Het it-incident dat sinds zondag de dienstverlening van Albert Heijn, Etos en Gall & Gall verstoort, roept niet alleen vragen op over de oorzaak, maar ook over de financiële gevolgen. Bij wie komt de bon van dergelijke schade te liggen? Op die vraag is niet één antwoord te geven, stelt Blenheim Advocaten.
Websites, apps en klantenservice zijn tijdelijk niet beschikbaar en online bestelde boodschappen kunnen niet worden geleverd. Hoewel de winkels open blijven, is een belangrijk deel van de dienstverlening van de Ahold Delhaize-winkels weg. De schade van dit netwerkbeveiligingsprobleem kan snel oplopen. Albert Heijn behaalt online gemiddeld circa 6,2 miljoen euro omzet per dag. Bij een marge van 4 procent komt dat neer op ongeveer 251.000 euro aan misgelopen winst per dag, becijfert Blenheim Advocaten in een blog met als centale vraag: wie draait voor dergelijke schade op?
In de ogen van Blenheim Advocaten is daar geen eenduidig antwoord op te geven. De aansprakelijkheid hangt af van contractuele afspraken, de omstandigheden van het incident en de verdeling van verantwoordelijkheden tussen klant en leverancier.
SLA als vertrekpunt
Een belangrijke rol is weggelegd voor de service level agreement (SLA). Daarin staat welke diensten een leverancier levert, welk serviceniveau geldt en wie waarvoor verantwoordelijk is. Volgens de advocatenpraktijk kunnen daarin verschillende soorten verplichtingen zijn opgenomen.
Zo kan sprake zijn van een inspanningsverplichting, waarbij een leverancier zich aantoonbaar moet inzetten zonder een concreet resultaat te garanderen. Bij een resultaatsverbintenis wordt juist een bepaald prestatieniveau afgesproken, zoals een beschikbaarheid van 99 procent of het oplossen van een incident binnen een vastgestelde termijn. Daarnaast kunnen garanties zijn opgenomen, bijvoorbeeld over beveiligingsmaatregelen.
Ook buiten de sla heeft een leverancier vaak een zorgplicht. Die moet handelen zoals van een redelijk bekwaam it-dienstverlener mag worden verwacht en klanten tijdig informeren over risico’s, aldus het advocatenkantoor.
Beperking van aansprakelijkheid
Zelfs als een leverancier tekortschiet, betekent dat niet automatisch dat alle schade kan worden verhaald. Veel it-contracten bevatten een exoneratiebeding dat de aansprakelijkheid beperkt tot een bepaald bedrag of specifieke schadeposten uitsluit. Omzetverlies, gederfde winst en gevolgschade vallen daar vaak onder.
Volgens Blenheim Advocaten respecteren rechters dergelijke afspraken doorgaans in zakelijke relaties. Alleen bij opzet, grove schuld of bewuste roekeloosheid kan een beperking buiten toepassing worden gelaten. Ook de redelijkheid en billijkheid kunnen daarbij een rol spelen.
Overmacht en datalekken
Een beroep op overmacht ligt bij it-incidenten niet vanzelfsprekend voor de hand, meldt het kantoor in de blog. Of een cyberincident onder overmacht valt, hangt af van de afspraken tussen partijen en van de vraag binnen wiens risicosfeer het incident valt.
Wanneer ook persoonsgegevens betrokken zijn, kan bovendien sprake zijn van een datalek. In dat geval kunnen verplichtingen uit de AVG gelden, inclusief meldingen aan toezichthouders en betrokkenen.
Volgens de advocaten laat de storing zien hoe belangrijk het is om vooraf afspraken te maken over aansprakelijkheid, beveiliging, verzekeringen en de verdeling van risico’s. Juist voordat de digitale kassa stilvalt, moet duidelijk zijn wie uiteindelijk de rekening betaalt.
Voor wat betreft een verkeerde zuinigheid stel ik weleens de vraag wat één dag stilstand kost want de kosten van veerkracht zijn vaak de sluitpost van het project. Een schadeclaim is namelijk nog geen herstelplan en succesvol claimen is lastig als jezelf verwijtbaar hebt gehandeld. Wat betreft de risicobereidheid om dingen na te laten met het idee dat je een ander er de schuld van kunt geven wijs ik naar Hof van Twente, de gebruikersfout werd door een ambtenaar gemaakt terwijl er meermaals was gewaarschuwd voor het ontbreken van een goede back-up. Ik insinueer niks want uiteraard kan oorzaak en gevolg bij de grootgrutter die op de kleintjes heel anders zijn want ze zijn nog druk bezig met onderzoek.
Dat onderzoek doet wel vermoeden dat er ongeautoriseerde toegang tot de systemen is geweest want bij een verkeerde patch hoef je niet zoveel systemen offline te nemen. En ook de stilte in de communicatie is veelzeggend want claims kunnen ook van de andere kant komen, advocaten hebben het er druk mee. Klanten tijdig informeren over de risico’s is bijvoorbeeld zo’n dingetje als er persoonsgegevens zijn gestolen. Wat betreft het belang van een herstelplan is het dus een goed plan om eerst je advocaat te bellen en onderzoek te doen voordat je een back-up terugzet en tot de orde van de dag overgaat. Oja, een IT-incident is al lang geen IT feestje meer als we kijken naar de impact ervan op de business.