Op wie kun je gederfde inkomsten door het preventief offline halen van een website verhalen?

In dit artikel:

Wie een webshop of andere website zelf offline haalt na het dringende beveiligingsadvies van het NCSC over de php2shell-kwetsbaarheid, kan gederfde omzet doorgaans niet verhalen. Het opvolgen van een verstandig overheidsadvies maakt het ondernemersrisico niet automatisch tot schade waarvoor een ander aansprakelijk is.

Als de hoster de site uitschakelde, hangt aansprakelijkheid af van het contract: afspraken over beschikbaarheid, noodonderhoud en beveiligingsincidenten zijn bepalend. Zonder specifieke afspraken geldt de zorgplicht van de hoster. Offline halen kan dan een gerechtvaardigde veiligheidsmaatregel zijn, zeker gezien de informatie die op dat moment beschikbaar was. De hoster moet wel zo snel mogelijk patchen en de website weer online brengen. Dat het NCSC op 23 oktober meldde dat grootschalig misbruik waarschijnlijker beperkt was, verandert niets aan de beoordeling van een eerdere beslissing.

Een cyberverzekering dekt vaak bedrijfsschade na een hack of systeemuitval, maar preventieve uitschakeling zonder daadwerkelijk incident valt niet vanzelf onder de polis. De verzekerde moet controleren of redelijkerwijs noodzakelijke uitschakeling ter voorkoming van schade is meeverzekerd. Ook het wettelijke begrip ‘redelijke kosten ter voorkoming of beperking van schade’ wordt beperkt uitgelegd: omzetverlies door uit voorzorg stilgelegde systemen is niet zonder meer gedekt.