De cyberverzekering vanuit civielrechtelijk perspectief (O&R nr. 129) 2021/I.1.2:I.1.2 Status quaestionis en relevantie

De cyberverzekering vanuit civielrechtelijk perspectief (O&R nr. 129) 2021/I.1.2

I.1.2 Status quaestionis en relevantie

Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.Deze functie is alleen te gebruiken als je bent ingelogd.

De invloed van nieuwe risico’s op het aansprakelijkheids- en verzekeringsrecht is op zichzelf geen nieuw vraagstuk. Zo ontstond in de jaren ‘90 ongerustheid over toenemende werkgeversaansprakelijkheid als gevolg van beroepsziekten en arbeidsongevallen en werd bijvoorbeeld de invoering van het claims-madedekkingssysteem geïntroduceerd.1 Vervolgens dienden ook andere risico’s zich aan, zoals voedingsgerelateerde risico’s (bijvoorbeeld de BSE-crisis), risico’s van infectieziekten (legionella) en overheidsaansprakelijkheid bij (natuur)rampen (vuurwerkramp Enschede, cafébrand Volendam).2

Dit soort maatschappelijke gebeurtenissen zorgen voor bewegingen in het aansprakelijkheidsrecht en daarmee ook in verzekeringen. Naar aanleiding daarvan zijn dan ook in de literatuur veelvuldig vragen gesteld over grotere, overkoepelende vraagstukken zoals claimcultuur, uit de Verenigde Staten overwaaiende trends waaronder aansprakelijkheid voor inadequate security (‘secundaire’ aansprakelijkheid), en vragen over voorzorgsverplichtingen, de uitdijing van het aansprakelijkheidsrecht als gevolg van al deze ontwikkelingen en de verzekerbaarheid daarvan.3

Nieuwe risico’s worden vaak gedreven door innovatie. Ook risico’s als bijwerkingen van digitale technologieën zijn in de afgelopen twintig jaar langzamerhand prominenter naar voren gekomen als onderwerp in de Nederlandse rechtswetenschappelijke literatuur. Wetenschappers en juristen vanuit uiteenlopende disciplines schrijven over bijvoorbeeld software in het kader van productaansprakelijkheid,4 de zelfrijdende auto,5 klimaatverandering,6 nanotechnologie,7 de 3D-printer,8 drones,9 robotisering,10 kunstmatige intelligentie11 en cybersecurity.12

Wat echter nog grotendeels ontbreekt in de Nederlandse (rechts)wetenschappelijke literatuur, zijn privaatrechtelijke, verzekeringsrechtelijke beschouwingen over het middel om cyber(rest)risico’s op te vangen: cyberverzekeringen. Vanaf 2013 – vóór die tijd trof ik geen enkele Nederlandstalige publicatie aan – zijn er negen artikelen verschenen over deze materie, waarvan vier van mijn hand na 2017 (zie hoofdstukken II, IV, V en VI van dit boek). In 2015 schreef Weterings een veelomvattend artikel over de vraag in hoeverre de cyberverzekering voorziet in een behoefte van organisaties, waaruit onder andere volgt dat schade door cyberrisico’s onder de meeste traditionele verzekeringen niet is gedekt en een separate verzekering dus een goede aanvulling kan vormen.13 Drie andere publicaties schetsen de inhoud van de cyberverzekering in grote lijnen en in een interview met de directeur van een verzekeringsmakelaar wordt een aantal knelpunten rondom de cyberverzekering geduid.14 Voorts komt de cyberverzekering in meer rechtseconomische zin aan de orde in de dissertatie van Nieuwesteeg uit 2018, die daarover tevens separaat heeft gepubliceerd.15 Van Tiggele-van der Velde bespreekt tot slot de (afwezigheid van de) polisvoorwaarden van de cyberverzekering van verzekeraar De Goudse.16

Waar binnen de Nederlandse landsgrenzen de rechtswetenschappelijke aandacht voor cyberverzekering nog bescheiden is, wordt in andere delen van de wereld, met name in de Verenigde Staten, in de academische literatuur veelvuldig over dit onderwerp gepubliceerd. Er bestaan talloze publicaties die de cyberverzekering vanuit verschillende perspectieven en disciplines analyseren, zoals rechtswetenschappelijk, rechtseconomisch, technisch en gedragswetenschappelijk perspectief, al dan niet uitgevoerd in multidisciplinair onderzoeksverband.17 Een verklaring voor dit verschil is mogelijk te vinden in het feit dat cyberverzekeringen in de Verenigde Staten al wat langer op de markt zijn dan in Nederland en er, ook gelet op bijvoorbeeld de meldplichten in het Amerikaanse gegevensbeschermingsrecht, in de Verenigde Staten reeds behoorlijk wat juridische procedures hebben plaatsgevonden waarin de verzekeringsdekking voor cyberrisico’s het litigieuze onderwerp was.18

