¿Cuándo constituye un ciberataque de las TIC un caso de fuerza mayor legal?
El tribunal ha calificado oficialmente el conocido ciberataque de Citrix al Ministerio Público (OM) como una situación de fuerza mayor.
Esta decisión se basa en el hecho de que se trataba de una vulnerabilidad de día cero desconocida que quedaba totalmente fuera del control y del ámbito de riesgo de la organización.
Un elemento crucial de esta sentencia fue que aún no existía ninguna actualización de seguridad disponible para esta vulnerabilidad específica, a pesar de que el OM sí había instalado todas las actualizaciones anteriores a tiempo.
Durante el incidente, la desconexión total de internet fue una medida necesaria para evitar un mayor acceso a información extremadamente sensible.
El tribunal dictaminó que el ataque no era razonablemente previsible ni evitable, y que el OM trabajó con urgencia y en coordinación con sus socios de la cadena en una recuperación gradual.
Una lección importante para las organizaciones: un ciberataque no constituye automáticamente fuerza mayor desde el punto de vista legal. La preparación demostrable, la prevención, la necesidad de intervención y una recuperación adecuada tienen un gran peso en el veredicto final.
Lea el artículo de uitspraken.rechtspraak.nl para obtener más información.