Digitaliseringen av virksomheter har gjort IT- og skyløsninger til selve nervesystemet i forretningsdriften for de fleste bedrifter. Samtidig har «ransomware», datainnbrudd og systemfeil blitt en del av hverdagen. Men når det først går galt, hvem har egentlig ansvaret?
Mange bedrifter tenker nok at IT-leverandøren er ansvarlig for tapene som oppstår dersom leverandøren ikke klarer å levere en tjeneste de har forpliktet seg til. Men dette er en sannhet med store modifikasjoner. To relativt ferske avgjørelser fra Haugaland og Sunnhordland tingrett viser at domstolen er villig til å kritisere IT-leverandørene for manglende sikkerhet og service, men at omfattende ansvarsbegrensninger i standardavtalene blir respektert og at kundenes egne muligheter til å tegne forsikring blir tillagt betydelig vekt når ansvaret skal plasseres.
Nordlo-sakene – ansvar uten risiko
Den norske IT-leverandøren Nordlo ble i 2021 utsatt for et omfattende ransomware-angrep. Angrepet påvirket flere av Nordlos kunder, men det gikk hardest utover fire bedriftskunder som ikke fikk tilgang sine datasystemer eller kundedata før flere måneder etter angrepet.
Tre av kundene valgte sammen å gå til søksmål mot Nordlo med et samlet krav på omlag 5 millioner kroner. Dom i denne saken falt i tingretten i 2023 (THOS-2023-165339). Den fjerde kunden hevdet å ha lidt et tap på ca. 60 millioner kroner som følge av hendelsen og fremmet dette som et erstatningskrav mot Nordlo. Dom i denne saken falt i 2025 (THOS-2024-65519).
Da de to sakene stammer fra det samme cyberangrepet, omhandler den samme IT-leverandøren og leverandøravtalene i stor grad var sammenlignbare, behandles de to sakene sammen i gjennomgangen nedenfor.
Først og fremst, det var ikke omtvistet at Nordlo hadde forpliktet seg gjennom avtalen med sine kunder til å levere såkalte ASP-tjenester (Application Service Provider), med løfter om oppetid og daglig sikkerhetskopiering. Det var videre uomtvistet at Nordlo – i forbindelse med cyberangrepet – ikke klarte å levere disse tjenestene.
Nordlo hevdet dog at de ikke kunne være ansvarlig for kundenes tap på flere grunnlag:
Det ble hevdet at angrepet utgjorde en force majeure hendelse.
Det ble hevdet at begrensninger i Nordlos standardavtale reduserte Nordlos forpliktelse betraktelig.
Force Majeure
En av anførslene som ble fremmet av Nordlo for tingretten var at et slikt angrep måtte anses som en såkalt force majeure hendelse – en hendelse som er så spesiell at den ligger utenfor partenes kontroll.
Standardvilkårene til Nordlo hadde følgende generalbegrensning:
Dersom Avtalens gjennomføring helt eller delvis hindres, eller i vesentlig grad vanskeliggjøres av forhold som ligger utenfor partenes kontroll, suspenderes partenes plikter i den utstrekning forholdet er relevant, og for så lang tid som forholdet varer. Slike forhold inkluderer, men er ikke begrenset til, streik, lockout, og ethvert forhold som etter norsk rett kan bli bedømt som force majeure.
Tingretten hadde ikke mye til overs for Nordlos anførsel på dette punktet og slår fast at:
Retten finner det ikke sannsynliggjort at dataangrepet var upåregnelig og utenfor Nordlos kontroll. Retten viser her til at cyberangrep var en godt dokumentert og kommunisert trussel siden 2010-tallet. Nordlo var en profesjonell It-leverandør og det var gjentatte ganger gitt advarsler fra NSM (Nasjonal sikkerhetsmyndighet) både i 2017, 2019 og 2020 om faren for dataangrep.
