ECLI:NL:RBNNE:2024:4317

RECHTBANK Noord-Nederland Civiel recht Zittingsplaats Leeuwarden Zaaknummer: C/17/192416 / HA ZA 23-238 Vonnis van 6 november 2024 in de zaak van [A] B.V., te [vestigingsplaats] , eisende partij in conventie, verwerende partij in reconventie, hierna te noemen: [A] , advocaat: mr. M.D. Kalmijn en mr. J.W. de Vries, tegen 1 [B] B.V., te [vestigingsplaats] , gedaagde partij in conventie, eisende partij in reconventie, hierna te noemen: [B] , advocaat: mr. O.A. Sleeking en mr. V. Sepoyan, 2 2. [C] SE, te [vestigingsplaats] , gedaagde partij in conventie, hierna te noemen: [C] , advocaat: mr. E.M. van Orsouw en mr. R.H.G. van Schaik, 3 3. [D] B.V., te [vestigingsplaats] , gedaagde partij in conventie, hierna te noemen: [D] , advocaat: mr. W. Knoester. 1De procedure 1.1. Het verloop van de procedure blijkt uit: - het tussenvonnis van 7 februari 2024 - de conclusie van antwoord in reconventie - de akte overlegging producties van [B] , - het proces-verbaal van de mondelinge behandeling van 28 mei 2024 en de ter gelegenheid daarvan overgelegde spreekaantekeningen. 1.2. Ten slotte is vonnis bepaald. 2De feiten 2.1. [A] is een ICT bedrijf dat zich richt op het MKB. De diensten van [A] bestaan er onder meer uit dat zij digitale werkomgevingen van en voor haar klanten beheert. Die werkomgevingen draaien in de “cloud” op servers van Microsoft. [A] maakt gebruik van de diensten van Microsoft Azure voor het verzorgen van clouddiensten aan haar klanten. De clouddiensten van Microsoft Azure kan [A] niet rechtstreeks bij Microsoft afnemen. [A] koopt de clouddiensten in bij haar leverancier [B] . [B] is actief als distributeur op het gebied van ICT. [A] levert de diensten op haar beurt door aan de eindklant. 2.2. De kosten voor het gebruik van de Azure clouddiensten worden steeds achteraf in rekening gebracht. Microsoft brengt de kosten in rekening bij [B] , die deze kosten in rekening brengt bij de zogenaamde “resellers”, zoals [A] . [A] brengt de kosten op haar beurt in rekening bij de eindgebruikers. 2.3. Op 22 juni 2020 heeft [B] aan [A] gemaild, voor zover van belang: “(…) Microsoft introduceert een reeks verplichte beveiligingsvereisten om jou en jouw klanten beter te beschermen tegen mogelijke beveiligingsaanvallen. Deze beveiligingsvereisten zijn van kracht per 1 augustus 2019. Met deze wijziging vereist Microsoft dat alle partners multi-factor authenticatie (MFA) moeten gebruiken bij het aanmelden bij de commerciële clouddiensten van Microsoft of bij transacties in CSP via het Partner Center of via API’s. (…) Welke acties moet ik ondernemen? • Implementeer Azure AD Premium of een oplossing van derden en zorg ervoor dat MFA wordt afgedwongen voor elke gebruiker (…) • MFA voor beheerders (vereist dat beheerders zich registeren voor MFA met behulp van de Authenticator-app) • Bescherming eindgebruikers (schakel dit beleid in en vraag gebruikers om zich te registreren voor MFA met behulp van de Authenticator-app. (…). Wat gebeurt er als ik niet meewerk? Microsoft heeft aangekondigd dat partners die de verplichte beveiligingsvereisten niet implementeren, niet in staat zullen zijn om transacties uit te voeren in het Cloud Solution Provider-programma of tenants van klanten beheren door gebruik te maken van beheerdersrechten, zodra deze vereisten worden afgedwongen. (…).” 2.4. Een tenant kan worden gezien als een container waarin alle online diensten van Microsoft voor één bedrijf zijn opgeslagen en kunnen worden gebruikt. 2.5. Op 21 augustus 2021 heeft [A] Microsoft Azure diensten besteld voor een klant (hierna: de Klant). Op 7 november 2022 heeft [B] een ongebruikelijk hoog verbruik van data opgemerkt binnen het cloudplatform van de Klant, hetgeen [B] aan [A] heeft gemeld. In de door [B] overgelegde interne mail van 7 november 2022 staat vermeld, voor zover van belang: “(…) [E] werd vandaag gebeld door Microsoft over een klant die veel kosten in Azure maakt. Ik heb terug kunnen vinden dat het inderdaad zo is. Schrik niet, het gaat om 22k per dag! (…) [E] pakt dit op met [A] , de reseller, om te zorgen dat er niet nog meer schade wordt veroorzaakt. (…) (…) Er zal een factuur uit volgen waar wellicht discussie over ontstaat. Tussen [A] en [B] en/of tussen [B] en Microsoft. (…) Microsoft heeft de Fraud Alert API, maar ik heb met [F] gekeken en daar wordt niets in gerapporteerd. (…) Wat wellicht wel kan is dat we een Azure Cost Mangement dashboard maken, waarin opvallende stijgingen visueel zichtbaar worden waar iemand dan in zou moeten duiken om te beoordelen of het gaat om afwijkend gedrag. Is dit wenselijk/haalbaar, of anticiperen we op meldingen van Microsoft of partners zelf en herstellen we de schade achteraf? (…).” 2.6. Na deze melding heeft [A] vastgesteld dat een hack had plaatsgevonden in het cloudplatform van de Klant. Een onbekende gebruiker (de hacker) heeft, zo is uit later onderzoek gebleken, vanuit Zweden via een uniek adres op het internet (IP-adres) onrechtmatig gebruik gemaakt van het Microsoft Azure platform van de Klant. Via dit IP-adres viel niet te achterhalen wie de hacker is geweest. De hacker heeft op het cloudplatform van de Klant meerdere virtuele servers aangemaakt en heeft deze servers vermoedelijk gebruikt voor het “minen” van bitcoins of andere cryptovaluta. Er zijn door de hacker ongeveer 60 cloudservers aangemaakt binnen de omgeving van de Klant, die vijf weken op de hoogste capaciteit hebben gedraaid. 2.7. [A] heeft na de melding van [B] direct actie ondernomen. Eerst heeft zij de logbestanden veilig gesteld, vervolgens het wachtwoord veranderd en daarna de servers uitgezet en verwijderd. 