Een bedrijf overnemen? Zorg dat je verborgen cybersecurity issues niet mee koopt!

Je koopt niet alleen de activa, maar ook het digitale verleden

Een overnameprijs berekenen is één ding, maar die waardering heeft weinig betekenis zolang je niet precies weet wat de reële digitale en operationele situatie is van het bedrijf dat je overneemt. Een klassiek onderzoek dat zich beperkt tot de financiële, fiscale en vennootschapsrechtelijke aspecten volstaat vandaag eenvoudigweg niet meer. Een onderneming brengt immers haar volledige digitale verleden mee aan tafel, met inbegrip van sluimerende kwetsbaarheden, verwaarloosde systemen en incidenten die zich in het verleden hebben voorgedaan.

Ontdek je pas na de overdracht dat het overgenomen bedrijf al voor de overnamedatum het slachtoffer werd van een ernstige inbreuk, dan zijn de gevolgen vaak niet te overzien. Naast de rechtstreekse facturen voor forensisch onderzoek, incident management en het verlies door tijdelijke operationele stilstand, word je als koper plots geconfronteerd met mogelijke sancties van toezichthouders en aansprakelijkheidsclaims van derden. Het zittende management van de doelvennootschap heeft in zo’n geval immers vaak jarenlang nagelaten om aan de wettelijke zorgplichten inzake gegevensbeveiliging te voldoen. Omdat die historische tekortkomingen en risico’s niet in de initiële waardering verrekend werden, verdwijnt het economische fundament onder de transactie en betaal je uiteindelijk veel te veel voor een vennootschap met verborgen juridische verplichtingen.  Cybersecurity- privacytoezichthouders kunnen jou als nieuwe eigenaar bovendien rechtstreeks verantwoordelijk houden voor het niet tijdig melden of verhelpen van deze opgebouwde inbreuken.

Vier recurrente technische risico’s in het overnametraject

Zodra je verder kijkt dan de officiële documenten die de verkoper met je deelt, zie je bijna altijd dezelfde verborgen risico’s naar boven komen:

• Gelekte data en ongekende inbreuken

Wanneer een gespecialiseerd team tijdens de due diligence een scan uitvoert op het dark web, ontdekken we geregeld dat er al interne documenten, klantengegevens of actieve beheerderswachtwoorden te grabbel liggen. De verkoper heeft daar op dat moment vaak niet het minste vermoeden van. Juridisch en commercieel verandert zo’n vondst de onderhandelingsdynamiek grondig. Het betekent immers dat er in het verleden een effectief datalek heeft plaatsgevonden dat nooit intern is opgemerkt of onderzocht. Laat staan dat het gemeld werd aan de Gegevensbeschermingsautoriteit of aan de betrokken personen, wat onder de GDPR nochtans een strikte verplichting is. Als overnemer erf je die onverwerkte inbreuk en de bijhorende risico’s op torenhoge boetes en schadeclaims van gedupeerden.   

• Legacy software of ontbrekende updates en upgrades

Vaak draait de doelvennootschap op verouderde servers die geen essentiële veiligheidsupdates meer krijgen, ontbreekt elementaire netwerksegmentatie of hebben ex-werknemers nog steeds ongecontroleerde toegang tot kritieke systemen. Dergelijke technische schuld en ontoereikende interne governance procedures vormen een acuut veiligheidsrisico voor de continuïteit van de onderneming. Ze dwingen jou als koper bovendien tot onvoorziene en vaak substantiële herstelinvesteringen vlak na de overname om de systemen weer veilig te krijgen. Deze verborgen IT-kosten behoren vooraf in kaart gebracht te worden, zodat ze direct als aftrekpost in de waardering en de uiteindelijke koopprijs verrekend kunnen worden.   

• Structurele non-compliance met dwingende wetgeving

Steeds meer bedrijven vallen onder strenge cybersecuritywetgeving, zoals de Europese NIS2-richtlijn of specifieke sectorale normen voor gegevensbescherming. Koop je een bedrijf dat zijn wettelijke verplichtingen inzake risicobeheer, toegangscontrole en incidentmelding niet op orde heeft, dan haal je een onmiddellijk risico op operationele sancties en inspecties in huis. Je neemt de juridische entiteit immers over inclusief al haar actuele tekortkomingen. Regelgeving zoals NIS2 introduceert daarbovenop een strenge persoonlijke aansprakelijkheid voor bestuurders. Jouw eigen managementteam komt na de eigendomsoverdracht dus direct in de juridische vuurlinie te staan als de overgenomen systemen niet snel genoeg conform de wetgeving worden gemaakt.  

