Cyberaanval op supermarkten: wat is verzekerd, wat wordt vergoed en wat niet?

Schade aan gekoelde of diepgevroren voorraad is mogelijk verzekerd, maar zeker niet automatisch. Veel supermarkten beschikken naast hun klassieke brandverzekering over een aanvullende waarborg voor koelwaren, handelsgoederen of bederf van goederen. Afhankelijk van de polis kan deze dekking onder meer tussenkomen bij:

• defecten aan koelinstallaties;
• stroomuitval;
• technische storingen;
• fouten in de temperatuurregeling.

Wanneer een cyberaanval rechtstreeks leidt tot het uitvallen of ontregelen van koelinstallaties, zal de verzekeraar doorgaans onderzoeken:

1. wat de precieze oorzaak van de schade was;
2. of er een voldoende rechtstreeks verband bestaat tussen het cyberincident en het bederf van de goederen;
3. of de polis cybergerelateerde schade uitdrukkelijk dekt, beperkt of uitsluit.

In klassieke brand-, machinebreuk- of goederenverzekeringen is cyberrisico niet altijd expliciet geregeld. Daardoor kan discussie ontstaan over de vraag of dergelijke schade onder de bestaande waarborgen valt.

Inschatting: voor verloren voorraad bestaat mogelijk een grotere kans op dekking dan voor andere schadeposten. Dit blijft echter afhankelijk van de specifieke polisvoorwaarden.

De vraag of omzetverlies verzekerd is, ligt meestal een stuk complexer. Een klassieke verzekering tegen bedrijfsschade of bedrijfsonderbreking vergoedt vaak:

• omzetverlies;
• vaste kosten die blijven doorlopen;
• winstderving.

In veel gevallen geldt deze dekking echter alleen wanneer de bedrijfsonderbreking het gevolg is van een vooraf verzekerd schadegeval, zoals brand, waterschade of machinebreuk. Bij een zuiver cyberincident zonder fysieke schade ontstaat daarom regelmatig discussie over de dekking. Moderne cyberverzekeringen dekken vaak expliciet:

• omzetverlies door IT-uitval;
• extra kosten om de activiteiten voort te zetten;
• kosten voor crisismanagement en incident response.

Sommige bedrijfsschadeverzekeringen bevatten daarnaast specifieke uitbreidingen voor de uitval van informaticasystemen, nutsvoorzieningen of bepaalde leveranciers. Ook zonder afzonderlijke cyberpolis kan er dus in bepaalde gevallen gedeeltelijke dekking bestaan.

Inschatting: zonder specifieke cyberwaarborgen is dekking voor bedrijfsonderbreking vaak minder evident en sterk afhankelijk van de gekozen formule.

Hier moet onderscheid worden gemaakt tussen fysieke schade en louter softwarematige schade.

Fysieke schade: wanneer door een cyberincident daadwerkelijk materiële schade ontstaat aan apparatuur — bijvoorbeeld aan controllers, printplaten, compressoren of andere installaties — kan een machinebreuk-, elektronica- of andere technische verzekering mogelijk tussenkomen. Niet de foutieve aansturing op zich, maar de eventuele fysieke beschadiging van de apparatuur is doorgaans bepalend voor de dekking.

Softwarematige schade: bij schade zoals gewiste instellingen, geblokkeerde systemen, ransomware of verlies van digitale gegevens biedt een klassieke machinebreuk- of brandverzekering vaak geen of slechts een beperkte tussenkomst. Dergelijke schade wordt eerder gedekt door een specifieke cyberverzekering, voor zover die werd onderschreven.

Inschatting: fysieke schade aan apparatuur heeft doorgaans meer kans op dekking onder klassieke technische verzekeringen dan louter softwarematige schade.

Op die vraag bestaat geen algemeen antwoord. Mogelijke situaties zijn onder meer:

1. Zelfstandige uitbater: wanneer een zelfstandige uitbater zelf verzekeringnemer is, zal de verzekeraar bij een gedekt schadegeval doorgaans vergoeden volgens de polisvoorwaarden, rekening houdend met eventuele franchises, vrijstellingen en verzekerde limieten.

2. Supermarktketen: bij grotere supermarktketens spelen vaak bijkomende afspraken. Wanneer de keten eigenaar is van de ICT-infrastructuur, het temperatuurbeheer centraal aanstuurt of een groepspolis heeft afgesloten, kunnen de contractuele afspraken bepalen welke partij bepaalde kosten uiteindelijk draagt.

3. Onderhouds-, ICT- of beveiligingsleveranciers: indien uit onderzoek blijkt dat een betrokken dienstverlener contractueel verantwoordelijk was voor het onderhoud, beheer of de beveiliging van het systeem en daarin fouten heeft gemaakt, kan diens aansprakelijkheid mogelijk in het gedrang komen. Dat hangt steeds af van de concrete contractuele verplichtingen en de feitelijke omstandigheden.

4. Leveranciers van software of controlesystemen: wanneer de oorzaak terug te voeren is op een fout in de software, systeemarchitectuur of beveiliging, kunnen contractuele of beroepsaansprakelijkheid een rol spelen. De beoordeling is doorgaans complex en hangt sterk af van de afspraken tussen de betrokken partijen.

Indien een derde aansprakelijk blijkt, kunnen zowel verzekeraars als benadeelden proberen bepaalde schade op die partij te verhalen. Verzekeraars doen dit vaak via een verhaalsactie (subrogatie).

Bij een cyberincident dat de centrale aansturing van koelinstallaties raakt, wordt doorgaans eerst onderzocht:

• waardoor het incident precies werd veroorzaakt;
• welke schade exact werd geleden;
• welke verzekeringen van toepassing zijn;
• of er mogelijk aansprakelijke derden betrokken zijn.

Pas daarna kan worden beoordeeld in welke mate de verloren goederen, de bedrijfsschade, de IT-herstelkosten en eventuele andere schadeposten voor vergoeding in aanmerking komen.