Wat is de invloed van een cyberincident op lopende contracten en SLA’s?

Een cyberincident raakt direct je SLA's en contracten — lees wat je juridisch moet regelen.

Ondertekend SLA-contract op donker bureau verlicht door rood alarmlicht, met losgekoppelde ethernetkabel ernaast.

Als IT-manager of operations directeur ken je de situatie: een systeem valt uit op een ongelegen moment. Klanten bellen, leveringen lopen vertraging op en intern is het onduidelijk wanneer alles weer normaal draait. Wat minder zichtbaar is, zijn de contractuele gevolgen die tegelijkertijd in werking treden. Afgesproken beschikbaarheidsnormen, leveringstermijnen en dataverwerkingsafspraken lopen gewoon door, ook als je systemen dat tijdelijk niet doen. De contractuele verplichtingen die bij een cyberincident in het geding komen, zijn veelzijdiger dan de meeste organisaties beseffen.

Welke contractuele verplichtingen komen onder druk te staan bij een cyberincident?

Bij een cyberincident komen vrijwel alle prestatiegerelateerde verplichtingen in een contract direct onder druk te staan. Denk aan beschikbaarheidsgaranties, reactietijden, leveringstermijnen, geheimhoudingsverplichtingen en dataverwerkingsafspraken. Zodra systemen uitvallen of data onbereikbaar raakt, is nakoming van deze afspraken vaak tijdelijk of volledig onmogelijk.

De contractuele verplichtingen die bij een verstoring het eerst in het geding komen, zijn doorgaans:

Beschikbaarheidsgaranties: Afspraken over uptime (bijvoorbeeld 99,9%) worden direct geraakt bij een ernstige verstoring zoals een ransomware-incident of DDoS-storing.
Leveringstermijnen: Productie- of logistieke processen die afhankelijk zijn van digitale systemen kunnen volledig stilvallen.
Verwerkersovereenkomsten (AVG/GDPR): Als persoonsgegevens zijn betrokken, ontstaat er een meldplicht en mogelijke aansprakelijkheid richting verwerkingsverantwoordelijken.
Geheimhouding: Een datalek kan een schending van vertrouwelijkheidsclausules betekenen, ook zonder opzet.
Continuïteitsverplichtingen: Contracten in kritieke sectoren bevatten soms expliciete eisen rondom het doordraaien en herstellen van bedrijfsprocessen na een grote verstoring.

Het is goed om te beseffen dat contracten niet automatisch rekening houden met cyberincidenten als uitzonderingssituatie. Zonder expliciete clausules is een organisatie juridisch gewoon aanspreekbaar op niet-nakoming, ongeacht de oorzaak.

Wat zijn de gevolgen van een SLA-schending door een cyberincident?

Een SLA-schending als gevolg van een cyberincident kan leiden tot financiële boetes, contractuele claims, reputatieschade en in het uiterste geval ontbinding van de overeenkomst. De exacte gevolgen hangen af van de contracttekst, de ernst van de schending en de relatie met de betrokken partij.

In de praktijk spelen de gevolgen zich op meerdere niveaus af. Ten eerste zijn er de directe financiële consequenties: veel SLA’s bevatten boeteclausules of kortingsregelingen wanneer afgesproken prestatienormen niet worden gehaald. Bij een langdurige uitval kan dit snel oplopen.

Daarnaast speelt reputatie een grote rol. Klanten en partners die hinder ondervinden van een verstoring, trekken conclusies over jouw betrouwbaarheid als leverancier. In sectoren waar continuïteit zwaar weegt, kan dit leiden tot verlies van vertrouwen dat lastig te herstellen is.

Tot slot kan een ernstige of herhaalde SLA-schending een wederpartij het recht geven om de overeenkomst te ontbinden. Dat is een reële uitkomst, zeker als het contract geen expliciete uitzonderingen bevat voor cyberincidenten. Goede cyber resilience verkleint niet alleen de kans op een incident, maar ook de duur van de verstoring als het toch misgaat.

Geldt overmacht bij een cyberincident als SLA-excuus?

Overmacht bij een cyberincident is juridisch omstreden en wordt niet automatisch erkend. Of een cyberincident als overmacht kwalificeert, hangt af van de specifieke contracttekst, de aard van het incident en of de organisatie aantoonbaar voldoende beveiligingsmaatregelen had getroffen. Rechters en arbiters beoordelen dit van geval tot geval.

In veel contracten is overmacht gedefinieerd als een externe, onvoorzienbare omstandigheid die buiten de invloedsfeer van de partij ligt. Een cyberincident lijkt op het eerste gezicht aan die omschrijving te voldoen. Toch zijn er belangrijke nuances:

Voorzienbaarheid: Cyberincidenten zijn in 2026 geen onvoorzienbare gebeurtenis meer. Rechters verwachten dat organisaties hier rekening mee houden in hun beveiligingsbeleid.
Eigen verantwoordelijkheid: Als blijkt dat basismaatregelen zoals patching, back-ups of toegangsbeheer ontbraken, wordt een beroep op overmacht snel afgewezen.
Contractuele definitie: Sommige contracten sluiten cyberincidenten expliciet uit van de overmachtsclausule. Controleer dit altijd.
Inspanningsverplichting: Zelfs bij erkende overmacht wordt verwacht dat je alles hebt gedaan om de gevolgen te beperken, inclusief het activeren van een incident response plan.