2.8. Op 10 november 2022 heeft [A] contact opgenomen met haar verzekeringstussenpersoon [D] . [A] heeft onder meer een beroep gedaan op de door haar per 24 augustus 2022 bij [C] afgesloten beroepsaansprakelijkheids-, bedrijfsaansprakelijkheids- en cyberverzekering met polisnummer [nummer] (hierna: de verzekeringsovereenkomst). [D] heeft als verzekeringsadviseur bemiddeld bij de totstandkoming van voornoemde verzekeringsovereenkomst tussen [A] en [C] . 2.9. In de polisvoorwaarden [C] Pro ICT 3.0 staat onder meer vermeld: “Rubriek 1 Beroepsaansprakelijkheid 1. Dekkingsomschrijving Deze rubriek dekt de aansprakelijkheid van een verzekerde in de verzekerde hoedanigheid voor zuivere vermogensschade geleden door een derde voortvloeiende uit een handelen of nalaten, mits dit betreft het leveren of verrichten, te laat of niet leveren of verrichten van een ICT product of dienst, waarvoor deze derde een aanspraak indient tegen een verzekerde. (…) Rubriek 3 Cyberrisico’s (…) 9.2 Aansprakelijkheid voor netwerkbeveiliging [C] vergoedt de schade en de onkosten voor netwerkbeveiligingsclaims die voortvloeien uit een netwerkbeveiligingsclaim, die voor het eerst tijdens de verzekeringstermijn tegen verzekerde is ingediend en aan [C] is gemeld overeenkomstig artikel 16, voor iedere netwerkbeveiliging gerelateerde onrechtmatige daad die heeft plaatsgevonden na de retroactieve datum en vóór het einde van de verzekeringstermijn. In het kader van dekking onder deze rubriek gelden de onderstaande definities: (…) Netwerkbeveiliging gerelateerde onrechtmatige daad Iedere fout, onjuiste voorstelling van zaken, misleidende verklaring, handeling, omissie, nalatigheid, niet-nakoming van plichten, of handeling leidend tot personenschade, hetgeen geresulteerd heeft in een daadwerkelijk of vermoedelijk onrechtmatig handelen of poging tot handelen door een verzekerde terzake netwerkbeveiliging, waaronder eveneens wordt begrepen het nalaten om enige kwaadwillige computerhandeling te verhinderen, te beletten, op te sporen of daartegen verdediging te bieden. Met kwaadwillige computerhandeling wordt onder andere bedoeld: (

1. a)kwaadwillende software; (
2. b)hacken; (
3. c)denial of service attacks; of (
4. d)ongeoorloofd gebruik of ongeoorloofde toegang. (…).” 2.10. Op 17 november 2022 heeft [A] een e-mail ontvangen van [B] , waarin staat vermeld, voor zover van belang: “(…) Inmiddels hebben we bericht van Microsoft ontvangen van de Azure kosten van klant (…). Het officiële standpunt vanuit hen is dat er betaald moet worden. Vanuit [B] doen we onderzoek op niveau van legal/directie hoe hier mee om te gaan. De factuur met de hoge Azure kosten van deze klant hebben wij vanuit Microsoft ontvangen. We betalen deze niet om druk te houden. De kosten zullen ook op jullie reseller factuur van 1 december zichtbaar zijn. We maken hier een dispuut van. We willen jullie vragen om een eigen onderzoek op te starten. Dus alles uitzoeken wat je maar kunt uitzoeken rondom deze case. Wat is er gebeurd qua hack, (…) etc. alles om aan te tonen dat jullie/wij vinden dat Microsoft schuldig is. (…).” 2.11. Bij e-mailbericht van 23 november 2022 heeft [C] aan [A] medegedeeld dat de polis van [A] geen dekking biedt voor de kosten voor het gebruik van de Microsoft Azure-omgeving. 2.12. Op 1 december 2022 heeft [B] de eerste factuur naar [A] gestuurd (factuurnummer [nummer] ) ad € 568.912,59 (exclusief btw) waarop ook de extra kosten zichtbaar zijn die zijn ontstaan als gevolg van de hack en de aanmaak van de 60 extra virtual machines. Bij brief van 12 december 2022 heeft [A] deze factuur betwist. 2.13. Op 19 december 2022 is namens [A] een brief naar [D] gestuurd met de vraag of [D] kon toelichten waarom de schade ten gevolge van de hack niet door de aan [A] geadviseerde polis werd gedekt. 2.14. Bij e-mailbericht van 20 december 2022 heeft [C] geschreven dat de kosten die [B] bij [A] in rekening heeft gebracht onder geen van de toepasselijke rubrieken van de verzekeringsovereenkomst vallen, omdat het niet gaat om aansprakelijkheid van een verzekerde voor schade van een derde, maar om de kosten die verzekerde betaalt voor extra datagebruik binnen het cloudplatform. 2.15. Bij e-mailbericht van 29 december 2022 is [D] namens [A] aangeschreven over het - zonder toestemming van [A] - op de hoogte stellen van klanten van [A] van het feit dat [A] slachtoffer is geworden van hacking. Op 30 december 2022 heeft [D] per mail geantwoord: “(…) U heeft het over klanten. U weet ook dat dit niet het geval is. Geheimhouding kan ik u verzekeren (…).” 2.16. Op 1 januari 2023 heeft [B] de tweede factuur die kosten bevat als gevolg van de hack aan [A] verstuurd (factuurnummer [nummer] ), ad € 148.993,54 (exclusief btw). Ook deze factuur heeft [A] betwist. [B] heeft vervolgens gereageerd door aan te geven te wachten op de reactie van Microsoft. Bij brief van 26 januari 2023 heeft [B] de betwisting van de facturen door [A] formeel afgewezen. 2.17. [A] heeft op 30 januari 2023 een overstap gemaakt naar een andere tussenpersoon, namelijk [K] . 2.18. Op dezelfde datum is de heer [G] , de algemeen directeur van [A] , naar het kantoor van [B] gereden in Eindhoven. Tijdens die bespreking is gesproken over een betalingsregeling, waarna [A] op 31 januari 2023 en op 7 februari 2023 voorstellen heeft gedaan voor een dergelijke regeling. 2.19. Voorts heeft [B] [A] op 7 februari 2023 een aansprakelijkstelling gestuurd, waarin staat vermeld, voor zover van belang: “(…) Wij hebben contact gehad met Microsoft naar aanleiding van deze situatie en hebben u vervolgens (…) bericht dat wij uw betwisting afwijzen. In reactie daarop heeft u namens [A] herhaald dat [A] slechts gehouden is tot vergoeding van het daadwerkelijk gebruik van de Microsoft Azure clouddiensten, en niet het overige gebruik als gevolg van de hack. [B] is echter van mening dat [A] ook voor dit gebruik verantwoordelijk is, en stelt [A] hierbij aansprakelijk voor de als gevolg hiervan ontstane schade. Het staat niet ter discussie dat de verantwoordelijkheid voor (de beveiliging van) het global admin account en de door [A] beheerde Azure omgeving - en daarmee voor de gevolgen voor de hack - op [A] rust. Multifactor authentication (MFA) is een belangrijke beveiligingsmaatregel ter voorkoming van onrechtmatige toegang tot de Azure omgeving, en MFA wordt om die reden die sinds oktober 2022 standaard door Microsoft ingeschakeld op Azure omgevingen. Het is gebleken dat MFA voor de toegang tot de Azure omgeving van (…) door [A] was uitgeschakeld. Als direct gevolg hiervan zijn er fors meer clouddiensten verbruikt. (…).” 