Cyber security en averij-grosse
Juni 2021
Biedt P&I dekking voor “de onverhaalbare bijdrage” in geval van een cyberaanval?
Het incident met het ‘blokkeerschip’ “Ever Given” heeft geleid tot een ongekende belangstelling voor het leerstuk averij-grosse. Diverse media hebben inmiddels hun hoofd gebogen over de vraag wie uiteindelijk de rekening van de hulpverleners van dit schip zal moeten betalen.[1] Averij-grosse is ondanks haar hoge leeftijd (het bestond al in de Romeinse tijd) nog altijd zeer relevant.
Onverhaalbare averij-grossebijdragen
Dat de eigenaar van de “Ever Given” averij-grosse heeft verklaard, is op zich niet opzienbarend. Scheepseigenaren verklaren dikwijls averij-grosse om tijdens een reis in het gemeenschappelijk belang van schip en lading opzettelijk en redelijkerwijs gemaakte kosten (en opofferingen) ter redding van schip en lading uit gevaar te verdelen over de bij de reis betrokken partijen.[2]
Succes is niet altijd gegarandeerd. Soms is niet voldaan aan de vereisten van averij-grosse. Ook is het mogelijk dat posten wel kwalificeren als averij-grosse, maar dat er verweer tegen de vordering gevoerd kan worden. Scheepseigenaren blijven dan zitten met niet-verhaalbare averij-grosse bijdragen. Scheepseigenaren kunnen onder meer géén averij-grossebijdrage afdwingen van anderen wanneer de averij-grossemaatregelen het gevolg zijn van omstandigheden waarvoor de scheepseigenaar aansprakelijk is. Dit is bijvoorbeeld het geval wanneer aangetoond kan worden dat averij-grossemaatregelen noodzakelijk waren doordat vóór en bij aanvang van de reis onvoldoende zorg is betracht voor de zeewaardigheid van het schip.[3] Die ‘onzeewaardigheid’ kan bijvoorbeeld het gevolg zijn van het feit dat het schip niet beschikt over voldoende up-to-date kaarten en een deugdelijk voyage/passage plan.[4]
In dergelijke gevallen is er doorgaans géén man overboord voor de scheepseigenaren en biedt hun P&I-verzekeraar ‘redding’. Onverhaalbare bijdragen in averij-grosse worden veelal gedekt onder de P&I-verzekering van een schip. Zie ter illustratie Rule 3.14 in ‘Section C: Risks Covered’ in de ‘P&I Rules’ van The Standard Club:
“The proportion of general average, special charges or salvage which the member is or would be entitled to claim from cargo or from another party which is not recoverable solely by reason of a breach of the contract of carriage. …”[5]
Uitsluiting voor cyberrisico’s
De digitalisering van de scheepvaart leidt tot verdere aandacht voor cyber security. Zo geldt vanaf 1 januari 2021 IMO’s Maritime Safety Committee’s resolutie ‘Maritime Cyber Risk Management in Safety Management Systems’, op grond waarvan scheepseigenaren en –managers onder de ISM Code verplicht zijn om de cyberrisico’s van hun schepen en organisaties in kaart te brengen, te beoordelen en zo nodig maatregelen te nemen in hun Safety Management Systems.[6]
Aannemelijk is dat in geval van schade veroorzaakt door een cyber risico, de vraag aan de orde zal komen of het Safety Management System van het schip aan de vereisten voldeed én er voldoende controle was op de naleving daarvan. Gebreken in het Safety Management System voor wat betreft cyber security zouden kunnen leiden tot verhaal van schadevorderingen van ladingbelanghebbenden.[7] Vanuit het perspectief van averij-grosse gezien, bestaat de kans dat scheepseigenaren hun vorderingen tot bijdrage in averij-grosse zien stranden wanneer dergelijke gebreken en de verwezenlijking van te voorkomen cyberrisico’s genoodzaakt hebben tot de genomen averij-grossemaatregelen.
Vooralsnog lijkt het zo te zijn dat P&I-verzekeraars ook in geval van een cyber incident doorgaans dekking bieden voor onverhaalbare bijdragen in averij-grosse. Een aantal van de dertien P&I Clubs die lid zijn van de International Group of P&I Clubs[8] bieden de scheepseigenaar momenteel alleen géén dekking voor schade die het gevolg is van een cyberaanval welke een oorlogsdaad is of die het werk is van terroristen.[9] Of dit zo beperkt blijft, valt te bezien.
