Uitspraken

Tussen partijen is in geschil of POS4 c.s. tekort zijn geschoten in nakoming van hun verplichtingen uit hoofde van de onder 2.3 vermelde overeenkomst, omdat zij – kort gezegd – zouden hebben nagelaten back-ups te maken.

Vaststaat dat de onder 2.3 vermelde overeenkomst tot stand is gekomen tussen Zabawas enerzijds en PS Logic anderzijds. De vraag is of – zoals Zabawas stelt en POS4 c.s. betwisten – POS4 die overeenkomst eind september 2017 heeft overgenomen.

Op grond van artikel 6:159 BW kan een partij bij een overeenkomst (PS Logic) haar rechtsverhouding tot de wederpartij (Zabawas) met medewerking van deze laatste (Zabawas) overdragen aan een derde (POS4) bij een tussen haar (PS Logic) en de derde (POS4) opgemaakte akte. Contractsoverneming moet worden beschouwd als een overeenkomst tussen de drie betrokken partijen. Het antwoord op de vraag of die overeenkomst is tot stand gekomen, is afhankelijk van hetgeen partijen over en weer hebben verklaard en uit elkaars verklaringen hebben afgeleid en in de gegeven omstandigheden redelijkerwijs mochten afleiden.

Met betrekking tot de vereiste akte is de rechtbank van oordeel dat Zabawas de onder 2.13 weergegeven e-mail van 25 september 2017 heeft mogen opvatten als akte van contractsoverneming als bedoeld in artikel 6:159 BW. Daartoe wijst de rechtbank op het volgende. De e-mail van 25 september 2017 is afkomstig van [naam 1], die zowel de bestuurder van PS Logic is, als de middellijk bestuurder van POS4 (zie 2.2). In die e-mail meldt [naam 1] aan Zabawas “(…) het loopt (…) door elkaar. Bijvoorbeeld de helpdeks, medewerkers die over en weer voor beide bedrijven werken, inkoop hardware, veel administratieve rompslomp terwijl onze klanten toch wel weten dat er 2 bedrijven zijn en dat deze bij elkaar horen (…)” (zie 2.13). Daar komt bij dat POS4 c.s. ter zitting hebben verklaard dat de systeembeheeractiviteiten van PS Logic zijn overgegaan naar POS4, dat de omzet vanaf dat moment ook in POS4 werd geboekt en dat de e-mail van 2017 een aankondiging was dat POS4 de systeembeheeractiviteiten zou overnemen. PS Logic is begin 2018 opgehouden te bestaan bij gebrek aan baten, aldus POS4 c.s.

De voor een contractsoverneming vereiste medewerking is niet aan enigerlei vorm gebonden. Zij kan in elke vorm geschieden en besloten liggen in een of meer gedragingen. Gelet hierop kan naar het oordeel van de rechtbank de medewerking van Zabawas worden afgeleid uit de omstandigheid dat Zabawas de door [handelsnaam] (een handelsnaam van POS4) verzonden facturen is gaan betalen (zie 2.14 en 2.15)

Het voorgaande brengt mee dat POS4 de onder 2.3 bedoelde overeenkomst tussen Zabawas en PS Logic van laatstgenoemde heeft overgenomen, zodat POS4 als contractspartij van Zabawas heeft te gelden.

Tussen partijen bestaat verschil van mening over de vraag wat tussen hen is overeengekomen met betrekking tot het maken van back-ups.

Zabawas stelt – kort gezegd – dat POS4 op grond van de onder 2.3 vermelde overeenkomst verantwoordelijk was voor gehele ICT-omgeving van Zabawas en daarmee voor de dagelijkse back-up van alle data zoals aanwezig binnen die ICT-omgeving. Tot begin 2017 wisselde medewerkers van Zabawas zelf dagelijks op de werkdagen de tapes voor de back-ups. Naar aanleiding van de door Zabawas geaccepteerde offerte van 28 december 2016, leverde PS Logic begin 2017 een nieuwe server, die in het datacenter van PS Logic werd geplaatst. De back-ups zouden voortaan in de cloud plaatsvinden. Ook in die gewijzigde situatie bleef PS Logic (en later POS4) verantwoordelijk voor het beheer van de gehele ICT-omgeving van Zabawas, waaronder de bestanden van Verito op de servers van Zabawas, en daarmee ook voor de back-up-werkzaamheden en de monitoring daarvan.

