Juridisch medewerker
Isabella Mahieu
AVG, IT-recht, International Media Law
19 juni 2020
Henk Dekker |
- Henk Dekker
- Software
- IT-recht
- Rechtspraak
Wat mag je van een ICT-leverancier verwachten?
Vorige week kwam de zorgplicht van de ICT-leverancier weer even in het nieuws. Diverse media berichtten dat een afnemer van een IT-totaaloplossing schade had geleden ten gevolge van een ransomware-aanval. Deze schade wilde de afnemer – een adminstratiekantoor – op haar ICT-leverancier verhalen.
Wat was er aan de hand?
De afnemer in deze zaak heeft in 2009 aan de Leverancier gevraagd om haar IT-infrastructuur te (her)inrichten. Op basis van dit verzoek is door de leverancier een nieuw netwerk geïnstalleerd. Ook werden door de leverancier herhaaldelijk beheer- en onderhoudswerkzaamheden aan het netwerk verricht.
Ransomware-aanval 8 jaar na implementatie
In 2017 (dus kennelijk 8 jaar na de implementatie van het netwerk) is de afnemer getroffen door een ransomware-aanval, waarbij haar alle bestanden van de server, en de back-up, zijn versleuteld.
Een extern ingehuurd beveiligingsexpert heeft geconstateerd dat de ‘hackers’ zijn binnengedrongen door via poort 443 een RDP-sessie op te bouwen. Dit was mogelijk doordat het ‘backoffice-account’ van de afnemer met een zwak wachtwoord was beveiligd, waardoor toegang tot de server mogelijk was.
De afnemer heeft aan de hackers een bedrag overeenstemmend met de waarde van drie bitcoins betaald, waarna alle bestanden weer zijn ontsleuteld.
Leverancier heeft vervolgens herstelwerkzaamheden uitgevoerd en deze werkzaamheden bij de afnemer in rekening gebracht. De afnemer heeft deze facturen echter onbetaald gelaten, waarna het tot een rechtszaak is gekomen.
Wat vindt het de afnemer?
De afnemer vindt – kortgezegd - dat de Leverancier tekort is geschoten in haar verplichtingen uit de overeenkomst, omdat zij de leverancier de opdracht heeft gegeven een “nieuwe en volledige IT-infrastructuur” aan te leggen en zij desondanks – doordat de beveiliging kennelijk niet op orde was – slachtoffer is geworden van een ransomware-aanval.
Omdat de afnemer met gevoelige gegevens werkt en de Leverancier daarvan op de hoogte was, had Leverancier volgens haar moeten weten dat een adequate beveiliging voor afnemer van groot belang was. Afnemer stelt daarbij ook dat de leverancier in dezen de deskundige partij was, en zij op de deskundigheid van de Leverancier mocht afgaan.
Wat vindt de IT-leverancier?
De IT-leverancier heeft ter zitting erkend dat hij in opdracht van de afnemer een volledige IT-infrastructuur heeft aangelegd en, op afroep, het beheer en onderhoud daarvan verzorgde. De Leverancier geeft aan dat hij wel degelijk beveiligingsmaatregelen (zoals een sterke wachtwoorden, een externe back-up en een firewall) heeft voorgesteld, maar deze door afnemer als ‘te duur’ en ‘te veel gedoe’ van de hand zijn gewezen. Hierdoor heeft Leverancier noodgedwongen de implementatie van extra beveiliging achterwege gelaten en gemakkelijke wachtwoorden ingesteld.
Wat vindt de rechter?
De IT-leverancier heeft ter zitting erkend dat hij in opdracht van de afnemer een volledige IT-infrastructuur heeft aangelegd en, op afroep, het beheer en onderhoud daarvan verzorgde. Hieruit concludeert de rechter dat er tussen partijen een afspraak bestond die inhield dat de Leverancier een ‘totaalpakket’ zou leveren.