IT-leverandører og andre som leverer slike løsninger kan altså ikke lenger hevde at slike hendelser er "utenfor deres kontroll". Dette er kjente risikoer og følgelig ikke lenger å anse som upåregnelig.
Ansvarsbegrensningen
Nordlo hadde også inntatt en relativt omfattende ansvarsbegrensning i sine standardvilkår. Denne begrenset Nordlos ansvar på grunn av mislighold til å kun omfatte direkte tap for kundene. Indirekte tap var unntatt, men kunne være aktuelt dersom Nordlo i forbindelse med hendelsen hadde opptrådt uaktsomt. Maksimal erstatning var i henhold til bestemmelsen begrenset til tre månedsleier.
Som nevnt innledningsvis var det på rene at Nordlo objektivt sett hadde misligholdt sin forpliktelse etter avtalen. Kunne Nordlos handlinger anses som uaktsomme og dermed åpne for at også indirekte tap ble dekket? Et annet spørsmål var om begrensningen til kun tre månedsleier var så urimelig at den måtte settes til side.
Tingretten svarer "nei" på alle spørsmålene. Nordlo hadde ikke opptrådt uaktsomt, ei heller var ansvarsbegrensningen så urimelig at den måtte settes til side.
En problemstilling som fikk stor plass i den første dommen for tingretten var risikofordelingen i standardkontrakten og forventningen Nordlo hadde til at kunden selv forsikret sine interesser. Følgende bestemmelse var inntatt i avtalen:
Kunden er ansvarlig for å bruke utstyr, programmer og data som foreskrevet, samt legge forholdene til rette slik at Leverandøren kan utføre sine plikter, herunder ved å gi Leverandøren nødvendig tilgang til sine lokaler, programmer, data, adekvat informasjon etc. Kunden er ansvarlig for arbeidsstasjon og nettverk for å kommunisere med data-sentralen til Leverandøren. Kunden er selv ansvarlig for å forsikre verdien av egne data.
Tingretten mener dette er et viktig moment når ansvaret skal plasseres og uttaler omkring dette:
Det fremgår således uttrykkelig av avtalen at det er begrenset ansvar for Nordlo og at kunden selv må tegne forsikring – såkalt cyberforsikring – for verdien av egne data. Ingen av saksøkerne valgte å gjøre dette. Det skal bemerkes at flere av Nordlos kunder hadde tegnet cyberforsikring og fikk datateknisk bistand rekvirert av forsikringsselskapet for å begrense sine tap. Saksøkerne har anført at en cyberforsikring ikke dekker direkte og indirekte tap, noe det ikke ble ført bevis for at er tilfelle. Det fremgår bl.a. av Scjølberg «Cyberkriminalitet» kapittel 10 «Cyberkriminalitet og forsikring» side 141 at «Ved avtale om cyberforsikring omfatter forsikringstilbudet fra Gjensidige blant annet at bedriften får IT-bistand og hjelp til å minimalisere skadevirkningene hvis bedriften skulle bli utsatt for dataangrep. Bedriften får også dekket kostnader til å reinstallere og gjenopprette data og programvare samt eventuelt driftstap.
Det må nevnes at retten i begge sakene legger betydelig vekt på de tekniske sakkyndige som hadde avgitt forklaringer og rapporter for domstolen. Dette blir vel teknisk og litt for tung materie å gjennomgå i dette formatet. Samlet sett – selv om de tekniske sakkyndige var av den oppfatning at Nordlo kunne levert bedre på flere fronter – så kommer tingretten i begge sakene til at Nordlo ikke har opptrådt på en slik måte som oppfyller kravet til uaktsomhet. Tingretten konkluderer med følgende (fra den andre dommen):
Dataangrepet mot Nordlo ble utført av godt organiserte utenlandske kriminelle med svært høy teknologisk kompetanse. Selv om sikkerhetstiltak som tofaktorautentisering kunne vært iverksatt og oppdatering av programvarer var utdatert, er det svært vanskelig å verne seg mot denne type datakriminalitet, og det er rettens oppfatning at det var deres profesjonalitet som var årsaken til at de klarte å ramme Nordlo i en slik grad som de gjorde. Dataangrepet må således etter en konkret vurdering anses for å ligge utenfor Nordlos kontroll selv om forholdet ikke kan anses for å være et Force Majeure tilfelle.
