Webshops en andere online diensten die uit voorzorg offline zijn gehaald vanwege zorgen over de php2shell-kwetsbaarheid, kunnen gemiste omzet in de regel niet zomaar verhalen op een andere partij. Dat schrijft ict-jurist Arnoud Engelfriet in zijn juridische rubriek op Security.NL. Alleen wanneer contracten of polisvoorwaarden daar expliciet ruimte voor bieden, kan er mogelijk een uitzondering ontstaan.
Bevestigd: preventief offline halen geeft niet automatisch recht op vergoeding
De vraag die op Security.NL centraal staat, is wie aansprakelijk is voor gederfde inkomsten nadat een webshop die PHP gebruikt op dringend advies offline is gehaald. Volgens Engelfriet kozen veel site-aanbieders of hostingpartijen ervoor om websites preventief uit te schakelen vanwege zorgen over de impact van de php2shell-kwetsbaarheid.
Wanneer een ondernemer zelf besluit zijn site tijdelijk offline te halen, ligt de juridische beoordeling volgens Engelfriet vrij duidelijk: dat is een eigen keuze. Ook als die keuze is ingegeven door een verstandig beveiligingsadvies, zoals een waarschuwing van het Nationaal Cyber Security Centrum, ontstaat daarmee nog geen zelfstandig recht op schadevergoeding. Het omzetverlies valt dan in beginsel onder het normale ondernemersrisico.
Dat is relevant voor webwinkels, SaaS-aanbieders en andere organisaties die voor hun inkomsten afhankelijk zijn van continue online beschikbaarheid. Een preventieve shutdown kan forse gevolgen hebben voor bezoekersaantallen, bestellingen of dienstverlening, maar die financiële schade is juridisch iets anders dan schade door een aantoonbare aanval of storing.
Rol van de hoster: contract en zorgplicht zijn doorslaggevend
De situatie wordt ingewikkelder wanneer niet de klant, maar de hostingprovider besluit om websites offline te halen. In formele zin levert het uitschakelen van een site een tekortkoming op: de afgesproken hostingdienst wordt immers niet geleverd. De juridische vervolgvraag is of die tekortkoming ook verwijtbaar is.
Volgens Engelfriet hangt dat vooral af van wat klant en hoster hebben afgesproken over beschikbaarheid, noodonderhoud en beveiligingsincidenten. Contracten, service level agreements en algemene voorwaarden kunnen bepalen wanneer een provider mag ingrijpen en welke compensatie eventueel geldt bij downtime.
Als daarover niets concreets is vastgelegd, komt de algemene zorgplicht van de hoster in beeld. Een provider moet ervoor zorgen dat de dienst goed functioneert, maar ingrijpen bij een ernstig beveiligingsrisico kan juist onderdeel zijn van zorgvuldig handelen. Een zwaarwegend advies van het NCSC weegt daarbij volgens Engelfriet zwaar. Een hoster die zo’n overheidsadvies volgt, zal niet snel wegens wanprestatie aansprakelijk zijn, mits daarna zo snel als haalbaar wordt gepatcht en de sites weer online worden gebracht.
NCSC-melding van 23 oktober verandert eerdere keuzes niet
Engelfriet wijst erop dat het NCSC op 23 oktober meldde dat exploitatie ingewikkelder bleek dan aanvankelijk werd ingeschat en dat de kans op grootschalig misbruik kleiner was. Dat inzicht helpt volgens hem echter niet om eerdere besluiten achteraf als onjuist te bestempelen. Op het moment van handelen moesten organisaties afgaan op de informatie die toen beschikbaar was.
Daarmee onderstreept de kwestie een terugkerend dilemma in incidentrespons: wie wacht op volledige zekerheid kan te laat zijn, maar wie vroeg ingrijpt kan omzet mislopen. Juridisch is vooral van belang of een besluit op dat moment redelijk en verdedigbaar was, niet of achteraf bleek dat het risico minder groot was dan gevreesd.
Cyberverzekering biedt niet altijd dekking
Ook een cyberverzekering is geen vanzelfsprekende oplossing. Veel polissen dekken bedrijfsschade na een hack of systeemuitval, maar dat betekent niet automatisch dat omzetverlies door een preventieve sluiting zonder daadwerkelijk incident wordt vergoed.
Volgens Engelfriet moet daarvoor nauwkeurig naar de polisvoorwaarden worden gekeken. De centrale vraag is of een bedrijfsonderbrekingsincident ook ziet op het redelijkerwijs noodzakelijk uitschakelen van systemen om gevolgen van bijvoorbeeld een beveiligingsfout of programmeerfout te voorkomen.
Hij verwijst daarbij naar artikel 6:96 lid 2 onder a van het Burgerlijk Wetboek, waarin redelijke kosten ter voorkoming of beperking van verwachte schade als schadepost worden genoemd. Die categorie wordt volgens hem beperkt uitgelegd. Als voorbeeld noemt hij een zaak uit 2023 waarin een bedrijf een productiemachine uit voorzorg buiten gebruik hield na eerdere storingen. De rechtbank vond die keuze bedrijfseconomisch begrijpelijk, maar het omzetverlies werd niet als bereddingskosten gedekt omdat de toekomstige schade onvoldoende onmiddellijk dreigend was.
Analyse: les voor organisaties
De juridische analyse maakt duidelijk dat technische noodmaatregelen niet los te zien zijn van contractbeheer en verzekeringsvoorwaarden. Voor organisaties is vooral van belang dat vooraf helder is wie bij een ernstig beveiligingsrisico mag beslissen over het offline halen van systemen, welke beschikbaarheidsafspraken gelden en of preventieve maatregelen onder een verzekering vallen.
Voor particulieren en kleine ondernemers die afhankelijk zijn van hostingdiensten laat de kwestie zien dat algemene aannames over compensatie riskant zijn. Downtimecompensatie, als die al bestaat, ziet vaak op de dienst zelf en niet automatisch op gemiste omzet. De broninformatie biedt geen basis om te stellen dat in de php2shell-situatie standaard schadevergoeding verschuldigd is.
Bron en verdere informatie
Dit artikel is gebaseerd op de juridische analyse van Arnoud Engelfriet op Security.NL:
