, zoals de door Zabawas ingeschakelde ICT-expert Baaten ICT Security heeft verklaard.

De rechtbank heeft in het tussenvonnis overwogen als eerste vraag aan de deskundige voor te leggen: Wat is de oorzaak van het niet aanwezig zijn van de door Verito gemaakte software en andere data op de vanaf juli 2017 tot 12 april 2018 gemaakte (periodieke) back-ups? Als het antwoord op die vraag luidt dat de oorzaak is dat de map SQLBackups niet periodiek werd gevuld met actuele data/nieuwe software, kan worden vastgesteld of POS4 hiervoor verantwoordelijkheid droeg?

In haar eerste akte na tussenvonnis en in haar antwoordakte heeft Zabawas naar voren gebracht dat Baaten ICT Security van mening is dat uit de stukken volgt dat de verantwoordelijkheid voor het maken van back-ups, en daarnaast nog verschillende andere beveiligingsmaatregelen, bij POS4 lag. Baaten ICT Security heeft in reactie op de bovenstaande vraag van de rechtbank geschreven:

“Deze vraag veronderstelt dat Verito ook een verantwoordelijkheid droeg voor het maken van back-ups. Baaten ICT Security heeft geen aanknopingspunten gevonden die deze veronderstelling ondersteunen. De verantwoordelijkheid voor het maken van back-ups, en daarnaast nog verschillende andere beveiligingsmaatregelen, lag bij POS4. Hier mochten Stichting Zabawas en Verito dan ook van uitgaan. Bovendien lijkt de rechtbank in 4.12 van het vonnis zelf ook te stellen dat de verantwoordelijkheid van de back-up van de ICT omgeving van Stichting Zabawas berust bij POS4. Het feit dat POS4 deze back-ups niet heeft gemaakt, is in de ogen van Baaten ICT Security dan ook de "oorzaak van het niet aanwezig zijn van de door Verito gemaakte software en andere data op de vanaf juli 2017 tot 12 april gemaakte (periodieke) back-ups". Niet Verito, maar P054 was verantwoordelijk voor deze back-ups.”

Ook heeft Zabawas gewezen op gepubliceerde rechtspraak waarin, in gevallen die volgens haar vergelijkbaar zijn met de onderhavige, geen deskundige is benoemd. Dit leidt Zabawas tot de conclusie “dat het geen zin heeft om een deskundigenonderzoek te bevelen en uit te voeren.” Daaraan heeft zij toegevoegd dat “indien en voor zover uw rechtbank ondanks het voorgaande behoefte zou hebben aan voorlichting door een deskundige”, Zabawas ervan uitgaat dat de vraagstelling in ieder geval anders zou hebben geluid dan in het tussenvonnis is opgenomen. Het lijkt Zabawas in dat geval zinvol dat door partijen in samenspraak met de rechtbank overlegd wordt over de juiste vraagstelling aan de deskundige. Zij stelt op dat punt een ‘regiezitting’ voor omdat Zabawas “uiteraard” niet geconfronteerd wenst te worden met (hoge) kosten van de zijde van een deskundige.

