Cyberverzekeraar moet betaald losgeld vergoeden ondanks beroep op Amerikaanse sanctieregelgeving

Hof Den Haag 13 oktober 2026, IT 5642; ECLI:NL:GHDHA:2026:3005 ([appellante] tegen [geïntimeerde]). Het hof oordeelt dat een cyberverzekeraar het door een verzekerde betaalde losgeld na een ransomwareaanval moet vergoeden, omdat niet is komen vast te staan dat de uitkering in strijd zou zijn met Amerikaanse sanctieregelgeving. De zaak betreft een onderneming in de logistieke dienstverlening die in februari 2021 slachtoffer werd van een cyberaanval met de ransomware DoppelPaymer, waarbij ook de malware Dridex werd gebruikt. Een groot deel van het netwerk werd versleuteld, vitale back-upsystemen werden getroffen en ten minste 13.228 bestanden werden buitgemaakt. De onderneming betaalde vervolgens losgeld aan de hackers en vorderde vergoeding van deze betaling en de daarmee samenhangende kosten op grond van haar cyberverzekering. De verzekeraar weigerde uitkering, omdat het losgeld volgens haar waarschijnlijk ten goede was gekomen aan de Russische hackersgroep Evil Corp, die op de sanctielijst van de Amerikaanse Office of Foreign Assets Control (OFAC) staat. Zij beriep zich onder meer op twee bepalingen uit de polisvoorwaarden die volgens haar uitsloten dat zij in strijd met sanctieregelgeving dekking moest verlenen. Het hof stelt voorop dat de verzekeraar heeft erkend dat het betaalde losgeld in beginsel onder de dekking van de cyberverzekering valt. De polisvoorwaarden moeten volgens de Haviltex-maatstaf worden uitgelegd, waarbij vanwege het ontbreken van onderhandelingen over de betreffende bepalingen vooral gewicht toekomt aan hun bewoordingen en aan de polisvoorwaarden als geheel. Artikel 4.1 betreft uitsluitend het territoriale dekkingsgebied en bevat geen zelfstandige sanctieclausule. Artikel 4.28 vormt daarentegen wel een dekkingsuitsluiting, waarvan de verzekeraar de toepasselijkheid moet stellen en zo nodig bewijzen. Deze bepaling staat weigering van uitkering alleen toe wanneer de uitkering een inbreuk op sanctiewet- en regelgeving zou vormen. De enkele mogelijkheid dat sancties worden opgelegd of onzekerheid over de toepasselijkheid van sanctieregelgeving is daarvoor onvoldoende.

Het hof oordeelt vervolgens dat de verzekeraar onvoldoende heeft toegelicht dat de Amerikaanse overheid sancties kan en zal opleggen aan een in Frankrijk gevestigde verzekeraar wegens een uitkering aan een Nederlandse verzekerde. Dat eventueel sancties zouden kunnen worden opgelegd aan haar Amerikaanse moeder- of zustervennootschap, brengt volgens het hof evenmin mee dat de sanctieclausule van toepassing is, omdat deze ziet op een uitkeringsverbod voor de verzekeraar zelf. Bovendien hebben de door de verzekeraar aangehaalde waarschuwingen van OFAC betrekking op mogelijke sanctierisico's bij het verrichten of faciliteren van ransomwarebetalingen, terwijl de verzekerde het losgeld reeds zelf had betaald. Ook uit de overgelegde juridische opinie volgt niet dat in dit geval sancties zullen worden opgelegd. Het hof betrekt verder in zijn beoordeling dat OFAC, ondanks een verzoek om toestemming voor de vergoeding van het losgeld, gedurende meerdere jaren geen sancties heeft opgelegd en weinig voortgang heeft gemaakt met de behandeling van het verzoek. Het beroep op de sanctieclausule faalt daarom, evenals het beroep op overmacht en de beperkende werking van de redelijkheid en billijkheid. Het hof bekrachtigt het vonnis van de Rechtbank Rotterdam, waarbij de verzekeraar was veroordeeld tot vergoeding van het betaalde losgeld en de daarmee samenhangende kosten, onder aftrek van het eigen risico. Ook het incidentele hoger beroep van de verzekerde, waarin zij een hogere vergoeding van buitengerechtelijke advieskosten verlangt, wordt verworpen omdat deze kosten onvoldoende met bewijsstukken zijn onderbouwd. Het hof verklaart zijn arrest uitvoerbaar bij voorraad en veroordeelt de verzekeraar in de proceskosten van het principale hoger beroep.

Beoordeling incidenteel hoger beroep

4.26

[geïntimeerde] vordert vergoeding van advieskosten die zij heeft gemaakt in de periode vóór de gerechtelijke procedure. [geïntimeerde] begroot deze kosten op € 41.425,5 en vordert betaling van dit bedrag, dan wel een door het hof redelijk geacht bedrag. Zij heeft zowel haar Nederlandse advocaat als haar Amerikaanse advocaat moeten inschakelen om onder andere Amerikaanse sanctieregelgeving te onderzoeken en met de advocaten van [appellante] te corresponderen, ook over de licentieaanvraag bij OFAC. [geïntimeerde] heeft in eerste aanleg bewijs aangeboden bestaande uit het overleggen van facturen met onderbouwing. In hoger beroep heeft [geïntimeerde] aangevoerd dat zij geen gerenommeerde Amerikaanse advocaat bereid heeft gevonden om een deskundigenbericht te schrijven, in verband met de commerciële positie van [moedervennootschap] . Uiteindelijk heeft zij wel een gerenommeerde advocaat bereid gevonden om haar te adviseren. De kosten die daarmee gemoeid waren, kan [geïntimeerde] niet in rechte staven, naar het hof begrijpt omdat ook deze advocaat buiten beeld wenst te blijven. Het gaat echter, aldus [geïntimeerde] , om gebruikelijke en redelijke kosten.

4.27

De rechtbank heeft een bedrag van € 6.775,- aan vergoeding van buitengerechtelijke kosten toegewezen en het meer gevorderde afgewezen. Het hof oordeelt dat aan volledige toewijzing van de gevorderde vergoeding in ieder geval in de weg staat dat [geïntimeerde] de door haar gemaakte kosten niet heeft gestaafd met bewijsstukken zoals facturen. Hierdoor is niet inzichtelijk welke werkzaamheden de Amerikaanse advocaat heeft verricht en of de daarmee gemoeide kosten redelijk zijn. Daarnaast heeft [geïntimeerde] haar stelling dat vanwege de commerciële positie van [moedervennootschap] geen enkele (gerenommeerde) Amerikaanse advocaat bereid was om [geïntimeerde] in naam te adviseren, onvoldoende onderbouwd. Bewijs hiervan is niet overgelegd.

Conclusie en proceskosten

4.28

De conclusie is dat het hoger beroep van [appellante] niet slaagt. Het incidenteel hoger beroep van [geïntimeerde] slaagt evenmin. Daarom zal het hof het vonnis bekrachtigen.