• Sluimerende malware en third-party risico’s

Misschien wel het gevaarlijkste scenario is de aanwezigheid van een actieve aanval of sluimerende malware die onopgemerkt in het bedrijfsnetwerk wacht om effectief toe te slaan. Zonder een diepgaande technische controle vooraf riskeer je letterlijk een gecompromitteerd netwerk over te nemen. Datzelfde besmettingsgevaar schuilt in de toeleveringsketen van de target. Veel incidenten ontstaan via externe IT-leveranciers, consultants of clouddiensten die vergaande toegang hebben tot de data of systemen. Contractuele zwakheden, gebrekkige verwerkersovereenkomsten of eerdere incidenten bij die externe partners verhuizen naadloos mee bij de overname en vormen een blinde vlek die na de closing zware operationele schade kan aanrichten.

Vier juridische en contractuele risico’s die je niet mag missen

Naast de zuiver technische kwetsbaarheden liggen er in een overnametraject minstens evenveel contractuele en regelgevende risico’s op de loer. Waar een IT-audit stopt bij de servers en de netwerken, moet een juridische due diligence de fundamenten onderzoeken van de contracten, aansprakelijkheden en complianceprocessen die je meekoopt. In de praktijk zien we daarbij vooral vier grote juridische valkuilen terugkeren.

• Contractuele gaten en vendor lock-in bij kritieke IT-leveranciers. 

Een bedrijf draait zelden nog uitsluitend op eigen infrastructuur, maar steunt op een kluwen van SaaS-leveranciers, externe datacenters en IT-dienstverleners. Tijdens de audit moet je nagaan of de bestaande contracten wel overdraagbaar zijn of dat er change-of-control clausules in staan waardoor de leverancier na de overname plots heronderhandelingen kan forceren of de dienstverlening kan stopzetten. Minstens even belangrijk zijn de aansprakelijkheidsbeperkingen in die vendorcontracten; wanneer een hostingprovider of softwareleverancier zijn aansprakelijkheid contractueel heeft beperkt tot een habbekrats, verhuist dat financiële risico bij een ernstig beveiligingsincident integraal naar jou als overnemer.

• Ontbrekende of gebrekkige verwerkersovereenkomsten. 

Vanuit gegevensbeschermingsoogpunt moet elke partij die in opdracht van de doelvennootschap persoonsgegevens verwerkt, gebonden zijn door een sluitende verwerkersovereenkomst conform artikel 28 van de GDPR. In overnamedossiers zien we geregeld dat zulke contracten ontbreken, nooit getekend zijn of verouderde modelbepalingen bevatten waarin elementaire verplichtingen rond beveiliging, auditrechten en het melden van datalekken niet geregeld zijn. Als overnemer erf je daarmee een rechtstreekse inbreuk op de gegevensbeschermingswetgeving waarvoor toezichthouders administratieve geldboetes kunnen opleggen, nog los van het feit dat je geen enkele poot hebt om op te staan als zo’n externe verwerker met jouw data in de fout gaat.

• Data hoarding en het ontbreken van een aantoonbare bewaartermijnenpolitiek. 

Bedrijven verzamelen door de jaren heen gigantische volumes aan persoonsgegevens van klanten, personeelsleden, sollicitanten en prospecten. Wanneer er tijdens de due diligence geen register van verwerkingsactiviteiten kan worden voorgelegd of wanneer blijkt dat er nooit beleid is gevoerd rond bewaartermijnen, koop je een vennootschap die structureel in overtreding is met het proportionaliteitsbeginsel van de GDPR. Deze praktijk van data hoarding verhoogt niet alleen de potentiële schade bij een toekomstige hacking aanzienlijk, maar stelt de vennootschap ook bloot aan handhaving door de Gegevensbeschermingsautoriteit wegens het onrechtmatig bewaren van persoonsgegevens zonder geldige rechtsgrond.

• Verzwegen incidenten en niet-nageleefde meldplichten. 

