IT-leverandør unngår erstatningskrav etter hackerangrep
Publisert
Kilde: Digi.no
IT-leverandør unngår erstatningskrav etter hackerangrep
Ingress: En IT-leverandør er frifunnet for erstatningskrav etter et omfattende hackerangrep, til tross for at mangelfulle rutiner ble avdekket. Saken kan potensielt få stor betydning for ansvarsforholdet mellom oppdragsgivere og deres IT-leverandører i Norge.
Bakgrunn Saken dreier seg om et hackerangrep mot et firma hvor IT-leverandøren hadde ansvar for drift og sikkerhet. Selv om retten fant at leverandøren hadde brutt sine forpliktelser gjennom "ubegrunnet" mangel på rutiner og svake prosedyrer, ble det ikke dømt til erstatning. Retten la vekt på at det ikke var ført tilstrekkelig bevis for at leverandørens uaktsomhet konkret hadde forårsaket skaden.
Oppdragsgiveren hadde krevd flere millioner kroner i erstatning, basert på påstått feil eller forsømmelse fra leverandørens side. Ansvarsgrunnlaget ble imidlertid ikke ansett som tilstrekkelig bevist av retten i første og andre instans.
Norsk kontekst Denne dommen er relevant for norske virksomheter som benytter seg av eksterne IT-leverandører for drift og sikkerhet. Utfallet reiser spørsmål om bevisbyrde og ansvarsfordeling ved sikkerhetsbrudd. Spesielt viktig blir det for norske selskaper å nøye vurdere kontraktene sine og sikre klare avtaler om ansvar og erstatning ved datainnbrudd.
Konsekvensen av dette er at norske bedrifter kan måtte forvente å bære en større del av risikoen selv ved et angrep som skjer hos en IT-leverandør, dersom de ikke har spesifikke klausuler på plass. En dom i Høyesterett kan skape presedens for fremtidige saker.