De ‘Rules’ van deze P&I Clubs voor andere producten dan de dekking van de gebruikelijke aansprakelijkheidsrisico’s van scheepseigenaren en de polisvoorwaarden van diverse ‘fixed premium’ P&I-verzekeraars voor het jaar 2021 geven aanleiding te denken dat onverhaalbare bijdragen als gevolg van verwezenlijkte cyberrisico’s in de toekomst niet zonder meer gedekt zullen zijn. Zo hebben herverzekeringsvoorwaarden P&I Club Gard genoodzaakt om de ‘Marine Cyber Endorsement (LMA5403)’[10] op te nemen in haar ‘fixed premium’ scheepsaansprakelijkheidsverzekeringen en in haar verzekering voor Mobile Offshore Units.[11] De ‘Marine Cyber Endorsement (LMA5403)’ luidt als volgt:
1. Subject only to paragraph 3 below, in no case shall this insurance cover loss, damage, liability or expense directly or indirectly caused by or contributed to by or arising from the use or operation, as a means for inflicting harm, of any computer, computer system, computer software programme, malicious code, computer virus, computer process or any other electronic system.
2. Subject to the conditions, limitations and exclusions of the policy to which this clause attaches, the indemnity otherwise recoverable hereunder shall not be prejudiced by the use or operation of any computer, computer system, computer software programme, computer process or any other electronic system, if such use or operation is not as a means for inflicting harm.
3. Where this clause is endorsed on policies covering risks of war, civil war, revolution, rebellion, insurrection, or civil strife arising therefrom, or any hostile act by or against a belligerent power, or terrorism or any person acting from a political motive, paragraph 1 shall not operate to exclude losses (which would otherwise be covered) arising from the use of any computer, computer system or computer software programme or any other electronic system in the launch and/or guidance system and/or firing mechanism of any weapon or missile.
“directly or indirectly caused by or contributed to by or arising from the use or operation, as a means for inflicting harm, of any computer, computer system, computer software programme, malicious code, computer virus, computer process or any other electronic system”
Niet uitgesloten is dat scheepseigenaren bij de renewal voor het polisjaar 2022/2023 ook in andere verzekeringsproducten geconfronteerd zullen worden met deze ‘Endorsement’. Welke gevallen dan van dekking uitgesloten kunnen worden, is op dit moment onduidelijk. Omvat deze clausule bijvoorbeeld het geval van het bemanningslid dat argeloos zijn mobiele telefoon oplaadt aan de USB-aansluiting van een computer aan boord en daarmee onbewust de computersystemen aan boord platlegt met een op zijn mobiele telefoon door derden geplaatst virus? Als het schip daardoor vastloopt en hulpverlening noodzakelijk is, is een door onzeewaardigheid onverhaalbare averij-grossebijdrage dan gedekt?
Tot slot
Ook hier geldt het devies dat voorkomen beter is dan genezen. Ons inziens zou een adequaat cyberveiligheidsbeleid aan boord prioriteit moeten zijn voor scheepseigenaren. Voor die gevallen waarin dat onverhoopt niet het geval mocht zijn, adviseren wij hen om te overleggen met hun verzekeringsmakelaars om ervoor te zorgen dat zij in de toekomst in geval van een cyber incident voor onverhaalbare bijdragen in averij-grosse nog steeds terecht kunnen bij een verzekeraar.
* * *
[1] Zie voor opsomming van diverse bronnen '“Ever Given” – nu ook nog averij-grosse' op onze website.
[2] Verdere achtergrondinformatie over dit leerstuk vindt u op de pagina ‘Averij-grosse’ op onze website.
[3] Hoge Raad 11 juni 1993, NJ 1995/235 (“Quo Vadis”).
[4] Verwezen zij naar de blog van Jolien Kruit over de “CMA CGM Libra”.
[5] P&I Rules 2021/2022, The Standard Club.
[6] Zie ook de blog: ‘Digitalisering van de scheepvaart. Is de cyber security aan boord op orde?’.
[7] Zie hierover uitgebreider Jolien Kruit in haar blog ‘IMO Cyber Risk Management Resolution – óók relevant voor ladingbelanghebbenden’.
[8] Zie: https://www.igpandi.org/group-clubs.
[9] Vgl. Rule 6.1.2. van de ‘P&I war risks clause 2021’ in de P&I Rules 2021/2022, The Standard Club.
[10] De Lloyd’s Market Association heeft in 2019 haar ‘LMA5403 – Marine Cyber Endorsement’ geïntroduceerd. Zie: https://www.lmalloyds.com/LMA/News/LMA_bulletins/LMA_Bulletins/LMA19-031-PD.aspx.
[11] Zie Gard. Member Circular No 16/2020.
