I.3 Inhoudelijke opzet van het onderzoek

Dit proefschrift is gebaseerd op een viertal artikelen die eerder zijn verschenen in wetenschappelijke tijdschriften. De artikelen zijn geplaatst in het WPNR en in AV&S en zijn integraal opgenomen als hoofdstukken II, IV, V, en VI van dit boek. Daarnaast is als hoofdstuk III een uitgebreide, meer descriptieve beschouwing van de inhoud van de cyberverzekering opgenomen. Tussen deze hoofdstukken bestaat een onderlinge en overkoepelende samenhang, die voortvloeit uit de hiervoor besproken centrale onderzoeksvraag en een aantal deelvragen.

Voor een goede lezing van dit boek verdient opmerking dat deze deelvragen niet de concrete onderzoeksvragen van de verschillende hoofdstukken vormen. De deelvragen zijn gedeeltelijk hoofdstukoverstijgend en komen dus, in meer en minder concrete mate, in verschillende hoofdstukken naar voren. De deelvragen zullen niet (allemaal) uitputtend worden beantwoord, maar enkel voor zover dit bijdraagt aan de beantwoording van de centrale onderzoeksvraag. Een en ander zal worden samengebracht in de conclusie van dit proefschrift.

Hoofdstuk II gaat over de opkomst van de cyberverzekering in de Verenigde Staten en de invloed die de Amerikaanse privacywetgeving daarop heeft gehad.1 Deze Amerikaanse ontwikkelingen vergelijk ik met de ontwikkelingen in Europa en Nederland, waar de inwerkingtreding van de AVG destijds nog op handen was. Dit hoofdstuk schetst daarmee een deel van het wettelijk kader waarbinnen de cyberverzekering moet worden geplaatst, namelijk het gegevensbeschermingsrecht. Door middel van een rechtsvergelijking laat ik zien hoe de Amerikaanse oorsprong van de cyberverzekering in Europa en Nederland zijn uitwerking heeft en onderzoek ik in hoeverre de cyberverzekering aansluit bij de Europese wetgeving, in het bijzonder de AVG. Aan de orde komen deelvragen a, b, c.

Hoofdstuk III concentreert zich op de inhoud en voorwaarden van de cyberverzekering. Zowel de positieve dekkingsomschrijvingen als de uitsluitingen worden besproken. Daarbij wordt telkens behandeld of en in hoeverre deze clausules in de verschillende cyberverzekeringen op de Nederlandse markt van elkaar verschillen en wat voor gevolgen dat heeft. Daarnaast onderzoek ik of de besproken clausules vragen oproepen ten aanzien van traditionele verzekeringsrechtelijke leerstukken en breng ik de daaruit voortvloeiende knelpunten in kaart. Ik beantwoord daarmee deelvragen d, e, f.

In hoofdstuk IV en V licht ik een aantal aspecten nader uit, namelijk de eigen verantwoordelijkheid van de verzekerde, mede gezien in het licht van de eisen die verzekeraars stellen (hoofdstuk IV), en de uitsluitingen voor schade door terrorisme en molest (hoofdstuk V).

Hoofdstuk IV is gericht op de eigen schuld en bereddingsplicht van de verzekerde.2 Het onderzoek daartoe is uitgevoerd aan de hand van de aanvraagformulieren die door verzekeraars worden gebruikt voorafgaand aan het afsluiten van de verzekering. De vragen en eisen die in deze formulieren zijn gesteld, zijn onder andere vergeleken met statistische gegevens van het CBS. Op die manier heb ik geanalyseerd welke eisen verzekeraars stellen aan hun verzekerden en welke mate van eigen verantwoordelijkheid van de verzekerden wordt (of mag worden) verwacht. Ik beantwoord deelvragen d, e en g.

In hoofdstuk V komen twee uitsluitingsclausules in detail aan bod.3 In dit hoofdstuk ga ik in op (cyber)terrorisme en molest. Deze clausules vormen een goed voorbeeld van een botsing tussen traditionele bepalingen en verzekeringsrechtelijke leerstukken en moderne risico’s. Het hoofdstuk beantwoordt deelvragen d, e, en f.

Hoofdstuk VI richt zich tot slot op deelvragen h en i en wel specifiek op de assurantietussenpersoon.4 Aan de orde komt de vraag wat de reikwijdte van de zorgplicht van de assurantietussenpersoon is in de context van cyberrisico’s en de cyberverzekering. Was de cyberverzekering in 2017 al zodanig gebruikelijk dat van de assurantietussenpersoon op dat punt een actieve houding mag worden verwacht? En wat houdt dat dan in?

De verantwoordelijkheden van de andere actoren op de verzekeringsmarkt – de verzekerde, de verzekeraar en in mindere mate de overheid – komen voorts doorlopend in de verschillende hoofdstukken aan de orde, bijvoorbeeld in hoofdstuk IV.

In hoofdstuk VII breng ik het geheel samen in de conclusie en kom ik terug op het toetsingskader zoals ik dat aan de hand van het (drieledige) doel van verzekeren in de centrale onderzoeksvraag heb geschetst. Tevens kijk ik vooruit en deel ik mijn gedachten over de implicaties en potentie van de cyberverzekering, waarbij ik ook suggesties voor vervolgonderzoek zal doen.