Blog
Published
Reading time
Auteur
De rechtbank Overijssel heeft in mei 2023 [1] het zwaarwegende belang van de juiste contractuele cybersecurity-afspraken in IT-overeenkomsten wederom bevestigd. Men neemt vaak aan dat het verkleinen van cybersecurityrisico’s een technische aangelegenheid is, maar in werkelijkheid is het juiste contract een uiterst belangrijk preventiemiddel. Het belang van de waarschuwingsplicht van een IT-leverancier speelt een belangrijke rol: een juiste uitvoering daarvan beïnvloedt diens verantwoordelijkheid bij gerealiseerde cybersecurityrisico’s.
In december 2020 kreeg de gemeente Hof van Twente te maken met een cyberaanval: systemen inclusief de back-up werden versleuteld en daardoor ontoegankelijk gemaakt. Ook werden veel van de virtuele servers verwijderd. Op het moment van de cyberaanval had het Hof van Twente een lopende overeenkomst met een IT-leverancier voor het beheer van de IT-systemen. Deze overeenkomst was tot stand gekomen na een Europese uitbesteding, waarmee het aanbestedingsrechtelijke transparantiebeginsel ook van toepassing is. Het Hof van Twente was onder meer van mening dat de IT-leverancier diens contractuele verplichtingen en de zorgplicht had geschonden nu een cyberaanval had kunnen gebeuren. Daarvoor gebruikte het Hof van Twente bijzondere beeldspraak: “de IT-leverancier diende het kasteel (netwerk) te voorzien van een slotgracht, muren en bewakers zodat het niet kon worden binnengevallen en heeft verzuimd dat te doen.” Dit resulteerde in een schadevergoedingsvordering van zo’n vier miljoen euro. Saillant detail is dat de rechter op een mooie wijze meeging in deze beeldspraak. Deze rechter oordeelde namelijk dat de IT-leverancier wel degelijk een slotgracht, muren en bewakers heeft geplaatst, maar dat het Hof van Twente zélf de door haar beheerde achterdeur met toegang tot haar kasteel heeft opengezet. Het Hof van Twente had zelf de spreekwoordelijke brug naar beneden gelaten (vanwege het openzetten van een Remote Desktop-poort) en een gemakkelijk code (een wachtwoord) voor het openen van die deur ingesteld. Hieronder gaan we nader in hoe de rechtbank tot diens oordeel kwam.
De rechter is het met het Hof van Twente eens dat de gemaakte contractuele afspraken gericht waren op het detecteren van mogelijke risicovolle situaties binnen de IT-infrastructuur van het Hof van Twente door de IT-leverancier. Het gaat daarin echter níet om het detecteren van beveiligingsrisico’s (security monitoring) maar om risico’s voor het functioneren van de IT-infrastructuur (functionele monitoring). Een beveiligingsrisico hoeft namelijk niet meteen te betekenen dat de elementen in een IT-infrastructuur ook minder functioneren. De overeengekomen proactieve monitoring zag toe op het functioneren van netwerkvoorzieningen, servers en opslag, zoals het signaleren van verminderde capaciteit in de opslagvoorzieningen. Een voorbeeld hiervan is een brute force aanval, bij dit type functionele monitoring zal een melding gegenereerd worden als dit ook invloed heeft op het functioneren van het netwerk. Bij functionele monitoring zal een ongeautoriseerde inlogpoging dus pas voor een melding zorgen als dit de beschikbaarheid van het netwerk negatief beïnvloedt. Ook uit de aanbestedingsstukken valt volgens de rechter niet af te leiden dat er een verplichting bestaat voor de IT-leverancier om de functionele monitoring zo in te richten dat deze ook beveiligingsincidenten zonder enige impact op de functionele aspecten zou melden.
