Cyberkriminalitet i Holland: lovovertrædelser, straffe og forsvar

Cyberkriminalitet i hollandsk lov dækker to grupper af lovovertrædelser: lovovertrædelser mod computersystemer, såsom hacking (computervredebreuk), denial-of-service-angreb og beskadigelse af data, og almindelige lovovertrædelser begået online, såsom bedrageri, afpresning og identitetsmisbrug. Hacking i henhold til artikel 138ab i den hollandske straffelov (Wetboek van Strafrecht, Sr) kan straffes med op til to års fængsel, stigende til fire år, hvis data kopieres; ransomware retsforfølges normalt også som afpresning, hvilket kan straffes med op til ni år.

For en virksomhed, der bliver angrebet, løber der tre spor samtidig: en klage til politiet, anmeldelse af et brud på persondatasikkerheden til den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens) inden for 72 timer og civilretligt ansvar over for kunder og leverandører. For en mistænkt er det centrale spørgsmål, om adfærden var forsætlig og ulovlig, fordi enhver computerforbrydelse kræver begge dele.

Hvilke lovovertrædelser tæller som cyberkriminalitet i Holland?

Straffeloven indeholder specifikke computerlovovertrædelser og anvender klassiske lovovertrædelser på den digitale verden. De fleste computerlovovertrædelser kræver, at den mistænkte handlede forsætligt (opzettelijk) og ulovligt (wederrechtelijk).

• Hacking (Artikel 138ab Sr): forsætlig og ulovlig adgang til et computersystem, for eksempel ved at bryde en sikkerhedsforanstaltning eller bruge en falsk nøgle eller falsk identitet. Maksimalt to år; fire år, hvis hackeren derefter kopierer data eller misbruger systemets kapacitet.
• Servicenægtelse (Artikel 138b Sr): forsætlig og ulovlig blokering af adgang til et system ved at sende data til det. Maksimalt to år, længere, når et botnet anvendes.
• Skadelige data (Artikel 350a Sr): ændring, sletning eller utilgængelighed af data, f.eks. ved kryptering. Maksimum to år; spredning af malware, der er designet til at forårsage skade, har en frist på op til fire år.
• Afpresning (Artikel 317 Sr): at tvinge nogen til ved vold eller trussel at udlevere varer eller data eller til at betale. Maksimum ni år.
• Svig (artikel 326 Sr), for eksempel phishing og falske webshops, og identitetsmisbrug (Artikel 231b Sr).

Lov om computerkriminalitet III (Wet computercriminaliteit III) gav også efterforskerne ekstra beføjelser. I henhold til artikel 126nba i strafferetsplejeloven (Sv) kan anklagemyndigheden i tilfælde af alvorlige lovovertrædelser og med undersøgelsesdommerens bemyndigelse beordre politiet til at få adgang til en mistænkts computersystem via fjernadgang.

Hvad skal en virksomhed gøre efter et cyberangreb?

Behandl angrebet som tre separate juridiske spor med deres egne deadlines. Start med vurderingen af ​​databruddet, da 72-timersfristen løber fra det øjeblik, du bliver opmærksom på bruddet.

Skal du anmelde et databrud?

I henhold til GDPR (på hollandsk: AVG) skal et brud på persondata anmeldes til den hollandske databeskyttelsesmyndighed uden unødig forsinkelse og, hvor det er muligt, inden for 72 timer, medmindre det er usandsynligt, at det vil medføre en risiko for de involverede personer. Hvis risikoen er høj, skal du også informere disse personer. Dokumentér alle brud internt, inklusive dem, du ikke anmelder.

Organisationer i kritiske og vigtige sektorer har yderligere pligter i henhold til cybersikkerhedsloven (Cyberbeveiligingswet), der er trådt i kraft den 15. august 2026. Den erstatter loven om netværks- og informationssystemernes sikkerhed (Wbni) og kræver, at væsentlige hændelser rapporteres til den kompetente CSIRT og tilsynsførende inden for korte lovpligtige frister, sammen med en pligt til at udvise omsorg for sikkerhed og bestyrelsesansvar.

Skal du anmelde en straffesag?

Ja, en klage (aangifte) til politiet starter det strafferetlige spor og kræves ofte af forsikringsselskaber. Hvis gerningsmanden retsforfølges, kan du tilslutte dig straffesagen som skadelidt (benadeelde partij) og kræve din direkte skade i henhold til artikel 51f Sv, uden at anlægge en separat civil retssag.

Hvem er ansvarlig for skaden?

Kunder, hvis data er blevet lækket, kan kræve erstatning fra virksomheden i henhold til GDPR, og Datatilsynet kan pålægge bøder på op til 20 millioner euro eller 4 % af den globale årlige omsætning. Virksomheden kan til gengæld have et krav mod en IT-leverandør, hvis fejl har bidraget til hændelsen, afhængigt af kontrakten og dens ansvarsbegrænsning. Direktører kan kun være personligt ansvarlige over for virksomheden i tilfælde af en alvorlig personlig bebrejdelse.

Hvordan forsvarer man sig mod en anklage om cyberkriminalitet?

