Een ICT-dienstverlener laat na om Multi-Factor Authenticatie (MFA) in te schakelen op de cloudomgeving van een klant. Een hacker dringt binnen en verbruikt voor meer dan 700.000 euro aan clouddiensten. De distributeur stuurt de factuur naar de dienstverlener. De verzekeraar weigert dekking. Dit rampscenario was recent het onderwerp van een Nederlandse rechtszaak. De kans is groot dat een Belgische rechter tot een gelijkaardig, pijnlijk besluit zou komen: de ICT-dienstverlener betaalt zelf de volledige rekening.<\/p>\n\n\n\n
Een analyse van een Nederlandse uitspraak (ECLI:NL:RBNNE:2024:4317<\/a>) toont aan dat de factuur van de distributeur wordt gezien als een contractuele schuld en niet als \u2018schade aan derden\u2019. Dit cruciale onderscheid zet de dekking van de meeste beroepsaansprakelijkheidsverzekeringen buitenspel.<\/p>\n\n\n\n Om de zaak te begrijpen, moeten we de structuur van de cloud-markt bekijken. Deze werkt vaak in een getrapt systeem:<\/p>\n\n\n\n In deze zaak werd de ICT-dienstverlener ([A]) geconfronteerd met een gigantische factuur van zijn distributeur ([B]), nadat hackers wekenlang ongestoord zo’n 60 virtuele servers hadden laten draaien voor cryptomining. Dit was enkel mogelijk omdat de MFA-beveiliging op de beheersaccount niet was ingeschakeld.<\/p>\n\n\n\n De ICT-dienstverlener ([A]) probeerde de kosten te verhalen op drie partijen, maar faalde in elke vordering:<\/p>\n\n\n\n De rechtbank besloot dat de ICT-dienstverlener ([A]) contractueel verplicht was om de volledige factuur van \u20ac 717.906,13 (excl. btw) aan zijn distributeur ([B]) te betalen.<\/p>\n\n\n\n Hoewel dit een Nederlandse uitspraak is, zou een Belgische rechter hoogstwaarschijnlijk een identieke redenering volgen op basis van het Belgische verbintenissenrecht (Boek 5<\/a>) en buitencontractueel aansprakelijkheidsrecht (Boek 6<\/a>) in het Burgerlijk Wetboek (BW).<\/p>\n\n\n\n Piste 1: De fout van de distributeur (Contractuele aansprakelijkheid)<\/strong><\/p>\n\n\n\n De ICT-dienstverlener ([A]) zou in Belgi\u00eb argumenteren dat de distributeur ([B]) een contractuele fout heeft begaan door zijn advies- en waarschuwingsplicht te schenden (een schending van de uitvoering te goeder trouw, art. 5.73 BW).<\/p>\n\n\n\n Net als de Nederlandse rechter zou de Belgische rechter dit toetsen aan de norm van een “voorzichtig en redelijk persoon”. Deze norm vinden we in het Belgisch recht op meerdere plaatsen terug:<\/p>\n\n\n\n Het feit dat de distributeur een duidelijke e-mail stuurde over de MFA-vereiste, zou zo goed als zeker volstaan om te oordelen dat de distributeur als een voorzichtig en redelijk persoon heeft gehandeld en dus aan zijn plicht heeft voldaan.<\/p>\n\n\n\n Piste 2: Het verbod op rechtsmisbruik (art. 5.73, tweede lid BW)<\/strong> <\/p>\n\n\n\n Dit is de meest waarschijnlijke Belgische invalshoek. De ICT-dienstverlener zou stellen dat de distributeur ([B]) weliswaar recht heeft op betaling, maar dat hij dit recht misbruikt door de onmiddellijke en volledige betaling van +700.000 euro te eisen, wetende dat dit de ICT-dienstverlener in een faillissement kan drijven, terwijl er minder schadelijke manieren zijn om de schuld te innen.<\/p>\n\n\n\n De kans op slagen van dit argument is echter zeer klein. Een rechter zal nagaan of de distributeur handelt op een manier die kennelijk onredelijk is. De rechter zou vaststellen dat:<\/p>\n\n\n\n De Nederlandse rechtbank oordeelde gelijkaardig: dreigen met normale juridische stappen om een rechtmatige vordering te innen, is in principe geen misbruik.<\/p>\n\n\n\n (Noot: In de Nederlandse zaak werd ook de betalingsregeling zelf aangevallen wegens “misbruik van omstandigheden”. Het Belgische equivalent, art. 5.37 BW, zou hier ook falen, omdat er geen sprake was van een “kennelijk onevenwicht” in de betalingsregeling zelf; deze diende enkel om een reeds bestaande schuld af te lossen.)