Bij een geschil over een service level agreement (SLA) gaat het om de vraag of de leverancier de afgesproken servicelevels heeft gehaald, zoals responstijden, hersteltijden en het maken van back-ups. Schiet hij toerekenbaar tekort, dan moet hij de schade vergoeden (artikel 6:74 lid 1 BW). Het hof Amsterdam oordeelde zo over ontbrekende back-ups, maar rekende twee derde van de schade toe aan de afnemer zelf.
In een uitspraak van het gerechtshof Amsterdam van 16 februari 2021 (ECLI:NL:GHAMS:2021:508) stonden de service level agreement en de aansprakelijkheid van een ICT-leverancier centraal. In de kern ging het om de vraag of een ICT‑leverancier toerekenbaar tekort was geschoten in de nakoming van zijn verplichtingen uit de service level agreement (SLA). Op grond van de SLA was de ICT‑leverancier (onder andere) verplicht tot het maken van adequate back-ups. Vlak nadat de SLA eindigde, werd de afnemer getroffen door een ransomsoftware-blokkade. Op de einddatum van de SLA was er geen recente en volledige back-up van de databestanden en het ICT-systeem, terwijl de ICT‑leverancier daarvoor tot die datum verantwoordelijk was. Het hof Amsterdam oordeelde dat de ICT‑leverancier daarom tekort was geschoten in de nakoming van zijn verplichtingen uit de service level agreement, maar oordeelde ook dat de schade grotendeels aan de eigen schuld van de afnemer was te wijten. In deze blog gaat advocaat Claartje van der Marel nader in op de zaak en de service level agreement.
Wat is een service level agreement?
Een service level agreement is een overeenkomst tussen een IT‑dienstverlener en een afnemer. In een SLA staan de specificaties, kwaliteitseisen en prestatie-indicatoren van de IT‑diensten die de dienstverlener levert. Denk aan de beschikbaarheid van een systeem, de respons- en hersteltijd bij een storing, het onderhoud van servers, netwerk of andere hardware, en de verplichting om een adequaat back-up- en beveiligingssysteem in stand te houden. Daarnaast bevat een SLA afspraken over de inhoud en regelmaat van rapportages over de geleverde IT-diensten.
Een aparte wet voor SLA’s bestaat niet. Een SLA voor beheer en onderhoud is, afhankelijk van de inhoud, vaak een overeenkomst van opdracht (artikel 7:400 lid 1 BW). De leverancier moet dan de zorg van een goed opdrachtnemer in acht nemen (artikel 7:401 BW), tenzij uit de wet, de inhoud of aard van de overeenkomst, een andere rechtshandeling of de gewoonte iets anders voortvloeit (artikel 7:400 lid 2 BW). Hoe goed de SLA de servicelevels meetbaar maakt, bepaalt in de praktijk of je kunt aantonen dat de leverancier tekortschiet.
Wat kun je doen als de leverancier de SLA niet nakomt?
Haalt de leverancier de servicelevels niet waartoe hij zich in de SLA heeft verbonden, dan is dat een tekortkoming. Formuleert de SLA een servicelevel alleen als streefwaarde, dan ligt dat anders. Hij moet de schade die je daardoor lijdt vergoeden, tenzij de tekortkoming hem niet kan worden toegerekend (artikel 6:74 lid 1 BW). Voor zover nakoming nog mogelijk is, moet de leverancier daarvoor eerst in verzuim zijn (artikel 6:74 lid 2 BW). Meestal stel je hem schriftelijk in gebreke met een redelijke termijn; het verzuim treedt in als nakoming binnen die termijn uitblijft (artikel 6:82 lid 1 BW). Soms is een ingebrekestelling niet nodig, bijvoorbeeld als je uit een mededeling van de leverancier moet afleiden dat hij zal tekortschieten (artikel 6:83 onder c BW).
Je kunt ook je eigen betaling opschorten. Komt de leverancier maar gedeeltelijk of niet behoorlijk na, dan mag dat alleen voor zover de tekortkoming de opschorting rechtvaardigt (artikel 6:262 BW). Ontbinden kan bij iedere tekortkoming, tenzij die gezien haar bijzondere aard of geringe betekenis de ontbinding met haar gevolgen niet rechtvaardigt; voor zover nakoming niet blijvend of tijdelijk onmogelijk is, moet de leverancier ook dan eerst in verzuim zijn (artikel 6:265 BW). Lees ook wat de SLA zelf regelt over meldingen, escalatie en geschillen. Meer over de aanpak van een IT-geschil lees je op onze pagina over een IT-conflict.