De rechtbank blijft bij het oordeel dat een deskundige benoemd zou moeten worden om de vraag te beantwoorden of POS4 verantwoordelijkheid draagt voor het feit dat problemen zijn ontstaan bij het terughalen van bestanden na de ransomware-aanval op het ICT-systeem van Zabawas. De rechtbank licht dat als volgt nader toe. De enkele omstandigheid dat POS4 het op zich had genomen het back-up proces binnen het ICT-systeem van Zabawas te monitoren, zoals ook in overweging 4.12 van het tussenvonnis tot uitgangspunt is genomen, betekent nog niet dat zij daadwerkelijk zelf back-ups diende te maken van alle software en de maatwerksoftware die Verito aan het maken was (tot kort voor de ransomware-aanval werden programmeerwerkzaamheden door Verito op dat deel van de server waar de aanval is uitgevoerd). Uit de stellingen van POS4 volgt dat zij, anders dan waarvan Zabawas uitgaat, wel degelijk een back-up routine had opgezet waarmee periodiek back-ups werden gemaakt, maar dat Verito dit proces van periodieke back-ups heeft doorkruist door na te laten de SQL-Backup map, die speciaal voor het back-uppen van SQL-bestanden was aangelegd, niet met de meest recente SQL-bestanden te vullen. Omdat de zienswijze van Zabawas en POS4 op dit punt uiteenlopen, zou feitelijk moeten worden uitgezocht wat de precieze oorzaak is geweest van de problemen bij het terughalen van data uit de back-ups, die wel gemaakt zijn, en of die problemen inderdaad, zoals POS4 heeft aangevoerd, een gevolg is van het feit dat Verito had nagelaten de SQL bestanden die zij recentelijk had aangemaakt op te slaan in de daarvoor aangelegde map SQL-Backup. Voor de goede orde voegt de rechtbank hieraan toe, dat gelet op de gemotiveerde betwisting door POS4 van de stelling dat zij tekortgeschoten is in haar verplichting back-ups van de computerbestanden van Zabawas te maken, de bewijslast daarvan op Zabawas rust en dat zij ook, als eisende partij, de kosten van een deskundigenbericht zou dienen te dragen. De rechtbank heeft dus de vraagstelling aan de deskundige overwogen om Zabawas in de gelegenheid te stellen het bewijs van haar stelling bij te brengen.

Uit de uitlatingen van Zabawas leidt de rechtbank af dat zij het niet zinvol acht om een deskundigenbericht over de door de rechtbank geformuleerde vraag te laten uitbrengen. De rechtbank vermoedt dat Zabawas hiervoor twee redenen heeft. Enerzijds lijkt het standpunt van Zabawas te zijn ingegeven door het probleem dat, zoals zij heeft verklaard, de oude ICT-omgeving van Zabawas niet meer beschikbaar is en dat daarom een onderzoek door een deskundige op het door de rechtbank aangestipte punt niets zal opleveren. Om kosten te besparen, kan het bevelen van een deskundigenbericht daarom beter achterwege blijven. Anderzijds lijkt Zabawas het principieel niet eens met de benadering van de rechtbank en acht zij een deskundigenbericht overbodig omdat naar haar mening al vast staat dat POS4 tekortgekomen is in de nakoming van haar contractuele verplichtingen omdat niet van alle bestanden in het systeem van Zabawas back-ups voorhanden bleken. Uit hetgeen hiervoor is overwogen, volgt dat de rechtbank een ander oordeel is toegedaan.

Dat Zabawas geen heil ziet in bewijslevering door het laten uitbrengen van een deskundigenbericht, respecteert de rechtbank, maar ook hier betekent dit dat er niet van kan worden uitgegaan dat de aan de vorderingen van Zabawas ten grondslag gelegde stelling, dat POS4 tekortgeschoten is in haar verplichtingen uit de overeenkomst, is komen vast te staan.

Waar Zabawas stelt dat zij ervan uitgaat dat de vraagstelling wordt gewijzigd als de rechtbank ‘ondanks het voorgaande’ toch behoefte aan deskundigenvoorlichting zou hebben, miskent Zabawas dat het niet om een al dan niet bij de rechtbank bestaande behoefte aan voorlichting gaat, maar de mogelijkheid van het laten uitbrengen van een deskundigenbericht een bewijsmiddel is waarvan Zabawas al dan niet gebruik kan maken. Nu de rechtbank geen aanleiding ziet om terug te komen van haar tussenvonnis, ziet de rechtbank ook geen aanleiding om een regiezitting te bepalen zoals door Zabawas gewenst.

Zabawas heeft zes vorderingen ingesteld. Uit het voorgaande volgt dat al deze vorderingen dienen te worden afgewezen.

Ten eerste heeft Zabawas gevorderd dat de rechtbank voor recht zal verklaren dat POS4 c.s. tekortgeschoten is in de nakoming van de verplichtingen uit hoofde van de overeenkomst all inclusive ICT-beheer, en dat POS4 c.s., meer in het bijzonder wegens het nalaten backups te maken, aansprakelijk is voor alle geleden en nog te lijden schade van Zabawas, nader op te maken bij staat en te vereffenen volgens de wet.

