AVB en cybercrime: wat je als ondernemer moet weten

Definitie en afbakening: wat bedoelen we met AVB en cybercrime?

AVB staat voor bedrijfsaansprakelijkheidsverzekering. In de kern dekt zo’n verzekering doorgaans financiële gevolgen van aansprakelijkheid: als een derde jou aanspreekt omdat jij volgens (burgerlijk) recht schade hebt veroorzaakt.

Cybercrime is een verzamelnaam voor misdrijven met digitale middelen, zoals hacking, ransomware, phishing of ongeautoriseerde toegang. De link met AVB ontstaat meestal niet door “het feit” cybercrime, maar door de vraag of jouw organisatie door een beveiligingsincident aansprakelijk kan worden gesteld tegenover een benadeelde partij.

Belangrijk om scherp te houden: AVB is geen beveiligingsproduct en het is ook geen automatische dekking voor elk cyberprobleem. Het uitgangspunt is steeds: er moet sprake zijn van (1) een claim van een derde, (2) aansprakelijkheid die juridisch te onderbouwen is, en (3) schade die binnen de polisbegrippen en voorwaarden valt.

Een eenvoudig model: van incident naar aansprakelijkheid

Je kunt het proces vaak onderverdelen in vier stappen.

Cyber-incident Een beveiligingsprobleem leidt tot bijvoorbeeld ongeautoriseerde toegang of verstoring van systemen. Voor AVB is dit niet voldoende op zichzelf; het incident is vooral het “startpunt”.
Schade bij een derde Een benadeelde partij (bijvoorbeeld een klant, leverancier of andere derde) stelt schade te hebben geleden. Dat kan variëren van directe financiële schade tot gevolgschade, afhankelijk van wat er feitelijk is gebeurd.
Juridische aansprakelijkheid De kernvraag is: ben jij als ondernemer civielrechtelijk aansprakelijk? Dat hangt samen met factoren als toerekenbaarheid (bijvoorbeeld verwijtbaarheid of het nalaten van passende maatregelen) en causaliteit (is de schade daadwerkelijk een gevolg van het incident?).
Polisafhandeling via dekking en voorwaarden Pas daarna komt de verzekeringsvraag: valt de claim onder de dekking van jouw AVB, en zijn er uitsluitingen van toepassing? Deze stap verschilt per verzekeraar en polisversie. De meeste onzekerheid in de praktijk zit hier: twee ondernemers met ogenschijnlijk vergelijkbare cyberproblemen kunnen toch een andere uitkomst krijgen.

Waar het kan verschillen: dekking vs. uitsluiting en “cyber” als claimonderwerp

Bij cybercrime zie je in de praktijk vaak discussies over de reikwijdte van aansprakelijkheid en de manier waarop schade wordt gekwalificeerd.

1) Dekking voor aansprakelijkheid, niet voor elk eigen verlies Zelfs als jouw eigen bedrijf schade lijdt door een cyberaanval, betekent dat niet automatisch dat AVB de kosten vergoedt. AVB is gericht op claims van derden. Eigen operationele schade, herstelkosten of gemiste omzet zijn daarom niet vanzelfsprekend “verzekerbaar via AVB” tenzij de polis dat expliciet meeneemt binnen de afgesproken dekking.

2) Uitsluitingen kunnen “cyber”-claims raken Polissen kennen vaak uitsluitingen of bijzondere voorwaarden. Die kunnen bijvoorbeeld betrekking hebben op specifieke oorzaken, op het type schade of op situaties waarin een andere (specialistische) dekking logischer is. Welke uitsluitingen precies gelden, staat in jouw polisvoorwaarden en verzekeringskaart.

3) Invloed van omstandigheden op aansprakelijkheid De vraag of je aansprakelijk bent, is geen automatische bijzaak. Factoren zoals je security-hygiëne (in brede zin), het volgen van redelijkerwijs te verwachten maatregelen, en de manier waarop het incident is onderzocht, kunnen bepalen of een benadeelde jou met succes aansprakelijk kan stellen.

4) Bewijs en causaliteit Voor cyberclaims is het aantonen van de feiten cruciaal: wat is er precies misgegaan, waardoor, en hoe volgt daaruit de schade bij de derde? Onvoldoende duidelijkheid kan zowel de juridische claim als de verzekeringsbeoordeling compliceren.

Controlepunten voor ondernemers: zo kun je het juridisch en verzekeringsmatig plaatsen

Gebruik onderstaande controlepunten om je situatie concreet te ordenen, zonder te gokken op uitkomst.

Is er een derde die jou aansprakelijk stelt? AVB-reacties starten meestal pas echt bij een claim. Leg vast: wie is de benadeelde, wat vordert men, en waarop baseert men de aansprakelijkheid.
Wat is de oorzaak in termen van feiten? Maak een timeline van het incident: signalering, mogelijke vector (bijv. ongeautoriseerde toegang), getroffen systemen en de periode van impact. Dit ondersteunt zowel juridische beoordeling als verzekeringscommunicatie.
Welke schade wordt precies bedoeld? Duidelijk afbakenen helpt: gaat het om directe schade, gevolgschade, kosten van derden of iets anders? Als schade verschillende kwalificaties heeft, kan dat invloed hebben op of het onder de polis valt.
Onderzoek causaliteit en toerekenbaarheid Vraag intern en extern (bijvoorbeeld via je incident response proces) welke redelijke maatregelen je had kunnen nemen en of het incident daarmee samenhangt. Deze beoordeling stuurt de kans op aansprakelijkheid.
Check polisbegrippen en uitzonderingen Lees in je polisvoorwaarden de relevante definities en uitsluitingen: daar staat of en hoe een claim door een cyber-gerelateerd incident onder de dekking valt. Let ook op voorwaarden rond melding, samenwerking en verloop van de claimbehandeling.

Als je twijfelt waar je verzekeringsvraag precies landt, is het verstandig om je dossier zo feitelijk mogelijk te ordenen (claim, schadeomschrijving, causale relatie, incidentdocumentatie) en de polistekst als leidraad te gebruiken. Zo voorkom je dat je cybercrime alleen als “technisch probleem” ziet, terwijl AVB juist draait om aansprakelijkheid richting derden.

Wanneer onzekerheid extra groot is

Er zijn situaties waarin de uitkomst lastiger te voorspellen is:

Als het niet helder is of de schade werkelijk is veroorzaakt door jouw handelen of nalaten.
Als de schade vooral bestaat uit eigen kosten en niet uit een derdeclaim.
Als de polis een cybergerelateerde uitsluiting of bijzondere voorwaarden bevat.
Als er onduidelijkheid is over de exacte aard van het incident (bijvoorbeeld of het gaat om ongeautoriseerde toegang, datalekken, of puur operationele verstoring).

Omdat polisvoorwaarden en de feitelijke omstandigheden sterk bepalend zijn, is het beste startpunt altijd het toetsen van je dossier aan de dekkingstekst en aan de juridische kernvraag: ben jij aansprakelijk jegens de benadeelde en valt die aansprakelijkheid binnen de polis?