III.3.3.1 Begrenzing dekking naar tijd: loss occurrence en discovery-systeem

Het schadeproces bestaat uit verschillende fasen. Wansink heeft deze fasen helder omschreven in het kader van de aansprakelijkheidsverzekering.1 Met uitzondering van stap (e) is deze beschrijving van het schadeproces ook voor de first-partyverzekering relevant:

De manier waarop dit proces plaatsvindt, en met name de tijd die tussen de verschillende stappen kan verstrijken, is (lang) niet bij ieder schadevoorval hetzelfde. Bij veel risico’s die gedekt zijn door first- partyverzekeringen, bijvoorbeeld brand en bedrijfsschaderisico’s, vallen stappen a t/m d in tijd samen. Er zijn echter ook gevallen denkbaar waarbij het lange tijd duurt voordat de schade manifest wordt, bijvoorbeeld bij lang inwerkende oorzaken (zoals geleidelijk inwerkende waterschade)2 of – bij de aansprakelijkheidsverzekering – ziektes die zich pas na lange tijd openbaren (bijvoorbeeld door blootstelling aan asbest).

Om oneindige dekking te voorkomen, bakenen verzekeraars de dekking af naar tijd. Daarvoor worden in het algemeen drie systemen gebruikt: (a) act committed, (b) loss occurrence en (c) claims made.3 Bepalend voor de dekking bij het act-committedsysteem is dat de schade tijdens de looptijd van de verzekeringsovereenkomst is veroorzaakt. Bij het loss-occurrencesysteem gaat het erom dat de schade gedurende de looptijd van de verzekeringsovereenkomst is ontstaan. In het claims-madesysteem is bepalend dat de aanspraak (de vordering tot schadevergoeding) tijdens de looptijd van de verzekeringsovereenkomst door de verzekerde is ontvangen en tijdig bij de verzekeraar is gemeld.

Deze verschillende vormen van dekkingssystematiek zijn ontwikkeld voor aansprakelijkheidsverzekeringen (zie hiervoor nader paragraaf 4.1) en werden gedreven door schadevoorvallen waarbij het een (zeer) lange tijd duurde voordat de schade zich manifesteerde. Verzekeraars werden daardoor geconfronteerd met onacceptabele uitlooprisico’s.4 Nu zoals genoemd bij first-partyschade de fasen in het schadeproces vaak in tijd samenvallen,5 zijn de meeste traditionele first-partyverzekeringen gebaseerd op een loss-occurrencesysteem.6

Ook een aantal cyberverzekeringen gebruikt deze systematiek voor dekking van eigen schade: gedekt is de schade als gevolg van een cyberincident dat gedurende de looptijd van de verzekering plaatsvindt, waarbij onder ‘cyberincident’ doorgaans wordt verstaan het gevolg van een inbreuk (zie ook §3.2).7 De meeste cyberverzekeraars hanteren echter een afwijkende opzet, die ik aanduid als het ‘discovery’-systeem: de verzekering biedt enkel dekking voor cyberincidenten die tijdens de verzekeringstermijn zijn ontdekt (of kunnen dan wel behoren te worden ontdekt) en conform de polisvoorwaarden aan de verzekeraar zijn gemeld.8

Anders dan bij meeste traditionele gevallen van eigen schade, verloopt het schadeproces bij cyberincidenten vaak sluimerend of sluipend. Er kan bij cyberincidenten dus een flink tijdsverloop bestaan tussen de feitelijke inbreuk en het moment van openbaring (manifestatie) van de gevolgen. Het incident dat de verzekerde ontdekt, bijvoorbeeld een inbreuk op de privacy of een aantasting van het netwerk, kan een manifestatie zijn van een handeling van een handeling die reeds geruime tijd daarvóór heeft plaatsgevonden. De infectie van een netwerk of het binnendringen van systemen kan al maanden vóór het moment van ontdekking zijn gebeurd.9

Een voorbeeld daarvan is de ransomware-aanval waarvan de Universiteit Maastricht eind 2019 slachtoffer werd. Dit incident startte met twee phishingmails op 15 en 16 oktober 2019, waardoor de daders toegang tot het netwerk verkregen. Vanaf 16 oktober 2019 ‘liepen’ de daders vervolgens ongemerkt ‘rond’ in de systemen van de universiteit, waarbij zij steeds grotere delen daarvan compromitteerden. Na de volledige rechten op de infrastructuur te hebben verkregen, rolden zij op 23 december 2019 de ransomware uit, waarna de universiteit de aanval ontdekte.10 Het tijdsverloop tussen de initiële handeling/het feitelijke incident (het binnendringen op 16 oktober 2019 en de verdere compromittering van de systemen) tot de ontdekking (23 december 2019) is dus aanzienlijk.

Het gebruik van het discovery-systeem ondervangt dit tijdsverloop. Het is daarbij immers niet relevant of de initiële handeling strikt genomen vóór de looptijd van de verzekeringsovereenkomst heeft plaatsgevonden. Dit discovery-systeem komt in traditionele verzekeringen vooral voor in criminaliteits-/fraudeverzekeringen. Ook daarbij speelt het probleem van tijdsverloop: een werknemer kan bijvoorbeeld al langere tijd kleine bedragen van zijn werkgever stelen, zonder dat de werkgever dit in de gaten heeft. Onder deze polissen is evenmin relevant dat de diefstal of de fraude feitelijk plaatsvond vóór de verzekeringstermijn; het gaat erom dat de diefstal gedurende de looptijd is ontdekt (en tijdig is gemeld). Met het discovery-systeem is inloop dus in beginsel gedekt – uiteraard met inachtneming van de regels van verzwijging (artikel 7:928 e.v. BW).11 Uitloop is daarentegen in beginsel niet gedekt.12 Het discovery-systeem lijkt daarmee op het claims-madesysteem.

Ook op het punt van de tijdige melding aan de verzekeraar is het discovery-systeem vergelijkbaar met claims made. Cyberverzekeraars die het discovery-systeem hanteren, stellen meestal als extra eis dat de schade ook tijdens de looptijd van de verzekering wordt gemeld en soms zelfs binnen een vooraf bepaald aantal dagen.13 Gezien de aard van het verzekerd risico, waarbij vaak sprake is van een crisissituatie en waarbij crisismanagement deel uitmaakt van de dekking, zal dat niet vaak een probleem zijn. Ontdekt de verzekerde evenwel dat er iets aan de hand is op het moment dat hij rond een overgang zit van verzekeringen, dan zal hij scherp in de gaten moeten houden met welk systeem zijn huidige en zijn nieuwe verzekering werkt. Stapt hij over van een discovery-systeem met een strikte meldplicht naar een occurrence systeem zonder inloopdekking of retroactieve datum, dan kan er een hiaat in de dekking ontstaan.