Deze vordering is niet toewijsbaar omdat, zoals hiervoor is overwogen, niet vaststaat dat POS4 tekortgekomen is in de nakoming van haar contractuele verplichtingen en een deskundigenbericht op dit punt niet zal worden gelast omdat Zabawas het nut daarvan niet inziet.

De tweede vordering van Zabawas luidt dat POS4 c.s. worden veroordeeld tot terugbetaling aan Zabawas van de jaarlijkse kosten voor 2 TB opslag, inclusief backupsoftware ten bedrage van € 1.495,-, exclusief 21% btw vanaf 18 juli 2013, te vermeerderen met de wettelijke handelsrente vanaf de respectievelijke data van betaling van de facturen en tot terugbetaling van de op 9 juli 2018 betaalde nota van PS Logic inzake het kopiëren van de harddisk ten bedrage van € 1.585,71. Nu de eerste vordering wordt afgewezen, is er geen rechtsgrond om de tweede vordering toe te wijzen.

Ten derde heeft Zabawas gevorderd POS4 c.s. te veroordelen tot betaling aan Zabawas van een bedrag van € 2.527,71 aan buitengerechtelijke kosten, te vermeerderen met de wettelijke rente vanaf de dag van de dagvaarding tot de dag van de algehele voldoening, althans een zodanig bedrag als de rechtbank in goede justitie zal menen te behoren.

Ook deze vordering is niet voor toewijzing vatbaar, aangezien niet vastgesteld kan worden dat POS4 c.s. jegens Zabawas aansprakelijk zijn.

Zabawas heeft, ten vierde, gevorderd dat POS4 c.s. worden veroordeeld tot betaling aan Zabawas van een bedrag van € 13.915,00 inclusief btw (bij wijze van voorschot op de door Zabawas geleden schade), zijnde de kosten van inschakeling van Baaten ICT Security, althans een door de rechtbank in goede justitie te bepalen bedrag.

Nu POS4 c.s. niet aansprakelijk zijn, bestaat voor toewijzing van deze vordering evenmin grond.

Zabawas heeft ten vijfde gevorderd POS4 c.s. te veroordelen om binnen twee dagen na betekening van het vonnis aan Zabawas ter beschikking te stellen de wachtwoorden en log-ins inzake Zabawas en de broncodes inzake de door Zabawas geschreven programmatuur, op straffe van verbeurte van een dwangsom van € 500,00 per dag dat de overtreding voortduurt, onverminderd het recht van Zabawas op volledige schadevergoeding.

Klaarblijkelijk is deze vordering eveneens gebaseerd op de aanname dat POS4 c.s. tekortgeschoten zijn in de nakoming van hun verplichtingen. Nu dat niet is aangenomen, dient ook deze vordering te worden afgewezen.

Zabawas heeft ten zesde gevorderd POS4 c.s. te veroordelen tot betaling aan Zabawas van de proceskosten en de beslagkosten, te vermeerderen met de nakosten.

Het voorgaande brengt mee dat de rechtbank ook deze vordering afwijst.

Gelet op het voorgaande, is de slotsom dat Zabawas als de in het ongelijk gestelde partij dient te worden beschouwd en in de kosten van de procedure moet worden verwezen.

De kosten aan de zijde van POS4 c.s. worden begroot op:

- griffierecht € 1.992,00

- salaris advocaat € 5.310,00 (3 punten × tarief € 1.770,00)

Totaal € 7.302,00.

in reconventie

In het tussenvonnis is reeds overwogen dat de vordering van PS Logic zal worden afgewezen. PS Logic zal daarom in de kosten van de procedure worden verwezen. De proceskosten aan de zijde van Zabawas worden begroot op: € 1.434,00 (3 punten x tarief € 478,00) voor salaris advocaat. De gevorderde veroordeling in de nakosten is toewijsbaar voor zover deze kosten op dit moment kunnen worden begroot. De nakosten zullen dan ook worden toegewezen op de wijze zoals in de beslissing vermeld.

