III.4.1.1 Verzekerd evenement

De meeste cyberverzekeraars hanteren ten aanzien van de rubrieken aansprakelijkheid dezelfde begrippen als voor de bepalingen ten aanzien van eigen schade (zie ook §3.2), dus bijvoorbeeld het begrip ‘cyberincident’. Op dit punt heeft de cyberverzekering reeds een aantal slagen gemaakt om de polis leesbaarder te maken. In eerdere (Amerikaanse) polisvoorwaarden werd voor de third-partyrubriek niet zelden een andere definitie van het verzekerde evenement gehanteerd dan bij de first-partyrubriek.1 Dit leidt tot verwarring en vertroebelt de werkelijke omvang van de dekking van de cyberverzekering. Inmiddels hanteren cyberverzekeraars dus veelal één definitie van het verzekerde evenement, of dit nu de eigen schade betreft of de aansprakelijkheid van de verzekerde. Door hetzelfde begrip te gebruiken is ook bij third-partyschade dezelfde grove verdeling te zien tussen datagerelateerde incidenten (privacy-incidenten) en beveiligingsincidenten (netwerkincidenten).

Toch bestaan er nog steeds verschillen. Zo hanteert een enkele verzekeraar bijvoorbeeld een bredere definitie van het verzekerd evenement bij eigen schade dan in de aansprakelijkheidsrubriek.2 Van eigen schade is sprake bij een ‘cyberincident’. Daaronder wordt – kort gezegd – verstaan verschillende vormen van kwaadaardige computerhandelingen (inbreuken op de netwerkbeveiliging zoals hacking, malware etc.), en privacy- en netwerkbeveiligingsgerelateerde fouten. In de aansprakelijkheidsrubriek van deze set polisvoorwaarden is het verzekerde evenement echter niet omschreven als bijvoorbeeld ‘aanspraken voortvloeiend uit cyberincidenten’, maar is het beperkt tot ‘aanspraken voortvloeiende uit een privacy- en netwerkbeveiligingsgerelateerde fout’. De definitie van dat laatste begrip mondt vervolgens uit tot een ware hersenkraker:

Onder A verwijst deze verzekeraar terug naar de kwaadaardige computerhandeling, die wel deel uitmaakt van het begrip ‘cyberincident’, maar niet van het verzekerde evenement aansprakelijkheid. Dit oogt als een onnodig ingewikkelde omweg naar dezelfde uitkomst: de cyberverzekering biedt dekking voor schade als gevolg van hacking, waarbij zowel de eigen schade van verzekerde als de schade van derden waarvoor verzekerde aansprakelijk is onder de dekking valt.

Het begrip ‘aanspraak’ heeft bovendien niet bij iedere verzekeraar dezelfde betekenis. Dit heeft ook te maken met de verschillende basisstructuren die de verschillende verzekeraars hanteren (zie ook §2). Zo verstaat een aantal verzekeraars onder ‘aanspraak’ niet alleen een civielrechtelijke vordering tot schadevergoeding, maar ook (expliciet) een onderzoek door de Autoriteit Persoonsgegevens.3 Of daaronder dan ook direct een bestuursrechtelijke procedure tegen besluiten van de AP moet worden verstaan, is niet duidelijk. Een ‘onderzoek’ is uiteraard niet hetzelfde als een ‘procedure’. Niet iedere verzekeraar lost dit op met verdere definiëring, bijvoorbeeld van het begrip ‘onderzoek’.4 Daarnaast komt ook een zeer beperkte omschrijving van ‘een onderzoek’ door de Autoriteit Persoonsgegevens voor, namelijk enkel een onderzoek wegens het niet (tijdig) naleven van de meldplicht in de zin van artikel 33 en 34 AVG.5

Een aantal verzekeraars benoemt dat ook bestuurs- en strafrechtelijke procedures onder ‘aanspraken’ worden gedekt,6 terwijl een ander dit juist buiten het begrip ‘aanspraak’ houdt en daarvoor separate dekking aanbiedt.7 Daarnaast sluit de ene verzekeraar vorderingen tot een doen of laten van de verzekerde expliciet uit, terwijl dit bij andere verzekeraars wel in het begrip ‘aanspraak’ is ingesloten.8

In grote lijnen kan evenwel worden geconcludeerd dat de third-partydekking in iedere cyberverzekering min of meer hetzelfde is: aansprakelijkheid voor schade van derden door privacyschendingen, door nalatigheid in netwerkbeveiliging en door mediafout. Deze laatste categorie bespreek ik nader in §4.4.