Hvilke lovovertrædelser defineres i straffeloven
Computerindtrængen i henhold til artikel 138ab Sr
Den centrale forseelse er computervredebreuk. Artikel 138ab Sr straffer enhver, der forsætligt og ulovligt trænger ind i et automatiseret system, helt eller delvist, hvor adgang opnås ved at bryde igennem en sikkerhedsforanstaltning, ved et teknisk indgreb, ved falske signaler eller en falsk nøgle eller ved at antage en falsk identitet. To elementer gør arbejdet i praksis. Handlingen skal være forsætlig, og den skal være ulovlig, hvilket betyder uden en ret, der stammer fra samtykke, kontrakt eller lov. Der kræves ikke skade: forseelsen er fuldendt ved adgangen, og den maksimale straf på dette niveau er to års fængsel. Straffen stiger, hvor der sker mere. Hvis den ubudne gæst efterfølgende kopierer eller registrerer data, der er opbevaret i systemet, bliver maksimumsstraffen fire år. Det samme maksimum gælder, hvor adgangen opnåedes via et offentligt telekommunikationsnetværk, og lovovertræderen brugte systemets behandlingskapacitet eller gik videre til et yderligere system. Hvor forseelsen begås til fordel for en fremmed magt, forhøjes maksimumsstraffen med en tredjedel.Obstruktion af et system i henhold til artikel 138b Sr
Denial-of-service-angreb er dækket af artikel 138b Sr, som straffer forsætlig og ulovlig overførsel af data til et automatiseret system, hvor det hindrer adgang til eller brug af data. Den grundlæggende maksimumsstraf er to år. Den bliver tre år, hvor et betydeligt antal systemer er involveret, eller hvor gerningsmanden havde til hensigt at opnå en ulovlig fordel, og fem år, hvor handlingen forårsager alvorlig skade eller er rettet mod et system, der betjener vital infrastruktur. Terrorhensigt hæver maksimumsstrafen yderligere.Aflytning i henhold til artikel 139c til 139e Sr
Artikel 139c Sr forbyder aflytning eller optagelse, ved hjælp af tekniske midler, af data, der ikke er beregnet til den pågældende person, og som behandles eller transmitteres via telekommunikation eller et automatiseret system. Maksimumsfristen er to år. Artiklen indeholder udtrykkelige undtagelser: modtagelse af radiosignaler uden særlig indsats, aflytning foretaget af den retmæssige indehaver af forbindelsen, medmindre det er klart misbrug, og aflytning udført med henblik på drift af et netværk, til strafferetlig efterforskning eller i henhold til efterretnings- og sikkerhedstjenesteloven af 2017. Artikel 139d Sr omhandler forberedelse. Den dækker placering af kontroludstyr med den hensigt at muliggøre ulovlig aflytning, og den dækker også fremstilling, erhvervelse, distribution eller besiddelse af en teknisk anordning, der primært er beregnet til at begå en lovovertrædelse i henhold til artikel 138ab, 138b eller 139c Sr, eller besiddelse af adgangskoder med samme hensigt. Maksimumsfristen er to år og stiger til fire år, hvor forberedelsen vedrører groft ulovlig indtrængen i computeren. Artikel 139e Sr straffer derefter håndtering af resultaterne: besiddelse af en databærer med ulovligt aflyttede data, videregivelse af sådanne data eller videregivelse af dem, med højst seks måneder.Skadelige data i henhold til artikel 350a til 350d Sr
Hvor angrebet ødelægger snarere end læser, finder afsnit XXVII anvendelse. Artikel 350a Sr straffer forsætligt og ulovligt at ændre, slette eller gøre data utilgængelige med en maksimumsstraf på to år og hæver maksimumsstraffen til fire år for at stille data til rådighed eller distribuere dem, der har til formål at forårsage skade i et automatiseret system, hvilket er den bestemmelse, der anvendes om malware og ransomware. Artiklen indeholder en udtrykkelig undtagelse for en person, der har handlet for at begrænse den skade, sådanne data ville forårsage. Artikel 350b Sr er den uagtsomme variant med et meget lavere maksimum og finder anvendelse, hvor alvorlig skade skyldes uagtsom adfærd. Artikel 350c Sr dækker ødelæggelse, beskadigelse eller deaktivering af et automatiseret system eller telekommunikationsudstyr og derved hindring af lagring, behandling eller overførsel af data. Artikel 350d Sr afspejler artikel 139d Sr på den forberedende side: fremstilling, anskaffelse, salg eller besiddelse af værktøjer eller adgangskoder, der har til formål at muliggøre en lovovertrædelse i henhold til artikel 350a eller 350c Sr. Uautoriseret adgang er i sig selv strafbart i henhold til artikel 138ab Sr, uanset om data kopieres eller ej, og uanset om der forvoldes skade.Hvor går grænsen mellem sikkerhedsforskning og computerindtrængen
