Verzekeringsrecht. Cyberverzekering. Verzekerde heeft na een hack losgeld betaald aan de hackers. Verzekeraar…

Zaaknummer hof : 200.346.879/01

Zaak- en rolnummer rechtbank : C/10/639394 / HA ZA 22-462

Arrest van 13 oktober 2026

in de zaak van

[appellante] ,

gevestigd in [vestigingsplaats] ,

appellante in principaal hoger beroep,

geïntimeerde in incidenteel hoger beroep,

advocaat: mr. A. Hendrikse, kantoorhoudend in Amsterdam,

tegen

[geïntimeerde] ,

gevestigd in [vestigingsplaats] ,

geïntimeerde in principaal hoger beroep,

appellante in incidenteel hoger beroep,

advocaat: mr. A.Ch.H. Franken, kantoorhoudend in Amsterdam.

Het hof noemt partijen hierna [appellante] en [geïntimeerde] .

Het gaat in deze zaak om de vraag of verzekeraar [appellante] uit hoofde van een cyberverzekering moet uitkeren aan verzekerde [geïntimeerde] . Bij [geïntimeerde] heeft zich een cyberaanval voorgedaan. Zij heeft losgeld betaald aan de hackers. [appellante] heeft geweigerd om deze schade te vergoeden. [appellante] gaat ervan uit dat Amerikaanse sanctiewetgeving haar verbiedt om het losgeld te vergoeden. Daarom heeft [appellante] onder andere een beroep gedaan op de dekkingsuitsluiting in de verzekeringsvoorwaarden die inhoudt dat zij niet hoeft uit te keren indien dit een inbreuk zou vormen op sanctiewet- en regelgeving. De rechtbank heeft [appellante] veroordeeld om het losgeld te vergoeden.

Beide partijen hebben hoger beroep ingesteld. Het hof bekrachtigt het vonnis van de rechtbank.

Het verloop van de procedure in hoger beroep blijkt uit de volgende stukken:

• de dagvaarding van 11 september 2024, waarmee [appellante] in hoger beroep is gekomen van het vonnis van de rechtbank Rotterdam van 12 juni 2024 (niet gepubliceerd);

• het exploot van anticipatie van [geïntimeerde] van 3 oktober 2022 [het hof leest: 2024];

• de memorie van grieven van [appellante] , met bijlagen;

• de memorie van antwoord in het principaal appel tevens memorie van grieven in het incidenteel appel van [geïntimeerde] , met bijlagen.

De rechtbank heeft in het bestreden vonnis onder 2.1 tot en met 2.10 de feiten vastgesteld die zij tot uitgangspunt heeft genomen. Met grief 9 betoogt [appellante] dat de rechtbank in r.o. 2.3 de maximale uitkering voor de dekkingsomschrijving in artikel 1.4 van de toepasselijke polisvoorwaarden onvolledig heeft omschreven. [appellante] stelt in de toelichting op deze grief dat de maximale verzekerde som [bedrag] per aanspraak/gebeurtenis en per verzekeringsjaar is. Dat is juist en het hof zal hiermee rekening houden.

Omdat partijen geen grief hebben aangevoerd tegen de overige door de rechtbank vastgestelde feiten zijn deze in hoger beroep niet in geschil en dienen zij derhalve ook het hof als uitgangspunt. Samengevat en waar nodig aangevuld met andere feiten die als enerzijds gesteld en anderzijds niet of onvoldoende betwist zijn komen vast te staan, komen de feiten neer op het volgende.

[geïntimeerde] en haar dochtermaatschappijen zijn actief in de logistieke dienstverlening [...] . [appellante] is een verzekeraar en is onderdeel van de [moedervennootschap] . [...]

[geïntimeerde] heeft een verzekering afgesloten bij [appellante] die dekking biedt tegen schade als gevolg van cyberincidenten (hierna: de cyberverzekering). De ingangsdatum van de polis is 23 november 2018 en is daarna jaarlijks verlengd.

Op de cyberverzekering zijn – voor zover relevant – de polisvoorwaarden [...] 2018-02 (de “polisvoorwaarden”) van toepassing.