Een van de zwaarste juridische aansprakelijkheden betreft beveiligingsincidenten uit het verleden die het zittende bestuur intern heeft proberen op te lossen zonder ze formeel te documenteren in een incidentenregister of te melden aan de bevoegde autoriteiten. Zowel onder de GDPR als onder wetgeving zoals NIS2 gelden bijzonder strikte en korte meldingstermijnen bij ernstige inbreuken. Ontdek je na de overdracht dat er maanden voordien een lek is geweest dat nooit conform de wet is gemeld, dan kan de toezichthouder de overgenomen vennootschap alsnog beboeten voor die nalatigheid en draai je zelf op voor de juridische procedures en schadevergoedingen van benadeelde partijen.

 

De beperkingen van verklaringen en garanties in de overnameovereenkomst

Traditioneel tracht een koper zich in te dekken door uitgebreide verklaringen en garanties op te nemen in de koopovereenkomst. Daarin bevestigt de verkoper bijvoorbeeld dat de onderneming de toepasselijke regelgeving naleeft, dat alle vereiste beveiligingsmaatregelen voorhanden zijn en dat er geen eerdere inbreuken bekend zijn. Dergelijke clausules vormen een noodzakelijk juridisch kader, maar ze bieden slechts een beperkte bescherming wanneer ze niet worden onderbouwd door een effectieve technische controle én een gespecialiseerde juridische doorlichting van de feiten.

Een verkoper geeft deze verklaringen immers doorgaans naar zijn beste weten. Wanneer de verkoper oprecht niet op de hoogte was van een data-inbreuk of een diepe kwetsbaarheid, is een latere vordering wegens contractbreuk juridisch complex en is procederen achteraf tijdrovend en kostbaar. Op jou als koper rust bovendien een actieve onderzoeksplicht waardoor je juridisch bijzonder zwak staat om achteraf schade te claimen indien je de kwetsbaarheden had kunnen ontdekken met een degelijke due diligence vooraf. Hier wringt in de praktijk de schoen wanneer enkel een algemene overnameadvocaat wordt geraadpleegd: zonder diepgaande kennis van IT-contracten, GDPR en NIS2 worden technische rapporten van beveiligingsexperten zelden effectief vertaald naar contractuele slagkracht.

Een contractuele schadeloosstelling herstelt bovendien geen reputatieschade en verhelpt evenmin de acute stilstand van bedrijfsprocessen. Een technische quickscan door Fox&Fish Cyberdefense brengt de feitelijke situatie tijdig in kaart door middel van gerichte netwerkcontroles en toetsing aan NIS2 en CyFun. Die concrete vaststellingen stellen Sirius Legal vervolgens in staat om de overnamedocumentatie nauwkeurig aan te passen. Denk hierbij aan specifieke indemnificatieclausules die niet onderworpen zijn aan de algemene aansprakelijkheidslimieten, het opnemen van opschortende voorwaarden waarbij bepaalde technische gebreken moeten worden verholpen vóór de overdracht, of het blokkeren van een deel van de koopprijs op een escrow-rekening. Via gerichte prijsaanpassingsmechanismen zoals completion accounts of specifieke earn-outs kan het blootgelegde cyberrisico bovendien direct verrekend worden in de finale koopprijs.

Ook voor de verkopende partij is afwachten geen verstandige strategie. Door vooraf zelf een vendor due diligence te laten uitvoeren door een tandem van Fox&Fish Cyberdefense en Sirius Legal, behoud je de controle over het verkoopproces en voorkom je dat een kandidaat-overnemer tijdens exclusieve onderhandelingen onverwachte beveiligingsgebreken gebruikt om forse prijsreducties af te dwingen.

Wat betekent dit concreet voor jouw bedrijf?

Indien je een bedrijfsovername voorbereidt, dien je de digitale en juridische audit vanaf de start van het proces gelijkwaardig te behandelen aan het klassieke financiële onderzoek. Laat een pre-deal scan uitvoeren om de reële kwetsbaarheden, eventuele gegevenslekken en het niveau van regelgevende conformiteit scherp te stellen vooraleer je definitieve engagementen aangaat. Gebruik de uitkomsten van die technische audit om de koopprijs bij te stellen en gerichte vrijwaringen en escrow-afspraken te bedingen in het overnamecontract. Indien je jouw eigen onderneming wenst te verkopen, voer je deze analyse best proactief uit om onderhandelingsmarge te behouden en latere aansprakelijkheidsprocedures te vermijden.