Juridische documenten geüpdatet: waarom dit nú belangrijker is dan ooit

De juridische en digitale wereld staat nooit stil. Wetgeving verandert, cyberdreigingen nemen toe en de verwachtingen van klanten worden steeds hoger.

Daarom heeft ICTWaarborg haar juridische documentenset opnieuw geactualiseerd.

In deze blog lichten we één onderwerp uit dat veel IT- en softwarebedrijven direct raakt: aansprakelijkheid bij cyberincidenten.

Cyberincidenten zijn geen uitzondering meer

Phishing, ransomware en DDoS-aanvallen zijn inmiddels dagelijkse realiteit. Toch zien we in de praktijk nog vaak dat aansprakelijkheid juridisch niet of onvoldoende is geregeld. Met mogelijk grote financiële gevolgen.

Dit is geen theoretisch risico. Cyberincidenten gebeuren dagelijks en de claims die daarop volgen kunnen een organisatie ernstig beschadigen, of zelfs failliet laten gaan.

Wat gaat er in de praktijk vaak mis?

Bij IT- en softwarebedrijven zien we steeds dezelfde juridische valkuilen terug:

• Aansprakelijkheid wordt volledig uitgesloten (juridisch ongeldig)
• De aansprakelijkheidslimiet is veel te laag in verhouding tot mogelijke schade
• De beperking wordt gekoppeld aan de verzekering (gevaarlijk als die niet uitkeert)
• Geen onderscheid tussen directe en indirecte schade
• Indirecte schade (zoals omzetverlies, reputatieschade of forensisch onderzoek) is niet uitgesloten

Het gevolg? Onduidelijke afspraken en een reëel risico op forse claims.

Hoe regel je aansprakelijkheid wél goed?

Een juridisch houdbare aansprakelijkheidsregeling bevat onder meer:

• Een redelijke beperking, maar geen volledige uitsluiting
• Bij voorkeur een dubbele limiet: maximaal 12 maanden vergoedingen óf een vast (hoger) bedrag
• Geen afhankelijkheid van de verzekeraar
• Duidelijk onderscheid tussen directe en indirecte schade
• Expliciete uitsluiting van indirecte schade (zoals gederfde winst en gevolgschade)

Deze uitgangspunten zijn verwerkt in de geüpdatete juridische documenten van ICTWaarborg.

Voorbeelden uit de rechtspraak

Rechtbank Noord-Nederland, zaaknummer C/17/192416 / HA ZA 23-238

Een Friese IT-leverancier werd volledig aansprakelijk gehouden nadat een hacker via een Azure-omgeving 60 servers misbruikte voor cryptomining. MFA stond uit. De verzekering weigerde dekking. De rechtbank oordeelde dat beveiliging en configuratie volledig onder verantwoordelijkheid van de IT-leverancier vielen en de aansprakelijkheidsbeperking niet goed was vastgelegd.

Gevolg: €864.000 schadevergoeding + circa €39.000 proceskosten, volledig voor eigen rekening.

Les: Reken niet op je verzekering bij security-incidenten. Contracten en SLA’s moeten glashelder zijn over security-verantwoordelijkheden en aansprakelijkheid.

Rechtbank Noord-Nederland, zaaknummer C/19/131097 / HA ZA 20-82

Na een ransomware-aanval (waarbij zelfs back-ups werden versleuteld) claimde een klant €1.000.000 schade. De rechtbank oordeelde dat de ICT-leverancier tekort was geschoten en aansprakelijk was.

Maar: dankzij een duidelijke aansprakelijkheidsbeperking in de overeenkomst hoefde de leverancier geen miljoen te betalen, maar €50.000. Indirecte schade, omzetverlies en forensisch onderzoek waren contractueel uitgesloten.

Les: Cyberincidenten kunnen enorme financiële gevolgen hebben, zelfs bij één kleine fout. Goede algemene voorwaarden en SLA’s maken het verschil tussen overleven en faillissement.

Conclusie: actuele documenten zijn geen luxe, maar noodzaak

Cyberincidenten zijn onvermijdelijk. De vraag is niet of het gebeurt, maar wat het je kost als het gebeurt.

Volledig uitsluiten is ongeldig, te laag limiteren is gevaarlijk en blind vertrouwen op je verzekering is riskant.

Met actuele, juridisch juiste documenten:

• bescherm je je bedrijf tegen disproportionele claims
• bied je klanten duidelijkheid en zekerheid
• voldoe je aan de huidige juridische realiteit

Zijn jouw contracten en voorwaarden klaar voor cyberclaims in 2026?

Een kleine fout in juridische documenten kan grote financiële gevolgen hebben.