De rechtbank

in conventie

wijst de vorderingen af;

veroordeelt Zabawas in de kosten van de procedure, aan de zijde van POS4 c.s. tot op heden begroot op € 4.244,00,

in reconventie

wijst de vordering af,

veroordeelt PS Logic in de kosten van de procedure, aan de zijde van Zabawas begroot op € 1.434,00, te vermeerderen met de na dit vonnis ontstane kosten, begroot op € 163,00 aan salaris advocaat, te vermeerderen, onder de voorwaarde dat niet binnen 14 dagen na aanschrijving aan het vonnis heeft voldaan en er vervolgens betekening van de uitspraak heeft plaatsgevonden, met een bedrag van € 85,00 aan salaris advocaat en de explootkosten van betekening van de uitspraak, en te vermeerderen met de wettelijke rente als bedoeld in art. 6:119 BW met ingang van veertien dagen na de betekening van dit vonnis tot aan de voldoening,

verklaart deze kostenveroordeling uitvoerbaar bij voorraad,

wijst af het meer of anders gevorderde.

Dit vonnis is gewezen door mr. J.E. Molenaar. Het is ondertekend door de rolrechter en op 15 juni 2022 uitgesproken in het openbaar.

[3152/2083]

Het verloop van de procedure blijkt uit:

Ten slotte is vonnis bepaald.

in conventie

Zabawas vordert dat de rechtbank bij uitvoerbaar bij voorraad te

verklaren vonnis:

1. voor recht verklaart dat POS4 c.s. tekortgeschoten zijn in de nakoming van hun

verplichtingen, in het bijzonder hun verplichtingen uit hoofde van de overeenkomst

all inclusive ICT-beheer, en dat POS4 c.s., meer in het bijzonder wegens het nalaten

backups te maken, aansprakelijk zijn voor alle geleden en nog te lijden schade van

Zabawas, nader op te maken bij staat en te vereffenen volgens de wet;

2. voor zover vordering 1 wordt toegewezen, POS4 c.s. veroordeelt tot terugbetaling

aan Zabawas van de jaarlijkse kosten voor 2 TB opslag, inclusief backupsoftware ad € 1.495,-, exclusief 21% BTW vanaf 18 juli 2013, te vermeerderen met de wettelijke handelsrente vanaf de respectievelijke data van betaling van de facturen van PS Logic door Zabawas, alsmede tot terugbetaling van de op 9 juli 2018 betaalde nota van PS Logic inzake het kopiëren van de harddisk ad € 1.585,71;

3. POS4 c.s. veroordeelt tot betaling aan Zabawas van een bedrag van € 2.527,71 aan buitengerechtelijke kosten, te vermeerderen met de wettelijke rente vanaf de dag van de dagvaarding tot de dag van de algehele voldoening, althans een zodanig bedrag als de rechtbank in goede justitie zal menen te behoren;

4. POS4 c.s. veroordeelt tot betaling aan Zabawas van een bedrag van € 13.915,00 inclusief BTW (bij wijze van voorschot op de door Zabawas geleden schade), zijnde de kosten van inschakeling van Baaten Security, althans een zodanig bedrag als de rechtbank in goede justitie zal menen te behoren;

5. POS4 c.s. veroordeelt om binnen twee dagen na betekening van het vonnis aan Zabawas ter beschikking te stellen de wachtwoorden en log-ins inzake Zabawas en de broncodes inzake de door Zabawas geschreven programmatuur, op straffe van verbeurte van een dwangsom van € 500,00 per dag dat de overtreding voortduurt, onverminderd het recht van Zabawas op volledige schadevergoeding;

6. POS4 c.s. veroordeelt tot betaling aan Zabawas van de proceskosten en de beslagkosten, te vermeerderen met de nakosten.

POS4 c.s. voeren gemotiveerd verweer en concluderen tot afwijzing van het gevorderde, met veroordeling van Zabawas in proceskosten.

Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.

in reconventie

POS4 vordert bij vonnis, uitvoerbaar bij voorraad, Zabawas te veroordelen om aan POS4 te betalen een bedrag van € 3.924,03, vermeerderd met de wettelijke handelsrente van de dag der opeisbaarheid, zijnde 14 dagen na de factuurdata, tot de dag der algehele voldoening, met veroordeling van Zabawas in de proceskosten.

