Waarom je niet vanzelfsprekend mag aannemen dat alles goed geregeld is
Door: Patrick Jordens
De zaak tussen Blok en Hallo Nederland
Op 3 februari 2026 deed het Gerechtshof Amsterdam uitspraak in een zaak tussen Blok Enterprise Vastgoed B.V. en Hallo Nederland B.V.. De kern van het geschil was ogenschijnlijk eenvoudig. Blok werkte al jaren samen met Hallo Nederland voor het beheer van de ICT-infrastructuur. In 2018 was afgesproken dat van een aantal servers structureel cloud back-ups zouden worden gemaakt. Die dienstverlening liep door, er werden kwartaalrapportages verstrekt en er waren geen signalen dat er iets fundamenteels ontbrak.
In 2022 werd de server waarop het ERP-systeem draaide vervangen. De nieuwe versie van de software vroeg meer capaciteit en kon niet op de oude omgeving blijven draaien. De migratie werd uitgevoerd, het systeem functioneerde en de samenwerking bleef ongewijzigd voortbestaan. Vanuit het perspectief van Blok lag het voor de hand dat de nieuwe server onder hetzelfde back-upregime viel als zijn voorganger.
Daar werd geen aparte opdracht voor verstrekt.
De crash en de ontdekking
In oktober 2024 crashte de server waarop het ERP-systeem draaide. Tijdens het herstelproces bleek dat de nieuwe server nooit was toegevoegd aan het cloud back-upsysteem dat in 2018 was ingericht. Sinds juli 2022 was er geen externe back-up meer gemaakt van deze omgeving. Data die in de tussentijd was opgebouwd, bleek definitief verloren.
Voor een organisatie waarvan de productieprocessen volledig afhankelijk waren van dat ERP-systeem had dit directe gevolgen. De bedrijfsvoering kwam stil te liggen en de schade liep snel op. Blok stelde Hallo Nederland aansprakelijk voor de geleden en nog te lijden schade, die in de tonnen werd begroot.
Waar het hof oordeelde
Het hof keek in de eerste plaats naar de overeenkomst. In 2018 was expliciet afgesproken van welke servers back-ups zouden worden gemaakt. Toen de server in 2022 werd vervangen, was niet aantoonbaar vastgelegd dat deze nieuwe server automatisch onder diezelfde afspraak viel. Volgens Hallo Nederland was daarvoor een afzonderlijke opdracht nodig geweest.
Daarnaast waren op de overeenkomst de gebruikelijke NL-ICT-voorwaarden van toepassing, waarin aansprakelijkheid voor indirecte schade, bedrijfsstagnatie en verlies van gegevens in belangrijke mate is uitgesloten. Het hof oordeelde dat van opzet of bewuste roekeloosheid geen sprake was en dat het beroep op deze exoneratieclausules standhield.
De vordering van Blok werd afgewezen.
“Je mag toch aannemen dat…”
Wat deze uitspraak zo herkenbaar maakt, is de gedachte die veel bestuurders onmiddellijk zullen hebben: je mag toch aannemen dat een IT-leverancier back-ups maakt van een server waarop je kernsysteem draait. Je mag toch aannemen dat bij een serveervervanging het bestaande back-upregime gewoon wordt voortgezet. Je mag toch aannemen dat monitoring en rapportages betekenen dat alles wat essentieel is ook daadwerkelijk wordt meegenomen. Precies op dat punt schuurt het.
Blok redeneerde vanuit logica en continuïteit. Hallo Nederland redeneerde vanuit opdracht en contractuele scope. Zolang systemen functioneren, blijft dat verschil onzichtbaar. Pas wanneer herstel nodig is, blijkt hoe bepalend die afbakening is.
Ook de rol van rapportages is interessant. Daarin werd vermeld dat back-up- en restorecontroles werden uitgevoerd. Achteraf bleek dat deze controles betrekking hadden op de servers die formeel in het systeem waren opgenomen. De nieuwe server maakte daar geen onderdeel van uit. De rapportage was daarmee niet onjuist, maar sloot niet aan bij wat de klant veronderstelde dat werd gecontroleerd.
Minder naïef omgaan met afhankelijkheid
De uitspraak is juridisch goed te volgen. Tegelijkertijd laat zij zien hoe sterk veel organisaties vertrouwen op de prestaties van hun IT-leverancier. Dat vertrouwen is begrijpelijk, want de technische complexiteit is groot en de afhankelijkheid van digitale systemen neemt alleen maar toe.
Juist daarom wordt het steeds belangrijker om minder naïef om te gaan met die afhankelijkheid. Niet door wantrouwen te organiseren, maar door verificatie te organiseren. Steeds meer organisaties laten daarom periodiek een onafhankelijke partij kijken naar de prestaties van hun IT-leverancier, niet alleen op het vlak van back-ups maar ook op het gebied van monitoring, securitymaatregelen en de feitelijke werking van herstelprocedures.
Een derde partij kan objectief vaststellen wat binnen scope valt, wat aantoonbaar functioneert en waar aannames zijn ontstaan. Dat versterkt niet alleen de technische zekerheid, maar ook de juridische positie wanneer verantwoordelijkheden ter discussie komen te staan.
Van aannames naar aantoonbaarheid
De zaak tussen Blok en Hallo Nederland laat uiteindelijk iets eenvoudigs zien. Vertrouwen in een IT-leverancier is waardevol, maar vertrouwen zonder verificatie is kwetsbaar. Zeker bij wijzigingen in infrastructuur of applicaties is het verstandig om expliciet vast te leggen wat verandert, wat binnen beheer valt en hoe kritieke maatregelen daadwerkelijk worden geborgd.
Wie afhankelijk is van digitale systemen voor zijn kernprocessen, kan het zich niet permitteren om uitsluitend te sturen op aannames. Aantoonbaarheid en onafhankelijke controle zijn geen luxe, maar een logisch antwoord op de realiteit van moderne bedrijfsvoering.