2.20. [B] heeft het betalingsvoorstel van [A] op 7 februari 2023 aanvaard. Overeengekomen is betaling van een bedrag van € 178.080,23 in zijn geheel (ter zake van factuurnummer [nummer] ) en van een bedrag van € 686.205,90 in delen (ter zake van het restant van factuurnummer [nummer] ). Ter zake van laatstgenoemde factuur was reeds een bedrag van € 39.890,00 voldaan. Daarnaast is een jaarlijkse rente van 5% overeengekomen. [A] heeft onder de betalingsregeling in totaal een bedrag van € 301.477,31 aan [B] betaald. 2.21. Op 8 februari 2023 is de schade op grond van de aansprakelijkheidsstelling van [B] opnieuw schriftelijk gemeld bij [C] door [K] , met daarbij een beroep op de rubriek beroepsaansprakelijkheid. 2.22. Bij e-mail van 15 februari 2023 heeft [C] aan [K] geschreven: “(…) Wij hebben de kwestie nogmaals bekeken en kunnen de redenatie niet volgen dat er sprake is van schade van een derde. De vordering die [B] heeft op [A] lijkt ons uit hoofde van een overeenkomst en geen vordering tot schadevergoeding. De schade wordt geleden door [A] . Daarvoor biedt een aansprakelijkheidspolis geen dekking. (…).” 2.23. Op verzoek van [A] heeft op 13 september 2023 een voorlopig getuigenverhoor plaatsgevonden. Blijkens het proces-verbaal van dit verhoor heeft de heer [H] , statutair directeur van [D] , onder meer verklaard: “(…) Bij [A] was wel een bedrijfsaansprakelijkheidsverzekering maar die dekte alleen personen en zaakschade aan derden. Er was geen BAV voor vermogensschade als gevolg van een fout of nalaten door een medewerker van [A] . [A] had geen adequate BAV. Dat had niet alleen met cybercriminaliteit te maken, maar zag op een dekking als één van de medewerkers een fout maakt, bijvoorbeeld hij stelt instellingen verkeerd af voor een klant waardoor vermogensschade ontstaat. Nu de rechter-commissaris deze verklaring voorleest merkt mr. de Lange op dat ik specifiek het voorbeeld heb genoemd van een medewerker die de 2FA beveiliging niet heeft ingeschakeld. Dat klopt dat is inderdaad een voorbeeld. Ik kon ze bij een degelijke verzekering wel helpen. Zij hadden nooit een BAV afgesloten omdat ze het erg kostbaar vonden. (…).” 2.24. In een e-mail van 19 oktober 2023 heeft de advocaat van [B] aan de advocaat van [A] gemaild, voor zover van belang: “(…) Voor wat betreft de overeenkomst tussen [B] en [A] geldt het volgende. Ik heb geen getekende overeenkomst in mijn dossier, maar ik zie evenmin hoe dit de situatie anders zou maken. [A] heeft immers de overeenkomst (een standaard Microsoft overeenkomst) ontvangen voorafgaand aan de samenwerking, en partijen zijn op die basis gaan samenwerken. Het is daarom wat mij betreft duidelijk dat [A] met de overeenkomst heeft ingestemd en door de uitvoering hiervan heeft gehandeld naar de overeenkomst. Een eventuele discussie over de geldigheid van de afspraken omdat mogelijk geen getekend exemplaar van de overeenkomst beschikbaar is lijkt me gelet op de samenwerking tussen partijen zeer onverstandig, en bovendien weinig succesvol. [B] benadrukt nogmaals dat ze bereid is om te praten over aanpassing van de betalingsregeling zodat de betaling hiervan niet bijdraagt aan een faillissement van [A] . (…).” 2.25. In een door [A] in het geding gebracht nieuwsartikel van 15 mei 2024 staat vermeld: “Microsoft maakt meerstapsverificatie verplicht voor Azure-gebruikers Microsoft Azure rolt vanaf juli een nieuwe beveiligingsmaatregel op tenant-niveau uit. Alle gebruikers moeten dan meerstapsverificatie geactiveerd hebben om toegang te krijgen tot Azure-diensten. De nieuwe maatregel wordt geleidelijk uitgerold, benadrukt Microsoft. Microsoft stelt in eigen onderzoek dat 99,9 procent van alle gecompromitteerde accounts geen meerstapsverificatie gebruikt. Ook blijkt uit dat onderzoek dat mfa meer dan 99,2 procent van alle aanvallen om accounts te compromitteren kan blokkeren. (…).” 3De vordering in conventie 3.1. [A] vordert om bij vonnis, voor zover mogelijk uitvoerbaar bij voorraad: te verklaren voor recht dat [A] niet aansprakelijk is voor de schade die aan de zijde van [B] en/of Microsoft is ontstaan ten gevolge van de hack; te vernietigen de betalingsregeling die tussen [B] en [A] onder misbruik van omstandigheden, dwang, van [B] tot stand is gekomen; [B] te veroordelen tot terugbetaling van het bedrag van € 301.447,31, te vermeerderen met de wettelijke handelsrente dan wel de wettelijke rente vanaf de respectievelijke data dat bedragen zijn voldaan dan wel vanaf de dag der dagvaarding tot de dag der algehele terugbetaling; en, voor zover [A] wel (voor een gedeelte) aansprakelijk is voor de schade die is ontstaan ten gevolge van de hack: 4. te verklaren voor recht dat de schade ten gevolge van de hack is gedekt onder de door [A] via [D] bij [C] afgesloten verzekeringen; 5. [C] te veroordelen tot vergoeding van de schade, zijnde een bedrag van € 864.286,08, waarvan een bedrag van € 301.447,31 aan [A] toekomt en het restant van de schade aan [B] , dan wel nader in goede justitie vast te stellen bedragen, welke bedragen vermeerderd dienen te worden met de wettelijke rente vanaf de dag der dagvaarding tot de dag der algehele voldoening; of, in het geval de schade als gevolg van de hack niet is gedekt onder de