IT-storing bij Albert Heijn roept vragen op over aansprakelijkheid en schade
Sinds zondag hebben Albert Heijn, Etos en Gall & Gall te maken met een IT-incident. Websites, apps en klantenservices zijn tijdelijk niet beschikbaar en online bestelde boodschappen kunnen niet worden bezorgd. De winkels blijven wel open, maar een belangrijk deel van de dienstverlening ligt stil. De financiële gevolgen kunnen aanzienlijk zijn. Albert Heijn heeft bijvoorbeeld een gemiddelde online omzet van € 6,2 miljoen per dag. Bij een marge van 4% komt dat neer op ongeveer € 251.000 per dag. Maar wie draait op voor de schade wanneer een IT-storing zulke gevolgen heeft?
Daar is geen eenduidig antwoord op. De aansprakelijkheid hangt af van de contractuele afspraken, de omstandigheden van het incident en de manier waarop de verantwoordelijkheden tussen de betrokken partijen zijn verdeeld. Vooral de service level agreement (SLA), eventuele aansprakelijkheidsbeperkingen en de oorzaak van de storing spelen daarbij een belangrijke rol.
De SLA vormt het uitgangspunt voor aansprakelijkheid
Bij het bepalen van de aansprakelijkheid wordt eerst gekeken naar de service level agreement, oftewel de SLA. Hierin staan de diensten die een leverancier moet leveren, het afgesproken serviceniveau en de verantwoordelijkheden van beide partijen. De precieze formulering is belangrijk, omdat niet iedere contractuele verplichting dezelfde garantie biedt.
Bij een inspanningsverplichting belooft een leverancier zich voldoende in te zetten, zonder een specifiek resultaat te garanderen. Bij een resultaatsverbintenis ligt dat anders. Daarbij wordt bijvoorbeeld een beschikbaarheid van 99% afgesproken of moet een incident binnen vier uur zijn opgelost. Een garantie kan nog verder gaan, bijvoorbeeld wanneer een leverancier bepaalde beveiligingseisen voor de software garandeert. Het maakt juridisch verschil of een afgesproken resultaat niet wordt gehaald of dat een leverancier onvoldoende inspanning heeft geleverd.
Naast de afspraken in de SLA heeft een leverancier doorgaans ook een zorgplicht. Hij moet handelen als een redelijk bekwaam vakgenoot, de klant goed informeren en tijdig waarschuwen voor mogelijke risico’s. Ook wanneer geen concrete SLA-garantie is geschonden, kan het niet nakomen van deze zorgplicht tot aansprakelijkheid leiden.
De organisatie die schade claimt, moet in beginsel aantonen dat de leverancier zijn contractuele verplichtingen of zorgplicht niet is nagekomen. Dat kan bij IT-incidenten ingewikkeld zijn. De precieze oorzaak is niet altijd meteen bekend en technische gegevens, zoals logbestanden en onderzoeksinformatie, bevinden zich vaak bij de leverancier. Ook de maatregelen die de getroffen organisatie zelf neemt, kunnen van invloed zijn. Albert Heijn meldde bijvoorbeeld dat systemen uit voorzorg zijn uitgeschakeld. Dan rijst de vraag of de gevolgen daarvan voor rekening van de leverancier komen of dat eigen keuzes hebben bijgedragen aan de omvang van de schade.
Aansprakelijkheidsbeperkingen kunnen de schadevergoeding begrenzen
Veel IT-contracten bevatten een exoneratiebeding. Daarmee beperkt een leverancier zijn aansprakelijkheid, bijvoorbeeld tot een vast bedrag of door bepaalde schadeposten uit te sluiten. Het kan daarbij gaan om gevolgschade, gederfde winst en omzetverlies. De Nederland ICT-voorwaarden zijn hiervan een bekend voorbeeld. Een IT-leverancier is daardoor niet automatisch verantwoordelijk voor alle financiële schade die door een storing ontstaat.
Rechters respecteren dergelijke afspraken in commerciële relaties vaak. Bedrijven mogen onderling afspraken maken over de verdeling van risico’s. Zonder aansprakelijkheidsbeperkingen kunnen de kosten van IT-diensten bovendien flink oplopen, omdat leveranciers rekening moeten houden met mogelijk grote schadeclaims. Een beperking is echter niet in alle situaties doorslaggevend.
Bij opzet, grove schuld of bewuste roekeloosheid kan een beroep op een exoneratiebeding buiten toepassing blijven. Daarbij kan de rechter onder meer kijken naar de ernst van de fout, de omvang van de schade die voorzienbaar was en de aanwezigheid of verzekerbaarheid van een verzekering. Ook de redelijkheid en billijkheid kunnen een rol spelen. Een vrijwel volledige uitsluiting van aansprakelijkheid kan onder bepaalde omstandigheden onaanvaardbaar zijn. Soms kan een rechter een aansprakelijkheidsbeperking aanpassen, maar dat gebeurt niet automatisch.
Ook de eigen contractuele positie van de klant kan meewegen. Een onderneming die zelf aansprakelijkheidsbeperkingen gebruikt, kan minder eenvoudig stellen dat een vergelijkbaar beding van een leverancier onredelijk is. Artikel 6:235 lid 3 van het Burgerlijk Wetboek is hierbij een relevant juridisch aanknopingspunt.
