III.5.2.7 Slijtage van data en software: eigen gebrek (7:951 BW)?

Een klein aantal cyberverzekeraars sluit schade uit wegens slijtage van data en software:1

⁜

Het uitsluiten van slijtage of erosie komt in traditionele verzekeringen vaker voor, bijvoorbeeld in technische (object)verzekeringen zoals werkmaterieel- of machineschadeverzekeringen. Slijtage is het gevolg van normaal gebruik van het object. Slijtage vloeit naar de normale loop van omstandigheden voort uit de aard en natuur van het object en is derhalve niet (altijd) meeverzekerd.3 Deze uitsluiting is gebaseerd op de uitsluiting van het ‘eigen gebrek’ in artikel 249 (oud) WvK, thans neergelegd in artikel 7:951 BW: “De verzekeraar vergoedt geen schade aan een verzekerde zaak indien die is veroorzaakt door de aard of een gebrek van die zaak.”4 Een gebrek gaat om eigenschappen die de verzekerde zaak niet behoort te hebben (een ‘minderwaardige’ eigenschap), bijvoorbeeld een abnormaal snelle slijtage of een constructiefout.5 De aard van de zaak betreft een eigenschap die de verzekerde zaak juist wel bezit, dus bijvoorbeeld normale slijtage.6

Artikel 7:951 BW geldt niet voor aansprakelijkheidsverzekeringen.7 De uitsluiting ziet op een gevaarlopend object, niet op een gevaarscheppend object. Artikel 7:951 BW is echter van regelend recht. De cyberverzekeringen die deze uitsluiting wegens slijtage bevatten, verschillen dan ook in de reikwijdte van de toepassing van de uitsluiting. De ene verzekeraar verklaart de uitsluiting expliciet van toepassing op enkel eigen schade van de verzekerde,8 terwijl een ander er niets over opmerkt en de clausule als algemene uitsluiting heeft opgenomen.9 De hiervoor geciteerde clausule verklaart de uitsluiting van toepassing op zowel eigen schade als aansprakelijkheid.

Gelet op het karakter van de cyberverzekering is het niet zonder meer onbegrijpelijk dat de verzekeraar de slijtage-uitsluiting ook van toepassing verklaart op de aansprakelijkheidsrubriek. Data en software vormen voor de cyberverzekering zowel het verzekerde object voor eigen schade (gevaarlopend object) als het gevaarscheppende object voor het verzekerde aansprakelijkheidsrisico.

De vraag is wel hoe deze slijtage-uitsluiting moet worden gezien in verhouding tot artikel 7:951 BW in traditionele zin. Artikel 7:951 BW kent een stoffelijkheidsvereiste: het gaat om verzekerde stoffelijke zaken.10 Data en software zijn (nog altijd) geen stoffelijke zaken (zie ook §5.2.1).11 Cyberverzekeraars die de slijtage-uitsluiting niet hanteren, kunnen bij achteruitgang van bijvoorbeeld software dan ook geen beroep doen op de wettelijke uitsluiting van artikel 7:951 BW.

Daarnaast is het de vraag wat verzekeraars die deze uitsluiting wel hanteren überhaupt verstaan onder ‘slijtage’ van data en software. Juist omdat dit geen stoffelijke zaken zijn, is niet eenvoudig voor te stellen hoe deze ‘objecten’ kunnen slijten. Vanuit technisch perspectief wordt dat ook niet op die wijze geduid. Software ‘slijt’ niet.12 Het is de omgeving om de software heen die verandert en daarmee andere prestaties van de software vraagt. Die prestaties kan de software niet altijd (meer) leveren, en dat wordt gezien als falen van de software. Dat is echter niet hetzelfde als slijtage van bijvoorbeeld hardware, waaronder mijns inziens ook bijvoorbeeld gegevensdragers kunnen worden verstaan. De onderstaande figuur maakt het verschil duidelijk:

Figuur 2.13

Hardware slijt volgens de ‘badkuip-curve’: in het begin zijn er kinderziektes, aan het eind is er slijtage. Software kent tevens kinderziektes, maar slijt in feite niet en kan in de ‘idealised curve’ oneindig werkend zijn. Door verandering in de omgeving kan software echter meermaals opnieuw met kinderziektes worden geconfronteerd, en dus met een hoger prestatiefalen. ‘Slijtage’ van software zelf, dus anders dan een prestatiefalen als gevolg van veranderende omgevingsfactoren, is vanuit bovenstaande technische benadering in feite non-existent. Indien ‘slijtage’ echter moet worden gezien als een verminderde toepasbaarheid of efficiëntie van de software, dus vanuit een meer economische benadering, dan past het voornoemde falen van de software daar wellicht wel bij.14 Gezien het karakter van de cyberverzekering en van software en data is een dergelijke benadering bij de uitleg van deze clausule op zichzelf verdedigbaar.

De vervolgvraag is dan wat dit betekent voor de omvang van de dekking. Zowel data als software kunnen verouderen (‘slijten’ in bovengenoemde economische zin) doordat zij niet worden onderhouden met bijvoorbeeld updates of, in het geval van software, niet langer worden ondersteund.15 Al vaker in dit onderzoek heb ik gewezen op het gebruik van legacy systems: netwerken van sterk verouderde systemen en software, die zodanig met elkaar samenhangen en geïntegreerd zijn in de bedrijfsprocessen, dat onderhoud in de zin van vervanging of updates vrijwel niet mogelijk is.

Dat de verzekeraar niet de kosten voor vervanging van oude software wil dragen, is natuurlijk wel logisch. Maar als uit die oude legacy systems schade voortvloeit, moet dat dan worden gezien als ‘versleten’ software waarop de slijtage-uitsluiting dus toepassing vindt? Indien dit het geval zou zijn, betekent dit een significante inperking van de dekkingsomvang, zeker ten opzichte van de cyberverzekeringen waarin deze uitsluiting ontbreekt. Dit probleem is mogelijk relatief eenvoudig op te lossen, namelijk door het begrip ‘slijtage’ op een heldere manier te definiëren in de polis.