ICT-beheerder niet aansprakelijk voor cyberaanval bij gemeente Hof van Twente
Rechtbank Overijssel 10 mei 2023, IT 5564; ECLI:NL:RBOVE:2023:1731 (de gemeente tegen [gedaagden]). Op 1 december 2020 werd de gemeente Hof van Twente getroffen door een cyberaanval waarbij systemen van het gemeentelijke netwerk en de back-up werden versleuteld en ontoegankelijk gemaakt en meerdere virtuele servers werden verwijderd. De gemeente stelde haar ICT-beheerder [bedrijf 1] aansprakelijk en vorderde onder meer ontbinding van de overeenkomst, terugbetaling van € 47.693,13 en bijna € 4 miljoen schadevergoeding wegens toerekenbare tekortkoming, schending van de zorgplicht en onrechtmatige daad. De rechtbank stelt voorop dat de verplichtingen van [bedrijf 1] moeten worden vastgesteld aan de hand van de aanbestedingsstukken, uitgelegd tegen de achtergrond van het EU-rechtelijke transparantiebeginsel. Partijen waren functionele monitoring overeengekomen, gericht op beschikbaarheid, capaciteit en performance van servers, opslag en netwerkvoorzieningen, maar geen security monitoring van beveiligingsincidenten. Ook waren de Baseline Informatiebeveiliging Nederlandse Gemeenten en de Baseline Informatiebeveiliging Overheid niet als zelfstandige contractuele normen van toepassing geworden. De gemeente had bovendien bewust eigen beheerrechten behouden, waaronder een door haarzelf beheerd domain-adminaccount met de hoogste rechten.