<\/em><\/p>\n\n\n\n Dit is de juridische en strategische kern van de hele zaak. Een beroepsaansprakelijkheidsverzekering dekt doorgaans de financi\u00eble gevolgen van uw aansprakelijkheid (contractueel of buitencontractueel) voor schade berokkend aan uw klant of andere derden.<\/p>\n\n\n\n In de Nederlandse zaak maakte de ICT-dienstverlener ([A]) een cruciale strategische fout. Hij betaalde (een deel van) de factuur aan zijn distributeur ([B]) en probeerde die eigen schuld <\/strong>vervolgens terug te vorderen van zijn verzekeraar ([C]). De verzekeraar weigerde terecht. Een dergelijke verzekeringspolis is geen kredietverzekering; het dekt geen eigen inkoopfacturen, ook niet als die zijn opgelopen door een eigen fout.<\/p>\n\n\n\n Wat was dan de correcte weg geweest om de polis w\u00e9l te activeren? Het antwoord is contra-intu\u00eftief, maar juridisch-technisch noodzakelijk:<\/p>\n\n\n\n De verzekeraar zou dan (normaal gezien) de claim moeten behandelen, de verdediging op zich nemen en de klant schadeloosstellen (wat er in fine op neerkomt dat de factuur van de distributeur wordt betaald via de polis).<\/p>\n\n\n\n De weigering van de verzekeraar ([C]) was dus juridisch waterdicht, omdat de claim verkeerd werd ingesteld. De verzekeraar werd gevraagd een eigen schuld te betalen, terwijl hij enkel aansprakelijkheidsclaims van benadeelde derden (zoals de klant) dekt.<\/p>\n\n\n\n Wat had de ICT-dienstverlener strategisch moeten doen voor verzekeringsdekking?<\/strong> Heeft een distributeur dan nooit een plicht om te monitoren op fraude?<\/strong> Is de factuur van de distributeur nu ‘eigen schade’ (first-party) of ‘schade aan derden’ (third-party)?<\/strong> De verantwoordelijkheid voor basis cyberhygi\u00ebne, zoals het implementeren van MFA, ligt vierkant bij de ICT-dienstverlener die de omgeving beheert. De financi\u00eble gevolgen van een falen hierin zijn niet zomaar af te schuiven op de distributeur of de beroepsaansprakelijkheidsverzekeraar. Zoals deze zaak pijnlijk aantoont, dekt een BA-verzekering de aansprakelijkheid jegens uw klant, niet uw eigen inkoopfacturen. Het correct en strategisch instellen van de verzekeringsclaim is daarbij essentieel.<\/p>\n\n\n\nDe juridische context: de keten van ICT-dienstverlening<\/h3>\n\n\n\n
\n
De beslissing van de rechtbank<\/h3>\n\n\n\n
\n
Juridische analyse en duiding naar Belgisch recht<\/h3>\n\n\n\n
1. De vordering tegen de distributeur (Partij B)<\/h4>\n\n\n\n
\n
\n
2. De vordering tegen de verzekeraar (Partij C)<\/h4>\n\n\n\n
\n
Wat dit concreet betekent<\/h3>\n\n\n\n
\n
\n\n\n\nVeelgestelde vragen (FAQ)<\/h3>\n\n\n\n
De ICT-dienstverlener heeft zijn eigen inkoopfactuur proberen te claimen, wat faalde . De correcte strategie was geweest om de factuur door te sturen naar de eindklant. De eindklant zou (terecht) geweigerd hebben te betalen en de ICT-dienstverlener aansprakelijk hebben gesteld voor de fout. Die <\/em>aansprakelijkheidsclaim van de klant zou desgevallend w\u00e9l een gedekt schadegeval geweest onder de BA-polis.<\/p>\n\n\n\n
Niet automatisch. In deze zaak oordeelde de rechtbank dat de distributeur louter een ‘Indirect Provider’ (tussenschakel) was, een doorgeefluik voor facturatie. Een monitoringplicht bestaat enkel als die expliciet contractueel is overeengekomen of als de distributeur technisch de mogelijkheid en de rol heeft om dit te doen.<\/p>\n\n\n\n
De rechtbank definieerde dit duidelijk: het is een eigen contractuele schuld van de ICT-dienstverlener aan zijn leverancier. Het is geen ‘schade’ in de verzekeringstechnische zin, maar simpelweg de uitvoering van een betalingsverplichting voor (frauduleus) verbruikte diensten.<\/p>\n\n\n\nConclusie<\/h3>\n\n\n\n
\n\n\n\n