Aansprakelijkheid door cyberincident bedrijf: wat u moet weten

Definitie en kernbegrippen

Aansprakelijkheid door een cyberincident betekent dat een partij juridisch kan worden aangesproken voor schade die (mogelijk) samenhangt met een beveiligingsincident. In het bedrijfsleven gaat het vaak om schadeclaims van klanten, leveranciers, partners of andere betrokkenen, maar ook om vorderingen in het kader van contracten of wettelijke verplichtingen.

Bij cyberincidenten draait het meestal om drie bouwstenen:

Schade: er moet aantoonbare impact zijn (bijvoorbeeld kosten, herstel, stilstand, reputatieschade of claims door derden).
Onrechtmatigheid of fout: is er sprake van handelen of nalaten dat juridisch niet door de beugel kan (in civielrechtelijke termen: tekortkoming of onrechtmatige daad; welke route geldt hangt af van de situatie).
Causaal verband: de schade moet redelijkerwijs in verband staan met het cyberincident.

Een belangrijk punt: een cyberincident op zichzelf leidt niet automatisch tot aansprakelijkheid. Pas wanneer bovengenoemde elementen worden onderbouwd, wordt aansprakelijkheid inhoudelijk relevant.

Een eenvoudig model: van incident naar claim

U kunt het proces vaak in gedachten opsplitsen in vier stappen.

1) Vaststellen wat er is gebeurd Er moet duidelijk worden wat het incident precies was (bijvoorbeeld ongeautoriseerde toegang, malware, ransomware of datalek) en wat de reikwijdte is. In juridische context gaat het niet alleen om de technische gebeurtenis, maar ook om de vraag welke effecten zichtbaar zijn.

2) Beoordelen of u tekortschiet De kernvraag is doorgaans: heeft het bedrijf voldoende zorgvuldig gehandeld? Wat “voldoende” is, hangt af van omstandigheden zoals aard van de dienstverlening, bekendheid met relevante risico’s, gebruikte beveiligingsmaatregelen en de manier waarop het incident is opgepakt.

3) Kijken naar het causaal verband Zelfs als een incident is vastgesteld, kan de tegenpartij betwisten dat (een deel van) de schade daaruit volgt. Denk aan alternatieve oorzaken, schade die al vóór het incident bestond, of schade die voortkomt uit gebeurtenissen die later losstaan van het incident.

4) Toetsen van omvang en mogelijke beperkingen Ook als aansprakelijkheid wordt aangenomen, spelen vragen over de omvang van de schade en eventuele beperkingen of uitsluitingen. Sommige claims kunnen geheel of gedeeltelijk worden beperkt door afspraken in contracten, door eigen schuld, of door regels over welke schade wel of niet vergoedbaar is. Welke beperkingen precies gelden, verschilt per situatie.

Uitzonderingen, variaties en bewijs

Contract versus wettelijke route

In de praktijk lopen aansprakelijkheidsvragen vaak via twee sporen: contractuele verplichtingen (wat is afgesproken over beveiliging, melding, medewerking, en dienstverlening) en wettelijke aansprakelijkheid (algemene regels over onrechtmatig handelen en schadevergoeding). Welke route relevant is, hangt af van uw rol, uw relatie met de wederpartij en de inhoud van bestaande overeenkomsten.

Bewijslast en betwisting

Claims rond cyberincidenten zijn regelmatig onderwerp van discussie over bewijs. Niet elk incident is bijvoorbeeld technisch te herleiden tot één oorzaak, en niet elke gemelde schade is eenduidig te koppelen aan het moment van het cyberincident. Verwacht daarom dat partijen kunnen twisten over:

de exacte oorzaak (wat leidde tot het incident),
de timing (wanneer ontstond de schade),
de beschikbaarheid en kwaliteit van gegevens (wat is werkelijk geraakt),
en de noodzaak en redelijkheid van gemaakte kosten.

Beperkingen kunnen de uitkomst veranderen

Welke beperkingen of uitzonderingen relevant zijn, kan per dossier sterk verschillen. Voorbeelden van factoren die in discussies terugkomen (zonder dat dit automatisch voor uw geval geldt): contractuele aansprakelijkheidsbeperkingen, beperkingen voor indirecte schade, regels rond eigen schuld of vermindering van schade door getroffen maatregelen.

Omdat de precieze uitwerking casus- en contractafhankelijk is, is het verstandig aansprakelijkheid niet te “automatiseren” op basis van alleen het bestaan van een cyberincident.

Controlepunten voor ondernemers

Om aansprakelijkheidsrisico’s door een cyberincident beter te begrijpen en te verifiëren, kunt u de volgende controlepunten langs uw eigen situatie leggen.

1) Wat is het incident en wat is de scope? Leg vast welke systemen betrokken waren, wat de aard was van het incident en welke effecten zichtbaar zijn. Consistente verslaglegging helpt om later te beoordelen of de schade inderdaad samenhangt met het incident.

2) Welke maatregelen en werkwijze waren er? Verzamel informatie over uw beveiligingsaanpak en uw incidentafhandeling (bijvoorbeeld wie betrokken was, wat u deed toen het incident werd ontdekt, en welke besluiten zijn genomen). Dit bepaalt mede hoe “zorgvuldig” handelen kan worden beoordeeld.

3) Welke schadeclaims zijn er en hoe zijn ze onderbouwd? Maak een overzicht van typen schade en onderbouwingen. Let op verschillen tussen directe en indirecte posten en tussen schade die door het incident lijkt te zijn veroorzaakt en schade die mogelijk uit andere factoren voortkomt.

4) Contracten en meld-/medewerkingsafspraken Inventariseer welke contracten relevant zijn met klanten of leveranciers. Afspraken over informatieplicht, herstel, beperkingen van aansprakelijkheid en medewerking kunnen de beoordeling en uitkomst beïnvloeden.

Als u wilt verdiepen in algemene aansprakelijkheidsmechanismen als ondernemer, kunt u ook kijken naar aansprakelijk als ondernemer: /aansprakelijk-als-ondernemer/. Voor situaties met schade door betrokken personen kan aansprakelijk bij schade door medewerker helpen: /aansprakelijk-bij-schade-door-medewerker/. Bij een lopende claim kan aansprakelijk gesteld als ondernemer wat nu extra context geven: /aansprakelijk-gesteld-als-ondernemer-wat-nu/.