Zabawas voert gemotiveerd verweer en concludeert – kort gezegd – tot afwijzing van het gevorderde, met veroordeling van POS4 c.s., bij vonnis uitvoerbaar bij voorraad, in de proceskosten en de nakosten, een en ander te voldoen na 14 dagen na betekening van het

vonnis en - voor het geval voldoening van de (na)kosten niet binnen de gestelde termijn plaatsvindt - te vermeerderen met de wettelijke rente over de (na)kosten te berekenen vanaf de bedoelde termijn van voldoening.

Op de stellingen van partijen wordt hierna, voor zover van belang, nader ingegaan.

in conventie

Tussen partijen is in geschil of POS4 c.s. tekort zijn geschoten in nakoming van hun verplichtingen uit hoofde van de onder 2.3 vermelde overeenkomst, omdat zij – kort gezegd – zouden hebben nagelaten back-ups te maken.

contractsoverneming?

Vaststaat dat de onder 2.3 vermelde overeenkomst tot stand is gekomen tussen Zabawas enerzijds en PS Logic anderzijds. De vraag is of – zoals Zabawas stelt en POS4 c.s. betwisten – POS4 die overeenkomst eind september 2017 heeft overgenomen.

Op grond van artikel 6:159 BW kan een partij bij een overeenkomst (PS Logic) haar rechtsverhouding tot de wederpartij (Zabawas) met medewerking van deze laatste (Zabawas) overdragen aan een derde (POS4) bij een tussen haar (PS Logic) en de derde (POS4) opgemaakte akte. Contractsoverneming moet worden beschouwd als een overeenkomst tussen de drie betrokken partijen. Het antwoord op de vraag of die overeenkomst is tot stand gekomen, is afhankelijk van hetgeen partijen over en weer hebben verklaard en uit elkaars verklaringen hebben afgeleid en in de gegeven omstandigheden redelijkerwijs mochten afleiden.

Met betrekking tot de vereiste akte is de rechtbank van oordeel dat Zabawas de onder 2.13 weergegeven e-mail van 25 september 2017 heeft mogen opvatten als akte van contractsoverneming als bedoeld in artikel 6:159 BW. Daartoe wijst de rechtbank op het volgende. De e-mail van 25 september 2017 is afkomstig van [naam 1], die zowel de bestuurder van PS Logic is, als de middellijk bestuurder van POS4 (zie 2.2). In die e-mail meldt [naam 1] aan Zabawas “(…) het loopt (…) door elkaar. Bijvoorbeeld de helpdeks, medewerkers die over en weer voor beide bedrijven werken, inkoop hardware, veel administratieve rompslomp terwijl onze klanten toch wel weten dat er 2 bedrijven zijn en dat deze bij elkaar horen (…)” (zie 2.13). Daar komt bij dat POS4 c.s. ter zitting hebben verklaard dat de systeembeheeractiviteiten van PS Logic zijn overgegaan naar POS4, dat de omzet vanaf dat moment ook in POS4 werd geboekt en dat de e-mail van 2017 een aankondiging was dat POS4 de systeembeheeractiviteiten zou overnemen. PS Logic is begin 2018 opgehouden te bestaan bij gebrek aan baten, aldus POS4 c.s.

De voor een contractsoverneming vereiste medewerking is niet aan enigerlei vorm gebonden. Zij kan in elke vorm geschieden en besloten liggen in een of meer gedragingen. Gelet hierop kan naar het oordeel van de rechtbank de medewerking van Zabawas worden afgeleid uit de omstandigheid dat Zabawas de door [handelsnaam] (een handelsnaam van POS4) verzonden facturen is gaan betalen (zie 2.14 en 2.15)

Het voorgaande brengt mee dat POS4 de onder 2.3 bedoelde overeenkomst tussen Zabawas en PS Logic van laatstgenoemde heeft overgenomen, zodat POS4 als contractspartij van Zabawas heeft te gelden.

