Als netwerkbeheerder aansprakelijk wanneer netwerk van klant gehackt wordt?

Beste mensen,

Als IT bedrijf doe je natuurlijk uitstekend je best om het netwerk van een klant te beschermen tegen bijvoorbeeld hackers.

Maar in hoeverre ben je aansprakelijk als een hacker bij jouw klant' netwerk binnen komt en bijvoorbeeld de bestanden verwijdert of zelfs ten nadele gebruikt?

Kan de klant in zo'n geval alle kosten op jouw verhalen?
Hoe dien je je als netwerkbeheerder hier tegen te beschermen?

[hoffit]

Gebruik je algemene voorwaarden? Ben je een inspannings- of een resultaatverplichting aangegaan in je contract? Wat is het niveau van kennis van de klant? Ben je verantwoordelijk of adviseer je?

Heel veel vragen die er allemaal op neer komen in welke mate jij juridisch en moreel verantwoordelijk kunt zijn voor beveiliging. Gezien het feit dat niemand kan garanderen dat het netwerk niet gehackt wordt, zou ik streven naar een inspanningsverplichting. D.w.z. dat je naar eer en geweten je uiterste best doet om het netwerk zo veilig mogelijk te maken. Garanties kun je m.i. nooit geven. E.e.a. moet je ook duidelijk met redenen omkleed naar je klant communiceren. Als die denkt een betere te vinden die wel waterdichte garanties geeft moet hij vooral in zee gaan met die ander.

Beste Hoffit,

Dank je voor je reaktie.

Ik begrijp dat het verstandig is dit in het contract/voorwaarden terug te laten komen. Het is natuurlijk een lastig verhaal, omdat je je klant ook niet wilt afschrikken natuurlijk.

Zijn er misschien verzekeringen die je voor dit soort calamiteiten indekken?

[René]

Oorspronkelijk geplaatst door Sneeuw

Zijn er misschien verzekeringen die je voor dit soort calamiteiten indekken?

Dit is typisch iets voor een beroepsaansprakelijkheidsverzekering.

Het is natuurlijk een lastig verhaal, omdat je je klant ook niet wilt afschrikken natuurlijk.

Een advocaat heeft me daarom weleens aanbevolen om in mijn voorwaarden op te nemen dat mijn aansprakelijkheid beperkt is tot het door de verzekering uit te keren bedrag. Zodoende hoef je niet al te veel uit te sluiten en loop je zelf weinig risico.

Dat komt op mij een tikje dubieus over, maar het is in de advocatuur zelf een heel gebruikelijke constructie.

[hoffit]

Een beroepsaansprakelijkheid verzekering lijkt me sowieso aan te bevelen, maar of dat ook dit soort schade dekt? Er is hier niet zozeer sprake van een fout van de consultant, als wel een vorm van overmacht. Een hacker die vastbesloten is zal altijd een weg vinden. Daar is nu eenmaal niets definitief tegen te beveiligen c.q. valt buiten de macht van de consultant.

Je kunt het hoogstens zo moeilijk mogelijk maken (inspanningsverplichting). Ik vraag me dan ook af of een verzekeraar dit soort schade wil dekken? Wie het weet mag het zeggen.

[René]

Oorspronkelijk geplaatst door hoffit

Een beroepsaansprakelijkheid verzekering lijkt me sowieso aan te bevelen, maar of dat ook dit soort schade dekt?

Hij dekt niet zozeer schade, hij dekt aansprakelijkheid. Met een paar mitsen en maren (eigen schuld, opzet e.d.) geldt: als je aansprakelijk bent voor een beroepsfout dan is dat gedekt, als je het niet bent dan heb je geen probleem

Een hacker die vastbesloten is zal altijd een weg vinden.

Hackers maken vrijwel altijd gebruik van fouten. Ontwerpfouten, programmeerfouten, procedurele fouten etc. Waar gehackt wordt is een fout gemaakt, waar een fout gemaakt is kan aansprakelijkheid in het geding zijn.

Maar niet per se van de installateur/consultant natuurlijk, het zal meestal een fout zijn in een hardware/software-product van een leverancier. Het lijkt me dat je daar normaliter niet aansprakelijk voor bent, tenzij het gaat om een fout waarvan je had moeten weten en waartegen je maatregelen had moeten nemen (bijvoorbeeld als er een 'security advisory' is gepubliceerd, en je hebt nagelaten daar iets mee te doen).

Ik vraag me dan ook af of een verzekeraar dit soort schade wil dekken?

Het vinden van een beroepsaansprakelijkheidsverzekering kan voor een ict'er inderdaad knap lastig zijn.