Kortom: overmacht is geen betrouwbaar vangnet bij een cyberincident. Een gedegen beveiligingsaanpak en aantoonbare voorbereiding zijn de sterkste juridische basis die je kunt opbouwen.

Hoe beïnvloedt een cyberincident bij een leverancier jouw eigen SLA-verplichtingen?

Een cyberincident bij een leverancier kan jouw eigen SLA-verplichtingen richting klanten direct raken, ook al ligt de oorzaak buiten jouw organisatie. Als jouw dienstverlening afhankelijk is van systemen of data van een derde partij die getroffen is, ben je in de meeste gevallen toch aanspreekbaar op niet-nakoming.

Dit is een onderschat aandachtspunt. Organisaties denken vaak dat ze buiten schot blijven als het incident bij een toeleverancier of softwareleverancier plaatsvindt. Maar vanuit jouw klant bezien ben jij de contractspartner. Die klant heeft geen overeenkomst met jouw leverancier en houdt jou verantwoordelijk.

Wat je in deze situatie kunt doen:

Communiceer proactief richting klanten zodra je weet dat jouw dienstverlening mogelijk geraakt wordt.
Controleer of jouw contracten met leveranciers bepalingen bevatten over aansprakelijkheid bij uitval of verstoringen aan hun kant.
Zorg voor alternatieve leveranciers of back-upprocessen voor kritieke afhankelijkheden, zodat je snel kunt schakelen.
Documenteer de impact van het leveranciersincident zorgvuldig, zodat je kunt aantonen dat de oorzaak extern lag.

Het inzichtelijk maken van je leveranciersafhankelijkheden is een essentieel onderdeel van een volwassen aanpak van bedrijfscontinuïteit. Weet je welke externe partijen onmisbaar zijn voor jouw operationele processen?

Wat moet je contractueel regelen om cyberrisico’s te beperken?

Om cyberrisico’s contractueel goed te adresseren, maak je expliciete afspraken over beveiligingseisen, meldplichten, aansprakelijkheidslimieten, overmachtsdefinities en herstelverplichtingen. Zowel in contracten met klanten als met leveranciers. Wie dit niet regelt, draagt onnodig juridisch en financieel risico.

Concrete zaken die je contractueel moet adresseren zijn onder andere een duidelijke definitie van wat als overmacht geldt en of cyberincidenten daar expliciet onder vallen of juist niet. Daarnaast is het verstandig om beveiligingseisen te stellen aan leveranciers, zoals certificeringen, penetratietesten of incident response procedures. Vergeet ook niet afspraken te maken over maximale hersteltijden en hoeveel dataverlies acceptabel is — wat in het vakjargon RTO (Recovery Time Objective) en RPO (Recovery Point Objective) heet — als onderdeel van de verplichtingen rondom herstel na een grote verstoring.

Tot slot is het essentieel om meldplichten vast te leggen: wanneer moet een leverancier jou informeren over een incident, en binnen welke termijn? En welke aansprakelijkheidslimieten gelden bij schade als gevolg van een cyberincident? Dit zijn geen details, maar kernonderdelen van een volwassen contractstrategie.

Hoe OpenSight helpt bij cyberweerbaarheid en contractuele continuïteit

Contractuele risico’s bij een cyberincident zijn niet louter een juridisch vraagstuk. Ze zijn direct het gevolg van onvoldoende technische en organisatorische voorbereiding. Wij helpen organisaties om die voorbereiding concreet te maken, zodat de kans op een incident kleiner wordt en de impact beheersbaar blijft.

Wat wij daarin bieden:

Inzicht in kritieke systemen en afhankelijkheden via onze Minimum Viable Company aanpak, zodat je weet wat je moet beschermen en herstellen.
Technische maatregelen op het gebied van endpoint protection, back-up, herstel en identity protection die aantoonbaar bijdragen aan je beveiligingsniveau.
Incident response voorbereiding zodat je snel en gestructureerd kunt handelen als het toch misgaat, wat je juridische positie versterkt.
Governance en compliance ondersteuning bij standaarden zoals NIS2, ISO 27001 en DORA, die ook contractuele eisen raken.
eCISO begeleiding voor organisaties die strategische sturing nodig hebben zonder een fulltime CISO in dienst te nemen.

Cyberweerbaarheid en contractuele continuïteit gaan hand in hand. Wil je weten hoe jouw organisatie er nu voor staat? Doe een risk assessment en ontdek waar de grootste aandachtspunten liggen.