Hollandsk lov indeholder ingen generel undtagelse for etiske hackere. Testning af andres systemer er lovligt, fordi det er godkendt, ikke fordi det er velmenende. Det afgørende spørgsmål i henhold til artikel 138ab Sr er, om adgangen var ulovlig, og samtykke fjerner kun dette element i den udstrækning samtykket rækker. En penetrationstest kræver derfor en skriftlig opgave, der identificerer systemerne og adresserne i omfang, perioden, de teknikker, der er tilladte og udelukkede, hvad der sker med data, der stødes på, og hvem der skal informeres. Hvor systemerne hostes af en tredjepart, skal denne udbyder også give samtykke, fordi klienten ikke kan samtykke på dennes vegne. Uden for en bestilt test er rammen koordineret sårbarhedsoffentliggørelse. Mange hollandske organisationer offentliggør en politik, der beskriver, hvordan en sårbarhed kan rapporteres, og hvad de forpligter sig til gengæld, og den nationale cybersikkerhedsmyndighed har offentliggjort vejledning om sådanne politikker. En sådan politik skaber ikke immunitet: retsforfølgning er fortsat juridisk mulig, og den offentlige anklagemyndighed (Openbaar Ministerie) vurderer, om retsforfølgning er hensigtsmæssig. I den vurdering er de faktorer, der vejer tungt, om finderen handlede i offentlighedens interesse, om indtrængen ikke gik videre end nødvendigt for at påvise svagheden, om data blev kopieret, offentliggjort eller opbevaret, og om rapporten blev indgivet omgående og direkte til den pågældende organisation. En forsker, der overskrider disse grænser, eller som knytter betingelser til rapporten, går fra videregivelse til de ovenfor beskrevne lovovertrædelser. Den samme argumentation gælder for medarbejdere og tidligere medarbejdere. Adgangsrettigheder ophører, når rollen ophører, og fortsat brug af en gammel konto eller en kollegas adgangskode er adgang ved hjælp af en falsk nøgle i henhold til artikel 138ab Sr, selv hvor systemet engang blev brugt lovligt hver dag.
Svig begået digitalt
De fleste digitale sager, der når politiet, er ikke rene hackingssager, men bedrageri udført med digitale midler, og de retsforfølges i henhold til de almindelige bestemmelser om bedrageri. Phishing, fakturabrug og falske webshops falder ind under artikel 326 Sr, som straffer tilegnelse af ejendom, en tjenesteydelse eller en gæld ved hjælp af et falsk navn, en falsk kapacitet, list eller et spind af usandheder. Hvor identificerende personoplysninger om en anden person bruges til at vildlede, tilføjer artikel 231b Sr en separat lovovertrædelse. Flytning af provenuet gennem konti eller kryptoaktiver indfører bestemmelserne om hvidvaskning af penge i artikel 420bis til 420quater Sr, hvilket er grunden til, at personer, der låner en bankkonto ud, retsforfølges såvel som dem, der organiserede ordningen. Offentliggørelse af en anden persons personoplysninger for at intimidere er en særskilt lovovertrædelse i henhold til artikel 285d Sr, der blev indført i begyndelsen af 2024. Bevisførelse af disse sager er i høj grad et spørgsmål om digitalt bevismateriale: headere, logs, IP-data, betalingsspor og den tidslinje, de befinder sig i. Hvad det betyder i praksis for et offer, der ønsker at blive troet, er beskrevet i vores artikel om onlinesvindel og phishing.
Hvad cybersikkerhedsloven kræver af organisationer
Den hollandske cybersikkerhedslov (Cyberbeveiligingswet) trådte i kraft den 15. august 2026 og implementerer det europæiske NIS2-direktiv. Den fungerer anderledes end straffeloven: den straffer ikke angribere, men pålægger de organisationer, der bliver angrebet, pligter. Enheder, der er omfattet af dens anvendelsesområde, skal registrere sig hos den nationale cybersikkerhedsmyndighed, træffe passende tekniske og organisatoriske foranstaltninger for at styre risiciene for deres netværk og informationssystemer og rapportere betydelige hændelser med en første anmeldelse inden for 24 timer og en mere fuldstændig rapport inden for 72 timer. Ansvaret for foranstaltningerne ligger hos enhedens ledelse, som også forventes at holde sin viden ajour. Hvilke organisationer der er dækket, og hvad omsorgspligten konkret betyder, er beskrevet i vores artikel om NIS2 og den hollandske cybersikkerhedslovDisse pligter løber sideløbende med, og ikke i stedet for, forpligtelserne i henhold til den generelle forordning om databeskyttelse. En cyberhændelse, der involverer personoplysninger, er et brud på persondatasikkerheden, som skal anmeldes til den hollandske databeskyttelsesmyndighed inden for 72 timer, medmindre det er usandsynligt, at det udgør en risiko, og meddeles de berørte personer, hvis risikoen for dem er høj. De to indberetningsordninger har forskellige udløsere, forskellige adressater og forskellige frister, og en hændelse kan nemt udløse begge på én gang. Den civile side, herunder hvem der bærer tabet, når en leverandør eller en tjenesteudbyder er det svage led, diskuteres i vores artikel om ansvar efter et databrud.