De overeenkomst

Tussen partijen bestaat verschil van mening over de vraag wat tussen hen is overeengekomen met betrekking tot het maken van back-ups.

Zabawas stelt – kort gezegd – dat POS4 op grond van de onder 2.3 vermelde overeenkomst verantwoordelijk was voor gehele ICT-omgeving van Zabawas en daarmee voor de dagelijkse back-up van alle data zoals aanwezig binnen die ICT-omgeving. Tot begin 2017 wisselde medewerkers van Zabawas zelf dagelijks op de werkdagen de tapes voor de back-ups. Naar aanleiding van de door Zabawas geaccepteerde offerte van 28 december 2016, leverde PS Logic begin 2017 een nieuwe server, die in het datacenter van PS Logic werd geplaatst. De back-ups zouden voortaan in de cloud plaatsvinden. Ook in die gewijzigde situatie bleef PS Logic (en later POS4) verantwoordelijk voor het beheer van de gehele ICT-omgeving van Zabawas, waaronder de bestanden van Verito op de servers van Zabawas, en daarmee ook voor de back-up-werkzaamheden en de monitoring daarvan.

POS4 c.s. voeren aan dat de onder 2.3 vermelde overeenkomst tot een einde is gekomen met het einde van de ICT-omgeving op basis waarvan die overeenkomst was gesloten en de overstap naar Capital Support. De prijs voor het beheren van de oude systeem (€ 130,00) was gerelateerd om de beperkte omvang van de ICT-omgeving van Zabawas destijds. De toenmalige werkzaamheden bestond onder meer uit “24/7 monitoring van servers, backups en netwerk”. Zabawas voerde zelf de back-ups uit. PS Logic was niet verantwoordelijk voor het maken van back-ups, zij monitorde (als ondersteuning) of de back-ups door Zabawas werden uitgevoerd. De back-ups werden gemaakt van alle data die onder de door Zabawas aangegeven reikwijdte vielen.

De rol van PS Logic was vanaf 2017 beperkt tot de levering van een server en de colocatie hosting van die server. PS Logic verrichtte nadien verder werkzaamheden bestaande uit systeembeheer voor een bedrag van € 130,00 per maand. Het systeembeheer omvatte uitsluitend het opzetten van nieuwe servers, ondersteuning van Verito (die de nieuwe server in beheer had) en Office 365. De "24/7 monitoring van servers, backups en netwerk" zoals in de offerte uit 2013 vermeld, was niet gewenst en is voor de nieuwe situatie niet overeengekomen. Verito had de server in gebruik en in beheer.

Zoals hiervoor reeds is overwogen (zie 4.3), is de vraag wat tussen partijen is overeengekomen afhankelijk van hetgeen partijen over en weer hebben verklaard en uit elkaars verklaringen hebben afgeleid en in de gegeven omstandigheden redelijkerwijs mochten afleiden.

Tussen partijen is niet in geschil dat PS Logic op basis van de overeenkomst uit 2013 (zie 2.3) onder meer verantwoordelijk was voor de “24/7 monitoring” van – onder andere – de back-ups. Die back-ups werden destijds gemaakt, doordat de medewerkers van Zabawas daartoe tapes in de computers stopten. PS Logic monitorde het back-upproces op afstand (zie 2.6 tot en met 2.9). Vaststaat voorts dat ICT-omgeving van Zabawas begin 2017 is gewijzigd, waarbij – voor zover hier relevant – Zabawas gebruik ging maken van een nieuwe server die zich bevond in een extern datacenter en back-ups voortaan via de cloud zouden plaatsvinden (zie 2.10 tot en met 2.12). Naar het oordeel van de rechtbank kan niet worden vastgesteld dat daarmee de onder 2.3 vermelde overeenkomst, met in het bijzonder ten aanzien van de “24/7 monitoring van servers, backups en netwerk” is beëindigd. POS4 stelt dat weliswaar, maar Zabawas betwist dat en POS4 heeft haar stelling dat de “24/7 monitoring van servers, backups en netwerk” voor de nieuwe situatie niet meer gewenst was, niet onderbouwd.

