Cybersecurity en aansprakelijkheid: voorkom dat jouw bedrijf opdraait voor alle schade

Cyberaanvallen zijn inmiddels dagelijkse realiteit voor IT-bedrijven. Of je nu hostingdiensten levert, IT beheer uitvoert of managed services aanbiedt: de kans dat jouw dienstverlening wordt geraakt door een cyberincident is aanzienlijk. 

De schade die daarbij ontstaat, kan groot zijn en niet alleen voor je klant, maar ook voor jouw bedrijf.

Als brancheorganisatie ziet ICTWaarborg dat veel ondernemers hun juridische positie bij cyberincidenten overschatten. 

In dit blog leggen we uit waarom een verzekering alleen niet voldoende is, hoe je jouw aansprakelijkheid contractueel beperkt en hoe de standaardvoorwaarden van ICTWaarborg je daarbij ondersteunen.

Cyberaanvallen en de gevolgen voor jouw bedrijf

Cyberaanvallen komen in verschillende vormen, zoals:

• Ransomware, waarbij klantbestanden worden versleuteld en pas tegen betaling worden vrijgegeven;
• DDoS-aanvallen, die jouw platform of server onbereikbaar maken;
• Phishing, waarbij via jouw dienst misleidende e-mails worden verstuurd;
• Inbraak in systemen, waarbij aanvallers toegang krijgen tot gevoelige klantgegevens.

De schade voor je klant kan bestaan uit datalekken, omzetverlies, reputatieschade en zelfs claims van hun eigen klanten. In veel gevallen zal de klant zich tot jou wenden als leverancier, met mogelijke aansprakelijkheidsdiscussies tot gevolg.

Is een aansprakelijkheidsverzekering voldoende?

Veel bedrijven vertrouwen op hun algemene aansprakelijkheidsverzekering (AVB) of beroepsaansprakelijkheidsverzekering (BAV). Maar deze dekken lang niet alle risico’s die bij cyberincidenten komen kijken:

• Een AVB dekt alleen materiële schade en letsel, geen digitale schade of dataverlies.
• Een BAV biedt beperkte dekking voor fouten in de dienstverlening, maar alleen onder strikte voorwaarden.
• Cyberverzekeringen bieden specifiekere dekking, maar kennen vaak hoge drempels, uitsluitingen en verplichtingen rondom preventie.

Daarnaast blijkt in de praktijk dat verzekeraars regelmatig geen uitkering doen, bijvoorbeeld omdat de schade voortkomt uit gebruikersfouten of omdat jouw dienst technisch correct functioneerde. Een verzekering biedt dus geen garantie voor financiële dekking.

Contractuele beperking van aansprakelijkheid

Als de verzekering niet uitkeert, ben je aangewezen op wat er in je contracten en algemene voorwaarden is geregeld. Juist daarom is het belangrijk om je aansprakelijkheid juridisch goed af te bakenen. ICTWaarborg adviseert onder meer om:

• Alleen aansprakelijkheid voor directe schade te erkennen, zoals kosten voor herstel of vervanging;
• Aansprakelijkheid voor indirecte schade expliciet uit te sluiten. Denk aan gederfde winst, reputatieschade, verlies van gegevens of claims van derden;
• Een heldere en redelijke aansprakelijkheidslimiet op te nemen, bijvoorbeeld maximaal 12 maanden aan vergoedingen met een absoluut maximum.

Let op: aansprakelijkheid bij opzet of grove nalatigheid mag wettelijk niet worden uitgesloten.

Koppel je aansprakelijkheid niet aan je verzekering

Veel ondernemers nemen in hun voorwaarden een clausule op waarin staat dat de aansprakelijkheid beperkt is tot het bedrag dat de verzekeraar uitkeert. Dit lijkt praktisch, maar is juridisch en commercieel riskant:

• De klant weet niet of en hoe je verzekerd bent;
• De verzekeraar kan weigeren uit te keren;
• Je klant blijft met lege handen achter, maar kan alsnog jou aanspreken.

Het is juridisch sterker en commercieel duidelijker om een vaste aansprakelijkheidslimiet af te spreken die losstaat van je verzekering, bijvoorbeeld:
“De totale aansprakelijkheid bedraagt maximaal €25.000 of 12 maanden aan vergoedingen”

De bescherming van ICTWaarborg

Als deelnemer van ICTWaarborg profiteer je van standaardvoorwaarden waarin deze risico’s al op de juiste wijze zijn afgedekt. De voorwaarden bevatten:

• Een duidelijke afbakening van directe en indirecte schade;
• Een realistische aansprakelijkheidslimiet;
• Uitsluitingen die juridisch standhouden en commercieel uitlegbaar zijn;
• Aansluiting bij de actuele risico’s van digitalisering en cyberdreiging.

Door gebruik te maken van deze voorwaarden sta je juridisch sterker en voorkom je vervelende discussies met klanten als er een incident optreedt.

Conclusie

Cyberaanvallen zijn niet te voorkomen, maar juridische schade is dat wel. Vertrouw niet blind op je verzekering, maar zorg voor heldere contractuele afspraken over aansprakelijkheid.