Artikel 1.4 van de polisvoorwaarden luidt voor zover relevant als volgt:

Uit het polisblad volgt dat de maximale uitkering voor deze dekkingsomschrijving [bedrag] per aanspraak/gebeurtenis bedraagt per verzekeringsjaar met een eigen risico van [bedrag] per aanspraak/gebeurtenis.

In de nacht van 3 op 4 februari 2021 heeft zich een cyberincident bij [geïntimeerde] voorgedaan. Als gevolg van een cyberaanval is een groot deel van het netwerk van [geïntimeerde] versleuteld geraakt met behulp van ransomware met de naam DoppelPaymer. Daarbij is door de hackers ook gebruikgemaakt van malware met de naam Dridex. Bij de cyberaanval zijn vitale back-upsystemen geraakt en hebben de hackers ten minste 13.228 bestanden weten te exfiltreren (dat is het ongemerkt kopiëren en overdragen van gevoelige gegevens van een beveiligd netwerk naar een externe locatie). Na ontdekking heeft [geïntimeerde] op 4 februari 2021 melding gedaan van dit incident onder de cyberverzekering bij [appellante] en haar [assurantietussenpersoon] . Hierna heeft [appellante] opdracht gegeven aan Crawford & Company Nederland B.V. (hierna: “Crawford”) om als ‘cyber incident manager’ te fungeren in verband met het cyberincident.

[geïntimeerde] heeft vervolgens Northwave Investigation B.V. (hierna: “Northwave”) opdracht gegeven haar te ondersteunen bij de acties in het kader van ‘incident response’.

Northwave heeft op 6 februari 2021 een “Cyber Extortion Notifications-Checklist” (hierna “de checklist”) opgesteld. Northwave heeft volgens deze checklist pogingen gedaan de identiteit van de hacker(s) vast te stellen en naar beste wetenschap verklaard dat de hacker niet kan worden gekwalificeerd als of verwantschap heeft met (een van) de malicious cyber actors die zijn aangewezen als Specially Designated Nationals en Blocked Persons (“SDN”) door de Office of Foreign Assets Control (“OFAC”), te weten de opsporingsinstantie van het ministerie van Financiën van de Verenigde Staten. Ook heeft Northwave naar beste wetenschap verklaard dat de hacker niet op de Europese sanctielijst staat. Ten slotte heeft Northwave aangegeven dat geen redelijk vermoeden bestaat dat het losgeld wordt betaald aan een terroristische organisatie, onderneming of persoon zoals genoemd op de (erkende) sanctielijsten.

Na opstelling van de checklist heeft Northwave namens en voor rekening van [geïntimeerde] op 6 februari 2021 [losgeld betaald aan de hackers] (hierna: de losgeldbetaling).

Crawford heeft na overleg met [geïntimeerde] de schade c.q. kosten van [geïntimeerde] in verband met het cyberincident vastgesteld op [bedrag] exclusief btw. [geïntimeerde] heeft een claim voor vergoeding van deze schade ingediend bij [appellante] .

[appellante] heeft de schade van [geïntimeerde] deels vergoed. Zij heeft geen vergoeding uitgekeerd voor de losgeldbetaling en ook niet voor de door Northwave aan [geïntimeerde] in rekening gebrachte kosten van [bedrag] , voor de onderhandelingen over en betaling van het losgeld (hierna: “de losgeldkosten”).

Bij brief van 20 mei 2021 heeft [geïntimeerde] [appellante] gesommeerd om binnen 14 dagen na dagtekening van de brief het betaalde losgeld ter hoogte van [bedrag] uit te keren. [appellante] heeft daaraan niet voldaan.

[geïntimeerde] heeft [appellante] gedagvaard en heeft betaling van [bedrag] , vermeerderd met rente, gevorderd. Het bedrag van [bedrag] , bestaat uit de losgeldbetaling ( [bedrag] ), minus het eigen risico ( [bedrag] ), plus kosten ( [bedrag] ) die [geïntimeerde] aan Northwave heeft betaald. Zij heeft daartoe een beroep gedaan op nakoming van de (uitkeringsverplichting van [appellante] uit hoofde van de) cyberverzekering. Daarnaast heeft zij vergoeding gevorderd van verschillende buitengerechtelijke kosten, begroot op € 41.425,21, die verband houden met de werkzaamheden van zowel haar Nederlandse als haar Amerikaanse advocaat.

