V.1 Inleiding

Cyberincidenten kunnen grote schade veroorzaken bij een breed scala aan bedrijven. Dit blijkt bijvoorbeeld uit een rechtszaak die de snoep- en koekjesproducent Mondelez (bekend van onder andere Oreo, Milka en Toblerone) onlangs tegen haar propertyverzekeraar Zurich aanhangig heeft gemaakt in de Verenigde Staten. Op 27 juni 2017 werd Mondelez getroffen door het NotPetya-virus, dat een zeer groot aantal servers en computers van het bedrijf verwoestte.2 Mondelez meende goed te zijn verzekerd: zij beschikte over een uitbreiding op haar propertyverzekering bij Zurich, die ook dekking bood voor cyberschade.3

De schade van Mondelez bedroeg naar verluidt meer dan 100 miljoen dollar. Toen zij echter een beroep deed op haar verzekeraar tot uitkering van haar schade, ving zij op een verrassende manier bot: Zurich weigerde dekking met een beroep op de ‘act of war’-uitsluiting, omdat de CIA inmiddels meende te weten dat de Russische staat achter de aanval zat. Rusland zou de aanval hebben gepleegd in het conflict met Oekraïne. Door kwetsbaarheden in de Oekraïense systemen zou het virus zich evenwel razendsnel verder hebben verspreid.4 De aanval werd daarom door de verzekeraar als oorlogshandeling aangemerkt.

De zaak Mondelez/Zurich is uniek, maar staat niet geheel op zichzelf. Ook farmaceutisch bedrijf Merck zag haar verzoek tot uitkering na NotPetya geweigerd door (een aantal) verzekeraars en herverzekeraars. Een aantal (her)verzekeraars beriep zich op de oorlogs- en terrorisme-uitsluiting, waarop Merck zich tot de rechtbank in New Jersey wendde.5

Deze procedures zijn van belang voor de nadere afbakening van de reikwijdte van dekking onder de cyberverzekering, ook in Nederland.6 Tot nu toe is er met name in de Verenigde Staten regelmatig geprocedeerd over de vraag of schade als gevolg van een cyberincident onder een traditionele AVB- of propertypolis viel.7 Zuivere discussies over dekking van cyberschade onder een cyberpolis (stand-alone of als add-on op een traditionele polis) zijn wereldwijd nog niet vaak voor de rechter gekomen.8 Bovendien is het de eerste keer dat een verzekeraar zich beroept op de act of war-uitsluiting vanwege een gestelde statelijke actor die de cyberaanval zou hebben uitgevoerd. De zaken Mondelez en Merck behoren daarmee – ongeacht of er daadwerkelijk een rechterlijke uitspraak volgt – tot belangrijke vormgevers van het juridische cyberverzekeringslandschap.9

Daarnaast geven deze zaken te denken over de grenzen van de verzekerbaarheid van schade door cyberaanvallen. Er zijn reeds verschillende impactonderzoeken verricht naar (fictieve) extreme scenario’s bij ernstige cyberaanvallen op kritieke infrastructuur zoals dammen en elektriciteitscentrales.10 De gevolgen van dit soort aanvallen kunnen leiden tot zeer hoge claims in meer dan dertig verschillende verzekeringstakken. De schadelast wordt daarmee catastrofaal.11 Dergelijke scenario’s zijn echter van een duidelijk ander kaliber dan bijvoorbeeld NotPetya.

Hoewel de zaken Mondelez en Merck in de Verenigde Staten worden beoordeeld, geven zij ook in Nederland stof tot nadenken: in Nederland is schade door oorlog (‘molest’) standaard uitgesloten van dekking. Terrorisme is slechts onder bepaalde voorwaarden gedekt. Op deze bepalingen wordt in zo beperkte mate een beroep gedaan, dat daaraan zelden speciale aandacht wordt besteed, terwijl de hierboven beschreven polisgeschillen zich ook in Nederland kunnen (gaan) voordoen.

In dit artikel onderzoek ik dan ook hoe in Nederland molest- en terrorismeclausules zijn toe te passen op digitale incidenten en wat daarbij de knelpunten zijn. Daartoe zal ik eerst algemeen ingaan op de huidige kaders van molest en terrorisme binnen het Nederlandse verzekeringsrecht (paragraaf 2 en 3). Vervolgens geef ik een overzicht van de verschillende molestclausules in cyberverzekeringen die in Nederland worden aangeboden (paragraaf 4) en ga ik nader in op de toepasbaarheid van de molestbegrippen op digitale incidenten (paragraaf 5). Daarna bespreek ik de verschillende terrorismebepalingen van in Nederland aangeboden cyberverzekeringen en duid ik ook daarvan de knelpunten (paragraaf 6 en 7), om af te sluiten met een conclusie en aanbevelingen (paragraaf 8).12