afgesloten verzekeringen bij [C] : 6. te verklaren voor recht dat [D] toerekenbaar tekort is geschoten jegens [A] in zijn advisering en daarmee zijn zorgplicht heeft geschonden en zij daarmee aansprakelijk is voor de schade aan de zijde van [A] ; 7. [D] te veroordelen tot betaling van een bedrag van € 864.286,08, waarvan een bedrag van € 301.447,31 aan [A] toekomt en het restant van de schade aan [B] , dan wel nader in goede justitie vast te stellen bedragen, welke bedragen vermeerderd dienen te worden met de wettelijke rente vanaf de dag der dagvaarding tot de dag der algehele voldoening; en in alle gevallen: 8. voor zover de rechtbank van oordeel is dat meerdere partijen aansprakelijk zijn voor deze schade, de schade in goede justitie vast te stellen en tussen partijen te verdelen; 9. [B] en/of [C] en/of [D] , zo mogelijk hoofdelijk, te veroordelen in de volledige kosten van onderhavig geding. 3.2. [B] , [C] en [D] voeren verweer. 3.3. Op de stellingen en verweren van partijen wordt hierna, voor zover nodig, nader ingegaan. in reconventie 3.4. [B] vordert om bij vonnis, uitvoerbaar bij voorraad, te verklaren voor recht dat [A] verplicht is de door [B] in rekening gebrachte bedragen voor het verbruik van de Microsoft clouddiensten aan [B] te voldoen, een en ander met veroordeling van [A] in de kosten van de procedure, alsmede de nakosten. 3.5. [A] voert verweer. 3.6. Op de stellingen en verweren van partijen wordt hierna, voor zover nodig, nader ingegaan. 4De beoordeling in conventie en in reconventie 4.1. De rechtbank zal de vorderingen in conventie en in reconventie gelijktijdig behandelen, gelet op de samenhang tussen de vorderingen. 4.2. Tussen partijen is niet in geschil dat [A] voor het inloggen op het cloudplatform van de Klant geen gebruik heeft gemaakt van Multifactor authentication (hierna: MFA). [B] 4.3. De rechtbank stelt in de eerste plaats vast dat [B] de relatieve bevoegdheid van de onderhavige rechtbank heeft erkend en geen bevoegdheidsincident heeft opgeworpen, zodat de rechtbank zich bevoegd acht om kennis te nemen van de door [A] tegen [B] ingestelde vorderingen. Is [B] aansprakelijk voor de schade ten gevolge van de hack? 4.4. [A] stelt primair dat [B] aansprakelijk is voor de schade die is ontstaan door de hack. Volgens [A] heeft [B] haar zorgplicht geschonden, door [A] onvoldoende te wijzen op de nieuwe vorm van beveiliging (MFA) en door [A] er onvoldoende op te wijzen dat [A] deze beveiliging actief moest aanzetten. Daarnaast stelt [A] dat [B] haar contractuele verplichting om te monitoren heeft geschonden. Volgens [A] had [B] eerder een melding bij [A] moeten doen over de onregelmatigheden die hebben plaatsgevonden op het cloudplatform van de Klant. Doordat [B] is tekortgeschoten in haar contractuele verplichting heeft het onrechtmatig gebruik veel langer (dan 24-48 uur na de hack) kunnen voortduren, met grote schade tot gevolg. [B] is daarom tekortgeschoten in haar zorgplicht en contractuele verplichtingen jegens [A] , zodat de daaruit voortvloeiende schade voor rekening van [B] dient te blijven, aldus [A] . 4.5. [B] voert aan dat [A] uit hoofde van de contractuele verhouding met [B] verplicht is de facturen van [B] te voldoen. Het gaat volgens [B] niet om aansprakelijkheid voor schade. [B] betwist voorts dat zij de op haar rustende zorgplicht als IT-leverancier heeft geschonden. Volgens [B] vormt zij enkel een tussenschakel tussen Microsoft en de resellers en heeft zij geen zelfstandige verplichting anders dan het doorleveren van de diensten en het organiseren van de facturering. Wel wijst [B] haar afnemers op relevante ontwikkelingen in de markt en beveiligingsrisico’s. Volgens [B] heeft zij [A] over de jaren herhaaldelijk gewezen op het belang van een gedegen beveiliging van de Microsoft Azure omgeving. In dit kader heeft [B] gewezen op de e-mail van 22 juni 2020 (zie rechtsoverweging 2.3), waarin is aangegeven dat Microsoft vereist dat alle partners MFA toepassen, met nadruk voor beheer/admin accounts. Volgens [B] wordt hierin benadrukt dat de partij die het beheer verzorgt, oftewel [A] , zelf maatregelen dient te nemen. Voorts heeft [B] gedurende het jaar 2021 een campagne opgezet om het belang van beveiligingsmaatregelen zoals MFA onder de aandacht te brengen van haar afnemers. Daarnaast heeft [B] haar resellers op 2 december 2021 geïnformeerd over het belang van MFA door middel van een speciale e-mail binnen de [B] Cloud omgeving. [B] heeft deze e-mails naar [e-mailadres A] en [ander e-mailadres A] gestuurd, aldus [B] . De accounts die door de resellers namens de eindgebruikers worden aangemaakt, worden volgens [B] ook door die resellers beheerd. Op [B] rust geen contractuele verplichting om te monitoren. Oftewel, uitsluitend [A] is verantwoordelijk voor de getroffen maatregelen en alleen [A] heeft invloed op wat zich precies afspeelt binnen de accounts van haar eindgebruikers, waaronder ook de beveiliging van de toegang tot de omgeving, aldus [B] . [A] heeft nagelaten MFA in te schakelen en heeft het gebruik van de tenant niet gemonitord, met een enorme rekening tot gevolg. Dit komt volgens [B] voor haar eigen rekening en risico. 