[appellante] heeft als verweer aangevoerd dat zij het losgeld niet mag vergoeden op grond van Amerikaanse sanctiewetgeving, omdat een vergoeding ten gunste zou komen van Evil Corp, een Russische hackersgroep die door OFAC op de SDN-lijst is geplaatst (SDN staat voor ‘Specially Designated Nationals’). [appellante] vreest voor de oplegging van ‘primary sanctions’ en ‘secondary sanctions’. [appellante] heeft een beroep gedaan op de sanctieclausules (zie 3.8 hiervoor), en ook op overmacht en op de beperkende werking van de redelijkheid en billijkheid.

De rechtbank heeft [moedervennootschap] (bedoeld zal zijn [appellante] ) veroordeeld om [bedrag] , aan [geïntimeerde] te betalen, vermeerderd met de wettelijke rente als bedoeld in artikel 6:119 BW met ingang van 3 juni 2021. Ook heeft de rechtbank [appellante] veroordeeld om een bedrag van € 6.775,- aan [geïntimeerde] te betalen ter vergoeding van buitengerechtelijke kosten in de zin van artikel 6:96 lid 2, onder c, BW, eveneens te vermeerderen met de wettelijke rente. [appellante] is ook in de proceskosten veroordeeld. De rechtbank heeft afgewezen wat meer of anders is gevorderd.

[appellante] heeft principaal hoger beroep ingesteld. Zij vordert vernietiging van het vonnis van de rechtbank, veroordeling van [geïntimeerde] tot terugbetaling van € 26.946,88 (de buitengerechtelijke incassokosten en de proceskosten) en veroordeling van [geïntimeerde] in de proceskosten in beide instanties.

[appellante] brengt tien grieven naar voren, die gericht zijn tegen het oordeel van de rechtbank over, kort gezegd, het risico dat secundaire sancties worden opgelegd. [appellante] berust in het oordeel van de rechtbank over het risico dat primaire sancties worden opgelegd.

Grieven 1 tot en met 5 van [appellante] komen erop neer dat de rechtbank (i) er ten onrechte van is uitgegaan dat de bewijslast ten aanzien van de toepasselijkheid van de sanctieclausules bij [appellante] ligt, (ii) een onjuiste toetsingsmaatstaf heeft toegepast in r.o. 4.29 van het vonnis met haar overweging dat de kans op secundaire sancties aanzienlijk genoeg moet zijn, (iii) een onjuiste interpretatie van het Amerikaanse sanctierecht heeft gegeven, (iv) onvoldoende aandacht heeft besteed aan bepaalde stellingen van [appellante] en (v) ten onrechte geen aandacht heeft besteed aan de vraag of Amerikaanse sanctieregels ook van toepassing zijn op het geval waarin de verzekeraar het losgeld vergoedt dat reeds door de verzekerde aan de hackers is betaald. Volgens [appellante] is dat laatste het geval. Met grief 6 voert [appellante] aan dat de rechtbank niet mocht terugkomen van de mededeling van de voorzitter op de zitting van 30 januari 2023 dat de rechtbank behoefte heeft aan voorlichting door een deskundige. Grief 7 bestrijdt de conclusies die de rechtbank heeft getrokken in r.o. 4.33-4.35. Grief 8 ziet op de veroordeling van [appellante] in de buitengerechtelijke kosten en de proceskosten. Grief 9 wijst er voor de volledigheid op dat de maximale verzekerde som [bedrag] per aanspraak/gebeurtenis en per verzekeringsjaar is. Grief 10 heeft betrekking op de verhouding tussen [appellante] en Crawford.

Het hof zal het vonnis van de rechtbank bekrachtigen, om de hiernavolgende redenen.