Zijn servicecredits in een SLA een boete?
Veel SLA’s bepalen dat de afnemer een korting of servicecredit krijgt als een servicelevel niet wordt gehaald. Zo’n regeling is vaak een boetebeding: een beding waarbij de schuldenaar die tekortschiet een geldsom of andere prestatie moet voldoen, ongeacht of dat strekt tot schadevergoeding of tot aansporing (artikel 6:91 BW). Spreek je niets anders af, dan treedt de boete in de plaats van de wettelijke schadevergoeding (artikel 6:92 lid 2 BW). Is de tekortkoming niet aan de leverancier toe te rekenen, dan kun je de boete niet vorderen (artikel 6:92 lid 3 BW). Voor het vorderen van de boete is een aanmaning nodig in dezelfde gevallen als voor het vorderen van schadevergoeding op grond van de wet (artikel 6:93 BW). Op verlangen van de leverancier kan de rechter de boete matigen als de billijkheid dat klaarblijkelijk eist, maar niet tot minder dan de wettelijke schadevergoeding; die bevoegdheid kan niet bij contract worden uitgesloten (artikel 6:94 lid 1 en 3 BW).
Wat besliste het hof Amsterdam over ontbrekende back-ups?
In deze zaak ontstond een geschil over de SLA, die op 21 juni 2016 was geëindigd. Nog vóór de overeenkomst met een nieuwe leverancier op 1 augustus 2016 inging, werd de afnemer op 19 juli 2016 getroffen door een ransomsoftware‑blokkade. Bij zo’n aanval worden ICT-systemen en bestanden geblokkeerd of versleuteld, en eisen de aanvallers losgeld om ze weer vrij te geven. Zo’n blokkade is vaak zonder losgeld op te lossen door de databestanden en het ICT-systeem vanuit een back-up terug te zetten. Hier ontbrak echter een bruikbare recente back-up. Vast stond dat op 29 april 2016 nog een back-up was gemaakt; partijen twistten over de vraag of die volledig was. Volgens het hof was een back-up van bijna twee maanden oud hoe dan ook te oud. De leverancier was op grond van de SLA verantwoordelijk voor het systeem- en netwerkbeheer, inclusief het back-upsysteem. Hij had ervoor moeten zorgen dat op 21 juni 2016 een recente volledige back-up aanwezig was, of kon worden gereconstrueerd. Omdat die er niet was, was hij tekortgeschoten in de nakoming van de SLA. Voor zover nakoming niet al blijvend onmogelijk was, mocht de afnemer uit de mededelingen van de leverancier na de aanval afleiden dat hij verder zou tekortschieten, zodat hij zonder ingebrekestelling in verzuim kwam. De afnemer leed schade: hij betaalde losgeld, liet een noodsysteem op nieuwe hardware zetten, besteedde eigen uren aan het herstel en leed productieverlies. Het hof oordeelde dat al deze posten in causaal verband stonden met de tekortkoming.
De les voor de praktijk: leg in de SLA vast welke back-ups de leverancier maakt, hoe vaak, hoe lang hij ze bewaart en hoe de verantwoordelijkheid bij het einde van de SLA overgaat naar jezelf of een nieuwe leverancier. Zorg dat er geen periode is waarin niemand verantwoordelijk is voor beheer en beveiliging.
Hoeveel schade moest de leverancier vergoeden?
Het hof rekende twee derde van de schade toe aan de afnemer zelf. De afnemer had er zelf voor gekozen het nieuwe contract pas op 1 augustus 2016 te laten ingaan, bijna zes weken na het einde van de SLA. Toen de aanval plaatsvond, was de oude leverancier al bijna een maand niet meer verantwoordelijk voor de beveiliging. Dat de afnemer pas losgeld betaalde toen de termijn van de aanvallers bijna was verstreken, rekende het hof hem niet toe. Is de schade mede een gevolg van een omstandigheid die aan de benadeelde kan worden toegerekend, dan wordt de schade verdeeld naar de mate waarin ieders omstandigheden hebben bijgedragen, tenzij de billijkheid wegens de uiteenlopende ernst van de gemaakte fouten of andere omstandigheden van het geval een andere verdeling eist, of dat de vergoedingsplicht geheel vervalt of in stand blijft (artikel 6:101 lid 1 BW). De kosten van het IT-onderzoek dat de afnemer had laten doen, golden als redelijke kosten ter vaststelling van schade en aansprakelijkheid (artikel 6:96 lid 2 onder b BW); ook daarvan droeg de afnemer twee derde zelf. Het hof veroordeelde de leverancier tot betaling van € 5.754,09 schadevergoeding en € 2.011,63 onderzoekskosten, beide met wettelijke rente.