4.6. Naar het oordeel van de rechtbank is [B] niet aansprakelijk voor de schade ten gevolge van de hack. Daartoe overweegt de rechtbank als volgt. Zoals hiervoor overwogen in rechtsoverweging 2.4. kan een ‘tenant’ worden gezien als een container waarin alle online diensten van Microsoft voor één bedrijf zijn opgeslagen en kunnen worden gebruikt. Onweersproken is door [B] gesteld dat de reseller, in dit geval [A] , binnen de cloudomgeving van Microsoft een ‘tenant’ aanmaakt en deze beheert voor de eindgebruiker. In dit verband heeft [B] aangevoerd dat de reseller, als beheerpartij, de tenant in opdracht van de eindgebruiker inricht en de instellingen kiest voor onder meer het beheer van gebruikers, de toegang en de beveiliging. De eindgebruiker kan vervolgens binnen de ‘eigen’ tenant gebruik maken van de clouddiensten. Ook is onweersproken door [B] gesteld dat voor de toegang tot de tenant en het beheer daarvan de beheerpartij rechtstreeks inlogt op de Azure cloudomgeving. [B] zit daar niet tussen. Naar het oordeel van de rechtbank heeft [B] daarmee voldoende adequaat onderbouwd dat zij technisch niet in staat is tot het verrichten van het beheer en evenmin tot het monitoren van de tenants. [A] heeft onvoldoende feiten of omstandigheden gesteld waaruit volgt dat dit anders zou zijn. [A] heeft weliswaar betoogd dat [B] een ‘Tier 1 Microsoft Cloud Solution Provider’ (hierna: Tier 1 CSP) is en om die reden verderstrekkende verplichtingen heeft, waaronder proactieve monitoring om afwijkingen en onverwachte wijzigingen te identificeren, maar [B] heeft gemotiveerd betwist dat zij een Tier 1 CSP is. Volgens [B] is zij een zogenaamde ‘Indirect Provider’. [A] heeft dit verweer niet weerlegd en heeft geen nadere onderbouwing gegeven van haar stelling ter zake, zodat de rechtbank ervan uitgaat dat [B] geen Tier 1 CSP is, maar een ‘Indirect Provider’, die niet de tools of de middelen heeft om te monitoren en in te grijpen. Daarbij geldt dat het eventueel zijn van een Tier 1 CSP de verhouding tussen [B] en Microsoft betreft en [A] daarmee niet ontslagen wordt van eigen verplichtingen.Het vorenstaande brengt naar het oordeel van de rechtbank met zich dat [A] richting haar eindgebruikers zelf verantwoordelijk is voor het IT beheer van de accounts van haar eindgebruikers, waaronder de instandhouding van de juiste beveiligingsmaatregelen. Uit de in het geding gebrachte screenshots van de website van [A] volgt ook dat [A] het IT beheer en de beveiliging van de accounts van haar eindgebruikers op zich neemt. 4.7. De stelling van [A] dat [B] haar zorgplicht heeft geschonden door [A] onvoldoende te wijzen op MFA en op het feit dat [A] deze beveiliging actief moest aanzetten, kan [A] niet baten. [B] heeft [A] al geruime tijd voor de hack, op 22 juni 2020, gemaild over MFA en over het feit dat deze beveiligingsvereisten van Microsoft van kracht zijn per 1 augustus 2019 (zie rechtsoverweging 2.3.). In de e-mail staat onder meer vermeld dat voor de bescherming van eindgebruikers het beleid moet worden ingeschakeld en dat de eindgebruikers zich daarbij dienen te registreren voor MFA met behulp van de Authenticator-app. Naar het oordeel van de rechtbank kan uit deze e-mail van [B] voldoende worden afgeleid dat het op de weg van [A] lag om de beveiliging actief aan te zetten, althans in te schakelen ter bescherming van de eindgebruikers. Ook heeft [B] in een bericht op haar website in 2021 nogmaals gewezen op het belang van MFA en heeft [B] [A] hierover gemaild op 2 december 2021. Gelet op het vorenstaande is de rechtbank van oordeel dat van een schending van de zorgplicht door [B] geen sprake is geweest. [B] heeft [A] voldoende gewaarschuwd, mede gelet op de eigen verantwoordelijkheid van [A] voor de beveiliging van de accounts van haar eindgebruikers. Van het feit dat de toegang tot de accounts van de eindgebruikers van [A] niet is geblokkeerd door Microsoft, kan [B] naar het oordeel van de rechtbank geen verwijt worden gemaakt. Onweersproken is door [B] gesteld dat de opvolgende maatregelen wanneer het advies om MFA in te schakelen niet wordt opgevolgd, door Microsoft worden uitgevoerd. Kennelijk heeft Microsoft beoogd om MFA geleidelijk uit te rollen, zoals ook volgt uit het nieuwsbericht van mei 2024. Het verweer van [A] dat [B] , omdat MFA niet actief was ingeschakeld, de toegang tot de cloudplatforms had moeten blokkeren, treft daarom geen doel. Van schending van de zorgplicht of een contractuele verplichting door [B] is geen sprake. Anders dan [A] betoogt is niet gebleken van een contractuele verplichting tot monitoring door [B] . 4.8. De stelling van [A] dat [B] de hack eerder bij [A] had moeten melden, kan [A] evenmin baten. Door overlegging van de interne mail van [B] van 7 november 2022 (zie rechtsoverweging 2.5.) heeft [B] voldoende adequaat onderbouwd dat zij pas op die dag door Microsoft is gebeld over een klant die veel kosten in Azure maakt. Dezelfde dag heeft [B] dit gemeld aan [A] . De niet nader onderbouwde stelling van [A] dat de melding volgens de helpdeskmedewerker van [B] “helaas bij [B] enige tijd op de plank is blijven liggen” zal de rechtbank als onvoldoende adequaat onderbouwd passeren. Aan bewijslevering op dit punt wordt daarom niet toegekomen, nog daargelaten dat op [B] geen verplichting rust om proactief te monitoren. 4.9. Het voorgaande leidt tot de slotsom dat [A] zelf aansprakelijk is voor de schade ten gevolge van de hack. Zoals ook blijkt uit het nieuwartikel van 15 mei 2024 heeft de hack hoogstwaarschijnlijk kunnen plaatsvinden doordat [A] MFA niet had ingeschakeld. De daaruit voortvloeiende gevolgen komen in de gegeven omstandigheden voor rekening en risico van [A] . De door [A] gevorderde verklaring voor recht dat zij niet aansprakelijk is voor de schade ten gevolge van de hack, is daarom niet toewijsbaar. Vernietiging betalingsregeling? 4.10. [A] stelt voorts dat [B] in het kader van de betalingsregeling misbruik heeft gemaakt van omstandigheden. Volgens [A] heeft [B] haar machtspositie misbruikt en gedreigd met het opschorten dan wel beëindigen van haar diensten aan de klanten van [A] , het leggen van beslagen onder die klanten en andere rechtsmaatregelen, waaronder het aanvragen van het faillissement van [A] . [B] wist of had moeten begrijpen dat zij [A] vanwege die omstandigheden heeft bewogen tot het sluiten van de betalingsregeling, althans dat zij het tot stand komen daarvan heeft bevorderd, terwijl zij wist of had moeten weten dat [A] dat onder normale omstandigheden niet had gedaan. Door middel van de dagvaarding vernietigt [A] daarom de betalingsregeling op grond van artikel 3:44 BW en vordert zij terugbetaling van het bedrag van € 301.477,31. [B] heeft gemotiveerd betwist dat zij haar machtspositie zou hebben misbruikt en dat er sprake zou zijn geweest van een nijpende situatie met concrete dreigingen van een eventueel beslag en het op zwart zetten van de systemen van klanten van [A] . Volgens [B] hebben partijen juist te allen tijde openlijk gecommuniceerd met elkaar en strookt de indruk die [A] probeert te wekken niet met de werkelijkheid. 