Uit het voorgaande volgt dat de overeenkomst tussen partijen inhield dat ook in de nieuwe situatie POS4 verantwoordelijk was voor de “24/7 monitoring van servers, backups en netwerk” binnen de ICT-omgeving van Zabawas. Naar het oordeel van de rechtbank vallen daar ook de bestanden van Verito op de servers van Zabawas onder. POS4 c.s. hebben onvoldoende feiten en omstandigheden aangevoerd waaruit kan worden afgeleid dat door Verito bewerkte bestanden op de servers van Zabawas buiten de back-ups zouden vallen. Integendeel, POS4 c.s. stellen zelf dat er dagelijks een back-up werden uitgevoerd van de map SQLBackup, die was aangemaakt voor de bestanden van Verito (zie hierna 4.14).

Back-ups

Zabawas stelt dat POS4 tekort is geschoten in de nakoming van haar verplichtingen uit de overeenkomst tussen partijen, doordat POS4 heeft nagelaten om periodiek volledige back-ups te maken van de systemen van Zabawas en de informatie binnen die systemen. Hierdoor zijn na de ransomwareaanval de door Verito ontwikkelde aanpassingen op de software van Microsoft en andere data verloren gegaan. Als gevolg hiervan hebben Zabawas en Verito veel kosten moeten maken.

POS4 c.s. betwisten dat POS4 tekort is geschoten in de nakoming van de overeenkomst met Zabawas. Zij stellen dat POS4 in de nieuwe ICT-omgeving van Zabawas had ingesteld dat dagelijks automatisch kopieën werden gemaakt van de Windows Server bestanden op de server. Op de betreffende server werd ook dagelijks een back-up uitgevoerd van de map SQLBackup. Gebleken is dat Verito de (telkens) nieuwe (wijzigende) bestanden van de SQL server niet heeft weggeschreven naar die daarvoor bestemde back-up map. De SQL back-up map was wel door Verito zelf voor dat doel aangemaakt.

Tussen partijen is niet (langer) in geschil dat ook in de nieuwe ICT-omgeving van Zabawas periodiek back-ups werden gemaakt van informatie binnen die ICT-omgeving. Tussen partijen is evenmin in geschil dat die back-ups niet de door Verito gemaakte maatwerksoftware (programmeercode) en niet alle data bevatten. De vraag is of de oorzaak daarvan is gelegen in – zoals Zabawas stelt – het handelen van POS4 of – zoals POS4 c.s. stellen – in het handelen van Verito. Op basis van de stellingen van partijen over en weer kan de rechtbank dat op dit moment niet vaststellen. Alvorens tot een oordeel te kunnen komen, behoeft de rechtbank daarom het oordeel van een onafhankelijke deskundige. Deze deskundige zal de oorzaak moeten onderzoeken van de omstandigheid dat ten tijde van de ransomaanval, dus in het voorjaar van 2018, bepaalde onderdelen binnen de ICT-omgeving van Zabawas niet binnen de (periodieke) back-ups vielen en de vraag beantwoorden of POS4 op grond van communicatie met Verito ervan mocht uitgaan dat de map SQLBackup door deze werd gevuld.

Veiligheid

Zabawas verwijt POS4 verder dat zij niet voor voldoende veiligheid van het ICT-systeem heeft zorggedragen. Als gevolg hiervan heeft de ransomware het systeem binnen kunnen dringen. Ter onderbouwing van dit verwijt verwijst Zabawas naar het rapport van Baaten, die concludeert dat een ernstige verstoring zoals de ransomwareaanval slechts een kwestie van tijd was, gezien de staat van de ICT omgeving (zie 2.18).

POS4 c.s. betwisten dat zij niet voor voldoende veiligheid binnen het ICT-systeem van Zabawas hebben zorggedragen. Het ICT systeem van Zabawas was bijvoorbeeld voorzien van firewalls. De ransomware besmetting was het gevolg van een menselijke fout van een medewerker van Zabawas dan wel Verito en had niets te maken met het niveau van beveiliging. Een medewerker kan op een e-mail met bijlage hebben geklikt en die bijlage blijkt nadien een virus te bevatten dat zich in het systeem nestelt. Dit kan zelfs de beste beveiliging niet tegenhouden, aldus POS4 c.s..

