III.4.3 Aansprakelijkheid voor onvoldoende netwerkbeveiliging

Privacy- en netwerkincidenten hangen vaak met elkaar samen. De meeste cyberverzekeringen maken evenwel onderscheid tussen aansprakelijkheid wegens privacyschendingen (overtredingen van de AVG) en wegens onvoldoende netwerkbeveiliging of beveiligingsfouten door verzekerde (operationele processen). Prangende verschillen in de polisvoorwaarden onderling, anders dan de verschillen die bestaan in definities van veelgebruikte begrippen zoals ‘cyberincident’ (reeds besproken in §3.2), komen bij deze dekkingsrubriek niet in opvallende mate naar voren.

In grote lijnen bestaat de dekking uit schadevergoeding en kosten voor aansprakelijkheid van de verzekerde voor schade van een derde wegens:

Het gaat hierbij dus om aanvallen op en schade door digitale ketenconstructies. Voorbeelden zijn situaties dat het verzekerde bedrijf een virus of malware doorgeeft aan een ander bedrijf, of dat een hacker zich via het systeem van verzekerde toegang verschaft tot het systeem van een derde. Denkbaar is ook dat een derde geen toegang meer heeft tot het netwerk van verzekerde en daardoor schade lijdt. Tevens is het verlies van bedrijfsgegevens van een derde wegens een netwerkincident bij de verzekerde een reëel scenario.

De vraag is echter in hoeverre deze dekking aansluit bij het juridische kader ten aanzien van (buitencontractuele) aansprakelijkheid wegens onvoldoende netwerkbeveiliging. Hierover is in Nederland nog geen rechtspraak verschenen. Toch komt dit risico in alle cyberverzekeringen als verzekerde rubriek terug.

Dat er vooralsnog geen jurisprudentie is verschenen, is mogelijk te verklaren doordat partijen veelal contractueel met elkaar zullen zijn verbonden en aansprakelijkheid wegens schade aan netwerken, data, soft- en hardware vrijwel standaard in vergaande mate in de algemene voorwaarden is uitgesloten. Dit geldt in ieder geval voor softwareleveranciers, die regelmatig gebruikmaken van branchevoorwaarden zoals de NLDigital-voorwaarden (voorheen de ICT-Office voorwaarden).1 Daarin is bijvoorbeeld opgenomen:

Bedrijven en organisaties die (de levering van) ICT en automatisering niet als core business hebben, maar slechts als middel voor de kernactiviteiten gebruiken, zijn voor de mate van beveiliging (deels) afhankelijk van externe partijen. Veel onderhandelingsruimte in de contracten hebben zij daarbij in de regel niet; van equality of arms is in die zin geen sprake.3

Dat er op ieder bedrijf een (ongeschreven) zorgplicht rust tot het nemen van voldoende beveiligingsmaatregelen, staat op zichzelf wel vast.4 De inkleuring van die zorgplicht zal echter afhangen van de afspraken die partijen daarover met elkaar hebben gemaakt of, waar die afspraken ontbreken, van de omstandigheden van het geval. In hoeverre en op welke wijze het aansprakelijkheidsrecht een bruikbaar instrument zal blijken om de zorgvuldigheidsverplichting tot adequate netwerkbeveiliging te stimuleren, althans of het bij schade een route naar compensatie zal vormen, is een op zichzelf staande vraag. Deze vraag leent zich voor separaat onderzoek en zal ik dan ook in dit boek niet verder uitwerken.

In de context van dit proefschrift volsta ik derhalve met de constatering dat de cyberverzekering een aparte dekking biedt voor schade als gevolg van een specifiek risico dat in de Nederlandse jurisprudentie en (rechts)praktijk nog nauwelijks is ontwikkeld. Dat neemt niet weg dat de schade van derden wegens onvoldoende netwerkbeveiliging door een verzekerde uiteraard groot kan zijn. Mocht aansprakelijkheid worden aangenomen, is verzekeringsdekking voor de verschuldigde schadevergoeding (en de kosten van verweer) waardevol.