En nyere dom fra Norge fastslår, at en IT-leverandør ikke kan støtte ret på force majeure, når utilstrækkelige cybersikkerhedsforanstaltninger har muliggjort eller forværret et hackerangreb. Leverandøren blev holdt ansvarlig for kunders direkte tab efter længerevarende nedetid og permanent datatab, men erstatningen blev begrænset af et aftalt ansvarsloft, da retten ikke fandt grov uagtsomhed. Leverandøren skulle bistå med datagendannelse, men blev ikke pålagt at betale løsesum.
Retten lagde vægt på, at angrebet kunne være forebygget eller begrænset gennem rimelige tiltag, herunder tofaktorautentificering, geografisk blokering, opdateret software og backup adskilt i et separat netværk. Cyberangreb er derfor ikke i sig selv uforudsigelige begivenheder uden for leverandørens kontrol, når basale sikkerhedskrav ikke er opfyldt. Samtidig anerkendte retten de aftalte ansvarsbegrænsninger mellem professionelle parter, og fastholdt sondringen mellem direkte og indirekte tab.
Dommen giver praktiske pejlemærker for udformning og forvaltning af IT-kontrakter i Norden. Den peger på nødvendigheden af at beskrive et minimumsniveau for sikkerhed, knytte SLA’er til både oppetid og genopretningsmål og tydeligt placere ansvar for backup, gendannelse og hændelseshåndtering.
For at styrke kontraktgrundlaget kan følgende overvejes:
- Definér en sikkerhedsbaseline med konkrete tekniske og organisatoriske foranstaltninger samt reference til standarder som ISO 27001, NIS2 og GDPR artikel 32.
- Indfør klare force majeure-klausuler med carve-outs for cyberhændelser, hvis sikkerhedsbaselinen ikke er opfyldt.
- Fastlæg ansvarsstruktur med differentiering mellem direkte og indirekte tab, præcis beskrivelse af grov uagtsomhed og et gennemtænkt ansvarsloft.
- Fordel pligter for backup, test af gendannelse, netværkssegmentering og logning samt krav til hændelsesrespons og rapportering.
Selv om afgørelsen er norsk, harmonerer dens præmisser med EU-retlige forventninger til passende sikkerhed. Danske parter bør derfor sikre, at kontrakter og praksis afspejler et dokumenteret risikobillede og et aktuelt sikkerhedsniveau, så force majeure kun bliver relevant, når hændelser reelt er uden for kontraktpartens kontrol.