Gelet op de gemotiveerde betwisting door POS4 c.s. kan op dit moment niet worden vastgesteld of de ransomwarebesmetting het gevolg was van onvoldoende beveiliging van het ICT-systeem door POS4 of een menselijke fout door medewerkers (van Verito). Alvorens tot een oordeel te kunnen komen, behoeft de rechtbank ook op dit punt het oordeel van een onafhankelijke deskundige.

Deskundige

Voordat tot het inwinnen van een deskundigenbericht zal worden overgegaan, zal de rechtbank partijen in de gelegenheid stellen zich – bij voorkeur eensluidend – uit te laten over de persoon van de te benoemen deskundige. Bij dezelfde akte kunnen zij zich uitlaten over de aan de deskundige voor te leggen vragen. De rechtbank zal de zaak hiertoe naar de rol verwijzen.

De rechtbank overweegt de volgende vragen aan de te benoemen deskundige voor te leggen:

1) Wat is de oorzaak van het niet aanwezig zijn van de door Verito gemaakte software en andere data op de vanaf juli 2017 tot 12 april 2018 gemaakte (periodieke) back-ups? Als het antwoord op die vraag luidt dat de oorzaak is dat de map SQLBackups niet periodiek werd gevuld met actuele data/nieuwe software, kan worden vastgesteld of POS4 hiervoor verantwoordelijkheid droeg?

2) Wat is de oorzaak van de ransomwarebesmetting?

3) Welke rol speelt de beveiliging van het ICT-systeem door POS4 hierbij?

De rechtbank ziet geen aanleiding om af te wijken van het uitgangspunt van de wet (195 Rv), dat het voorschot op de kosten van de deskundige in beginsel door de eisende partij moet worden gedeponeerd. Dit voorschot zal daarom door Zabawas moeten worden betaald.

Iedere verdere beslissing wordt aangehouden.

in reconventie

PS Logic legt aan haar vordering in reconventie ten grondslag dat zij in opdracht en voor rekening van Zabawas werkzaamheden heeft verricht ten behoeve van het deponeren van de software en data van Verito in broncode escrow bij Escrow Alliance. Zabawas heeft de hiervoor door POS4 namens PS Logic verzonden facturen niet voldaan.

Zabawas voert tot verweer aan dat de werkzaamheden ten behoeve van het deponeren van de software en data van Verito in broncode escrow niet door PS Logic zijn verricht. PS Logic bestaat feitelijk niet meer sinds 2018.

De rechtbank stelt vast dat de vordering in reconventie slechts is ingesteld door PS Logic. Zoals reeds is overwogen in conventie is de rechtsverhouding tussen Zabawas en PS Logic eind 2017 overgenomen door POS4 (zie 4.6). POS4 c.s. hebben bovendien ter zitting erkend dat PS Logic begin 2018 is opgehouden te bestaan bij gebrek aan baten. Tegen die achtergrond hebben POS4 c.s. onvoldoende onderbouwd dat de overeenkomst die aan de werkzaamheden ten behoeve van het verzorgen van het depot ten grondslag ligt, is aangegaan door PS Logic. Verder is gesteld noch gebleken dat PS Logic de vordering ter zake de onbetaalde facturen (zie 4.23) op Zabawas door middel van cessie of contractsoverneming of op andere wijze heeft verkregen. Het voorgaande leidt ertoe dat de vordering van PS Logic voor afwijzing gereed ligt.

Iedere verdere beslissing wordt aangehouden.

De rechtbank

in conventie

bepaalt dat de zaak weer op de rol zal komen van 11 augustus 2021 voor het nemen van een akte door beide partijen waarin zij zich uitlaten over de persoon van de te benoemen deskundige en de aan deze te stellen vragen,

in conventie en in reconventie

houdt iedere verdere beslissing aan.

Dit vonnis is gewezen door mr. J.E. Molenaar, rechter, bijgestaan door mr. L.A. Bosch griffier. Het is ondertekend door de rolrechter en op 14 juli 2021 uitgesproken in het openbaar.[2083/3152]