4.11. De rechtbank stelt bij de beoordeling voorop dat een rechtshandeling op grond van artikel 3:44 lid 1 Burgerlijk Wetboek (BW) vernietigbaar is, wanneer zij door bedreiging, door bedrog of door misbruik van omstandigheden tot stand is gekomen. Op grond het bepaalde in artikel 3:44 lid 4 BW is misbruik van omstandigheden aanwezig, wanneer iemand die weet of moet begrijpen dat een ander door bijzondere omstandigheden, zoals noodtoestand, afhankelijkheid, lichtzinnigheid, abnormale geestestoestand of onervarenheid, bewogen wordt tot het verrichten van een rechtshandeling, het tot stand komen van die rechtshandeling bevordert, ofschoon hetgeen hij weet of moet begrijpen, hem daarvan zou behoren te weerhouden. 4.12. De rechtbank is van oordeel dat [A] haar stelling dat de betalingsregeling door misbruik van omstandigheden tot stand is gekomen niet, althans onvoldoende heeft onderbouwd. [A] heeft ter onderbouwing van haar stelling onder meer verwezen naar de brief van [B] van 26 januari 2023, waarin [B] de betwisting van de facturen door [A] formeel heeft afgewezen (zie rechtsoverweging 2.15.). In de brief van 26 januari 2023 heeft [B] , kort gezegd, geschreven dat zij kennis heeft genomen van de betwisting van de facturen door [A] en dat zij daarover contact heeft gehad met Microsoft. Voorts heeft [B] geschreven dat de betwisting formeel wordt afgewezen en daarbij heeft [B] [A] verzocht om per direct tot betaling van de openstaande facturen over te gaan. Ook heeft [B] geschreven dat zij vanaf 26 januari 2023 het reguliere traject met betrekking tot achterstallige facturen zal gaan volgen en dat de brief van 26 januari 2023 kan worden gezien als een eerste officiële aanmaning. Uit de tekst en toon van de brief van 26 januari 2023 kan naar het oordeel van de rechtbank niet worden afgeleid dat [B] misbruik heeft gemaakt van omstandigheden. [B] heeft de reactie van Microsoft afgewacht en heeft vervolgens de bezwaren van [A] tegen de facturen in een zakelijke brief formeel afgewezen. De omstandigheid dat [B] om betaling van de facturen heeft verzocht, levert evenmin misbruik van omstandigheden op. [B] was immers gerechtigd om [A] tot betaling te sommeren, gelet op tussen [B] en [A] bestaande overeenkomst en de afwijzing van de bezwaren. 4.13. Uit de e-mail van 19 oktober 2023 van de advocaat van [B] aan de advocaat van [A] (zie rechtsoverweging 2.23.) kan naar het oordeel van de rechtbank evenmin een dreigement worden afgeleid, zoals [A] heeft betoogd. Tussen partijen is niet in geschil dat er tussen hen een overeenkomst bestaat, zodat de discussie over het gebrek aan een schriftelijke, door beide partijen ondertekende overeenkomst, in zoverre niet relevant is. Anders dan [A] heeft betoogd, kan naar het oordeel van de rechtbank uit de tekst van de e-mail geen dreigement worden afgeleid dat [B] de samenwerking en alle dienstverlening per direct zal staken, indien [A] haar standpunt omtrent het niet van toepassing zijn van de zogenaamde CPA-overeenkomst (Cloud Partner Agreement) zou handhaven. [B] is daarentegen juist bereid om de betalingsregeling aan te passen, om op die manier een faillissement van [A] te voorkomen. Van misbruik van omstandigheden of van bedreiging van [A] is naar het oordeel van de rechtbank geen sprake. Ook overigens heeft [A] haar stelling dat [B] zou hebben gedreigd met het opschorten van diensten, beslag leggen of een faillissementsaanvraag onvoldoende onderbouwd. Daarbij komt dat [A] zelf voorstellen voor een betalingsregeling aan [B] heeft gedaan, die [B] heeft aanvaard. Van bijzondere omstandigheden in de zin van artikel 3:44 lid 4 BW is de rechtbank niet gebleken. Het feit dat [A] de betalingsregeling onder protest heeft gesloten, omdat zij het niet eens is met de hoogte van de facturen, doet daar niet aan af. Het beroep op vernietiging van de betalingsregeling zal daarom worden afgewezen. 4.14. Het voorgaande leidt tot de slotsom dat de in conventie door [A] tegen [B] ingestelde vorderingen zullen worden afgewezen. Zoals hiervoor overwogen in rechtsoverweging 4.8. is [A] zelf aansprakelijk voor de schade ten gevolge van de hack. De in reconventie door [B] gevorderde verklaring voor recht dat [A] verplicht is de door [B] in rekening gebrachte bedragen voor het verbruik van de Microsoft clouddiensten aan [B] te voldoen, zal daarom worden toegewezen. Zoals hiervoor reeds overwogen is tussen partijen niet in geschil dat op [A] een contractuele verplichting rust om de door Microsoft aan [B] in rekening gebrachte kosten voor de clouddiensten aan [B] te voldoen. Proceskosten 4.15. [A] is in het ongelijk gesteld en moet daarom de proceskosten (inclusief nakosten) betalen. De proceskosten van [B] in conventie (inclusief de nakosten in reconventie) worden begroot op: - griffierecht € 5.737,00 - salaris advocaat € 6.785,00 (2,5 punten × € 2.714,00) - nakosten (in conventie en reconventie) € 278,00 (plus de verhoging zoals vermeld in de beslissing) Totaal € 12.800,00 De proceskosten van [B] in reconventie worden begroot op: - salaris advocaat € 614,00 (0,5 × 2 punten × € 614,00) Totaal € 614,00 [C] 4.16. [A] stelt dat zij, gelet op haar aansprakelijkheid voor de schade ten gevolge van de hack, een beroep