Nordlo blir etter dett å frifinne for erstatningsansvar etter culpa, grov uaktsomhet og kontrollansvar.
Hva gjelder påstanden om urimelighet i avtaleverket er tingretten klar på at avtalen er inngått mellom profesjonelle parter og at det dermed skal mye til for å sette til side bestemmelser i et slikt avtaleforhold. Tingretten fant dermed at Nordlos kunder måtte respektere ansvarsbegrensningen fullt ut og Nordlos ansvar var da begrenset til tre månedsleier. I den siste saken – hvor tapet til kunden var på nærmere 60 millioner kroner – ble Nordlo dermed kun dømt til å betale kr 8 280. Ansvar basert på tre månedsleier ble utfallet for de øvrige kundene i den første saken også.
Hva kan vi lære av dette?
De to dommene fra tingretten gir et uvanlig klart og konsistent bilde av hvordan norske domstoler vurderer ansvar etter cyberangrep i forholdet mellom profesjonelle parter.
1. Cyberangrep er ikke lenger force majeure
Begge dommene slår fast at cyberangrep ikke lenger kan anses som ekstraordinære eller upåregnelige hendelser. Risikoen for ransomware og datainnbrudd er velkjent, og ligger innenfor IT-leverandørens kontrollsfære. Force majeure gir derfor ikke grunnlag for ansvarsfritak.
2. Aktsomhetskravet er relativt – ikke absolutt
Retten påpeker i begge saker konkrete svakheter i sikkerhetsoppsettet (manglende MFA, ufullstendig segmentering, mangelfulle rutiner), men understreker samtidig at IT-leverandøren ikke må levere «perfekt» sikkerhet.
Vurderingstemaet er om sikkerhetsnivået samlet sett ligger innenfor det som kan forventes etter bransjestandard. Selv flere identifiserte mangler var ikke tilstrekkelig til å konstatere uaktsomhet.
3. Ansvarsbegrensninger står svært sterkt i norsk rett
Det mest praktisk betydningsfulle poenget fra begge dommene er at avtalte ansvarsbegrensninger blir respektert fullt ut selv om disse ikke er signert og kun er intatt som passive vedlegg i hovedavtalen:
Begrensning til tre måneders vederlag
Eksklusjon av indirekte tap
Plassering av risiko for dataverdi hos kunden selv
Selv krav i størrelsesorden flere titalls millioner kroner ble effektivt redusert til noen få tusen kroner. Avtaleloven § 36 ble vurdert, men terskelen for tilsidesettelse ble ikke ansett å være oppfylt.
4. Kunden forventes å forsikre egen cyberrisiko
Domstolen legger betydelig vekt på at kundene enten var pålagt, eller klart måtte forstå, at de selv måtte sikre verdien av egne data gjennom forsikring.
Manglende cyberforsikring fremstår i begge saker som et moment som svekker kundens posisjon.
5. Saksomkostningene blir betydlige
I begge sakene ble kundene dømt til å betale betydelige beløp i motpartens sakskostnader – i den siste saken ble kunden dømt til å betale Nordlos saksomkostninger på kr 2 152 750. Det kommer frem av dommen at kunden selv hadde omkostninger på kr 3 833 483.
Dette viser at IT- og cybersaker:
er faktumstunge og teknisk komplekse
krever omfattende sakkyndig bistand
genererer store prosesskostnader
og kan gi et økonomisk tap som langt overstiger den erstatningen man realistisk kan oppnå.
Sakskostnadsrisikoen for kunden blir dermed i praksis en sekundær, men svært reell cyberrisiko.