II.3.5 De cyberpolis in het licht van de Amerikaanse privacy- en dataprotectie regelgeving

Het niet-nakomen van de verplichtingen uit de hiervoor besproken regelgeving kan leiden tot verschillende vormen van schade en aansprakelijkheid. Deze schade kan bestaan uit door de handhavende autoriteiten opgelegde boetes, reputatieschade, claims van betrokkenen en alle daarbij komende kosten (zoals verdedigingskosten).

In deze paragraaf zet ik uiteen hoe de cyberverzekering voor deze risico’s dekking biedt. In de VS wordt de cyberverzekering door tientallen maatschappijen aangeboden.1 Naar de inhoud daarvan is een aantal uitgebreide onderzoeken gedaan.2 Deze paragraaf is op die onderzoeken gebaseerd.

De (stand-alone) cyberverzekering bevat een aantal kenmerkende vormen van dekking die, ondanks de vele verschillen in polissen,3 in elke polis – in meer of mindere mate – voorkomen.4 De verzekering heeft een hybride vorm en biedt dus dekking voor zowel first- als third-party schade. First party schade bestaat bijvoorbeeld uit verlies, beschadiging of diefstal van eigen digitale assets, schade wegens bedrijfsstagnatie, notificatiekosten en schade door digitale afpersing. Third party schade omvat de kosten die samenhangen met aansprakelijkheidsclaims van derden die schade hebben geleden als gevolg van een cyberincident bij de verzekeringnemer. De cyberverzekering biedt dekking voor kosten van verweer tegen dergelijke claims, kosten van deskundigen en voor de eventueel verschuldigde schadevergoeding of schikkingen.5

Daarnaast bestaat de dekking uit bepaalde vormen van dienstverlening: crisismanagement, technische en/of juridische ondersteuning, en communicatiediensten. Dergelijke response-diensten zijn vooral wenselijk ter beperking van de eigen schade, al kan ook compliance een rol spelen. Een voorbeeld daarvan is het (al dan niet wettelijk verplicht) aanbieden van schadebeperkende diensten zoals credit monitoring, wat in veel polissen is gedekt.6 Betterley schrijft dat dergelijke diensten ook onverplicht kunnen worden ingezet als middel om de eigen reputatieschade te beperken.7 Dat uitgangspunt is juist, maar als de dienst louter met dat doel wordt aangeboden, zal niet iedere verzekeraar die kosten dekken.8

Schending van de regelgeving creëert het risico op boetes. Gezien de omvang van de boetes die bijvoorbeeld onder de FTCA en de HIPAA kunnen worden opgelegd, is verzekeringsdekking op dit punt zeer waardevol. In veel Amerikaanse polissen blijken fines, penalties and fees echter van dekking te worden uitgesloten.9 De kosten van de juridische verdediging tegen deze boetes zijn vaak wel gedekt.

Een ander opvallend element uit de cyberzekering, dat evenwel nog in ontwikkeling is,10 is de mogelijkheid van ‘pre-breach services’. (Cyber)verzekeraars beschikken bij uitstek over de kennis en contacten om de verzekeringnemers bij het afsluiten van de verzekering te voorzien van informatie en diensten of producten. Dit kan aantrekkelijk zijn voor de verzekeringnemers, omdat het kan helpen om aan de regelgeving te voldoen. Ook voor de verzekeraars biedt dit echter een kans. Zij houden immers meer controle over de wijze waarop de verzekeringnemers hun processen inrichten, weten bijvoorbeeld beter wat hun incident response plannen inhouden en kunnen derhalve de risico’s beter inschatten.

Zetten we de inhoud van de gemiddelde cyberverzekering af tegen de risico’s die rechtstreeks uit de Amerikaanse privacyregelgeving voortvloeien, dan is te zien dat de cyberverzekering goed bij die risico’s aansluit. De verzekering biedt in de meeste gevallen dekking bij aansprakelijkheid wegens datalekken en de daaraan verbonden kosten van verweer. Bovendien kan een verzekering helpen bij het beperken van de eigen schade en het voorkómen van aansprakelijkheid door het verlenen van incident response services, zoals ondersteuning bij notificaties aan betrokkenen. Een uitgebreide verzekering kan zelfs dekking bieden voor boetes (of de kosten van verweer daartegen). De cyberverzekering voorziet daarmee in een specifieke behoefte van verzekeringnemers die uit Amerikaanse privacyregelgeving voortvloeit.