Et forsvar starter normalt med elementerne i lovovertrædelsen: hensigt, ulovlighed og beviser, der forbinder den mistænkte med enheden eller kontoen. I henhold til artikel 29 Sv er du ikke forpligtet til at besvare spørgsmål, og i henhold til artikel 28c Sv kan en anholdt mistænkt konsultere en advokat inden den første politiafhøring.

Almindelige forsvarspunkter er følgende. Var adgangen virkelig ulovlig, for eksempel fordi den mistænkte var autoriseret som ansat eller under et bug bounty-program? Kan anklagemyndigheden bevise, hvem der sad bag tastaturet, fik delte enheder, VPN'er og kaprede konti? Blev det digitale bevismateriale indhentet lovligt, for eksempel i henhold til en gyldig kendelse fra undersøgelsesdommeren (rechter-commissaris) om fjernadgang i henhold til artikel 126nba Sv? Og blev forældremyndigheden over de beslaglagte data dokumenteret? Hvis bevismaterialet blev indhentet ulovligt, kan retten udelukke det, nedsætte straffen eller i særlige tilfælde erklære anklagen uantagelig.

Etiske hackere, der rapporterer en sårbarhed ansvarligt, bliver i praksis ofte ikke retsforfulgt, når de følger organisationens koordinerede politik for offentliggørelse af sårbarheder, men dette er ikke en lovpligtig undtagelse. Hold omfanget begrænset, og dokumenter, hvad du gjorde.

Hvad betyder cyberkriminalitet for arbejdsgivere og ansatte?

I henhold til artikel 7:611 i den hollandske borgerlige lovbog (BW) skal arbejdsgiver og arbejdstager handle som en god arbejdsgiver og en god medarbejder, hvilket omfatter klare sikkerhedsregler og overholdelse af dem. Alvorlige brud kan berettige en summarisk afskedigelse af en hastende grund i henhold til artikel 7:678 i BW, men kun hvis reglerne var klare, og reaktionen er forholdsmæssig.

Overvågning af personale for at opdage trusler er kun tilladt, hvis det er nødvendigt, forholdsmæssigt og varslet på forhånd i overensstemmelse med GDPR. Et system til overvågning af personalets fremmøde, adfærd eller præstation kræver samtykke fra samarbejdsudvalget i henhold til artikel 27(1)(l) i samarbejdsudvalgsloven (WOR). Medarbejdere, der rapporterer en sikkerhedsfejl eller datamisbrug via de korrekte kanaler, er beskyttet mod repressalier i henhold til whistleblowerbeskyttelsesloven (Wet bescherming klokkenluiders).

Hvad skal man tjekke, når en virksomhed er blevet ramt af et angreb?

• Om personoplysninger blev berørt, og om 72-timers underretning til Datatilsynet er nødvendig.
• Om din organisation er omfattet af cybersikkerhedsloven og skal rapportere hændelsen til sin CSIRT og supervisor.
• Om du har indgivet en politianmeldelse og sikret logfiler og andre beviser.
• Om din cyberforsikring fastsætter underretningsfrister eller betingelser for betaling af løsesum.
• Hvad dine kontrakter med IT-leverandører siger om sikkerhedsforpligtelser og ansvarsbegrænsning.

Hvad skal man som mistænkt tjekke?

• Hvilken lovovertrædelse og hvilken artikel politiet nævner i indkaldelsen eller ved anholdelsen.
• Om du har talt med en advokat før den første samtale (artikel 28c Sv).
• Om du havde tilladelse til at få adgang til systemet, og om du kan bevise det.
• Hvilke enheder og konti blev beslaglagt, og på hvilken ordre.
• Om din ansættelses- eller opholdstilladelse kan blive påvirket af en domfældelse.

Hvad kan vi gøre for dig med cyberkriminalitet?

Som strafferetsadvokater repræsenterer vi både virksomheder og mistænkte, og vi håndterer den ansættelsesretlige side af hændelser.

• Vi vurderer inden for én arbejdsdag, om et databrud skal anmeldes til Datatilsynet.
• Vi udarbejder politianmeldelsen og kravet fra den skadelidte i straffesagen.
• Vi bistår mistænkte under politiafhøringer og gennemgår lovligheden af ​​de digitale beviser.
• Vi gennemgår IT-kontrakter og kræver erstatning fra leverandører, hvor deres fejl har bidraget til angrebet.
• Vi udarbejder sikkerheds- og overvågningspolitikker og rådgiver om afskedigelse efter brud på sikkerhedsregler.

Resumé

• Hacking (artikel 138ab Sr) har op til to år, eller fire år, hvis data kopieres; afpresning via ransomware har op til ni år (artikel 317 Sr).
• Enhver computerforseelse kræver forsætlig og ulovlig adfærd, og det er her, mange forsvarsmekanismer starter.
• Et brud på persondatasikkerheden skal anmeldes til Datatilsynet inden for 72 timer, hvor det er muligt.
• Siden den 15. august 2026 pålægger cybersikkerhedsloven kritiske og vigtige enheder forpligtelser til at rapportere hændelser og sikre sikkerhedsforanstaltninger.
• Som offer kan du kræve direkte erstatning i straffesagen som skadelidt (artikel 51f Sv).

Ofte stillede spørgsmål