Een IT-incident is niet automatisch overmacht
Een leverancier kan proberen zich op overmacht te beroepen wanneer een incident ontstaat door een oorzaak die buiten zijn schuld of risicosfeer ligt. Of daarvan daadwerkelijk sprake is, hangt af van de concrete omstandigheden en de afspraken tussen partijen. Een cyberincident of beveiligingsprobleem geldt dus niet automatisch als overmacht.
In het contract kan specifiek zijn vastgelegd hoe met cyberincidenten en andere verstoringen moet worden omgegaan. Uiteindelijk is de verdeling van de risico’s bepalend. Als een leverancier verantwoordelijk is voor beveiliging, monitoring en herstel, kan hij zich niet zonder meer op overmacht beroepen wanneer daar problemen ontstaan.
De beoordeling wordt daarnaast bemoeilijkt doordat de betrokken partijen niet altijd over dezelfde informatie beschikken. De leverancier heeft vaak toegang tot de technische gegevens die nodig zijn om de oorzaak vast te stellen, terwijl de klant moet kunnen beoordelen wat er is misgegaan. Afspraken over het bewaren van loggegevens, het melden van incidenten en het uitvoeren van onderzoek zijn daarom belangrijk. Ze kunnen helpen om achteraf vast te stellen wat er is gebeurd en welke partij verantwoordelijk is.
Ook persoonsgegevens en eigen verplichtingen spelen een rol
Een IT-incident kan gevolgen hebben voor de verwerking en beveiliging van persoonsgegevens. Als daarbij sprake is van een datalek, kunnen meldverplichtingen uit de Algemene verordening gegevensbescherming (AVG) gelden. Het niet naleven van die verplichtingen kan leiden tot boetes en reputatieschade.
Daarom bevatten IT-contracten vaak afspraken over de melding van incidenten, het verstrekken van informatie en de ondersteuning bij communicatie met toezichthouders en betrokkenen. Duidelijke afspraken kunnen helpen om bij een incident snel te bepalen welke partij welke acties moet uitvoeren.
Daarnaast kan de getroffen onderneming zelf aansprakelijk worden tegenover haar klanten. Door een storing kan zij bijvoorbeeld niet leveren, geen betalingen verwerken of andere contractuele verplichtingen nakomen. De schade door enkele niet-bezorgde boodschappen kan beperkt zijn, maar bij organisaties met omvangrijke leverings- of prestatieverplichtingen kunnen de gevolgen voor klanten veel groter worden.
De schade berekenen vraagt om onderbouwing
Zelfs wanneer duidelijk is dat een partij aansprakelijk is, blijft de omvang van de schade een belangrijk discussiepunt. Er moet worden vastgesteld welke omzet de onderneming zonder het incident waarschijnlijk zou hebben behaald en welke kosten zij in die situatie zou hebben gemaakt. Historische omzetgegevens kunnen daarbij helpen, al zijn die minder betrouwbaar wanneer de omzet sterk schommelt.
Naast gemiste marges kunnen ook kosten voor vervangende IT-capaciteit, noodoplossingen en forensisch onderzoek onderdeel zijn van een schadeclaim. Voor iedere schadepost moet voldoende duidelijk zijn dat deze verband houdt met de tekortkoming. De berekening van de financiële gevolgen is daarmee een afzonderlijk onderdeel van de aansprakelijkheidsvraag.
Bij Albert Heijn maakt de gemiddelde online omzet van € 6,2 miljoen per dag duidelijk welke financiële belangen op het spel kunnen staan. De genoemde marge van 4% komt neer op ongeveer € 251.000 per dag. Dat bedrag geeft een indicatie van de mogelijke impact op de marge, maar bepaalt op zichzelf niet welk bedrag daadwerkelijk kan worden verhaald op een IT-leverancier. Daarvoor zijn ook de oorzaak van het incident, de contractuele afspraken en de onderbouwing van de schade van belang.
Maak afspraken voordat de systemen uitvallen
De aansprakelijkheid na een IT-incident wordt voor een belangrijk deel bepaald door afspraken die vaak al jaren eerder zijn gemaakt. Organisaties doen er daarom goed aan vooraf vast te leggen welke systemen bedrijfskritisch zijn, welk serviceniveau nodig is en wie het financiële risico van uitval draagt.
Wanneer een onderneming het risico zelf draagt, kan zij onderzoeken of een verzekering of aanvullende voorzieningen passend zijn. Daarbij is het belangrijk om de dekking van een cyberverzekering goed te controleren. Niet iedere polis dekt automatisch alle kosten van bedrijfsuitval, herstelwerkzaamheden en forensisch onderzoek. Ook kunnen verzekeraars specifieke beveiligingseisen stellen waaraan de organisatie moet voldoen.
Door contracten, verzekeringen en beveiligingsmaatregelen vooraf op elkaar af te stemmen, ontstaat meer duidelijkheid over de verdeling van verantwoordelijkheden. Dat voorkomt niet iedere IT-storing, maar kan wel helpen om de financiële gevolgen te beperken en discussies over aansprakelijkheid achteraf beter te onderbouwen.
Ontvang gratis het laatste nieuws
Altijd up-to-date blijven van het laatste nieuws? Schrijf je dan in voor onze gratis nieuwsbrief met het laatste nieuws!
