Draagt eindklant of msp aansprakelijkheid bij hack?

Om antwoord te kunnen geven op de vraag moet er gekeken worden naar de voorafgaande gemaakte afspraken tussen de msp en de klant. Met name naar de afspraken op het gebied van beveiliging en continuïteit. Om toekomstige onduidelijkheden te voorkomen, is het van belang dat beiden partijen weten wat ze van elkaar kunnen verwachten.

Tegenwoordig zijn er steeds meer en grotere cyberrisico’s. Ook bestaat de meldplicht datalekken door de intreding van de AVG, met mogelijk boetes als gevolg. Hoewel de meeste bedrijven zich tegenwoordig bewust zijn van deze ontwikkelingen, zijn ze nog vaak slachtoffer van ransomware. Vervolgens onstaat er onduidelijkheid en zelfs disussie tussen de bedrijven en msp’s over de aansprakelijkheid. Er wordt regelmatig naar de msp gewezen als een eindklant slachtoffer wordt van een cyberaanval - met als reden dat de msp immers wordt ingehuurd om het bedrijf te ontzorgen op it-gebied. Ook op het gebied van backup en en cybersecurity. Gaat het mis? Dan is de msp dus verantwoordelijk en aansprakelijk. Zo eenvoudig is de situatie echter vaak niet. Het is belangrijk om te kijken naar de afspraken die zijn gemaakt. Heeft de msp bijvoorbeeld geadviseerd om business continuity and disaster recovery (bcdr)- en security-oplossingen af te nemen? En wat heeft de klant met dat advies gedaan?

Onwetenheid bij het mkb

Msp’s proberen klanten zo goed mogelijk te adviseren over de benodigde security- en business continuity-oplossingen. Toch komen er situaties voor waarin het advies niet wordt opgevolgd door de klant. De oorzaak is vaak een gebrek aan bewustzijn van de gevaren. Ze denken dat ze waarschijnlijk geen slachtoffer zullen worden, waardoor het de investering niet waard is.

Mkb’ers hebben vaak geen eigen it-afdeling, en daardoor kan de combinatie van eigen kennis en financiële belangen ervoor zorgen dat er verkeerde keuzes vallen. De kennis en het advies van msp’s en leveranciers is in dit soort situaties van groot belang. Het is de taak van msp’s om hun eindklanten op de hoogte te stellen van de risico’s die ze lopen. Ook als de eindklant ervoor kiest de risico’s te negeren, moeten de grote consequenties duidelijk zijn. Het mkb denkt nog vaak (onterecht) dat cybercriminelen zich niet richten op de kleinere partijen. Maar élk bedrijf kan slachtoffer worden van een hack, ongeacht de grootte, branche of locatie.

Daarnaast gaan veel mkb-bedrijven er ten onrechte vanuit dat het steeds grotere aantal cloud- en saas-oplossingen dat ze gebruiken automatisch door de aanbieder wordt beveiligd. Ook worden er niet automatisch backups gemaakt van de data die zich in Microsoft 365 bevindt. De gebruiker moet er zelf voor zorgen dat er backups worden gemaakt.

Voorkom onduidelijkheden, maak afspraken

Maar hoe voorkom je dat je in een discussie terechtkomt over de schuldvraag? Het is van belang dat msp’s en klanten samen duidelijk vastleggen wat de msp levert, maar ook wat er juist niet geleverd wordt. Specificeer de afspraken in de overeenkomst. Oók als een bcdr-oplossing is geadviseerd, maar door de klant niet wordt afgenomen. Een waiver tekenen waarin neergelegd de gevolgen van deze keuze bij de eindklant, is ook een optie.

Daarnaast kan een cyberriskverzekering een voorwaarde zijn voor het aangaan van een samenwerking. Een cyberriskverzekering vergoedt de kosten die ontstaan bij een datalek en biedt concrete hulp als een incident zich voordoet. Door veel verzekeringen worden zowel de crisiskosten als aansprakelijkheidsschade gedekt. Een dergelijke verzekering wordt steeds vaker als voorwaarde gesteld omdat de klant dan zeker weet dat ze bij de msp terechtkunnen als het aankomt op aansprakelijkheid. Daar zijn ze immers voor verzekerd.

Auteurs: Hans ten Hove, director sales Northern Europe bij Datto, en Joost Schmaal, partner bij advocatenkantoor Kennedy van de Laan