Efterforskningsbeføjelser og hvordan en sag forløber
Siden den tredje lov om computerkriminalitet trådte i kraft i 2019, har politiet vidtrækkende digitale efterforskningsbeføjelser. Efterforskere kan i tilfælde af alvorlige lovovertrædelser få fjernadgang til et automatiseret system, der anvendes af en mistænkt, og, når de er indenfor, registrere data eller gøre dem utilgængelige. Denne beføjelse udøves kun af anklagemyndigheden efter tilladelse fra den undersøgende dommer (rechter-commissaris), og brugen af den skal registreres, så forsvaret og retten kan gennemgå den bagefter. En mistænkt kan også pålægges at give adgang til krypteret materiale under bestemte omstændigheder, og enheder kan beslaglægges og undersøges. Da adfærden og virkningen ofte er i forskellige lande, er jurisdiktion og samarbejde lige så vigtige som den materielle lovovertrædelse. Holland er part i Europarådets Budapestkonvention om cyberkriminalitet, bruger den europæiske efterforskningskendelse til bevismateriale inden for Den Europæiske Union og arbejder gennem Europol og dets europæiske center for cyberkriminalitet og igennem Eurojust når procedurer kører i flere medlemsstater på én gang, sideløbende med samarbejde med INTERPOL uden for Den Europæiske Union. For den person, der er under efterforskning, er de praktiske konsekvenser velkendte: retten til at tie stille, retten til at konsultere og blive bistået af en advokat før og under afhøringen, og en sagsakte, der i vid udstrækning består af teknisk materiale, som skal testes snarere end accepteres.Hvad et offer kan gøre
Anmeld hændelsen. En politirapport (aangifte) er grundlaget for, at en efterforskning kan indledes, og vores vejledning til indgivelse af en politianmeldelse forklarer, hvordan det gøres. Bevar beviserne, før noget geninstalleres: logfiler, de berørte systemer, e-mail-headere, betalingsreferencer og en tidslinje for, hvad der blev bemærket, og hvornår. Underret straks banken, hvor betalinger blev omdirigeret, da en hurtig anmodning om tilbagekaldelse ofte er den eneste chance for at inddrive penge, og underret Databeskyttelsesmyndigheden, hvis personoplysninger var involveret. Straffesager og erstatning er separate spor, der kan kombineres. Et offer kan deltage i straffesagen som en skadelidt part og kræve erstatning der, hvilket er effektivt, men kun fungerer for krav, der ikke belaster straffesagen unødigt. Større eller anfægtede krav anlægges ved de civile domstole på grundlag af en ulovlig handling i henhold til artikel 6:162 i den borgerlige lovbog, og der findes midlertidige retsmidler, hvor materiale hurtigt skal tages offline. De trin, der er vigtige i de første dage efter et angreb, er beskrevet i vores artikel for ofre for cyberangreb.Hvordan Law & More kan hjælpe
Law & More rådgiver og repræsenterer klienter på begge sider af disse sager: organisationer, der er blevet angrebet og har brug for at sikre beviser, opfylde deres rapporteringspligter og inddrive deres tab, og enkeltpersoner eller virksomheder, der er mistænkte i en strafferetlig efterforskning af computerindtrængen, dataskade eller onlinesvindel. Vi gennemgår også penetrationstestopgaver og politikker for oplysning om sårbarheder, før arbejdet starter, hvilket er det punkt, hvor det meste af den juridiske risiko stadig kan fjernes. cyberkriminalitetsadvokater kan kontaktes via kontaktoplysningerne på denne hjemmeside.Lovgivning om cyberkriminalitet og hacking
Hvad tæller som cyberkriminalitet i henhold til hollandsk lov?
Cyberkriminalitet betyder enhver kriminel aktivitet udført via computere, netværk eller internettet, herunder indbrud i computersystemer, tyveri af data, lancering af DDoS-angreb, implementering af ransomware og begåelse af onlinesvindel, alt sammen beskrevet i straffeloven.
Hvad forbyder den hollandske hackinglov egentlig?
I henhold til artikel 138ab i straffeloven er det ulovligt forsætligt at bryde ind i computersystemer, hvad enten det er ved at omgå sikkerhedsforanstaltninger, bruge falske legitimationsoplysninger eller udnytte softwarefejl.
Hvad er de forretningsmæssige konsekvenser af et databrud i Holland?
Ud over umiddelbare økonomiske tab står virksomheder ofte over for ekstra omkostninger til at løse problemer, underrette kunder og håndtere juridiske risici, sammen med reduceret kundetillid, potentiel omdømmeskade og mulige bøder i henhold til love som GDPR.
Behandles cyberkriminalitet som mindre alvorlige problemer i henhold til hollandsk lov?
Nej, disse lovovertrædelser tages meget alvorligt og behandles som reel kriminel aktivitet med alvorlige juridiske konsekvenser, ikke blot mindre tekniske overtrædelser.
Hvordan Law & More kan hjælpe dig med dette, er forklaret på vores kriminel advokat .