Toch is de beperkte aandacht voor het verzekeren van cyberrisico’s in Nederland opmerkelijk, temeer nu in de niet-academische verzekeringswereld veel debat is over het fenomeen cyberverzekering en er veel vragen bestaan. De Vereniging Nederlandse Assurantie Beurs (VNAB) wijdde in 2018 een editie van haar magazine, de VNAB Visie, geheel aan cyberrisico’s. Het voorwoord in die uitgave geeft een aaneenschakeling van citaten uit de verschillende interviews met personen uit het veld, waaruit de behoefte aan meer kennis en informatie duidelijk spreekt:

“[…] “Kennis over dit onderwerp en opleidingen is waar de markt behoefte aan heeft”; “Het gaat om risico’s die onzeker, onvoorspelbaar en cumulatief zijn”; “Als de hele maatschappij digitaliseert, zal bijna elk risico een cyber component hebben”; “We moeten een duidelijke definitie van een cyberincident hebben” en “Laten we samen nadenken en werken aan coassurantie-oplossingen om de risico’s te verdelen.” […]”.19

Meer op macroniveau zijn de belangrijkste vragen rondom dit thema het gebrek aan actuariële gegevens en de daarmee samenhangende problemen in underwriting en pricing, de grote diversiteit in polisvoorwaarden waardoor onduidelijkheid bestaat over de omvang van de dekking en de verhouding van de cyberverzekering tot traditionele verzekeringen.20 Om in die behoefte aan informatie te voorzien, zijn ook de brancheverenigingen actief. Sinds 2015 faciliteert bijvoorbeeld de VNAB het marktinitiatief Cyber Platform. Dit Platform is in 2019 overgegaan in een officiële Technische Commissie Cyber van de VNAB, die zich specifiek bezighoudt met de ontwikkelingen op het gebied van cyber en de (zakelijke coassurantie)markt.21

Deze vraag naar meer en eenduidiger informatie over het verzekeren van cyberrisico’s is ook terug te zien in omvangrijke publicaties van Europese instanties zoals de Organisatie voor Economische Samenwerking en Ontwikkeling (OESO/OECD), ENISA, de European Insurance and Occupational Pensions Authority (EIOPA), het World Economic Forum en de internationale denktank Geneva Association.22

In al deze rapporten komt in grote lijnen hetzelfde beeld naar voren. Er bestaan veel vragen en uitdagingen rondom de ontwikkeling van de cyberverzekering en de cyberverzekeringsmarkt, die veelal zijn gelegen in onder meer het gebrek aan data en aan samenwerking om die data te verkrijgen, de onduidelijkheid in polisvoorwaarden, het karakter van cyberrisico’s en de rol van cyberverzekeringen bij cybersecurity. Door al deze verschillende instanties wordt hard gewerkt om meer duidelijkheid en overzicht te creëren.

Zoals genoemd blijft in Nederland een (rechts)wetenschappelijk debat op dit punt achter. Gelet op het grote aantal vragen dat leeft op het gebied van cyberverzekeringen, kan een academische, rechtswetenschappelijke analyse een relevante bijdrage leveren aan (een begin van) de beantwoording van een aantal van deze vragen. In dit proefschrift onderzoek ik de cyberverzekering vanuit een verzekeringsrechtelijk perspectief. Een beter begrip van cyberverzekeringen en van de wijze waarop het verzekeringsrecht al dan niet bij moderne risico’s aansluit, stimuleert de verdere (rechts)ontwikkeling van dit belangrijke vangnet. Dit onderzoek is derhalve in eerste instantie relevant voor het verzekeringsrecht als discipline binnen de rechtswetenschap. Gelet op het bredere kader van cyberverzekeringen en cybersecurity zijn bij dit onderzoek tevens gebaat de actoren binnen de verzekeringspraktijk (verzekeraars, makelaars en tussenpersonen), riskmanagers en (bestuurders van) bedrijven en organisaties.

Deze functie is alleen te gebruiken als je bent ingelogd.