III.3.2.3 Netwerkincidenten: definities

Net als de definitie van privacy-incident, verschilt de definitie van netwerkincident (ook wel aangeduid als ‘beveiligingsfout’) per verzekeraar. In grote lijnen verstaan verzekeraars onder netwerkincident een inbreuk op of het binnendringen van het computersysteem van de verzekerde als gevolg van falende beveiliging, bijvoorbeeld doordat de verzekerde een fout maakt bij het onderhouden of installeren van het computersysteem. Een aantal verzekeraars biedt ook dekking indien niet de verzekerde zelf, maar een gecontracteerde IT-dienstverlener de fout beging.1

Ook oorzaken zoals virussen, malware, (D)Dos-aanvallen, cryptoware, wormen, trojans of ransomware, kunnen ten grondslag liggen aan een falende beveiliging. Oorzaken zoals stroomuitval of fouten in software worden vrijwel altijd uitgesloten van de definitie van netwerk-/beveiligingsincidenten.2

Bij de meeste verzekeraars is de enkele ongeoorloofde toegang tot het computersysteem al voldoende om te spreken van een verzekerd netwerkincident. De meeste verzekeraars noemen daarnaast expliciet de gevolgen van het binnendringen, zoals verstoring van het systeem, beschadiging of vernietiging van data (zijnde niet louter persoonsgegevens) of verhindering van de toegang tot het systeem.

Een enkele verzekeraar stelt een aanvullende eis:

Dergelijke bepalingen bevatten venijnige details: aan deze vereisten zal niet altijd worden voldaan: ernstige cyberaanvallen kunnen zeer wel zaakschade veroorzaken aan computersystemen, zeker als ‘zaakschade’ mede omvat het verlies van het gebruik van die systemen.4 Gezien de opzet en context van de cyberverzekering lijkt het niet de bedoeling dat in die gevallen geen sprake zou zijn van een verzekerd voorval. Dat standpunt zou, afgaande op deze definitie, wel ingenomen kunnen worden.5 Daarnaast zorgt het oogmerk-vereiste voor een zwaardere (bewijs)positie voor de verzekerde (zie ook hierna in §3.3.2).

Een ander voorbeeld van een potentieel venijnig detail is de bepaling dat onder een beveiligingsfout “minimaal wordt verstaan” een DDos-aanval of de ontvangst of verzending van een kwaadaardige computercode/software, malware of virus.6 Dit beperkt het toepassingsbereik van een beveiligingsfout. De situatie dat een onbevoegd persoon zich toegang verschaft tot de systemen van verzekerde, al dan niet door gebruik van onrechtmatig verkregen geautoriseerde toegangsgegevens, daarin schade aanricht door bijvoorbeeld gegevens te vernietigen of processen te wijzigen, voldoet niet aan de gegeven definitie van beveiligingsincident. Bij andere verzekeringen is dit juist expliciet in de dekkingsomschrijving opgenomen: “… waaronder situaties waarbij toegang is verkregen door middel van gestolen gebruikersgegevens.”7

In de context van beveiligingsincidenten is tot slot de definitie van het begrip ‘computersysteem’ van belang, zeker nu veel bedrijven veelvuldig gebruik maken van clouddiensten.8 Bij de meerderheid van de cyberverzekeraars vallen systemen die door externe dienstverleners aan de verzekerde beschikbaar worden gesteld, ook onder de definitie van het begrip computersysteem.9 Slechts twee verzekeraars benoemen expliciet dat eigen apparaten van medewerkers (‘bring your own device’) ook tot het computersysteem van verzekerde worden gerekend.10

Het vaststellen van het precieze verzekerde evenement onder de cyberverzekering vereist een zeer gedetailleerde lezing van de polisvoorwaarden. Kleine verschillen in de definiëring van begrippen kunnen grote gevolgen hebben voor de reikwijdte van de verzekering. Dit leidt tot onzekerheid. Niet voor niets is dan ook de herhaaldelijke oproep gedaan om begrippen en voorwaarden te harmoniseren.11