kan doen op [C] , tot vergoeding van haar schade onder de afgesloten verzekering, meer in het bijzonder op grond van Rubriek 1 (artikel 1) of Rubriek 3 (artikel 9.2), zie rechtsoverweging 2.9. Wanneer ervan wordt uitgegaan dat [A] een fout heeft gemaakt en die fout heeft geleid tot een hack en/of ongeoorloofd gebruik van de servers in het cloudplatform, die op haar beurt heeft geleid of heeft kunnen leiden tot een aanspraak van een derde, oftewel [B] , dan is dat volgens [A] een netwerkbeveiligingsclaim als bedoeld onder Rubriek 3 van de Cyber verzekering van [C] . Indien en voor zover er geen dekking mocht zijn op grond van de cyber clausule, is er volgens [A] tevens sprake van een verzekeringsdekking onder de rubriek Beroepsaansprakelijkheid van de verzekering. Het betreft immers aansprakelijkheid voor door derden, [B] , geleden schade. [A] verwijst in dit verband naar de aansprakelijkstelling van [B] van 7 februari 2023. [A] betwist dat deze rubriek primair is bedoeld om schade ontstaan bij afnemers bij de uitoefening van het beroep van [A] te dekken. Volgens [A] dekt deze bepaling ook schade ontstaan door een handelen of nalaten door verzekerde bij leveranciers. Daarnaast stelt [A] dat de kosten voor de extra servers ten gevolge van de hack in beginsel voor de Klant (eindgebruiker) zijn, maar [A] kan deze kosten vanwege de inhoud van de overeenkomst en een veronderstelde fout van haarzelf niet doorberekenen. Wanneer [A] deze kosten wel zou doorberekenen dan kan de Klant haar voor hetzelfde bedrag aansprakelijk stellen vanwege een tekortkoming in haar dienstverlening. Deze aanspraak zou dan gedekt worden door de beroepsaansprakelijkheidsverzekering (Rubriek1), aldus [A] . 4.17. [C] betwist dat [A] een beroep kan doen op vergoeding van haar schade door [C] . [A] is niet geconfronteerd met een aanspraak tot schadevergoeding door een derde, hetgeen een dekkingsvoorwaarde is onder alle relevante rubrieken. Er is geen sprake van een schadevordering, maar een vordering tot nakoming. [B] heeft geen schade geleden, aldus [C] . In deze procedure heeft [B] haar vordering bovendien zelf ook gekwalificeerd als een nakomingsvordering. Daarnaast is [A] niet door haar eigen klant aangesproken tot schadevergoeding. Zoals [A] heeft aangegeven kan zij de kosten niet aan haar klant doorfactureren. De verzekeringsovereenkomst biedt als “third party liability” verzekering geen dekking voor schade die [A] zelf heeft geleden, aldus [C] . 4.18. Naar het oordeel van de rechtbank kan uit de polisvoorwaarden van [C] , zoals weergegeven in rechtsoverweging 2.9., niet worden afgeleid dat de door [A] geleden schade ten gevolge van de hack gedekt wordt door de verzekeringsovereenkomst die [A] bij [C] heeft afgesloten. Er is geen sprake van een aanspraak tot schadevergoeding door een derde. De aansprakelijkstelling van [B] van 7 februari 2023 doet daar niet aan af. Nog daargelaten dat hiervoor in rechtsoverweging 4.5. reeds is overwogen dat [B] niet aansprakelijk is voor de schade ten gevolg van de hack, is de rechtbank van oordeel dat [B] geen derde is die schade heeft geleden in de zin van de polisvoorwaarden van [C] . Anders dan [A] ter zitting heeft betoogd kan uit de tekst van Rubriek 1/Beroepsaansprakelijkheid niet worden afgeleid dat ook leveranciers zoals [B] daaronder vallen. Rubriek 1 is primair bedoeld om schade ontstaan bij afnemers bij de uitoefening van het beroep van [A] te dekken. [B] is geen afnemer. Een eventuele aanspraak van [B] als leverancier kan bij een redelijke uitleg van Rubriek 1 (Haviltex) evenmin tot de conclusie leiden dat er sprake is van dekking onder de verzekeringsovereenkomst. Van een situatie waarin [A] redelijkerwijs had mogen verwachten dat ook schade ontstaan bij leveranciers onder de dekking van Rubriek 1 zou vallen, is geen sprake. Ook staat vast dat geen sprake is van een schadevordering van de Klant van [A] . De Klant heeft immers geen schade geleden. Het vorenstaande brengt met zich dat geen sprake is van een aanspraak tot schadevergoeding door een derde. Dit betekent dat zowel Rubriek 1 als Rubriek 3 geen dekking biedt. Ook overigens is niet gebleken dat de verzekeringsovereenkomst dekking biedt voor de schade die [A] heeft geleden ten gevolge van de hack. De vorderingen van [A] jegens [C] zijn daarom niet toewijsbaar. 4.19. [A] is in het ongelijk gesteld en moet daarom de proceskosten (inclusief nakosten) betalen. De proceskosten van [C] worden begroot op: - griffierecht € 5.737,00 - salaris advocaat € 7.004,00 (2 punten × € 3.502,00) - nakosten € 178,00 (plus de verhoging zoals vermeld in de beslissing) Totaal € 12.919,00 [D] 4.20. [A] stelt voorts dat [D] aansprakelijk is voor de schade die zij lijdt als gevolg van de hack. Volgens [A] mocht zij erop vertrouwen dat de door [D] geadviseerde verzekering dekking zou bieden voor schade die is ontstaan ten gevolge van het hacken van het cloudplatform. Uit de verklaring van [D] tijdens het voorlopig getuigenverhoor (zie rechtsoverweging 2.23.) kan worden afgeleid dat [D] bij het afsluiten van de verzekeringen expliciet aan [A] heeft aangegeven dat het voorval zoals deze zich thans heeft voorgedaan, gedekt zou zijn door de verzekeringsovereenkomst, aldus [A] . [D] heeft aangegeven dat [A] voor dit specifieke geval verzekerd was met de cyber verzekering (Rubriek 3). Indien in rechte komt vast te staan dat er onder de polis geen dekking is, dan is [D] toerekenbaar tekort geschoten en aansprakelijk voor de schade, aldus [A] . In dat geval heeft [A] niet gekregen wat haar door [D] is toegezegd en heeft [D] onjuist geadviseerd over de af te sluiten verzekeringen. [D] heeft daarmee niet de zorg betracht die van een redelijk bekwaam en redelijk handelend beroepsgenoot mag worden verwacht. [D] heeft zijn zorgplicht geschonden en onrechtmatig jegens [A] gehandeld, hetgeen [D] schadeplichtig maakt. Het na het incident niet opkomen voor de belangen van [A] levert volgens [A] een zelfstandige tekortkoming van [D] op, net als het door [D] informeren van een gemeenschappelijke klant over het voorval. 