[appellante] heeft erkend dat er in beginsel dekking is onder de cyberverzekering voor het betaalde losgeld (zie rn. 5.10 van de conclusie van antwoord en p. 6 van het proces-verbaal van de zitting van 30 januari 2023), maar heeft uitkering geweigerd met een beroep op artikel 4.1 en artikel 4.28 van de polisvoorwaarden.

Uitleg van de bepalingen van de cyberverzekering vindt plaats aan de hand van de Haviltex-maatstaf. Zie onder meer HR 17 februari 2006, ECLI:NL:HR:2006:AU9717, NJ 2006/378 (Royal & Sun Alliance/Universal Pictures), r.o. 4.2. Niet gebleken is dat [geïntimeerde] en [appellante] hebben onderhandeld over de bewoordingen van artikel 4.1 en artikel 4.28 (een modelclausule van de VNAB). De uitleg van deze bepalingen is daarom met name afhankelijk van objectieve factoren, zoals hun bewoordingen gelezen in het licht van de polisvoorwaarden als geheel. Zie HR 16 mei 2008, ECLI:NL:HR:2008:BC2793, NJ 2008/284 (Chubb /Europoint), r.o. 3.4.2.

Het beroep van [appellante] op artikel 4.1 faalt. Deze bepaling behelst, uitgaande van de voornoemde uitlegmaatstaf, geen sanctieclausule. Artikel 4.1 strekt er slechts toe het territoriale dekkingsgebied te omschrijven. Hierop duidt (i) het kopje boven artikel 4.1 (‘Dekkingsgebied’), (ii) de frase ‘waar ter wereld deze ook hebben plaatsgevonden’, (iii) de uitsluiting van de toepassing van de polis op Claims en Regelgevingsprocedures die zijn ingediend of ontstaan in de VS of Canada, maar ook (iv) het feit dat artikel 4.2 (‘Toepasselijk recht’) betrekking heeft op een nauw aan het dekkingsgebied verbonden onderwerp, te weten het toepasselijke recht. De ‘Voor zover’-zin waarmee artikel 4.1 aanvangt, heeft binnen die bepaling de functie rekening te houden met de mogelijkheid dat het recht per land kan verschillen. Zou artikel 4.1 een sanctieclausule inhouden, dan zou artikel 4.28, waarop [appellante] ook een beroep doet, overbodig zijn.

Artikel 4.28 moet worden aangemerkt als een dekkingsuitsluiting ten opzichte van artikel 1.4 van de verzekeringsvoorwaarden, dat deel uitmaakt van de rubriek ‘1 Dekkingsomschrijvingen’. Het is aan [appellante] om te stellen en in voorkomend geval te bewijzen dat aan artikel 4.28 is voldaan (zie HR 22 september 2000, ECLI:NL:HR:2000:AA7201, r.o. 5.1). Grief 1, waarmee [geïntimeerde] betoogt dat in artikel 4.1 (in combinatie met artikel 4.28) een “primaire dekkingsomschrijving” is neergelegd waarop de vordering van [geïntimeerde] afstuit, slaagt dus niet.

Het beroep van [appellante] op artikel 4.28 faalt eveneens. Uit deze bepaling volgt dat [appellante] uitkering mag weigeren, als het doen van een uitkering in strijd is met sanctiewet- en regelgeving. In artikel 4.28 staat ‘indien dit een inbreuk zou vormen’ en dat heeft taalkundig dezelfde betekenis als ‘indien dit een inbreuk vormt’. Er staat niet ‘indien dit een inbreuk zou kunnen vormen’, ‘indien dit mogelijk een inbreuk zou vormen’, ‘indien er een reële kans is dat dit een inbreuk vormt’, of iets soortgelijks. Uit de tekst van artikel 4.28 volgt dan ook niet dat met deze bepaling is beoogd om [appellante] (en de betrokken verzekerde zelf) te beschermen tegen de onzekerheid die gemoeid is met de toepasselijkheid van sanctieregelgeving bij gebreke van een beslissing van de toezichthouder. Uit de tekst van artikel 4.1 volgt dit laatste evenmin. Geen van beide bepalingen refereert op enigerlei wijze aan de mogelijkheid dat onzeker is of sprake is van strijd met sanctieregelgeving.