Zoals hiervoor reeds is overwogen (zie 4.3), is de vraag wat tussen partijen is overeengekomen afhankelijk van hetgeen partijen over en weer hebben verklaard en uit elkaars verklaringen hebben afgeleid en in de gegeven omstandigheden redelijkerwijs mochten afleiden.

Tussen partijen is niet in geschil dat PS Logic op basis van de overeenkomst uit 2013 (zie 2.3) onder meer verantwoordelijk was voor de “24/7 monitoring” van – onder andere – de back-ups. Die back-ups werden destijds gemaakt, doordat de medewerkers van Zabawas daartoe tapes in de computers stopten. PS Logic monitorde het back-upproces op afstand (zie 2.6 tot en met 2.9). Vaststaat voorts dat ICT-omgeving van Zabawas begin 2017 is gewijzigd, waarbij – voor zover hier relevant – Zabawas gebruik ging maken van een nieuwe server die zich bevond in een extern datacenter en back-ups voortaan via de cloud zouden plaatsvinden (zie 2.10 tot en met 2.12). Naar het oordeel van de rechtbank kan niet worden vastgesteld dat daarmee de onder 2.3 vermelde overeenkomst, met in het bijzonder ten aanzien van de “24/7 monitoring van servers, backups en netwerk” is beëindigd. POS4 stelt dat weliswaar, maar Zabawas betwist dat en POS4 heeft haar stelling dat de “24/7 monitoring van servers, backups en netwerk” voor de nieuwe situatie niet meer gewenst was, niet onderbouwd.

Uit het voorgaande volgt dat de overeenkomst tussen partijen inhield dat ook in de nieuwe situatie POS4 verantwoordelijk was voor de “24/7 monitoring van servers, backups en netwerk” binnen de ICT-omgeving van Zabawas. Naar het oordeel van de rechtbank vallen daar ook de bestanden van Verito op de servers van Zabawas onder. POS4 c.s. hebben onvoldoende feiten en omstandigheden aangevoerd waaruit kan worden afgeleid dat door Verito bewerkte bestanden op de servers van Zabawas buiten de back-ups zouden vallen. Integendeel, POS4 c.s. stellen zelf dat er dagelijks een back-up werden uitgevoerd van de map SQLBackup, die was aangemaakt voor de bestanden van Verito (zie hierna 4.14).

Zabawas stelt dat POS4 tekort is geschoten in de nakoming van haar verplichtingen uit de overeenkomst tussen partijen, doordat POS4 heeft nagelaten om periodiek volledige back-ups te maken van de systemen van Zabawas en de informatie binnen die systemen. Hierdoor zijn na de ransomwareaanval de door Verito ontwikkelde aanpassingen op de software van Microsoft en andere data verloren gegaan. Als gevolg hiervan hebben Zabawas en Verito veel kosten moeten maken.

POS4 c.s. betwisten dat POS4 tekort is geschoten in de nakoming van de overeenkomst met Zabawas. Zij stellen dat POS4 in de nieuwe ICT-omgeving van Zabawas had ingesteld dat dagelijks automatisch kopieën werden gemaakt van de Windows Server bestanden op de server. Op de betreffende server werd ook dagelijks een back-up uitgevoerd van de map SQLBackup. Gebleken is dat Verito de (telkens) nieuwe (wijzigende) bestanden van de SQL server niet heeft weggeschreven naar die daarvoor bestemde back-up map. De SQL back-up map was wel door Verito zelf voor dat doel aangemaakt.

Tussen partijen is niet (langer) in geschil dat ook in de nieuwe ICT-omgeving van Zabawas periodiek back-ups werden gemaakt van informatie binnen die ICT-omgeving. Tussen partijen is evenmin in geschil dat die back-ups niet de door Verito gemaakte maatwerksoftware (programmeercode) en niet alle data bevatten. De vraag is of de oorzaak daarvan is gelegen in – zoals Zabawas stelt – het handelen van POS4 of – zoals POS4 c.s. stellen – in het handelen van Verito. Op basis van de stellingen van partijen over en weer kan de rechtbank dat op dit moment niet vaststellen. Alvorens tot een oordeel te kunnen komen, behoeft de rechtbank daarom het oordeel van een onafhankelijke deskundige. Deze deskundige zal de oorzaak moeten onderzoeken van de omstandigheid dat ten tijde van de ransomaanval, dus in het voorjaar van 2018, bepaalde onderdelen binnen de ICT-omgeving van Zabawas niet binnen de (periodieke) back-ups vielen en de vraag beantwoorden of POS4 op grond van communicatie met Verito ervan mocht uitgaan dat de map SQLBackup door deze werd gevuld.

