Volgens de verzekeraar is het vergoeden van het losgeld in dit geval in strijd met Amerikaanse sanctieregelgeving. Intrigerende zin in een recent arrest over losgeld terugkrijgen van de cyberverzekering.
De verzekerde is een logistiek bedrijf, dat een cyberverzekering had genomen voor het geval er incidenten zouden plaatsvinden zoals ransomware. De polis noemt dat “digitale afpersing” en dekte “door u te betalen losgeld inclusief cryptogeld”.
Bij een later optredend dergelijk incident werd cybersecuritybedrijf Northwave er bij gehaald. Die adviseerde betalen van het losgeld, na een uitdrukkelijke check dat de beoogde ontvanger niet op Amerikaanse of Europese sanctielijsten staan.
De verzekeraar weigerde echter dat te vergoeden, omdat zij vermoedde (“kan niet anders”) dat het losgeld uiteindelijk bij de Russische groep Evil Corp terecht zou komen, en die staan op dergelijke lijsten. En dan zou dat tot sancties tegen haar bedrijf leiden.
Alleen: in de voorwaarden staat dat men niet hoeft te betalen ‘indien dit een inbreuk zou vormen’, oftewel ‘indien dit een inbreuk vormt’. Het Hof neemt de kleine lettertjes zeer serieus:
Er staat niet ‘indien dit een inbreuk zou kunnen vormen’, ‘indien dit mogelijk een inbreuk zou vormen’, ‘indien er een reële kans is dat dit een inbreuk vormt’, of iets soortgelijks. Uit de tekst van artikel 4.28 volgt dan ook niet dat met deze bepaling is beoogd om [verzekeraar] (en de betrokken verzekerde zelf) te beschermen tegen de onzekerheid die gemoeid is met de toepasselijkheid van sanctieregelgeving bij gebreke van een beslissing van de toezichthouder.
Dat is het probleem met veel van dit soort wetgeving: veel angstverhalen, zou kunnen, er dreigt van alles, maar concrete voorbeelden en wat er dan precies gebeurd? Ja nee gag orders NDA staatsgeheim.
Het Hof eist duidelijkheid:
In de Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments, een advies van het OFAC (productie 26 bij de conclusie van antwoord), staat het volgende (de onderstrepingen zijn door het hof aangebracht): “Companies that facilitate ransomware payments to cyber actors on behalf of victims, including financial institutions, cyber insurance firms, and companies involved in digital forensics and incident response, not only encourage future ransomware payment demands but also may risk violating OFAC regulations.” In de Updated Advisory (productie 27 bij de conclusive van antwoord) staat het volgende: “This advisory describes the potential sanctions risks associated with making and facilitating ransomware payments (…)”.
Dit is typisch zo’n tekst waarmee bedrijven besluiten een risico niet te willen nemen. Maar hoe hard moet je dit lezen? Potentiële sancties, het zou kunnen dat je regels overtreedt, wie weet staat ergens een artikelnummer.
Maar, zo zegt het Hof, gáát dit wel over deze situatie?
[Verzekeraar] kan er echter niet van beschuldigd worden dat zij namens een slachtoffer van een hack de betaling van losgeld aan Evil Corp heeft gefaciliteerd. [De klant] heeft het losgeld zelf betaald, twee dagen na de hack, omdat een groot deel van haar netwerk versleuteld was geraakt. Er staat bovendien “may risk” en “potential”, wat duidt op regelgeving die niet in steen is gebeiteld en waarbij het kan afhangen van de omstandigheden van het geval of sancties worden opgelegd of niet. Dat, zoals [verzekeraar] gesteld heeft, OFAC verregaande bevoegdheden heeft bij het interpreteren van sanctiewetten (en het vereiste van material support), maakt niet dat OFAC deze bevoegdheden ook in dit geval zal inzetten jegens [appellante] (of haar moeder- of zustervennootschap), ook niet als aangenomen wordt dat de Amerikaanse overheid het bestrijden van Evil Corp hoog op de agenda heeft staan.
Wat dat laatste betreft: de OFAC was
gevraagd om toestemming om het losgeld te mogen betalen, maar men leek niet echt interesse in de kwestie te hebben.
Wat mij vooral bevalt aan dit arrest, is dat het Hof niet onder de indruk raakt van de bezweringsformule “Amerikaanse wetgeving”. Ik hoor die vaker: de Patriot Act, de CLOUD Act, Section 702, geheime bevelen aan Amerikaanse medewerkers, gag orders, noem maar op. En dan volgt steevast de conclusie dat de Amerikaanse overheid van alles kan eisen, want <handwuif>.
Het Hof vraagt gewoon door. Welke bevoegdheid precies, tegen wie, voor welke handeling en waarom zou die hier worden ingezet? Natuurlijk heeft de Amerikaanse overheid vergaande bevoegdheden. Maar dat is geen vrijbrief om bij iedere juridische discussie het Amerikaanse sanctie- en veiligheidsapparaat als spookbeeld op te voeren. Wie zich op zulke wetten beroept, moet concreet maken waarom ze in dit geval relevant zijn. Ook Amerikaanse wetgeving is geen juridisch toverwoord.
Arnoud
Het bericht Amerikaanse sanctiewetgeving is geen juridisch toverwoord verscheen eerst op Ius Mentis.
/s3/static.nrc.nl/wp-content/uploads/2026/10/27130145/031126CUL_2037866739_1.jpg)