[appellante] , op wie als gezegd de stelplicht en bewijslast rusten, heeft onvoldoende toegelicht dat de Amerikaanse overheid sancties kan (en zal) opleggen aan een in Europa gevestigde verzekeraar (met een Europese rechtsvorm) wegens het doen van een uitkering uit hoofde van een cyberverzekering aan een Nederlandse vennootschap. [appellante] is gevestigd in Frankrijk. Zij valt onder de Franse toezichtsjurisdictie en is daarnaast onderworpen aan het toepasselijke (sanctie)recht van de Europese Unie. [geïntimeerde] hoefde er bovendien niet bedacht op te zijn dat artikel 4.28 ook toepassing kan vinden wanneer niet [appellante] zelf, maar wel haar Amerikaanse moeder- of zustermaatschappij sancties opgelegd zou krijgen van de Amerikaanse overheid. Artikel 4.28 heeft immers betrekking op ‘sanctiewet- en regelgeving uit hoofde waarvan het de verzekeraar verboden is’ om, kort gezegd, uit te keren. Alleen [appellante] is de verzekeraar als bedoeld in artikel 4.28. Het hof wijst in dit verband op de begripsbepaling in artikel 2.43 polisvoorwaarden: ‘Verzekeraar verwijst naar de op het polisblad genoemde verzekeraar’.

Evenmin heeft [appellante] voldoende toegelicht dat, ervan uitgaande dat OFAC bevoegd is tot sanctieoplegging aan [appellante] of haar Amerikaanse moeder- of zustervennootschap, het daartoe daadwerkelijk zal komen. In de Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments, een advies van het OFAC (productie 26 bij de conclusie van antwoord), staat het volgende (de onderstrepingen zijn door het hof aangebracht): “Companies that facilitate ransomware payments to cyber actors on behalf of victims, including financial institutions, cyber insurance firms, and companies involved in digital forensics and incident response, not only encourage future ransomware payment demands but also may risk violating OFAC regulations.” In de Updated Advisory (productie 27 bij de conclusive van antwoord) staat het volgende: “This advisory describes the potential sanctions risks associated with making and facilitating ransomware payments (…)”. [appellante] kan er echter niet van beschuldigd worden dat zij namens een slachtoffer van een hack de betaling van losgeld aan Evil Corp heeft gefaciliteerd. [geïntimeerde] heeft het losgeld zelf betaald, twee dagen na de hack, omdat een groot deel van haar netwerk versleuteld was geraakt. Er staat bovendien “may risk” en “potential”, wat duidt op regelgeving die niet in steen is gebeiteld en waarbij het kan afhangen van de omstandigheden van het geval of sancties worden opgelegd of niet. Dat, zoals [appellante] gesteld heeft, OFAC verregaande bevoegdheden heeft bij het interpreteren van sanctiewetten (en het vereiste van material support), maakt niet dat OFAC deze bevoegdheden ook in dit geval zal inzetten jegens [appellante] (of haar moeder- of zustervennootschap), ook niet als aangenomen wordt dat de Amerikaanse overheid het bestrijden van Evil Corp hoog op de agenda heeft staan.

Uit de legal opinion van Krauland is niet af te leiden dat in dit geval OFAC sancties zal opleggen aan [appellante] als zij uitkeert aan [geïntimeerde] . In par. 16.2 bespreekt Krauland een aantal gevallen waarin secundaire sancties zijn opgelegd, maar zoals [geïntimeerde] aanvoert heeft de rechtbank terecht overwogen dat deze gevallen in het geheel niet vergelijkbaar zijn met wat zich in deze zaak heeft voorgedaan.

