Wie is aansprakelijk bij een it-incident?

In dit artikel:

De cyberstoring die sinds zondag de websites, apps en klantenservice van Albert Heijn, Etos en Gall & Gall platlegt, heeft ook financiële gevolgen. De winkels blijven open, maar online bestellingen kunnen niet worden geleverd en een deel van de dienstverlening ontbreekt. Volgens Blenheim Advocaten kan Albert Heijn daardoor dagelijks ongeveer 251.000 euro aan winst mislopen. Dat bedrag is gebaseerd op een gemiddelde online omzet van 6,2 miljoen euro per dag en een marge van 4 procent.

Wie deze schade moet betalen, staat echter niet vast. Dat hangt af van de contracten, de omstandigheden van het it-incident en de verdeling van verantwoordelijkheden tussen de klant en de it-leverancier. Vooral de service level agreement (SLA) is belangrijk. Daarin kunnen afspraken staan over inspanningen, gegarandeerde prestaties, beschikbaarheid, oplostijden en beveiligingsmaatregelen. Daarnaast geldt voor leveranciers vaak een algemene zorgplicht om als een redelijk bekwaam it-dienstverlener te handelen en klanten tijdig over risico’s te informeren.

Een contractuele tekortkoming betekent niet automatisch dat alle schade verhaald kan worden. Exoneratiebedingen beperken aansprakelijkheid vaak of sluiten omzetverlies, gederfde winst en gevolgschade uit. Rechters accepteren zulke afspraken doorgaans tussen zakelijke partijen, behalve mogelijk bij opzet, grove schuld of bewuste roekeloosheid. Ook overmacht is bij een cyberincident niet vanzelfsprekend; de afspraken en de vraag in wiens risicosfeer het incident valt, zijn bepalend. Als persoonsgegevens zijn geraakt, kunnen bovendien AVG-verplichtingen gelden, waaronder meldingen van een datalek. De storing onderstreept volgens de advocaten het belang van vooraf duidelijke afspraken over beveiliging, verzekeringen en risicoverdeling.