Een cyberaanval kan grote schadelijke gevolgen hebben, waaronder het verlies of tijdelijke onbeschikbaarheid van (kostbare) gegevens voor bedrijven. Beveiliging van IT – inclusief het maken van back-ups – is dan ook van groot belang. Het is niet altijd duidelijk wie daarvoor verantwoordelijk is. Het kan voorkomen dat partijen geen concrete afspraken maken hierover, en de IT-leverancier volgens het contract of de algemene voorwaarden niet verplicht is zorg te dragen voor adequate beveiliging. Niettemin kan onder omstandigheden de zogenoemde ‘zorgplicht’ met zich meebrengen dat hoewel partijen dat niet contractueel zijn overeengekomen, van de IT-leverancier toch kan worden verlangd dat zij zorgdraagt voor een adequaat beveiligings- en back-upsysteem.
Dit is bevestigd in een recente uitspraak van de rechtbank Overijssel (zie https://bit.ly/3NFSUfT). Eiseres in deze zaak was slachtoffer van een ransomware-aanval, waarbij zij een groot aantal product- en sfeerfoto’s is kwijtgeraakt. Zij heeft haar IT-leverancier aansprakelijk gesteld voor de geleden schade omdat laatstgenoemde de IT-infrastructuur had aangelegd en deze onvoldoende zou hebben beveiligd (onder meer zou geen volledige back-ups zijn gemaakt van de servers).
Zorgplicht
De rechtbank stelt vast dat partijen niet specifiek hadden afgesproken dat de IT-leverancier zou zorgdragen voor adequate beveiliging. Maar wel is gebleken dat de IT-dienstverlener een volledige infrastructuur zou aanleggen (een ‘totaalpakket’ leverde). Volgens de rechtbank is moeilijk voor te stellen dat beveiliging daar niet onder valt. De IT-dienstverlener mocht er dus niet zomaar vanuit gaan dat haar klant (eiseres) geen prijs stelde op adequate beveiliging als onderdeel van het door haar afgenomen totaalpakket. Ook is niet gebleken dat eiseres zelf zou hebben gezegd dat beveiliging niet belangrijk was. Indien de IT-leverancier dat anders zag, had zij dat als IT-deskundige moeten laten weten aan de klant (wat zij niet heeft gedaan). In dat geval had eiseres de beveiliging namelijk in ieder geval nog zelf kunnen regelen via een andere partij.
Kortom, de rechter oordeelt dat in deze zaak eiseres als afnemer erop mocht vertrouwen dat de IT-leverancier ook zou zorgen voor adequate beveiliging (inclusief maken van volledige back-ups). Hoewel contractueel dus niet afgesproken, brengt de zorgplicht van de IT-dienstverlener met zich mee dat in die zaak die verplichting er dus wel is. De rechter begroot de schade wegens verlies foto’s op 7.000 euro en bepaalt dat de IT-dienstverlener dat bedrag betaalt als schadevergoeding.
Goede afspraken
Conclusie: indien uit het contract zelf niet duidelijk blijkt of de IT-dienstverlener ook moet zorgdragen voor passende beveiliging en back-ups, doen IT-dienstverleners er in ieder geval verstandig aan om dat nog wel te bespreken met hun klanten. Bijvoorbeeld per e-mail goed vastleggen dat beveiliging (en/of maken van volledige back-ups) geen onderdeel is van de offerte en eventueel tegen meerprijs kan worden afgenomen. Het door IT-leveranciers onbespreekbaar laten van beveiligingsmaatregelen (zoals maken back-ups) is mede gelet op de zorgplicht gewoon geen optie.
Jasper Hulsebosch is een ervaren advocaat met een internationale praktijk op het gebied van IE/IT en met een focus op het gebied van privacy, cybersecurity, anti-piracy en brand protection. Hij is partner bij De Vos & Partners Advocaten.
[Dit artikel is eerder gepubliceerd in ChannelConnect juli 2022]
