Een leverancier van medische software die het slachtoffer werd van een ransomware-aanval kan niet bij de verzekering aankloppen, aangezien er geen sprake is van "directe fysieke schade", zo heeft het hooggerechtshof in de Amerikaanse staat Ohio geoordeeld. Een Amerikaans advocatenkantoor spreekt van de belangrijkste uitspraak op het gebied van polisdekking in 2022.

Softwareleverancier EMOI werd eind 2019 getroffen door een ransomware-aanval, waarbij de aanvaller bestanden van software en databases versleutelde. Het bedrijf betaalde 35.000 dollar losgeld voor een decryptiesleutel. Daarmee konden alle systemen worden hersteld, op één geautomatiseerd telefoonsysteem na. EMOI had een verzekering afgesloten en diende een claim in, maar de verzekeraar weigerde te betalen.

Volgens de verzekeraar was er geen sprake van direct fysiek verlies of schade. Daarop stapte de softwareleverancier naar de rechtbank. Die gaf de verzekeraar gelijk en stelde dat de data was gecompromitteerd, maar dat elektronische apparatuur niet fysiek was beschadigd. In hoger beroep trok de softwareleverancier echter aan het langste eind. Volgens het hof van beroep zou de claim van EMOI wel door de verzekeringspolis zijn gedekt als de leverancier kan aantonen dat de software door de versleuteling is beschadigd.

Daarop stapte de verzekeraar naar het Ohio Supreme Court en kreeg gelijk dat de verzekeringspolis alleen geldt voor "direct fysiek verlies of schade" aan eigendom, en daarom geen ransomware-aanval dekt. "Aangezien software een immaterieel voorwerp is dat geen direct fysiek verlies of directe fysieke schade kan ervaren, is de verzekering in dit geval niet van toepassing", aldus het vonnis.

De rechter stelde dat de beschrijving van directe fysieke schade en verlies, zoals opgenomen in de verzekeringspolis, alleen geldt voor echt fysieke schade en verlies. Het hooggerechtshof vernietigde dan ook de beslissing van het hof van beroep. Volgens advocatenkantoor Hinshaw & Culbertson is het misschien wel de belangrijkste beslissing met betrekking tot polisdekking van 2022. Advocatenkantoor Kohrman Jackson & Krantz roept bedrijven dan ook op om te controleren of hun verzekeringspolis ook ransomware-aanvallen dekt.