Daarvoor is niet één antwoord, maar dit volgt uit het contract, de omstandigheden en de manier waarop partijen hun verantwoordelijkheden hebben verdeeld.
De aansprakelijkheid begint bij de SLA
De eerste stap is de service level agreement, oftewel de SLA. Daarin staat welke dienst de leverancier moet leveren, welk serviceniveau daarbij hoort en wie waarvoor verantwoordelijk is. Een SLA kan verschillende soorten verplichtingen bevatten.
Bij een inspanningsverplichting belooft de leverancier een bepaalde inspanning, maar geen vast resultaat. Bij een resultaatsverbintenis wordt een bepaald niveau gegarandeerd, bijvoorbeeld 99% beschikbaarheid of moet een incident binnen vier uur zijn opgelost. Een garantie gaat nog een stap verder: de leverancier staat bijvoorbeeld in voor bepaalde beveiligingseisen van de software. Het verschil is belangrijk. Het aantonen dat een garantie is geschonden, is iets anders dan bewijzen dat een leverancier zich onvoldoende heeft ingespannen.
Naast de contractuele afspraken heeft de leverancier doorgaans een zorgplicht. Hij moet handelen als een redelijk handelend en bekwaam vakgenoot, de klant deugdelijk informeren en tijdig waarschuwen voor gevaren. Ook als geen harde SLA-garantie is geschonden, kan een tekortkoming in die zorgplicht tot aansprakelijkheid leiden.
De organisatie moet dus eerst aantonen dat de SLA of een zorgplicht is geschonden. Dat is bij IT-incidenten vaak lastig. De oorzaak is niet altijd direct duidelijk en logbestanden, onderzoeksgegevens en technische informatie bevinden zich vaak bij de leverancier. Daarnaast kunnen beheersmaatregelen een impact hebben. Albert Heijn meldde bijvoorbeeld dat systemen uit voorzorg zijn uitgeschakeld. De vraag is dan of die keuze voor rekening van de leverancier komt, of dat sprake is van eigen schuld waardoor de schade groter is geworden.
Een exoneratiebeding begrenst de rekening
Een exoneratiebeding beperkt de aansprakelijkheid van de leverancier. In de meeste IT-overeenkomsten staat dat schadevergoeding wordt beperkt tot een vast bedrag of dat bepaalde schadeposten volledig zijn uitgesloten. Denk aan gevolgschade, gederfde winst en omzetverlies. De Nederland ICT-voorwaarden zijn daarvan een bekend voorbeeld. Een leverancier is daarom niet zonder meer aansprakelijk voor alle schade die ontstaat doordat IT uitvalt.
Rechters respecteren zulke bedingen in commerciële relaties vaak. Partijen hebben contractsvrijheid en onbeperkte risico’s kunnen de prijs van een IT-dienst aanzienlijk verhogen. Dat neemt niet weg dat een beperking grenzen kent. Bij opzet, grove schuld of bewuste roekeloosheid kan het beding buiten toepassing blijven. De rechter kijkt onder meer naar de ernst van de fout, de omvang van de voorzienbare schade en de aanwezigheid of verzekerbaarheid van verzekering.
Ook redelijkheid en billijkheid kunnen een beroep op het beding onaanvaardbaar maken, bijvoorbeeld bij een nagenoeg algehele uitsluiting. Soms corrigeert de rechter een beperking proportioneel. Dat gebeurt niet automatisch en hangt af van alle omstandigheden. De ‘pot verwijt de ketel’-gedachte speelt eveneens een rol. Een klant die zelf exoneratiebedingen gebruikt, kan moeilijker betogen dat het beding van de leverancier onredelijk is. Artikel 6:235 lid 3 BW is daarbij een relevant aanknopingspunt.
Overmacht vraagt om een concrete risicoanalyse
Overmacht ziet op niet-nakoming door een oorzaak buiten de schuld of risicosfeer van de leverancier. Binnen wiens risicosfeer een IT-incident valt, is echter casuïstisch. Een cyber- of beveiligingsincident is dus niet automatisch overmacht. Contracten kunnen zulke incidenten wel uitdrukkelijk noemen, maar ook dan blijft de precieze risicoverdeling beslissend. Als de leverancier verantwoordelijk is voor beveiliging, monitoring en herstel, kan hij zich niet zonder meer op overmacht beroepen.
De beoordeling wordt bemoeilijkt door informatieasymmetrie. De technische informatie ligt vaak bij de leverancier, terwijl de klant wel moet kunnen beoordelen wat er is misgegaan. Daarom zijn afspraken over logging, melding en onderzoek praktisch belangrijk, ook wanneer daar niet direct een schadeclaim uit volgt.
Schade, persoonsgegevens en eigen verplichtingen
Bij een IT-incident kunnen ook persoonsgegevens betrokken zijn. Dan kan sprake zijn van een datalek en kunnen meldplichten uit de AVG gelden. Niet-naleving kan leiden tot boetes en reputatieschade. Contracten bevatten daarom vaak afspraken over melding, informatie en ondersteuning bij communicatie met de toezichthouder en betrokkenen.
De onderneming kan bovendien zelf aansprakelijk worden tegenover klanten. Door de storing kan zij misschien niet leveren, betalingen verwerken of andere verplichtingen nakomen. De schade van enkele niet-bezorgde boodschappen is mogelijk beperkt, maar andere organisaties hebben vergaande leverings- of prestatieverplichtingen, waardoor hun klanten weer aanzienlijke schade kunnen leiden..
Ook de schadebegroting levert vaak discussie op. Eerst moet worden bekeken welke omzet zonder het incident zou zijn behaald en welke kosten zouden zijn uitgebleven. Historische omzet kan daarbij helpen, maar is minder overtuigend bij sterk wisselende omzet. Naast gemiste marge kunnen kosten voor vervangende IT-capaciteit, noodoplossingen en forensisch onderzoek worden meegenomen. Per schadepost blijft een voldoende duidelijk verband met de tekortkoming nodig.
Maak afspraken voordat de kassa stilvalt
Aansprakelijkheid na een IT-incident is dus niet vanzelfsprekend. Veel hangt af van afspraken die soms jaren eerder zijn gemaakt. Bepaal vooraf welk systeem bedrijfskritisch is, welk serviceniveau nodig is en wie het risico van uitval draagt. Als de onderneming dat risico zelf draagt, kan zij kiezen voor verzekering of eigen voorzieningen.
Controleer bijvoorbeeld of een cyberverzekering bedrijfsuitval, herstel- en onderzoekskosten daadwerkelijk dekt. Kijk ook of aan de beveiligingseisen van de verzekeraar wordt voldaan. Sommige verzekeraars verlangen een bepaald beveiligingsniveau. Zo ontstaat vooraf duidelijkheid over de vraag wie bij een storing de rekening draagt en welke maatregelen nodig zijn om de schade te beperken.