Aansprakelijkheid bij cyberincidenten zakelijk: wat u moet weten

Definitie en afbakening

Aansprakelijkheid bij cyberincidenten zakelijk betekent in de kern: de kans dat een onderneming juridisch wordt aangesproken voor schade die samenhangt met een cybergebeurtenis. Dat kan bijvoorbeeld gaan om schade door datalekken, ongeautoriseerde toegang, ransomware of het verstoren van bedrijfsprocessen. Het gaat niet om “het incident op zichzelf”, maar om wat een rechter of beoordelaar relevant vindt: een normschending (bijvoorbeeld onvoldoende zorgvuldigheid), het verband tussen die schending en de schade, en de vraag of de betreffende partij verantwoordelijk is.

Let op de afbakening: aansprakelijkheid gaat over claims en juridische beoordeling. Wat u in de praktijk ervaart (kosten, herstel, communicatie) kan samengaan met aansprakelijkheid, maar is niet automatisch hetzelfde. Ook is niet elk cyberincident tot dezelfde soort aansprakelijkheidsvraag te herleiden: de ene claim draait om data-privacy en informatiebeveiliging, een andere om contractbreuk, weer een andere om bedrijfsschade of reputatieschade. Het is daarom verstandig om vanaf het begin het soort schade en de mogelijke grondslag helder te krijgen.

Voor definities kunt u ook kijken naar algemene uitleg over begrippen en context in het domein.

Eenvoudig model: van incident naar aansprakelijkheidsvraag

Een bruikbaar model om aansprakelijkheid bij cyberincidenten zakelijk te begrijpen bestaat uit vier bouwstenen.

Wie wordt aangesproken? Denk aan uw onderneming als beheerder van systemen of als contractuele partij. Mogelijk ook uw verwerker/leveranciersketen of een gebruiker die toegang had.
Welke norm wordt vermoed? In het algemeen wordt beoordeeld of u heeft gehandeld zoals in uw positie van een redelijk en zorgvuldig handelend bedrijf mag worden verwacht. In cyberzaken gaat het vaak om informatiebeveiliging en het beperken van voorzienbare risico’s.
Causaal verband met schade: zelfs bij een tekortkoming moet worden aangetoond dat die tekortkoming (mede) heeft geleid tot de schade. Bij cyberincidenten is het causaal verband soms complex door meerdere oorzaken, tijdslijnen en technische omstandigheden.
Soort schade en toerekening: schade kan uiteenlopen van directe vermogensschade tot kosten voor herstel en maatregelen. De vraag is vervolgens wat daarvan redelijkerwijs is toe te rekenen aan de gebeurtenissen en welke schadeposten betwist worden.

Dit model helpt u bij het plaatsen van feiten. Het voorkomt ook dat u alleen naar het incident kijkt (techniek), terwijl de aansprakelijkheidsvraag vaak draait om handelen, nalaten en gevolg.

Typische varianten en uitzonderingen

Cyberincidenten leveren regelmatig verschillende typen aansprakelijkheidsargumenten op. Welke uitkomst volgt, hangt sterk af van de omstandigheden.

Variant A: tekortschieten in zorgvuldigheid. Bij veel claims is de kern dat de onderneming niet voldoende heeft gedaan om het risico te beperken of om adequaat te reageren. Wat “voldoende” is, is afhankelijk van uw rol, bedrijfsgrootte, beschikbare middelen en de mate van voorzienbaarheid van het risico.

Variant B: keten- en contractaspecten. In zakelijke verhoudingen spelen contracten mee: afspraken over beveiliging, meld- en samenwerkingsplichten en de (on)mogelijkheid om aansprakelijkheid te beperken of juist uit te breiden. Daardoor kan de juridische uitkomst anders zijn dan bij enkel algemene aansprakelijkheid.

Variant C: rolverdeling binnen uw organisatie. Niet alleen de “IT” is bepalend. Ook processen, toegangbeheer, leveranciersmanagement en interne autorisatie kunnen onderdeel zijn van de beoordeling.

Uitzonderingen en nuances. Drie veelvoorkomende nuanceringen:

Onvoorzienbaarheid of geen verwijt: als het incident niet (in redelijkheid) voorzienbaar was of als uw handelen voldoet aan de zorgvuldigheidsmaatstaf, kan aansprakelijkheid ontbreken.
Geen of beperkt causaal verband: als de schade vooral het gevolg is van een andere oorzaak dan de gestelde tekortkoming, kan de claim worden gematigd of afgewezen.
Medeverantwoordelijkheid van anderen: bij betrokken partijen in de keten kan discussie ontstaan over wie welke bijdrage leverde aan het incident of de gevolgen.

Omdat dit onderwerp juridisch is en sterk feitelijk, blijft er onzekerheid: zonder dossierkennis en juridische onderbouwing is niet vooraf te zeggen hoe een rechter of arbiter oordeelt.

Praktische controlepunten bij zakelijke claims

Als u te maken krijgt met (dreigende) aansprakelijkheidsvragen rondom cyberincidenten, kunt u de feiten systematisch ordenen op basis van controlepunten. Hieronder staan aandachtspunten die u helpen om de aansprakelijkheidsvraag beter te begrijpen.

Identificeer het type claim: gaat het om schade bij derden, om kosten voor herstel, om dataverlies of om verstoring? Een andere schadegrond kan een andere juridische route betekenen.
Leg de tijdlijn vast: wanneer signalen ontstonden, welke acties zijn genomen, en welke maatregelen zijn genomen vóór en ná het incident. Dit ondersteunt discussie over zorgvuldigheid en causale verbanden.
Beschrijf uw relevante processen: denk aan toegangbeheer, logging, beheer van kwetsbaarheden, leveranciersafspraken en interne procedures voor incidentafhandeling. Niet om “alles” op te sommen, maar om toetsbare elementen te hebben.
Kijk naar overeenkomsten en voorwaarden: contractuele bepalingen kunnen invloed hebben op meldplicht, samenwerking, aansprakelijkheidsverdeling en bewijsvereisten.
Bepaal de betrokken partijen: uw rol als contractpartij, verwerkingsrol of beheerder is bepalend voor de verdeling van verantwoordelijkheid.
Verwacht inhoudelijke betwisting: bij cyberincidenten is vaak discussie mogelijk over oorzaak, technische route, toerekening en omvang van schade.

Als u deze punten langs het eenvoudige model legt, wordt het doorgaans duidelijker welke vragen centraal staan: wie wordt aangesproken, welke norm wordt vermoed, en welk verband wordt gelegd tussen gebeurtenis en schade.

Voor extra context kunt u ook lezen hoe aansprakelijkheid bedrijf en cyberrisico raken en waar het verschil zit tussen algemene risico’s en specifieke aansprakelijkheidsvragen.