Veelgestelde vragen over een geschil over een service level agreement
Wat moet er in een SLA staan?
Een SLA beschrijft per dienst welke servicelevels gelden en hoe die worden gemeten: beschikbaarheid, responstijd, hersteltijd, onderhoud (bijvoorbeeld van servers, netwerk of een UPS), back-ups en beveiliging. Leg ook vast hoe de leverancier rapporteert, wat er gebeurt als een servicelevel niet wordt gehaald (bijvoorbeeld servicecredits of escalatie) en hoe de overdracht bij het einde van de SLA verloopt.
Wat is het verschil tussen responstijd en hersteltijd in een SLA?
De responstijd is de tijd waarbinnen de leverancier op een melding moet reageren. De hersteltijd is de tijd waarbinnen de storing moet zijn verholpen of een tijdelijke oplossing moet werken. De wet geeft daarvoor geen vaste termijnen: wat geldt, staat in de SLA. Spreek daarom per prioriteit af welke tijden gelden en vanaf welk moment ze lopen.
Wat kun je doen bij een geschil over een SLA?
Leg de meldingen, rapportages en gemiste servicelevels vast. Stel de leverancier zo nodig schriftelijk in gebreke met een redelijke termijn (artikel 6:82 lid 1 BW). Schiet hij tekort, dan kun je je betaling opschorten (bij gedeeltelijke of niet behoorlijke nakoming voor zover de tekortkoming dat rechtvaardigt, artikel 6:262 BW) of, als hij in verzuim is of nakoming blijvend of tijdelijk onmogelijk is, de overeenkomst ontbinden, tenzij de tekortkoming gezien haar bijzondere aard of geringe betekenis dat niet rechtvaardigt (artikel 6:265 BW). Is de tekortkoming hem toe te rekenen, dan kun je ook schadevergoeding vorderen (artikel 6:74 BW). Kijk ook naar de geschillenregeling in de SLA.
Kan de rechter een servicecredit of boete uit een SLA matigen?
Ja, als de regeling een boetebeding is (artikel 6:91 BW). Op verlangen van de leverancier kan de rechter de boete matigen als de billijkheid dat klaarblijkelijk eist, maar niet tot minder dan de schadevergoeding op grond van de wet. Een beding dat die matiging uitsluit, is nietig (artikel 6:94 lid 1 en 3 BW).
Is de leverancier verantwoordelijk voor back-ups tot het einde van de SLA?
Dat hangt af van wat de SLA regelt. In de zaak bij het hof Amsterdam was de leverancier op grond van de SLA verantwoordelijk voor het back-upsysteem en moest op de einddatum een recente volledige back-up aanwezig zijn of kunnen worden gereconstrueerd (ECLI:NL:GHAMS:2021:508, r.o. 2.7.2). Regel daarom in de SLA hoe back-ups bij het einde worden overgedragen.
Primaire bronnen
- Burgerlijk Wetboek Boek 6: artikel 6:74, 6:82, 6:83, 6:91, 6:92, 6:93, 6:94, 6:96, 6:101, 6:262 en 6:265
- Burgerlijk Wetboek Boek 7: artikel 7:400 en 7:401
- Gerechtshof Amsterdam 16 februari 2021, ECLI:NL:GHAMS:2021:508
Wie helpt je bij een SLA of een SLA-geschil?
Ons advocatenkantoor in Amsterdam heeft advocaten met ervaring in het opstellen en beoordelen van softwareovereenkomsten en IT-contracten, zoals de service level agreement. Wij werken voor zowel leveranciers als afnemers. We helpen je de risico’s in je SLA inzichtelijk te maken. Ben je betrokken bij een geschil over een SLA, of wil je advies over je service level agreement? Neem dan contact op met Claartje van der Marel of Remko Roosjen, of met een van onze andere advocaten in Amsterdam.
