ICT-beheerder niet aansprakelijk voor cyberaanval bij gemeente Hof van Twente

Rechtbank Overijssel 10 mei 2023, IT 5564; ECLI:NL:RBOVE:2023:1731 (de gemeente tegen [gedaagden]). Op 1 december 2020 werd de gemeente Hof van Twente getroffen door een cyberaanval waarbij systemen van het gemeentelijke netwerk en de back-up werden versleuteld en ontoegankelijk gemaakt en meerdere virtuele servers werden verwijderd. De gemeente stelde haar ICT-beheerder [bedrijf 1] aansprakelijk en vorderde onder meer ontbinding van de overeenkomst, terugbetaling van € 47.693,13 en bijna € 4 miljoen schadevergoeding wegens toerekenbare tekortkoming, schending van de zorgplicht en onrechtmatige daad. De rechtbank stelt voorop dat de verplichtingen van [bedrijf 1] moeten worden vastgesteld aan de hand van de aanbestedingsstukken, uitgelegd tegen de achtergrond van het EU-rechtelijke transparantiebeginsel. Partijen waren functionele monitoring overeengekomen, gericht op beschikbaarheid, capaciteit en performance van servers, opslag en netwerkvoorzieningen, maar geen security monitoring van beveiligingsincidenten. Ook waren de Baseline Informatiebeveiliging Nederlandse Gemeenten en de Baseline Informatiebeveiliging Overheid niet als zelfstandige contractuele normen van toepassing geworden. De gemeente had bovendien bewust eigen beheerrechten behouden, waaronder een door haarzelf beheerd domain-adminaccount met de hoogste rechten.

De rechtbank oordeelt dat [bedrijf 1] haar contractuele verplichtingen niet heeft geschonden. Niet is voldoende onderbouwd dat de ongeautoriseerde inlogpogingen, het openzetten van de RDP-poort of andere beveiligingsincidenten binnen de overeengekomen functionele monitoring tot een melding hadden moeten leiden. Ook ten aanzien van de back-up, antivirusvoorzieningen en firewall is onvoldoende onderbouwd dat [bedrijf 1] tekortgeschoten is. Daarbij weegt mee dat de cyberaanval mede mogelijk is gemaakt doordat een medewerker van de gemeente zonder melding aan [bedrijf 1] een RDP-poort naar het internet had opengezet en een zwak wachtwoord was ingesteld op het door de gemeente beheerde account. Daarnaast had [bedrijf 1] de gemeente gewaarschuwd voor beveiligingsrisico’s en voorstellen gedaan voor onder meer back-up hardening en aanvullende antivirusmaatregelen, waarop de gemeente niet was ingegaan. Voor zover naast de contractuele verplichtingen nog ruimte bestaat voor een afzonderlijke zorgplicht, strekt die volgens de rechtbank in dit geval niet zo ver dat niet overeengekomen security monitoring alsnog onderdeel wordt van de dienstverlening. Van onrechtmatig handelen is evenmin sprake. De vorderingen van de gemeente worden daarom afgewezen en zij wordt veroordeeld in de proceskosten.

onrechtmatige daad

4.5.

De gemeente heeft aan haar stelling dat [bedrijf 1] onrechtmatig heeft gehandeld geen andere feiten en omstandigheden ten grondslag gelegd, dan die hiervoor al zijn besproken. De rechtbank is van oordeel dat niet is gebleken dat [bedrijf 1] contractuele verplichtingen niet is nagekomen of onzorgvuldig heeft gehandeld jegens de gemeente, zodat van onrechtmatig handelen van [bedrijf 1] geen sprake kan zijn.

4.6.

Nu de gemeente haar stellingen dat [bedrijf 1] tekortgeschoten is in de nakoming van haar verplichtingen uit hoofde van de overeenkomst van partijen, dan wel haar zorgplicht heeft geschonden, dan wel onrechtmatig jegens haar heeft gehandeld onvoldoende feitelijk heeft onderbouwd, is voor bewijslevering geen plaats.

4.7.

Op grond van hetgeen hiervoor is overwogen, is de rechtbank van oordeel dat [bedrijf 1] niet schadeplichtig is jegens de gemeente, en daarmee ook [bedrijf 2] niet.

4.8.

De vorderingen van de gemeente zullen worden afgewezen. Als de in het ongelijk gestelde partij zal de gemeente worden veroordeeld in de proceskosten, aan de zijde van [bedrijf 1] en [bedrijf 2] begroot op € 8.519,- aan griffierecht en € 14.864,50 (3,5 punten x tarief VIII ad € 4.247,- per punt) aan salaris van hun advocaat, te vermeerderen met de nakosten en wettelijke rente over de kosten als na te melden.