II.2.1 De opkomst van de cyberverzekering in de Verenigde Staten

De eerste cybergerelateerde verzekering is te vinden in de criminaliteitsverzekering van banken. Vanaf de jaren ’70 van de vorige eeuw ontstonden daarop uitbreidingen om banken te beschermen tegen criminelen die zich fysieke toegang tot de computersystemen konden verschaffen. In de jaren ’90 kwam de eerste ‘hackerpolis’ op de markt, waarbij technologiebedrijven en verzekeraars de handen ineensloegen.1

Deze verzekeringen boden als first-partypolissen dekking voor de eigen schade die bedrijven konden lijden door digitale aanvallen en inbreuken, bijvoorbeeld directe ‘hacker damage’ en bedrijfsstagnatie. Verzekerden waren verplicht om diensten zoals veiligheidsscans en monitoring af te nemen bij de technologiebedrijven waarmee hun verzekeraar samenwerkte.2 De eerste polis met zowel first party als third-partydekking verscheen in 2000.3 Onder de dekking viel bijvoorbeeld aansprakelijkheid voor inbreuken, smaad, laster, privacy-inbreuken en beroepsfouten (‘errors and omissions’).

Enige jaren later werd in de VS de wetgeving met betrekking tot het gebruik en de opslag van persoonsgegevens aangescherpt. Nadat in California in 2003 de eerste ‘meldplicht datalekken’ in werking was getreden, ontstond er een grote stijging in de vraag naar cyberpolissen.4 Inmiddels hebben vrijwel alle staten deze regelgeving overgenomen.5

Naast deze (statenrechtelijke) meldplichten kennen de VS een aantal federale wetten waarin scherpe (compliance-)eisen worden gesteld ten aanzien van de omgang met (elektronische) gegevens, zoals financiële informatie, medische informatie en andere persoonlijke gegevens.

In de jaren die volgden hebben zeer grote inbreuken plaatsgevonden die in de media breed zijn uitgemeten. Denk daarbij aan de incidenten bij TJX in 2007, Sony Playstation in 2011, Target in 2013, eBay en JP Morgan Chase in 2014 en zorgverzekeraar Anthem in 2015.6 Deze gebeurtenissen leidden tot verschillende schadeposten, zoals vergoedingen wegens aansprakelijkheid en kosten voor juridische bijstand, schade in verband met bedrijfsstilstand, boetes en reputatieschade.7 Risicobeheersing alleen bleek niet meer voldoende. De behoefte aan verzekeringen om het restrisico af te dekken, nam toe. Bovendien bleek uit verschillende juridische procedures dat deze schade door het opnemen van standaarduitsluitingen voor ‘cyberschade’ in de AVB-verzekeringen, vaak niet was gedekt onder de algemene aansprakelijkheidsverzekering voor bedrijven (AVB).8 De noodzaak om een apart verzekeringsproduct voor deze risico’s af te sluiten werd daarmee steeds groter.9

De vraag naar en ontwikkeling van de cyberverzekering in de VS is dus voor een belangrijk deel ingegeven door regelgeving en de (mede daardoor) toegenomen aandacht voor inbreuken en schade die daaruit voortvloeit. Zodoende is de cyberverzekering uitgegroeid van een eenvoudige en relatief beperkte aanvullende verzekering tot een steeds meer gespecialiseerde, in de VS volop aangeboden stand-alone verzekering.10