De correspondentie tussen de Amerikaanse advocaat van [appellante] en OFAC ondersteunt de aanname dat het niet tot sanctieoplegging zal komen. [appellante] , althans haar Amerikaanse moedervennootschap, heeft bij brief van 19 augustus 2021 aan OFAC verzocht om autorisatie te verlenen voor het vergoeden van losgeld aan [geïntimeerde] en een andere verzekerde. Per e-mail van 23 november 2022 heeft de advocaat OFAC gevraagd om zo snel mogelijk op de aanvraag te beslissen. Per e-mail van 16 mei 2024 heeft een medewerker van OFAC aan de advocaat van [appellante] gevraagd of er nog op de aanvraag moet worden beslist, gegeven dat er zo veel tijd is verstreken en “the below-described proceedings may have run their course”. De volgende e-mail van OFAC is van 30 december 2024. Daarin wordt medegedeeld dat de zaak wordt overgedragen aan een collega en dat OFAC van zich laat horen als nadere informatie nodig is. Kortom, OFAC lijkt geen prioriteit toe te kennen aan de zaak. Inmiddels hebben de hack en de betaling van het losgeld alweer enige jaren geleden plaatsgevonden zonder dat het tot sanctieoplegging is gekomen.

Gelet op het voorgaande faalt ook het beroep van [appellante] op overmacht en de beperkende werking van de redelijkheid en billijkheid. Nu onvoldoende is toegelicht dat en waarom OFAC secundaire sancties kan of zal opleggen als [appellante] tot uitkering overgaat, is geen sprake van een situatie van overmacht, en is het onder de omstandigheden van het geval niet naar maatstaven van redelijkheid en billijkheid onaanvaardbaar dat [appellante] uitvoering moet geven aan de contractuele verbintenis die op grond van de cyberverzekering op haar rust.

Het voorgaande betekent dat de grieven 1 tot en met 5 en 7 falen.

Grief 6 faalt eveneens. Dat de rechtbank is teruggekomen op haar aanvankelijke voornemen een deskundige te benoemen, is in hoger beroep niet langer van belang. Het hoger beroep behelst immers – binnen het door de grieven ontsloten gebied – een volledige feitelijke herbeoordeling van de zaak. Voor zover deze grief moet worden opgevat als een verzoek aan het hof om een deskundige te benoemen, gaat het hof aan dat verzoek voorbij omdat het hof gezien het voorgaande geen behoefte heeft aan deskundige voorlichting.

[geïntimeerde] vordert vergoeding van advieskosten die zij heeft gemaakt in de periode vóór de gerechtelijke procedure. [geïntimeerde] begroot deze kosten op € 41.425,5 en vordert betaling van dit bedrag, dan wel een door het hof redelijk geacht bedrag. Zij heeft zowel haar Nederlandse advocaat als haar Amerikaanse advocaat moeten inschakelen om onder andere Amerikaanse sanctieregelgeving te onderzoeken en met de advocaten van [appellante] te corresponderen, ook over de licentieaanvraag bij OFAC. [geïntimeerde] heeft in eerste aanleg bewijs aangeboden bestaande uit het overleggen van facturen met onderbouwing. In hoger beroep heeft [geïntimeerde] aangevoerd dat zij geen gerenommeerde Amerikaanse advocaat bereid heeft gevonden om een deskundigenbericht te schrijven, in verband met de commerciële positie van [moedervennootschap] . Uiteindelijk heeft zij wel een gerenommeerde advocaat bereid gevonden om haar te adviseren. De kosten die daarmee gemoeid waren, kan [geïntimeerde] niet in rechte staven, naar het hof begrijpt omdat ook deze advocaat buiten beeld wenst te blijven. Het gaat echter, aldus [geïntimeerde] , om gebruikelijke en redelijke kosten.

De conclusie is dat het hoger beroep van [appellante] niet slaagt. Het incidenteel hoger beroep van [geïntimeerde] slaagt evenmin. Daarom zal het hof het vonnis bekrachtigen.

Het hof zal [appellante] als de in het ongelijk gestelde partij veroordelen in de proceskosten van [geïntimeerde] in het principaal hoger beroep.

Dit arrest is gewezen door mrs. K. Engel, D.A. Schreuder en F.J. Verbeek en in het openbaar uitgesproken op 13 oktober 2026 in aanwezigheid van de griffier.