Wat heeft een cyberverzekering met Centric te maken?

Tot nu toe heeft ITchannelPRO geen aandacht besteed aan de affaire Centric, maar de uitspraak van de Ondernemingskamer is reden dat wel te doen. Hierin staan namelijk drie punten genoemd die te belangrijk zijn om genegeerd te worden en een waarschuwing moeten zijn voor elke ondernemer.

Vrijdag heeft de Ondernemingskamer beslist dat de heer Sanderink zijn laatste aandeel in Centric moet overdragen. Een dergelijke beslissing wordt niet makkelijk genomen. Deze stap valt samen met het gelasten een onderzoek te starten naar Centric Holding B.V. en haar dochtervennootschappen over de periode vanaf 1 januari 2018 tot 3 november 2022. De link tussen de twee beslissingen mag duidelijk zijn. Zolang Sanderink direct of indirect, al is het maar via een aandeel, de mogelijkheid heeft zich met de bedrijfsvoering te bemoeien, zal het lastig zijn een goed onderzoek te doen.

Incidenten 2018

De uitspraak noemt puntsgewijs alle incidenten die vanaf 2018 naar buiten zijn gekomen en die reden zijn voor het besluit. Voor wie de kranten heeft gevolgd is dat verder geen nieuws. Wat wel nieuws is, zijn drie meldingen die als een enorme waarschuwing gelden.

Bank

Als eerste lezen we dat in oktober 2021 de RABO de bancaire relatie met Centric heeft opgezegd, omdat er sprake was van “ “een ernstig verstoorde relatie”. Een bank stopt niet zomaar met de dienstverlening en al helemaal niet als de klant in kwestie zo’n belangrijke speler is voor IT diensten van de overheid. Iedere klant en leverancier van Centric had hierdoor al kunnen vermoeden dat er een behoorlijk probleem was. Strikt genomen hadden inkopers en partners toen ook al naar de bestaande contracten kunnen kijken. Bij belangrijke contracten en aanbestedingen geldt de regel dat serieuze wijzigingen bij de leverancier moeten worden gemeld. Zo niet dan kan dat behoorlijke consequenties hebben.

Verzekeraar en accountant

Maar het bleef niet bij deze stap van de RABO. In reactie hierop heeft verzekeraar Zurich de polis voor de cyber-security verzekering opgezegd. Men vond het risicoprofiel van Centric te hoog, dat is de tweede melding die moet leiden tot minimaal fronsende wenkbrauwen. Tenslotte staat er nog dat de kans bestond dat de huisaccountant “als gevolg van de ontstane situatie haar werkzaamheden beëindigt.“

Verplichtingen

Wie grote klanten bediend zal waarschijnlijk een account hebben. Die “zomaar” inwisselen kan dus reden zijn voor die klanten onrustig te worden. Wellicht is dat soort veranderingen ook verplicht te melden. De grootste klapper is echter nummer twee, de cyberverzekering. Hier staat niets minder dan dat Centric voor een deel van de risico’s onverzekerd raakte. Daardoor kon het niet langer voldoen aan verplichtingen die met de aanbestedingen en contracten zijn aangegaan. Dus alleen al daardoor konden klanten het bedrijf de rug toekeren.

Dat de affaire Centric redelijk uniek is voor het Nederlandse bedrijfsleven was al bekend, dat een cyberverzekering een zo sterke rol speelde was nog niet eerder opgevallen.