Een lezer vroeg me:
Wie is aansprakelijk voor gederfde inkomsten na het dringende advies om een webshop die PHP gebruikt offline te nemen? Zou een Cyberverzekering hier van toepassing kunnen zijn?
Uit zorgen over de impact van de php2shell kwetsbaarheid hebben vele site-aanbieders of hosters er voor gekozen om preventief de site offline te halen. Daardoor kun je (fors) bezoek of omzet mislopen, dus logisch dat je dan om je heen kijkt of je dat kunt verhalen.
Als je zelf besloot je site offline te halen vanwege zorgen over deze exploit, dan is dat je eigen keuze en moet je
daar zelf het ondernemersrisico van dragen. Het opvolgen van een verstandig beveiligingsadvies (NCSC) schept geen recht op vergoeding.
Soms was het de hoster en niet de klant die besloot de site(s) offline te halen. Opzettelijk een site uitzetten is een tekortkoming in de overeenkomst, want de site wordt dan niet gehost. De vraag is dan of dat verwijtbaar is (dan wordt het wanprestatie, in juridische termen). Dan wordt relevant wat is overeengekomen over beschikbaarheid, noodonderhoud en beveiligingsincidenten.
Is niets overeen gekomen, dan kom je bij de algemene zorgplicht van de hoster. Die moet zorgen dat de dienst goed werkt, maar ingrijpen en offline halen kán daar een gepaste maatregel bij zijn. En dan is zo’n zwaarwegend advies als van het NCSC echt belangrijk: je volgt dan het aanbevolen overheidsadvies, en daaruit wanprestatie concluderen is vrij ingewikkeld. Vereist is wel dat de hoster daarna zo snel als haalbaar gaat patchen en dan de sites weer live zet.
Op 23 oktober meldde het NCSC dat exploitatie ingewikkelder bleek dan aanvankelijk ingeschat en dat de kans op grootschalig misbruik kleiner was. Maar dat is geen argument voor een besluit daarvóór: de beste informatie was toen dat offline halen verstandig was.
Inkomstenderving door een op advies uitgeschakelde webshop of -dienst is dus in principe niet verhaalbaar, afgezien van wanneer het contract daar expliciet geen ruimte voor biedt.
Veel cyberverzekeringen dekken bedrijfsschade door een hack of systeemuitval, maar niet noodzakelijkerwijs door een preventieve sluiting zonder daadwerkelijk incident. Daarvoor moet je in de polisvoorwaarden duiken: valt onder een bedrijfsonderbrekingsincident ook het redelijkerwijs noodzakelijk uitschakelen van systemen om de gevolgen van onder meer een beveiligingsfout of programmeerfout te voorkomen?
De wet noemt “redelijke kosten ter voorkoming of beperking van schade die als gevolg van de gebeurtenis waarop de aansprakelijkheid berust, mocht worden verwacht” als voorbeelden van schade (art. 6:96 lid 2 punt a BW). Maar die term wordt beperkt uitgelegd. In 2023 hield een bedrijf preventief een productiemachine buiten gebruik vanwege eerdere storingen. De rechtbank vond dat bedrijfseconomisch begrijpelijk, maar het daardoor veroorzaakte omzetverlies was niet als bereddingskosten gedekt. De toekomstige schade was daarvoor onvoldoende onmiddellijk dreigend.
Arnoud