De rechter merkt daarbij op dat door de Leverancier ‘onvoldoende gemotiveerd is betwist’ dat Afnemer er vanuit is gegaan én mocht gaan dat Leverancier bij het vervullen van de opdracht een volledige IT-infrastructuur aan te leggen, tevens zorg zou dragen voor een adequate beveiliging.
De rechter besluit: “dat het op de weg van de Leverancier had gelegen de opdracht te weigeren wegens onuitvoerbaarheid, alternatieven aan te dragen of op zijn minst indringend en herhaaldelijk te waarschuwen voor de risico’s die het achterwege laten van een firewall en externe back-up structuur met zich meebrachten. In combinatie met de professionele deskundigheid, kon de Leverancier niet volstaan met een enkele waarschuwing en berusten in de keuzes van de afnemer.”
“Dat Leverancier niet voldoende heeft gewaarschuwd, wordt nog eens onderstreept doordat Leverancier (…) op de vraag of het systeem veilig genoeg was slechts zou hebben geantwoord: ‘er moeten nog een aantal dingen bij’.”
Wel merkt de rechter op dat de afnemer zelf ook een verwijt kant worden gemaakt, door erop te staan dat er eenvoudige wachtwoorden zouden worden gebruikt. Een derde van de schade moet de afnemer daardoor zelf dragen. Rest dus een aansprakelijkheid van twee derde voor de schadevergoeding door de Leverancier.
Wat valt op?
In deze zaak heeft de rechter zich met name laten leiden door een externe deskundige en diens aanbevelingen hoe de netwerkbeveiliging beter had gekund. De rechter neemt de aanbevelingen (sterke wachtwoorden, extra firewall, externe back-ups) dan ook eenvoudigweg over.
Natuurlijk is het achteraf makkelijk praten, zonder de precieze details van de zaak te kennen, maar waarom valt er in de uitspraak geen stelling van de Leverancier te lezen over welke beveiligingsmaatregelen er wél zijn geïmplementeerd? Het binnendringen van de server via poort 443, lijkt immers te wijzen op een SSL-verbinding voor de afstandwerkers. Daarnaast was er wellicht een standaard firewall in het besturingssysteem van kracht.
Waarom is geen verweer geweest over (het gebrek aan) voorzienbaarheid van dit type aanvallen bij de implementatie 10 jaar geleden en een afnemer ook een eigen verantwoordelijkheid heeft na te denken over vernieuwing van de infrastructuur. Het lijkt er immers op dat de aanval met name deze gevolgen heeft gehad, aangezien er zwakke wachtwoorden werden gebruikt.
De uitspraak betreft een IT-implementatie uit 2009, en het beheer (op afroep) daarvan voor een bedrag van €380,- per maand. In de uitspraak wordt met geen woord gerept over wat je voor dit bedrag mag verwachten.
Wat daar ook verder van zij, wees als Leverancier gewaarschuwd over de vergaande zorgplicht, die problematisch kan blijken, indien er geen duidelijke afspraken over de reikwijdte van de dienstverlening zijn gemaakt.
Advies
Uit deze uitspraak blijkt wederom het belang van goede contracten. Door duidelijk af te spreken wat afnemers bij het aangaan van de het contract van je mogen verwachten, kan je voorkomen dat een rechter later bij een geschil zelf mag gaan bedenken wat er onder de verantwoordelijkheid van de leverancier mag worden verstaan.
Daarnaast toont deze uitspraak aan dat het belangrijk is om te blijven communiceren als IT-Leverancier. Leg aan de klant duidelijk de risico’s van een implementatie uit en wijs op de mogelijke gevolgen van het achterwege laten van aanbevolen onderdelen, zodat de klant zelf een afgewogen keuze kan maken.
Advies
Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.
Meer weten? Bel of mail gerust:
T. +31(0)70-3819281
E. info@wisemen.nl
Voor de laatste ontwikkelingen schrijft u zich nu in voor de
Archief
Juridisch medewerker
Femke Prinsen
Internationaal handelsrecht, Intellectuele Eigendom en IT-recht
