VI.4.2 De beschikbaarheid en gangbaarheid van het verzekeringsproduct

Een andere relevante factor die volgens Spier de omvang van de zorgplicht beïnvloedt, is de mate waarin de cyberverzekering beschikbaar is (paragraaf 3). Een soortgelijke overweging is te vinden in de uitspraak van de Rechtbank Midden-Nederland van 3 februari 2016, waarin de rechtbank laat meewegen wat de voor- en nadelen van de gewenste verzekering zijn en of dit een zo gangbaar product is dat het afsluiten daarvan een reële optie was geweest.1

Cyberverzekeringen zijn weliswaar beschikbaar, maar ‘gangbaar’ zijn zij in Nederland nog niet.2 Ondanks een stijging sinds de inwerkingtreding van de Wet Meldplicht Datalekken wordt de verzekering nog niet massaal afgenomen.3 Ook over de concrete invulling van de cyberverzekeringen bestaat nog de nodige onduidelijkheid.4 Dat maakt het voor een tussenpersoon moeilijker om zijn cliënt adequaat te adviseren en voor te lichten over de uiteindelijke inhoud van de verzekering; hij is in grotere mate afhankelijk van de informatie die de verzekeraar hem verschaft dan bij traditionele verzekeringen met inmiddels uitgekristalliseerde begrippen het geval is. Cyberverzekeringen, die vrijwel allemaal afkomstig zijn uit de Verenigde Staten, staan in die zin nog altijd in de kinderschoenen.5 Daarbij doet zich bovendien de situatie voor dat er grote verschillen bestaan tussen de verschillende polisvoorwaarden, waarbij het venijn vaak in de details zit.6 De begrippen die in de polisvoorwaarden worden gebruikt, zijn nog niet genormaliseerd. Hoe dit zijn uitwerking zal hebben in de Nederlandse verzekeringsmarkt en het Nederlandse rechtsstelsel, is de vraag. Van een ‘gangbaar product’ is derhalve (nog) niet zonder meer sprake. Dit vormt een begrenzing van de zorgplicht van de intermediair.

De verwachting is dat dit, naar Amerikaans voorbeeld, in de toekomst anders zal zijn en de verzekering gebruikelijker zal worden.7 Dit zal leiden tot een verzwaring van de zorgplicht. Daar staat echter tegenover dat grotere bekendheid van de risico’s en de verzekeringsmogelijkheden ook zorgt voor een vergroting van de eigen verantwoordelijkheid van de cliënt. De informatieasymmetrie tussen beide partijen is dan kleiner.

Ook tijdens de looptijd van de (cyber)verzekering kunnen zich situaties voordoen waarin de tussenpersoon zich moet afvragen hoe hij in het kader van zijn zorgplicht dient te handelen. Bij een verzekeringnemer kunnen op ICT-gebied wijzigingen plaatsvinden die niet altijd even spectaculair lijken, maar verzekeringstechnisch wel gevolgen kunnen hebben. Te denken valt aan het overgaan naar een SaaS-omgeving,8 het wijzigen van (beveiliging)software of het verplaatsen van data. Deze veranderingen kunnen de omvang van de verzekerde cyberrisico’s beïnvloeden. Of en wanneer dergelijke zaken aan de verzekeraar moeten worden gemeld, is niet altijd duidelijk. Wanneer van risicoverzwaring – en dit geldt evenzeer voor verzwijging – bij de cyberverzekering sprake zal zijn, is bovendien een op zichzelf staande vraag. De tussenpersoon kan dit echter niet altijd beoordelen. Mede gezien de jurisprudentie over risicoverzwaring9 en onderverzekering10 zal een tussenpersoon echter ook tijdens de looptijd scherp moeten zijn op eventuele wijzigingen en daar gerichte vragen over moeten stellen. Doet zich toch een situatie voor waarin de verzekeringnemer bij het ontbreken van verzekeringsdekking de tussenpersoon aansprakelijk stelt, dan zal gezien de onduidelijkheden over de concrete invulling en werking van de cyberverzekering, niet zonder meer sprake zijn van een schending van de zorgplicht.