4.21. [D] heeft aangevoerd dat [A] geen/onvoldoende belang heeft bij de gevorderde verklaring voor recht, omdat [A] tevens betaling vordert van een concreet schadebedrag. [D] betwist voorts dat zij aansprakelijk is voor de schade van [A] . [D] heeft voorafgaand aan het sluiten van de verzekering wel de dekking op de verschillende rubrieken van de verzekering van [C] met [A] besproken, maar [D] heeft niet toegezegd dat er dekking zou bestaan voor schade van [A] als gevolg van het risico dat zich uiteindelijk verwezenlijkte. [A] kwam bij [D] omdat [A] niet eens beschikte over een reguliere AVB en [D] heeft haar werk zorgvuldig gedaan door aan [A] de [C] Proc ICT-verzekering te adviseren; een gecombineerde beroepsaansprakelijkheids-, bedrijfsaansprakelijkheids- en cyberverzekering. Daarmee was [A] adequaat verzekerd, aldus [D] . Dat [C] desondanks geen dekking biedt, is niet het gevolg van een tekortkoming door [D] . De kosten vallen niet onder de dekkingsomschrijving en/of één van de verzekerde rubrieken. [A] is een ICT-onderneming die meer dan gemiddeld bekend moet zijn met de (cyber)risico’s die zij loopt en de schade die daaruit kan voortvloeien. [D] mocht er daarom vanuit gaan dat [A] zelf een goede inschatting kon maken van haar verzekeringsbehoefte. Dat [A] haar beveiliging niet op orde had, was niet te voorzien, in elk geval niet voor [D] . En al zou [D] het risico expliciet benoemd hebben, dan is [D] nog steeds niet aansprakelijk, omdat ook andere verzekeraars geen dekking bieden voor dit risico. De polis bij [C] is op advies van [K] geprolongeerd onder dezelfde voorwaarden, aldus [D] . [D] betwist voorts dat haar van de gebeurtenissen na het incident een verwijt kan worden gemaakt. Bovendien hebben die beweerdelijke tekortkomingen niet tot de gevorderde schade geleid. 4.22. De rechtbank is in de eerste plaats van oordeel dat [A] voldoende belang heeft bij de gevorderde verklaring voor recht, als grondslag voor de gevorderde schadevergoeding. Anders dan [A] heeft betoogd, kan naar het oordeel van de rechtbank uit de verklaring van [D] tijdens het voorlopig getuigenverhoor echter niet worden afgeleid dat [D] de onderhavige situatie expliciet als voorbeeld heeft genoemd, althans niet in die zin, dat ook eigen schade van [A] onder de dekking zou vallen. [D] heeft weliswaar gewezen op de situatie waarin één van de medewerkers van [A] een fout zou maken, bijvoorbeeld wanneer hij instellingen verkeerd zou afstellen, waardoor voor een klant vermogensschade zou ontstaan, maar dat is een situatie waarin de klant, oftewel een derde, een schadevordering op [A] heeft. Zoals hiervoor weergegeven in rechtsoverweging 4.18. is er in het onderhavige geval geen sprake van een schadevordering van een derde. Het betreft hier eigen schade van [A] ten gevolge van de hack. De stelling van [A] dat [D] dekking heeft toegezegd voor het specifieke geval dat zich hier heeft voorgedaan, zal de rechtbank daarom als onvoldoende adequaat onderbouwd passeren. Ook overigens heeft [A] onvoldoende feiten of omstandigheden gesteld waaruit volgt dat [D] niet heeft gehandeld zoals van een redelijk bekwaam en redelijk handelend vakgenoot in gelijke omstandigheden mocht worden verwacht. Naar het oordeel van de rechtbank is van een schending van de zorgplicht door [D] geen sprake. Ook de verwijten die [A] [D] maakt, ter zake van omstandigheden die na het incident hebben plaatsgevonden, zal de rechtbank passeren. [D] heeft de juistheid van de gemaakte verwijten gemotiveerd heeft betwist en [A] heeft geen nadere feiten of omstandigheden gesteld waaruit volgt dat [D] niettemin haar zorgplicht zou hebben geschonden. Daarbij komt dat het causaal verband tussen de beweerdelijke tekortkomingen en de gevorderde schade ontbreekt, zodat de vorderingen van [A] jegens [D] ook om die reden niet toewijsbaar zijn. De vorderingen van [A] jegens [D] zullen daarom als onvoldoende adequaat onderbouwd worden afgewezen. 4.23. [A] is in het ongelijk gesteld en moet daarom de proceskosten (inclusief nakosten) betalen. De proceskosten van [D] worden begroot op: - griffierecht € 5.737,00 - salaris advocaat € 7.004,00 (2 punten × € 3.502,00) - nakosten € 178,00 (plus de verhoging zoals vermeld in de beslissing) Totaal € 12.919,00 5De beslissing De rechtbank in conventie 5.1. wijst de vorderingen van [A] af, 5.2. veroordeelt [A] in de proceskosten van [B] van € 12.800,00, te betalen binnen veertien dagen na aanschrijving daartoe, te vermeerderen met € 92,00 plus de kosten van betekening als [A] niet tijdig aan de veroordelingen voldoet en het vonnis daarna wordt betekend, 5.3. veroordeelt [A] in de proceskosten van [C] van € 12.919,00, te betalen binnen veertien dagen na aanschrijving daartoe, te vermeerderen met € 92,00 plus de kosten van betekening als [A] niet tijdig aan de veroordelingen voldoet en het vonnis daarna wordt betekend, 5.4. veroordeelt [A] in de proceskosten van [D] van € 12.919,00, te betalen binnen veertien dagen na aanschrijving daartoe, te vermeerderen met € 92,00 plus de kosten van betekening als [A] niet tijdig aan de veroordelingen voldoet en het vonnis daarna wordt betekend, 5.5. verklaart dit vonnis uitvoerbaar bij voorraad, in reconventie 5.6. verklaart voor recht dat [A] verplicht is de door [B] in rekening gebrachte bedragen voor het verbruik van Microsoft clouddiensten aan [B] te voldoen, 5.7. veroordeelt [A] in de proceskosten van [B] van € 614,00, 5.8. verklaart dit vonnis uitvoerbaar bij voorraad. Dit vonnis is gewezen door mr. J.E. Biesma en in het openbaar uitgesproken op 6 november 2024. c: 698/ah