Zabawas verwijt POS4 verder dat zij niet voor voldoende veiligheid van het ICT-systeem heeft zorggedragen. Als gevolg hiervan heeft de ransomware het systeem binnen kunnen dringen. Ter onderbouwing van dit verwijt verwijst Zabawas naar het rapport van Baaten, die concludeert dat een ernstige verstoring zoals de ransomwareaanval slechts een kwestie van tijd was, gezien de staat van de ICT omgeving (zie 2.18).

POS4 c.s. betwisten dat zij niet voor voldoende veiligheid binnen het ICT-systeem van Zabawas hebben zorggedragen. Het ICT systeem van Zabawas was bijvoorbeeld voorzien van firewalls. De ransomware besmetting was het gevolg van een menselijke fout van een medewerker van Zabawas dan wel Verito en had niets te maken met het niveau van beveiliging. Een medewerker kan op een e-mail met bijlage hebben geklikt en die bijlage blijkt nadien een virus te bevatten dat zich in het systeem nestelt. Dit kan zelfs de beste beveiliging niet tegenhouden, aldus POS4 c.s..

Gelet op de gemotiveerde betwisting door POS4 c.s. kan op dit moment niet worden vastgesteld of de ransomwarebesmetting het gevolg was van onvoldoende beveiliging van het ICT-systeem door POS4 of een menselijke fout door medewerkers (van Verito). Alvorens tot een oordeel te kunnen komen, behoeft de rechtbank ook op dit punt het oordeel van een onafhankelijke deskundige.

Voordat tot het inwinnen van een deskundigenbericht zal worden overgegaan, zal de rechtbank partijen in de gelegenheid stellen zich – bij voorkeur eensluidend – uit te laten over de persoon van de te benoemen deskundige. Bij dezelfde akte kunnen zij zich uitlaten over de aan de deskundige voor te leggen vragen. De rechtbank zal de zaak hiertoe naar de rol verwijzen.

De rechtbank ziet geen aanleiding om af te wijken van het uitgangspunt van de wet (195 Rv), dat het voorschot op de kosten van de deskundige in beginsel door de eisende partij moet worden gedeponeerd. Dit voorschot zal daarom door Zabawas moeten worden betaald.

Iedere verdere beslissing wordt aangehouden.

PS Logic legt aan haar vordering in reconventie ten grondslag dat zij in opdracht en voor rekening van Zabawas werkzaamheden heeft verricht ten behoeve van het deponeren van de software en data van Verito in broncode escrow bij Escrow Alliance. Zabawas heeft de hiervoor door POS4 namens PS Logic verzonden facturen niet voldaan.

Zabawas voert tot verweer aan dat de werkzaamheden ten behoeve van het deponeren van de software en data van Verito in broncode escrow niet door PS Logic zijn verricht. PS Logic bestaat feitelijk niet meer sinds 2018.

De rechtbank stelt vast dat de vordering in reconventie slechts is ingesteld door PS Logic. Zoals reeds is overwogen in conventie is de rechtsverhouding tussen Zabawas en PS Logic eind 2017 overgenomen door POS4 (zie 4.6). POS4 c.s. hebben bovendien ter zitting erkend dat PS Logic begin 2018 is opgehouden te bestaan bij gebrek aan baten. Tegen die achtergrond hebben POS4 c.s. onvoldoende onderbouwd dat de overeenkomst die aan de werkzaamheden ten behoeve van het verzorgen van het depot ten grondslag ligt, is aangegaan door PS Logic. Verder is gesteld noch gebleken dat PS Logic de vordering ter zake de onbetaalde facturen (zie 4.23) op Zabawas door middel van cessie of contractsoverneming of op andere wijze heeft verkregen. Het voorgaande leidt ertoe dat de vordering van PS Logic voor afwijzing gereed ligt.

Iedere verdere beslissing wordt aangehouden.