Partijen waren daarnaast overeengekomen dat het informatiebeveiligingsbeleid ‘moest voldoen aan het informatiebeveiligingsbeleid van het Hof van Twente, dat gebaseerd is op de Baseline Informatiebeveiliging Gemeenten (BIG)’. De rechter oordeelt dat enkel een verwijzing naar het BIG in de overeenkomst, nog niet betekent dat de BIG en eventuele daaruit volgende beveiligingsverplichtingen dan onderdeel uitmaken van de overeenkomst en dus daarmee daarin opgenomen verplichtingen.
Ook de zorgplicht van de IT-leverancier gaat niet verder dan de functionele monitoring: “Via de achterdeur van de zorgplicht kunnen de bepalingen van BIG en BIO (Baseline Informatiebeveiliging Overheid) die zien op security aspecten die bij monitoring van de performance, capaciteit en beschikbaarheid van de servers, opslag en netwerkvoorzieningen niet aan het licht komen, niet tot verplichtingen voor [bedrijf 1] (de IT-leverancier) worden gemaakt.”[2] Daarin neemt de rechter een stellige positie in. Mede vanwege het transparantiebeginsel uit het aanbestedingsrecht, mogen er in beginsel geen verplichtingen zijn voor partijen anders dan die zijn opgenomen in de aanbestedingsstukken en de overeenkomst. De rechter oordeelt dus in deze zaak dat eventuele beveiligingsverplichtingen op basis van de zorgplicht niet van toepassing zijn als deze niet zijn opgenomen in de aanbestedingsstukken en/of overeenkomst.
Daarnaast is van belang om te noemen dat de IT-leverancier het Hof van Twente wél heeft gewaarschuwd over risico’s van bepaalde keuzes van het Hof van Twente. Bijvoorbeeld waarschuwingen over het door het Hof van Twente zelf in beheer houden van een eigen account (weet u nog: de brug naar de achterdeur van het kasteel) en het uitbrengen van een offerte over het aanpassen van de wijze waarop back-ups kunnen worden ingericht om precies die cyberaanvallen te voorkomen waar het Hof van Twente mee te maken heeft gehad. Deze waarschuwingen zijn door het Hof van Twente niet opgevolgd. Daarbij had het Hof van Twente een te gemakkelijk wachtwoord gekozen (de code van de achterdeur, om bij de beeldspraak te blijven). Het Hof van Twente heeft daarmee de invulling van de zorgplicht door de IT-leverancier verhinderd, aldus de rechter. Dit is ook in lijn met eerdere jurisprudentie waarin een steeds zwaarder gewicht wordt toegekend aan de rol van IT-leveranciers om afnemers te waarschuwen over (het mitigeren van) beveiligingsrisico’s.[3] Dat ontslaat een afnemer dan ook niet van de verplichting om zorgvuldig om te gaan met de informatie die ontvangen wordt. Als een afnemer vervolgens de waarschuwingen negeert, zal dat impact hebben op de kans van slagen van diens vordering jegens de IT-leverancier.
Zoals ook in onze vorige blogpost werd benadrukt, beïnvloedt de zorgplicht van de IT-leverancier bestaande én ontbrekende contractuele afspraken. Deze uitspraak geeft ook mooi de grenzen aan van de contractuele impact van de zorgplicht: als een IT-leverancier behoorlijk heeft gewaarschuwd én geïnformeerd, hoeft dit niet te betekenen dat de zorgplicht óók aanvullende en zwaardere (beveiligings)verplichtingen met zich meebrengt. Daarbij laat deze casus nog eens duidelijk zien dat het expliciet maken en contracteren van de verwachtingen van cybersecurity van wezenlijk belang is, vooral in de huidige tijd waarin ransomware voor elke onderneming een bedreiging vormt. Om vast te houden aan de beeldspraak: een volledig contract is als een rots in de branding in de strijd tegen cybersecurityrisico’s.
[1] Rechtbank Overijssel, 10 mei 2023, ECLI:NL:RBOVE:2023:1731
[2] Idem, r.o. 4.4.2
[3] Rechtbank Amsterdam, 14 november 2018, ECLI:NL:RBAMS:2018:10124