Aansprakelijkheid bedrijf en cyberrisico: wat u moet weten

Wanneer is een bedrijf aansprakelijk bij cyberrisico?

Aansprakelijkheid bij een cyberincident is geen automatisch gevolg van “er is gehackt”. Juridisch ontstaat aansprakelijkheid meestal pas als er een voldoende onderbouwde combinatie is van (1) een toerekenbare fout of tekortkoming, (2) causaal verband met de schade en (3) bepaalbare schade. Voor ondernemers is het daarom belangrijk om cyberrisico te zien als een keten van mogelijke gebeurtenissen—met elk hun eigen bewijs- en juridische vraag.

In de praktijk kunnen claims voortkomen uit:

schade van klanten of opdrachtgevers door uitval, dataverlies of onrechtmatig gebruik van gegevens;
schade van leveranciers of andere ketenpartijen door verstoring van processen;
vorderingen van derden die als gevolg van het incident schade stellen te hebben geleden.

Ook als u geen “opzet” had, kan het gaan om verwijtbaarheid op basis van onvoldoende zorgvuldig handelen. Wat “voldoende zorg” is, hangt doorgaans af van de omstandigheden: aard van de activiteiten, de rol in de keten, de kwetsbaarheid van systemen en gegevens, en wat redelijkerwijs verwacht mocht worden.

Hoe werkt aansprakelijkheid in cybercontext?

Een nuttige manier om het mechanisme te begrijpen is langs drie stappen te denken.

1) Gebeurtenis: wat is er gebeurd?

Leg de feiten scherp vast: type incident (bijvoorbeeld inbraak, malware, misbruik van credentials), tijdlijn, betrokken systemen en getroffen gegevens. Zonder consistente feitenbasis wordt het lastig om later te beoordelen of er sprake is van een fout en of die fout verband houdt met de schade.

2) Toerekening: waar zit de fout of tekortkoming?

Bij cyberrisico gaat het vaak om de vraag of uw organisatie voldoende maatregelen had en of die maatregelen passend waren. Denk niet alleen aan techniek, maar ook aan organisatorische inrichting: toegangbeheer, beheer van accounts, updates, logging, back-up/restore en het omgaan met meldingen.

Belangrijk: “niet geïnformeerd” of “het overkomt je” is op zichzelf meestal geen vrijbrief. Omgekeerd betekent een incident ook niet automatisch dat er juridisch verwijtbaarheid is. De uitkomst hangt af van wat aantoonbaar is nagelaten of juist wel is gedaan.

3) Causaal verband en schade: waardoor is welk nadeel ontstaan?

Zelfs als er een tekortkoming is, moet vaak het verband met concrete schade worden onderbouwd. Is de schade echt het gevolg van het cyberincident, of spelen andere oorzaken mee? En past de claim bij de schade zoals die contractueel en juridisch kan worden vastgesteld? Bij cyberincidenten is schade bovendien vaak gelaagd: direct (bijvoorbeeld herstelkosten) en indirect (bijvoorbeeld omzetverlies of externe kosten), waarbij afbakening essentieel is.

Uitzonderingen, verschillen en beperking in claims

Cyberincidenten hebben meerdere “routes” naar aansprakelijkheid, en die routes kunnen verschillen in eisen. Twee verschillen die ondernemers vaak tegenkomen:

Contractueel vs. buitencontractueel

Sommige vorderingen lopen via afspraken tussen partijen (contract). Andere lopen via wettelijke regels los van een overeenkomst. Het verschil kan invloed hebben op:

welke gedragsnormen gelden;
hoe schade moet worden aangetoond;
welke beperkingen/voorwaarden meespelen.

Rol in de keten en verdeling van verantwoordelijkheid

Bij betrokkenheid van meerdere partijen (bijvoorbeeld hosting, softwareleverancier, verwerker of intermediair) kan discussie ontstaan over wie welke verantwoordelijkheid draagt. Het kan voorkomen dat een claim richt op meerdere partijen, of dat de schade mede wordt beïnvloed door keuzes van derden.

Bewijsproblemen zijn vaak doorslaggevend

Veel geschillen draaien om bewijs: wat is technisch wel/niet vastgesteld, welke logs zijn beschikbaar, is de tijdlijn betrouwbaar, en is duidelijk hoe de schade is ontstaan en omvangrijk is. Als een partij niet overtuigend kan onderbouwen dat een specifieke fout de schade veroorzaakte, wordt de claim juridisch lastiger.

Onzekerheid over “passend” niveau van maatregelen

Wat passend is, is niet één vast checklist-niveau voor iedere onderneming. Het hangt samen met omstandigheden en de manier waarop systemen en gegevens worden gebruikt. Daardoor blijft cyber-aansprakelijkheid vaak contextgedreven en is de uitkomst niet in algemene zin vooraf vast te stellen.

Praktische controlepunten voor ondernemers

Gebruik onderstaande controlepunten om het risico op aansprakelijkheid beter te kunnen plaatsen. Ze helpen u om vragen te beantwoorden, niet om automatisch een uitkomst te voorspellen.

Maak de tijdlijn en feiten reproduceerbaar Noteer wanneer het incident werd ontdekt, welke systemen betrokken waren, welke gegevens geraakt zijn (voor zover vast te stellen) en welke maatregelen zijn genomen.
Koppel schade aan een concrete oorzaak Werk de claim logisch uit: welke kosten of nadelen volgen uit welke schadepost, en waarom is het aannemelijk dat die schade uit het incident voortkomt.
Beoordeel passendheid van maatregelen aan de hand van context Welke veiligheids- en organisatorische maatregelen waren redelijkerwijs te verwachten voor uw type organisatie en uw rol in de keten? Wat kunt u aantonen dat u (structureel) deed?
Check rol en afspraken met contractpartners Ga na welke verantwoordelijkheden contractueel zijn vastgelegd en of een claim daarop aansluit. Let ook op afspraken rondom beveiliging, meldplichten en afhandeling.
Bepaal waar eventuele uitzondering of beperking zit Kijk kritisch naar mogelijke verweren: ontbrekend causaal verband, onvoldoende onderbouwing van schade, of een discussie over toerekening door toedoen van derden.

Als u specifiek wilt verdiepen in de overlap tussen juridische aansprakelijkheid en cyberincidenten, kunt u ook de basis van aansprakelijkheid bij cyberincidenten zakelijk bekijken:

Daarnaast kan het helpen om het algemene kader “aansprakelijk als ondernemer” naast de cybercontext te leggen: