Uitspraken

De gemeente heeft hoger beroep ingesteld tegen de vonnissen die de rechtbank in de rechtbank Overijssel, zittingsplaats Almelo, op 13 juli 2022 en 10 mei 2023 tussen partijen heeft uitgesproken. Het procesverloop in hoger beroep blijkt uit:

• -

  de dagvaarding in hoger beroep

• -

  de memorie van grieven

• -

  de memorie van antwoord

• -

  het verslag (proces-verbaal) van de mondelinge behandeling die op 16 oktober 2024 is gehouden.

Aan het slot van de mondelinge behandeling hebben partijen het hof gevraagd arrest te wijzen en heeft het hof arrest bepaald.

De gemeente heeft haar systeembeheer en aanverwante ICT-beheerdienstverlening na een Europese aanbestedingsprocedure in 2018 uitbesteed aan Switch. Op 1 december 2020 heeft bij de gemeente een cyberaanval plaatsgevonden. Daarbij zijn de systemen van het netwerk van de gemeente en de back-up versleuteld en ontoegankelijk gemaakt en vele servers verwijderd. De gemeente houdt Switch daarvoor verantwoordelijk. De gemeente meent dat Switch tekortgeschoten is in de nakoming van haar verplichtingen uit de overeenkomst van partijen, althans haar zorgplicht als ICT-beheerder heeft geschonden, althans onrechtmatig heeft gehandeld. Op grond daarvan vordert de gemeente ontbinding van de overeenkomst, terugbetaling van wat zij op grond van de overeenkomst aan Switch heeft betaald en schadevergoeding. Zij richt haar vorderingen ook tegen Dustin, de moedermaatschappij van Switch, op grond van de door Dustin afgelegde aansprakelijkheidsverklaring.

De rechtbank heeft de vorderingen van de gemeente afgewezen. De bedoeling van het hoger beroep van de gemeente is dat haar vorderingen alsnog worden toegewezen.

Het hof komt net als de rechtbank tot de conclusie dat de vorderingen van de gemeente niet toewijsbaar zijn en zal de vonnissen van de rechtbank daarom bekrachtigen. Hierna zal het hof eerst de vaststaande feiten en het geschil weergeven en daarna uitleggen hoe het tot zijn oordeel komt.

De gemeente heeft circa 35.000 inwoners. Zij had in 2018 het ICT-beheer belegd binnen het team Informatiemanagement, waar drie medewerkers verantwoordelijk waren voor systeembeheer en technisch applicatiebeheer en twee medewerkers verantwoordelijk voor de eerstelijns servicedesk en beheer van de fysieke werkplekapparatuur. Ook waren er medewerkers beschikbaar voor functioneel applicatiebeheer, voor bedrijfsbrede applicaties en voor informatiemanagement.

1. De huidige situatie met de ‘housing’ van de ICT-infrastructuur op locatie van Hof van Twente zelf blijft vooralsnog gehandhaafd, in combinatie met de off-site opslag van een kopie van de back-up data. Hierbij zal de deze off site-opslag door de nieuwe Leverancier worden ingevuld. Deze dienstverlening is onderwerp van de eerste Nadere Overeenkomst.

2. De Leverancier is verantwoordelijk voor de ICT-beheerdienstverlening die nodig is voor alle servers, opslagsystemen, systeemsoftware en netwerkvoorzieningen om Hof van Twente in staat te stellen om applicaties ter beschikking te stellen aan gebruikers. Deze ICT-beheerdienstverlening zal minimaal omvatten:

(...)

3. De Leverancier verzorgt de tweedelijns servicedesk, de eerstelijns servicedesk wordt door Hof van Twente zelf voorzien. (...)

4. (...)

5. De Leverancier verzorgt onder regie van Hof van Twente de operationele afstemming met leveranciers van externe verbindingen voor het oplossen van incidenten en het realiseren van nieuwe diensten. (...)

6. De Leverancier voert in opdracht en onder regie van Hof van Twente projectmatige werkzaamheden uit met betrekking tot wijzigingen in de ICT-infrastructuur. Deze werkzaamheden vinden waar nodig plaats in samenwerking met technisch applicatiebeheerders van Hof van Twente. (...)

7. De Leverancier volgt de best-practices en productontwikkelingen met betrekking tot de beheerde ICT-infrastructuurcomponenten en de daarop beschikbare systeemsoftware, en vult daarvoor een voortdurende en pro-actieve adviesrol in richting van Hof van Twente. (...)

8. De Leverancier levert in opdracht van Hof van Twente adviesdiensten met betrekking tot de inrichting van de ICT-infrastructuur en de daarop beschikbare systeemsoftware. en op gebieden waar Hof van Twente zelf beheertaken uitvoert (bijvoorbeeld werkplekbeheer). (...).

In de Nota van Inlichtingen van december 2017 is met betrekking tot de te gunnen opdracht onder meer vermeld dat:

• -

  omvang initieel 35 TB;

• -

  omvang in overleg uit te breiden;

• -

  opslag op een locatie die zich hemelsbreed meer dan tien kilometer van de locatie met de primaire data (het gemeentehuis) bevindt;

• -

  de informatieveiligheid van de data en de opslagdienst in het algemeen dient geborgd te zijn, zodanig dat voldaan wordt aan de eisen die vanuit het informatiebeveiligingsbeleid van de gemeente hieraan worden gesteld, welk beleid is gebaseerd op de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG);

• -

  de verbinding naar de opslagdienst loopt via de internetverbinding van de gemeente;

• -

  de opslagdienst is in principe 24 uur per dag zeven dagen per week benaderbaar;

• -

  de leverancier controleert dagelijks dat het back-up proces naar de externe opslagdienst correct is uitgevoerd.

Switch heeft een verslag opgesteld van het bezoek dat zij op 19 juni 2018 aan de gemeente heeft gebracht. Hierin staat dat IT-leverancier Previder afrondende werkzaamheden zal verrichten, die buiten de scope van de opdracht vallen, zoals netwerk segmentatie (“Dit is de vraag of dit wordt afgemaakt voor eind juni”).

Op 19 februari 2019 heeft Switch de gemeente een voorstel gedaan tot vervanging van de antivirussoftware.

Op 31 oktober 2019 heeft de gemeente Switch bericht dat de server FTP-SVR02 vervalt en Switch verzocht de FTP-SVR03-server in de monitoring op te nemen.

De gemeente heeft Switch op 13 maart 2020 verzocht een aantal servers (niet de FTP-SVR03) uit de monitoring en beheer te halen, omdat zij voor die servers een eigen WSUS-server heeft ingericht en omdat die in de eigen monitoring van de gemeente zitten.

De gemeente heeft Switch op 6 april 2020 laten weten dat zij testservers, servers die geen primair proces ondersteunen en de access points voor WiFi uit de monitoring van Switch (wil) halen.

Op 9 april 2020 heeft Switch een verslag van een bespreking met de gemeente opgesteld, waarin onder meer staat:

Switch heeft de gemeente op 22 mei 2020 een offerte gestuurd, waarin onder meer de volgende passages zijn opgenomen:

Op 26 juni 2020 heeft de gemeente het rapport van Sogeti naar aanleiding van de door haar uitgevoerde penetratietest naar Switch gezonden. In het rapport staan onder meer de volgende aanbevelingen:

Op 8 juli 2020 heeft de gemeente Switch met betrekking tot het instellen van MFA (Multi Factor Authentication) op het door Switch gebruikte Kaseya-portaal geschreven:

• -

  29-10-2019 is de Firewall regel aangepast om elk verkeer toe te laten tot de FTP-STR03;

• -

  09-11-2020 8:58 profiel van testadmin gebruiker aangepast/weggeschreven op FTP-SVR-03;

• -

  16-11-2020 23:00-24:00 spammer/email cracking tools zichtbaar in de gebruikersfolder van “testadmin”;

• -

  21-11-2020 om 13:20 het account admin.mmc wordt aangemaakt door de admin “testadmin”;

• -

  21-11-2020 om 13:22 het account admin.mmc verwijderd en het logbestand op FTP-SVR-03;

• -

  30-11-2020 om 3:40 wordt het profiel van admin.mmc aangepast/weggeschreven;

• -

  30-11-2020 om 3:43 is er een netwerk scanner bestand geplaatst in het profiel van admin.mmc;

• -

  30-11-2020 - 01-12-2020 verschillende acties zijn op deze datum uitgevoerd

01-12-2020 Hack is ontdekt door Hof van Twente Switch IT Solutions

2 Concluderend

NFIR heeft op 8 maart 2021 haar rapport uitgebracht. Dit rapport bevat onder meer de volgende passages:

• -

  Vijf servers waren versleuteld. Bestanden op versleutelde systemen konden niet meer worden geopend. Eén van de versleutelde servers betrof een back-up server.

• -

  De overige acht servers waren niet versleuteld. Hel systeem kon worden opgestart en

 De FTP-server was toegankelijk vanaf het internet middels een open poort (RDP) - een aanvullende verificatie om in te kunnen loggen (tweefactor authenticatie) was niet ingericht.

 Het wachtwoord “Welkom2020” voldeed aan het destijds door de gemeente gestelde wachtwoordbeleid (minimaal 8 karakters). Echter gaat het hier niet om individuele karakters, maar om een samenstelling van een veelgebruikt woord en een jaartal. Deze combinatie is niet geschikt om als wachtwoord te gebruiken.

Er had een specifieker wachtwoordbeleid opgesteld kunnen worden (...) en dit beleid had dan zowel op technisch als beleidsniveau moeten worden afgedwongen.

 Het “testadmin” account had een dermate verhoogd rechtenprofiel (Domain Administrator-rechten). waardoor de aanvallers na het inloggen op dit account in staat waren om direct het volledige beheer van het netwerk over te kunnen nemen.

(...)

 Door onvoldoende netwerksegmentatie (scheiding van communicatie tussen servers), was het mogelijk om verbinding te maken met andere servers binnen het netwerk van de gemeente vanaf de FTP-server.

Deze situatie had voorkomen kunnen worden door de servers op netwerkniveau van elkaar te scheiden (microsegmentatie) en enkel onderlinge communicatie toe te staan waar noodzakelijk.

 Een op verzoek van de gemeente uitgevoerde penetratietest heeft de kwetsbaarheden die hebben geleid tot het incident niet gedetecteerd.

(...)

 Het actief en centraal monitoren van beveiligingsmeldingen (Security Operations Center

 Doordat de aanvallers controle hadden over de systemen waarop de back-ups waren ingesteld, bleken zij in staat om back-ups te verwijderen.

Deze situatie had voorkomen kunnen worden door daadwerkelijk een back-up buiten het netwerk te bewaren, waardoor verlies van data te voorkomen was geweest. (Hierbij is het van belang dal beide back-ups geen onderlinge verbinding hebben met elkaar).

(...)

In de kern houden de verwijten die de gemeente aan Switch maakt het volgende in:

1. Switch had de ongebruikelijke hoeveelheid inlogpogingen die gedurende een jaar plaatsvonden kunnen voorkomen als zij de Sophos firewall adequaat had ingericht (‘geconfigureerd’) en beheerd. De RDP-faciliteit had automatisch moeten worden uitgezet na verloop van een korte tijd;

2. Switch had de ongebruikelijke hoeveelheid inlogpogingen moeten signaleren, zodat de cyberaanvallers gestopt konden worden met hun brute force aanvallen;

3. Switch had de back-up voorziening veilig moeten inrichten;

4. Switch had een (derde) kopie van de back-up data elders (‘off-site’) moeten bewaren, zodat deze buiten bereik van onbevoegden bleef en de schade was voorkomen, c.q. zeer beperkt was gebleven.

Dit alles gezien binnen de context van de aard en uitleg van de contractuele verplichtingen van de Raamovereenkomst waarvan ook deel uit maken de Selectieleidraad, de Uitnodiging tot inschrijving, de GIBT-voorwaarden en de Nadere Overeenkomst (de SLA waarin de Uitnodiging tot Inschrijving en Programma van eisen en wensen in verband met de dienstverlening).

De rechtbank heeft geoordeeld dat Switch op deze punten niet is tekortgeschoten in de nakoming van haar verplichtingen uit de overeenkomst. Verder heeft de rechtbank geoordeeld dat, voor zover er buiten de gesloten overeenkomst nog een zorgplicht voor Switch zou gelden, Switch die zorgplicht niet heeft geschonden en van onrechtmatig handelen van haar ook geen sprake is. In hoger beroep legt de gemeente het geschil hierover in volle omvang aan het hof voor (zie toelichting op grief 12).

Het hof zal hierna eerst ingaan op de inhoud van de overeenkomst en de verplichtingen die op grond daarvan rustten op Switch. Dit aan de hand van hetgeen de rechtbank daarover heeft vastgesteld en de gemeente daartegen heeft ingebracht (in de inleiding van de memorie van grieven, uitgewerkt in de grieven 5 tot en met 9). Vervolgens zal het hof ingaan op de verwijten die de gemeente Switch op basis daarvan maakt (uitgewerkt in de grieven 1 tot en met 4). Ten slotte zal het hof de gestelde schending van de zorgplicht en onrechtmatige daad bespreken (grieven 10 en 11).

Voorop staat dat in dit geval sprake is van een Europese aanbesteding voor de uitbesteding van systeembeheer en aanverwante ICT-beheerdienstverlening. Zoals de rechtbank onbestreden heeft overwogen, betekent dit dat de bepalingen van de aanbestedingsstukken binnen de grenzen van het transparantiebeginsel moeten worden uitgelegd aan de hand van de zogenaamde CAO-norm. De bewoordingen van die bepalingen, gelezen in het licht van de gehele tekst van de aanbestedingstukken, zijn daarbij in beginsel van doorslaggevende betekenis. De aanbestedingsstukken worden hier gevormd door de Selectieleidraad aanbesteding ICT-beheerdiensten, de Uitnodiging tot Inschrijving aanbesteding ICT-beheerdiensten, de Nota van Inlichtingen, het Programma van Eisen, de Raamovereenkomst (met daarbij de GIBIT voorwaarden en de door Switch uitgebrachte inschrijving) en de Nadere Overeenkomst met de SLA. Het hof sluit zich verder aan bij de overwegingen van de rechtbank hierover in het vonnis van 10 mei 2023 onder 4.2.1 en maakt die tot de zijne.

Op basis van de aanbestedingsstukken heeft Switch als taak het systeembeheer en aanverwante ICT-beheerdienstverlening van de gemeente te verzorgen. Zoals de rechtbank onbestreden heeft overwogen, gelden daarbij de volgende uitgangspunten/verplichtingen:

1. de bestaande situatie met de ‘housing’ van de ICT-infrastructuur op locatie van de gemeente blijft vooralsnog gehandhaafd, in combinatie met de off-site opslag van een kopie van de back-up data;

2. Switch is verantwoordelijk voor de ICT-beheerdienstverlening die nodig is voor alle servers, opslagsystemen, systeemsoftware en netwerkvoorzieningen om de gemeente in staat te stellen om applicaties ter beschikking te stellen aan gebruikers, welke ICT-beheerdienstverlening minimaal omvat:

3. Switch volgt de best practices en productontwikkelingen met betrekking tot de beheerde ICT-infrastructuurcomponenten en daarop beschikbare systeemsoftware.

‑ Configuratiebeheer, back-up, netwerksegmentatie

• -

  opslag op een locatie die zich hemelsbreed meer dan tien kilometer van de locatie met de primaire data (het gemeentehuis) bevindt;

• -

  de informatieveiligheid van de data en de opslagdienst in het algemeen dient geborgd te zijn, zodanig dat voldaan wordt aan de eisen die vanuit het informatiebeveiligingsbeleid van de gemeente hieraan worden gesteld, welk beleid is gebaseerd op de BIG;

• -

  de verbinding naar de opslagdienst loopt via de internetverbinding van de gemeente;

• -

  de opslagdienst is in principe 24 uur per dag zeven dagen per week benaderbaar;

• -

  de leverancier controleert dagelijks dat het back-up proces naar de externe opslagdienst correct is uitgevoerd.

Afgesproken is dat de voorganger van Switch, Previder, afrondende werkzaamheden zal verrichten, die buiten de scope van de opdracht vallen, zoals netwerksegmentatie.

‑ Monitoring

Uit de aanbestedingsstukken blijkt dat op Switch de verplichting rustte tot functionele monitoring, dat wil zeggen het monitoren van de door Switch beheerde objecten op beschikbaarheid, capaciteit en performance, en niet tot security-monitoring, dat wil zeggen het monitoren op beveiligingsniveau dan wel beveiligingsincidenten. Over veiligheidsaspecten of veiligheidsrisico’s (zoals een cyberaanval) wordt in de aanbestedingsstukken niet (expliciet) gesproken. Op grond daarvan mocht van Switch wel worden verwacht dat zij signalen zou oppikken die van invloed waren op de vereiste beschikbaarheid, capaciteit en performance van servers, netwerkvoorzieningen en opslag en zo nodig corrigerende maatregelen zou treffen, maar niet dat zij ook specifiek op veiligheidsrisico's zou monitoren, zoals bij ongeautoriseerde inlogpogingen. Dat zou anders zijn als de ongeautoriseerde inlogpogingen zélf invloed zouden hebben op de beschikbaarheid, capaciteit of performance van de beheerde objecten. Het hof volgt niet het betoog van de gemeente dat de beschikbaarheid van het netwerk ook een veiligheidsaspect heeft, zodat Switch toch een groot aantal inlogpogingen zou moeten detecteren gezien het risico voor de beschikbaarheid. De gemeente heeft onvoldoende toegelicht op grond waarvan zij de overeenkomst zo mocht en Switch zo moest begrijpen. De opmerking dat beveiliging een kernverplichting van Switch was, is daarvoor ontoereikend. Het hof ziet verder ook geen aanknopingspunten voor een dergelijke ruime uitleg van de verplichtingen van Switch in dit kader.

Op de uitleg van de bepalingen over het borgen van de adequate werking van de systeemsoftware, back-up en restore van data, adequate antivirusmaatregelen en adequate firewall-inrichting zal het hof bij de bespreking van de verwijten verder ingaan.

Ten aanzien van de informatieveiligheid is overeengekomen dat moet worden voldaan aan het informatiebeveiligingsbeleid van de gemeente dat is gebaseerd op de BIG. Het hof deelt het oordeel van de rechtbank in het vonnis van 10 mei 2023 onder 4.2.6 dat uit deze verwijzing niet volgt dat de BIG zelf van toepassing is op de overeenkomst tussen partijen. De desbetreffende eis richt zich immers op het beleid van de gemeente en houdt niet in dat dit beleid samenvalt met de BIG. De gemeente erkent dat ook, waar zij stelt dat de BIG geen beleid betreft, maar normen en (doelen van) beveiligingsmaatregelen beschrijft, waarbij de organisatie van informatiebeveiliging en de wijze van implementatie van de beveiligingsmaatregelen worden beschreven in een informatiebeveiligingsbeleid. Nu in de Nota van Inlichtingen, in antwoord op vraag 48 naar het informatiebeveiligingsbeleid van de gemeente, is verwezen naar het Beleidsplan informatieveiligheid & privacy 2017, mocht Switch ervan uitgaan dat dit het informatiebeveiligingsbeleid van de gemeente inhield waaraan moest worden voldaan. In het Beleidsplan wordt voor het normenkader weliswaar verwezen naar de BIG, maar daaruit volgt nog niet dat de normen uit de BIG onderdeel zijn van het beleid. In het Beleidsplan is vermeld dat de maatregelen uit de BIG zijn beschreven in de bijlage bij het plan; voor de uitgebreide versie wordt verwezen naar het handboek informatiebeveiliging. In de bijlage is, voor zover hier van belang, slechts vermeld dat er back-upkopieën van informatie en programmatuur moeten worden gemaakt en regelmatig moet worden getest overeenkomstig het vastgestelde back-up beleid. Meer of andere verplichtingen volgen daar niet uit. De gemeente heeft niet gesteld dat uit het handboek nog andere eisen volgen waaraan de dienstverlening op dit punt zou moeten voldoen. Voor het overige verwijst het hof naar het oordeel van de rechtbank in het vonnis van 10 mei 2023 onder 4.2.6 en maakt die tot de zijne.

De gemeente voert nog aan dat artikel 6 en 10 van de GIBIT-voorwaarden bepalen dat de ICT-prestatie moet voldoen aan de gemeentelijke ICT-kwaliteitsnormen. Volgens de gemeente waren dat ten tijde van het sluiten van de overeenkomst de BIG en vanaf 1 januari 2002 de Baseline Informatiebeveiliging Overheid (BIO), wat is af te leiden uit artikel 26 lid 1 van de GIBIT-voorwaarden. De gemeente betoogt dat de BIG en BIO daarom wel relevant zijn voor de uitleg van de contractuele verplichtingen. Dat betoog volgt het hof niet. Artikel 26 lid 1 van de GIBIT-voorwaarden houdt in dat de leverancier ervoor instaat dat met de ICT-prestatie kan worden voldaan aan de BIG die deel uitmaakt van de gemeentelijke ICT-kwaliteitsnormen, althans een andere overeengekomen norm voor informatiebeveiliging. Zoals de rechtbank in het vonnis van 10 mei 2023 onder 4.2.6 heeft overwogen, heeft de gemeente in de aanbestedingsstukken haar eigen informatiebeveiligingsbeleid als norm voor de informatiebeveiliging gesteld, zodat niet wordt teruggevallen op de BIG of BIO. Het hof ziet niet in dat de artikelen 6 en 10 van de GIBIT-voorwaarden - die inhouden dat de ICT-prestatie moet voldoen aan de gemeentelijke ICT-kwaliteitsnormen en dat de leverancier garandeert dat de ICT-prestatie daaraan voldoet - daarvoor geen ruimte zouden laten, zoals de gemeente betoogt.

De gemeente betoogt verder dat de BIG en BIO zijn te beschouwen als (een nadere uitwerking van) de best practices die Switch zou toepassen bij het leveren van de ICT-prestatie, net zoals de ISO 27001:2017 en 27002:2017 standaarden waarop de BIG en BIO zijn gebaseerd. Switch wijst er echter terecht op dat in artikel 3.4.1 van de Selectieleidraad slechts is opgenomen dat Switch de best practices en productontwikkelingen met betrekking tot de beheerde ICT-infrastructuurcomponenten en daarop beschikbare systeemsoftware volgt en daarvoor een voortdurende en proactieve adviesrol vervult in de richting van de gemeente. Zelfstandige/aanvullende verplichtingen in het kader van de uitvoering van de ICT-beheerdienstverlening kunnen daaruit niet worden afgeleid.

Zoals aangekondigd in de aanbestedingsstukken heeft Switch een concept document Dossier Afspraken Procedures (DAP) opgesteld. De ‘definitieve versie’ dateert van 2 oktober 2018. Er is gesproken over aanpassingen van dit stuk, maar de aangepaste versie is er niet gekomen dan wel in de conceptfase blijven steken. De definitieve versie is niet ondertekend, maar diende voor partijen wel tot uitgangspunt bij de uitvoering van de overeenkomst, zo bleek uit de mondelinge behandeling in hoger beroep. Het DAP bevat een tabel met een verdeling van beheerverantwoordelijkheden per beheerd object. Hierin is, bij het beheerobject ICT-omgeving, opgenomen dat Switch verantwoordelijk is voor onder meer de back-up, antivirus en firewall beheer. Beheer is als volgt omschreven:

De geciteerde tekst houdt in dat Switch in het kader van het beheer, los van monitoring, controles uitvoert waarbij zij ook logfiles beoordeelt. Switch wijst er echter op dat zij bij haar inschrijving, in het antwoord op wens 9 waarin zij schreef dat zij in een DAP nadere afspraken wilde maken over de verdeling van verantwoordelijkheden, te kennen heeft gegeven dat het analyseren van logfiles alleen betrekking heeft op performance logfiles en niet op security logfiles: “(…) Performance logfiles analyseren (dit zijn niet de security logfiles) (…)”. Gelet daarop mocht de gemeente er niet van uitgaan dat het door Switch beschreven beheer ook de controle van security logfiles omvatte.

Verder staat vast dat de gemeente uitdrukkelijk heeft bedongen dat zij een eigen account behield, dat zij zelf beheerde om externe leveranciers toegang te kunnen geven tot haar netwerk, en dat aan dit ‘domain admin account’ de hoogste beheerrechten waren gekoppeld. In dat opzicht was dus wel sprake van duaal beheer. Partijen hadden nog geen sluitende oplossing gevonden voor de verdeling van verantwoordelijkheden van dit beheer (waaronder ook de verantwoordelijkheid met betrekking tot security). Zo was in de versie van het DAP van oktober 2018 opgenomen dat vooraf vast te stellen leveranciers en eigen applicatiebeheerders via een eigen beheeraccount toegang krijgen tot de voor hen relevante applicaties en onderdelen van de ICT-omgeving, dat dit serviceaccount uniek is per beheerder en altijd gecontroleerd loopt via de system management tool (Kaseya) van Switch en dat het functioneel en technisch beheer volledig onder regie en verantwoordelijkheid is van de gemeente. In de praktijk ging het niet helemaal zo: op verzoek van de gemeente werd op dit beheeraccount geen gebruik gemaakt van de door Switch voor andere accounts gebruikte Kaseya- en/of PRTG-tool. De gemeente, die verantwoordelijk was voor het wachtwoordbeleid in verband met de toegang tot accounts, koos niet voor twee factor authenticatie (TFA) of multi factor authenticatie (MFA).
Afgezien daarvan geldt dat, ook als de eindverantwoordelijkheid voor het beheer lag bij Switch, het op de weg van de gemeente lag om wijzigingen door te geven die zij via haar beheeraccount doorvoerde en die van belang waren voor het beheer door Switch. Dat geldt evident voor het wijzigen van een regel in de firewall waardoor de RDP-poort naar het internet werd opengezet en de FTP-SVR03 server van de gemeente via het internet bereikbaar werd, zoals in oktober 2019 is gebeurd. Hetzelfde geldt voor het invoeren van een eenvoudig te raden wachtwoord (“Welkom2020”), zoals in oktober 2020 het geval was.

De gemeente stelt zich op het standpunt dat de contractuele verplichtingen van Switch moeten worden opgevat als resultaatsverbintenissen. Zij wijst er daarbij op dat Switch moest garanderen dat het beheer van de ICT-infrastructuur van de gemeente zou voldoen aan de gemeentelijke ICT-kwaliteitsnormen en een adequate firewall-inrichting, adequate antivirusmaatregelen en adequate back-up moest borgen. Met Switch is het hof echter van oordeel dat de verplichtingen die Switch in het kader van de overeenkomst op zich heeft genomen meer het karakter hebben van een inspanningsverbintenis: de aanbestede opdracht betrof in de kern de uitbesteding van het systeembeheer en aanverwante ICT-dienstverlening van de gemeente. Daarin staat niet een verplichting om een bepaald resultaat tot stand te brengen centraal, maar gaat het meer om een voortdurende inspanning voor dat resultaat, namelijk een veilige en goed werkende ICT-infrastructuur. Het enkele feit dat de cyberaanval heeft kunnen plaatsvinden waarbij de ICT-systemen van de gemeente buiten werking zijn gesteld en back-ups zijn verwijderd, betekent dan ook nog niet dat Switch is tekortgeschoten in de nakoming van haar verbintenis. Dat is pas het geval als Switch een of meer concrete verplichtingen om iets te doen of na te laten in het kader van de overeenkomst niet heeft nageleefd.

Uit het onderzoek van NIFR is gebleken dat de firewall niet adequaat was ingericht: een jaar voor de aanval (29 oktober 2019) is door een medewerker van de gemeente een regel in de firewall aangepast, waardoor een RDP-poort is opengezet die later een opening bleek naar de rest van het netwerk. De gemeente stelt tegen deze achtergrond dat Switch niet heeft voldaan aan haar verplichting om een adequate firewall in te richten, door deze niet conform de standaardinstellingen van de Sophos UTM firewall, de handleiding van de leverancier en best practices op ‘whitelisting’ in te stellen. Met whitelisting wordt bedoeld dat internetverkeer alleen vanuit of naar bepaalde IP-adressen die op een whitelist staan is toegestaan en verkeer vanuit of naar andere IP-adressen wordt geblokkeerd. Een alternatief is ‘blacklisting’, waarbij internetverkeer vanuit alle IP-adressen is toegestaan, behalve als deze op de blacklist staan; internetverkeer naar of vanuit dat IP-adres wordt dan geblokkeerd. Het instellen en bijhouden van deze lijsten hoort bij de configuratie van een firewall. Daar hoort ook bij dat de geldigheidsduur van het instellen of aanpassen van een regel kan worden beperkt. Volgens de gemeente had het verkeer vanuit het IP-adres waarmee de cyberaanvallers zijn binnengekomen niet kunnen plaatsvinden als whitelisting was toepast. De gemeente wijst er verder op dat de hackers een IP-adres uit de Russische Federatie hebben gebruikt. Volgens de gemeente had Switch in elk geval bepaalde landen of regio’s moeten blokkeren, zoals die van de Russische federatie. Verder hadden volgens haar rule settings moeten worden ingesteld, waardoor de RDP-faciliteit niet langer had kunnen openstaan dan een vooraf bepaalde duur. De brute force aanvallen hadden dan niet kunnen plaatsvinden, aldus de gemeente. Daarnaast heeft de gemeente benadrukt dat de inrichting en beheer van een firewall geen eenmalige activiteit is maar voortdurende actie vraagt. Volgens de gemeente heeft Switch ook dat niet gedaan.

Voor deze verwijten ziet het hof geen goede grond. Switch heeft allereerst toegelicht dat zij de firewall wel degelijk op basis van het principe van whitelisting heeft geconfigureerd. Zij heeft erop gewezen dat een medewerker van de gemeente zelf aanpassingen heeft gemaakt in de firewall, waardoor de FTP-SVR03 server toegankelijk werd vanaf elk IP-adres vanaf het internet. De gemeente heeft in reactie daarop haar aanname dat geen whitelisting is toegepast niet nader onderbouwd, zodat daaraan voorbij wordt gegaan. Waar whitelisting werd toegepast, bestond geen aanleiding voor de minder vergaande maatregel van blacklisting, waarmee alleen verbindingen met IP-adressen uit risicolanden zouden worden geblokkeerd. Dat Switch dit niet heeft toegepast, levert dus ook geen tekortkoming op. Tijdens de mondelinge behandeling heeft de gemeente verder erkend dat rule settings, zoals een beperking van de duur van openstelling van een RDP-poort, pas bij aanpassing van een regel in de firewall kunnen worden ingesteld, en niet vooraf en in het algemeen. Dat de door een medewerker van de gemeente opengezette RDP-poort open is blijven staan, is dan ook niet te wijten aan een configuratiefout van Switch.

Verder is juist dat de adequate inrichting van de firewall, althans het beheer daarvan geen eenmalige activiteit is maar voortdurende zorg vraagt. Zo betekent dit dat Switch erop moest toezien dat de firewall correct functioneert en dat tijdig updates werden geïnstalleerd. Er volgt echter niet zonder meer uit dat Switch ook - voortdurend of periodiek - het logboek van de firewall moest controleren om verdachte activiteiten op te sporen en waar nodig beschermingsmaatregelen te nemen of voor te stellen. Daarbij is van belang dat, zoals hiervoor is overwogen, Switch bij haar inschrijving uitdrukkelijk heeft vermeld dat zij de performance monitoring wel, maar de security monitoring niet op zich nam. De vermelding in paragraaf 2.4.3 van het DAP dat Switch regelmatig een diepgaande controle zal doen en in dat kader regelmatig ook de logfiles controleert, moet in dat licht worden gezien. Hieraan mocht de gemeente dan ook niet de verwachting ontlenen dat Switch de logboeken van het veiligheidssysteem (de firewall) zou controleren. Gesteld noch gebleken is dat de vele inlogpogingen of brute force aanvallen van (werkelijke) invloed zijn geweest op de performance waarvoor Switch wel de verantwoordelijkheid droeg. De redenering dat Switch dit toch had moeten doen omdat beschikbaarheid ook een veiligheidsaspect heeft, gaat zoals hiervoor is overwogen ook niet op. Uit het feit dat de term ‘borgen’ is gebruikt, kan in deze context ook geen verplichting tot deze controle worden afgeleid. De verwijzingen naar hetgeen daarover is opgenomen in de BIG en BIO kan de gemeente ook niet baten, gelet op hetgeen daarover in het voorgaande is overwogen: een verplichting om de security logfiles te controleren, waar deze uit de aanbestedingsstukken zelf niet volgt, kan daaruit niet worden afgeleid.

De gemeente stelt verder dat uit de contractuele verplichting tot het beheren van de servers volgt dat Switch in elk geval de logboeken van de FTP-SVR03 server van Microsoft regelmatig had moeten controleren. Als zij dat had gedaan, had zij gezien dat tussen 24 november 2020 en 1 december 2020 ongeveer 430.000 inlogpogingen hadden plaatsgevonden. Dat duidde op een brute force aanval, aldus de gemeente. Zij stelt verder dat dit enorm hoge aantal ongeautoriseerde inlogpogingen hoe dan ook van invloed is geweest op de beschikbaarheid, capaciteit en performance van het systeem omdat dit al deze pogingen heeft moeten verwerken. Daarnaast stelt zij dat het best practice is om een groot aantal opeenvolgende inlogpogingen onmogelijk te maken, door bij een aantal mislukte inlogpogingen het account (al dan niet voor bepaalde tijd) te blokkeren.

Het hof onderschrijft dat de gemeente mocht verwachten dat Switch het logboek van de Microsoft servers zou controleren. Switch heeft bij haar inschrijving immers te kennen gegeven dat zij de performance logfiles zou analyseren. De omschrijving van het beheer in het DAP sluit daar ook op aan. Dit gold dan ook voor de logbestanden van de FTP-SVR03 server. De door Switch ingeschakelde deskundige heeft er tijdens de mondelinge behandeling in hoger beroep echter op gewezen dat het aantal verbindingen/inlogpogingen op zichzelf niet relevant is en niet per definitie op een brute force aanval duidt. De deskundige van de gemeente heeft dat onderschreven, maar heeft erop gewezen dat een significante stijging van het aantal verbindingen/inlogpogingen wel duidt op verhoogde aandacht en risico. De gemeente heeft echter niet (voldoende concreet en onderbouwd) aangegeven dat er sprake is geweest van een zodanige toename dat Switch op grond daarvan maatregelen had moeten nemen of althans had moeten waarschuwen voor het bedoelde risico. Dat Switch erin had moeten voorzien dat het account bij een aantal mislukte inlogpogingen zou worden geblokkeerd, heeft de gemeente verder onvoldoende onderbouwd. Daarom kan ook op dit punt geen tekortkoming van Switch worden vastgesteld.

De gemeente benadrukt dat het borgen van een adequate off-site back-up al onderdeel was van de raamovereenkomst en nadere overeenkomt die partijen op 15 mei 2018 hebben ondertekend. Dat Switch op 22 mei 2020 een offerte heeft uitgebracht met een voorstel voor back-up hardening, dat de gemeente niet heeft aanvaard, doet volgens de gemeente daarom niet ter zake (nog daargelaten dat volgens de gemeente niet vaststaat dat zij deze offerte heeft ontvangen). De gemeente noemt daarbij dat Switch in haar inschrijving heeft vermeld dat haar off-site back-up oplossing een professioneel, veilig en TIER-3 en ISO 27001 gecertificeerd datacenter biedt dat gebruik maakt van bewezen tooling (Veeam Cloud Connect) en een veilige en betrouwbare TLS/SSL-internetverbinding inclusief encryptie van het internetverkeer. Zij wijst erop dat Veeam Cloud Connect uitgaat van de 3-2-1 best practice, die inhoudt dat drie kopieën worden bewaard op verschillende media en locaties: één primary back-up en twee kopieën die op twee verschillende typen media/gegevensdragers worden bewaard, waarvan ten minste één off-site. De gemeente heeft het vermoeden dat er geen off-site back-up voorhanden was. Verder betoogt de gemeente dat, als Switch was georganiseerd en had gefunctioneerd conform de eisen van ISO 27001, onbevoegden nooit toegang hadden mogen krijgen tot het Switch datacenter. Volgens de gemeente kan en moet een off-site back-up ook met een eigen internetverbinding veilig worden georganiseerd. De gemeente wijst er daarbij nog eens op dat Switch in haar inschrijving beloofde dat zij gebruik zou maken van een veilige en betrouwbare internetverbinding.

Switch stelt daartegenover dat aan het 3-2-1 principe wel degelijk is voldaan: (1) er waren drie sets van de data aanwezig (de originele data en twee kopieën), (2) de originele data stonden op de servers van de gemeente, één kopie stond op de lokale back-up op de locatie van de gemeente en één kopie stond op de off-site back-up van Switch, en (3) de kopieën waren op verschillende dragers/media opgeslagen. De gemeente heeft niets meer tegen dit verweer ingebracht. Gelet daarop ziet het hof onvoldoende grond voor het vermoeden dat dit anders was. Switch heeft er verder op gewezen dat een offline back-up in de aanbesteding niet is uitgevraagd, zodat het ontbreken daarvan geen tekortkoming oplevert. Deze is wel aangeboden in de offerte van 22 mei 2020, maar die heeft de gemeente niet geaccepteerd. Daarbij is van belang dat tot de eisen van de gemeente behoorde dat zij 24/7 toegang tot de back-up had. Switch heeft aangevoerd dat, voor zover het een verplichting van haar was om de toegang zo te regelen dat alleen geautoriseerde personen toegang zouden krijgen tot de back-ups, zij daar ook aan heeft voldaan. De gemeente had via het domeinadministrator account toegang tot op het hoogste niveau en dus ook tot de back-ups. De gemeente wilde dat zo houden. Switch vermeldt ten slotte dat het transport van informatie over het internet verliep via een verbinding die beveiligd (encrypted) was. Daarmee werd voldaan aan wat zij bij de inschrijving had beloofd. De gemeente heeft tegenover deze gemotiveerde betwisting haar stellingen op dit punt niet nader onderbouwd, wat wel van haar had mogen worden verwacht. Ook op dit punt kan dan ook niet worden vastgesteld dat Switch haar contractuele verplichtingen niet is nagekomen. De oorzaak van het probleem lag niet in een onjuiste inrichting van de back-upvoorziening, maar in het feit dat de hackers toegang hebben verkregen via het hoogste domeinadministrator account van de gemeente en daardoor ook toegang kregen tot de back-ups, waardoor zij deze hebben kunnen verwijderen. Voor het overige verwijst het hof naar het vonnis van 10 mei 2023 onder 4.3.5 en maakt die overweging tot de zijne.

De conclusie is dat van een tekortkoming op de door de gemeente genoemde punten niet is gebleken. De vorderingen zijn op deze grondslag dan ook niet toewijsbaar.

De gemeente stelt verder dat Switch een (bijzondere) zorgplicht heeft geschonden door (i) de gemeente niet indringend te waarschuwen voor de risico’s van de door Switch beheerde off-site back-up en te informeren dat zij een adequate back-up niet langer kon waarborgen, (ii) zich er niet van te vergewissen dat de netwerksegmentatie door Previder was afgerond en deze werkzaamheden niet zo nodig zelf op te pakken, (iii) de gemeente niet indringend te waarschuwen voor de risico’s van de wens van de gemeente om zelf beheerrechten te houden en (iv) niet te wijzen op de maatregel van het beperken van het mogelijke aantal foutieve inlogpogingen.

Het gestelde onder (i) is gebaseerd op het feit dat Switch in mei 2020 een voorstel tot back-up hardening heeft uitgebracht. De gemeente leidt daaruit af dat de bestaande back-up voorziening kennelijk niet (meer) adequaat was. Dat is echter te kort door de bocht. Switch heeft toegelicht dat zij met de bestaande back-up oplossing aan de door de gemeente gestelde eisen voldeed. Switch signaleerde na de ransomware aanval bij de Universiteit Maastricht dat de aanvallers toegang hadden gekregen tot de active directory omgeving en daarmee ook bij de back-up konden komen. Dat betekende niet direct een groot risico voor de gemeente, omdat Switch zelf MFA toepaste op de door haar beheerde domeinadministrator accounts en zij ervan mocht uitgaan dat de gemeente haar eigen account ook goed beveiligde met een (moeilijk te raden) wachtwoord. Daarnaast adviseerden de VNG en het NCSC ook nog geen nadere maatregelen; dat gebeurde pas na 1 december 2020. Switch heeft desondanks proactief gehandeld door een voorstel voor back-up hardening uit te werken en naar de gemeente te sturen. Dit voorzag onder meer in toevoeging van een offline back-up die niet meer via het netwerk van de gemeente zou zijn te benaderen. Gelet op deze gang van zaken, die de gemeente inhoudelijk niet heeft weersproken, kan niet worden gezegd dat Switch op dit punt onvoldoende zorg voor de belangen van de gemeente heeft betracht.

Ten aanzien van het gestelde onder (ii) geldt dat niet ter discussie staat dat het anders inrichten van de ICT-infrastructuur buiten de scope van de opdracht viel. Tegen die achtergrond kan niet worden gezegd dat Switch enige zorgplicht heeft geschonden door zich niet bezig te houden met de netwerksegregatie die haar voorganger zou uitvoeren.

Het gestelde onder (iii) betreft de wens van de gemeente om zelf beheerrechten te houden. Switch heeft genoegzaam uitgelegd dat het behoud van beheerrechten door de gemeente op zichzelf niet risicovol was. Zij mocht verwachten dat de gemeente voldoende kennis in huis had om hiermee verantwoord om te gaan. Daar komt bij dat partijen volgens Switch hebben afgesproken dat wijzigingen door de gemeente zouden worden gemeld, wat de gemeente niet gemotiveerd heeft weersproken. Gelet daarop hoefde Switch geen reden te zien om de gemeente te waarschuwen voor risico’s zoals die zich uiteindelijk hebben voorgedaan.

Ten aanzien van het gestelde onder (iv) geldt dat de gemeente zelf verantwoordelijk was en wilde blijven voor haar wachtwoordbeleid. Zij beschikte op haar uitdrukkelijke wens over een eigen domeinadministrator account en kon er zelf voor zorgen dat dit na een aantal foutieve inlogpogingen zou worden geblokkeerd. Switch heeft er verder nog op gewezen dat zij MFA op de door haar beheerde accounts heeft ingesteld en dat zij de gemeente daarover heeft geïnformeerd, zodat daarop geen beperking van het aantal foutieve inlogpogingen hoefde te worden ingesteld. Zij heeft de gemeente herhaaldelijk geadviseerd om de toegang via Kaseya te laten verlopen, waarop MFA was ingesteld. Gelet daarop kan ook hier niet worden gezegd dat Switch enige zorgplicht heeft geschonden. Een grond voor aansprakelijkheid van Switch levert dit dan ook niet op.

Wat de gemeente in het kader van de zorgplicht verder nog heeft aangevoerd, betreft gestelde tekortkomingen die in het voorgaande al zijn besproken. Het hof ziet geen grond om aan te nemen dat Switch op deze punten weliswaar geen contractuele verplichtingen heeft geschonden, maar wel een op haar rustende zorgplicht niet heeft nageleefd. Voor het overige verwijst het hof naar het vonnis van 10 mei 2023 onder 4.4.2 en maakt die overweging tot de zijne.

De gemeente stelt ten slotte dat Switch in strijd met de maatschappelijke zorgvuldigheid heeft gehandeld omdat zij als vitale dienstverlener van een publiekrechtelijke organisatie niet alleen haar contractuele plicht heeft maar ook een maatschappelijke verantwoordelijkheid. Zij verwijst daarbij naar de tekortkomingen die zij heeft beschreven. De gemeente vindt dat Switch haar en haar inwoners, bedrijven en organisaties aan onverantwoorde risico’s heeft blootgesteld.

Het hof heeft hiervoor geconcludeerd dat de door de gemeente gestelde tekortkomingen niet zijn komen vast te staan. Niet valt in te zien dat op dezelfde punten wel sprake is geweest van onrechtmatig handelen. Ook op deze grondslag zijn de vorderingen van de gemeente dus niet toewijsbaar.

De gemeente heeft geen (voldoende concrete) feiten gesteld die, indien bewezen, tot een andere uitkomst kunnen leiden. Aan het bewijsaanbod van de gemeente gaat het hof daarom voorbij.

Het hoger beroep slaagt niet. Het hof zal de bestreden vonnissen dan ook bekrachtigen. Gelet op deze uitkomst is de vordering van de gemeente tot terugbetaling van wat zij op grond van het eindvonnis heeft betaald ook niet toewijsbaar. Deze vordering zal dan ook worden afgewezen.

Omdat de gemeente in het ongelijk wordt gesteld, zal het hof haar veroordelen in de proceskosten in hoger beroep. Onder die kosten vallen ook de nakosten die nodig zijn voor de betekening van de uitspraak en de wettelijke rente daarover. De rente is verschuldigd vanaf veertien dagen na die betekening.2

De veroordelingen in deze uitspraak kunnen ook ten uitvoer worden gelegd als een van partijen de beslissing van het hof voorlegt aan de Hoge Raad (uitvoerbaarheid bij voorraad).