NLDigital verwacht niet dat elke cyberaanval leidt tot schadeclaims bij de leverancier van IT-systemen. Wel benadrukt een recent gepubliceerde uitspraak hoe belangrijk het is om goede afspraken te maken.
De Rechtbank in Amsterdam oordeelde dat een IT-leverancier de schade vergoeden na een ransomware-aanval. Van een leverancier mag verwacht worden dat hij de beveiliging van het op te leveren product regelt, zelfs al wordt dat niet expliciet afgesproken. Sterker nog: als de client hier niet in meegaat zou de IT-leverancier in extreme gevallen de opdracht moeten weigeren. De leverancier moet een flink deel van de schade vergoeden.
Unieke casus
NL Digital wijst op de specifieke omstandigheden van dit geval. Opdrachtgever en leverancier hebben een mondelinge overeenkomst gesloten voor een bedrijfsnetwerk. Daarin zijn de firewall en de back-ups wel aan de orde gekomen, maar die opdracht is niet schriftelijk uitgewerkt. NLDigital benadrukt daarom ten eerste hoe belangrijk het is voor leveranciers en opdrachtgevers om goede afspraken te maken en die volledig vast te leggen. NLDigital adviseert haar leden daarover en ontwikkelt voorbeelden en modelovereenkomsten, zoals de DataPro verwerkersovereenkomst.
“De rechter oordeelde in deze zaak dat onderdeel van de mondelinge opdracht aan de IT-beheerder was: het aanleggen van adequate beveiliging. De IT-beheerder lijkt dat ook te erkennen, maar verweert zich door te zeggen dat klant dit verhinderde. Al bij aanvang van de opdracht zou klant hebben aangegeven de firewall te duur en de roulerende back-ups te ingewikkeld te vinden.”
De leverancier heeft de opdracht daarna wel aangenomen, zonder alles op papier te zetten. De rechter moest daarom verder kijken dan de documenten en ook mondelinge afspraken inhoudelijk afwegen. “Onder deze omstandigheden was het volgens de rechter aan de leverancier om ofwel de opdracht te weigeren wegens onuitvoerbaarheid, ofwel alternatieven aan te dragen ofwel op zijn minst indringend en herhaaldelijk te waarschuwen voor risico’s van het niet hebben van een firewall en back-up.”
'10% van IT-budget voor security'
NLDigital stelt al enkele jaren dat beveiliging een flink deel van het budget moet krijgen. Ondernemingen moeten zich beseffen dat goede beveiliging geld kost, en 10 procent van het totale IT-budget als norm nemen. NLDigital zegt nu vragen te krijgen van leden, vaak vanuit de situatie dat een klant niet zo veel wil uitgeven.
NLDigital zegt echter ook dat de rechter de zorgplicht van de leverancier streng heeft beoordeeld. Beveiliging is een verplichting van de leverancier en de jurisprudentie gaat vaak uit van een zorgplicht. Een klant kan besluiten om bepaalde software weg te laten uit de overeenkomst en die ergens anders te halen. Maar de leverancier moet dan wel wijzen op de risico’s.
