Rekenaarmisdaad en kubermisdaad: watter Nederlandse wette is van toepassing?

Die Nederlandse strafreg onderskei tussen oortredings waarin 'n rekenaar die teiken is en oortredings waarin dit slegs die middel is. Hacking, 'n DDoS-aanval of ransomware val onder spesifieke rekenaaroortredings in die Strafwetboek, terwyl aanlynbedrog, identiteitsbedrog en phishing gewoonlik onder die gewone oortredings vervolg word, soms gekombineer met 'n rekenaaroortreding.

Waar die rekenaar slegs die middel is, is die gewone oortredings van toepassing. Aanlynbedrog is bedrog ( oplichting ) kragtens Artikel 326, identiteitsbedrog val onder Artikel 231b, en phishing word oor die algemeen aangekla as 'n kombinasie van bedrog, rekenaaroortreding en vervalsing. Dit maak in die praktyk saak, want hierdie oortredings het hul eie verjaringstermyne en hul eie bewysvereistes.

Vir 'n organisasie wat aangeval is, is aanmelding by die polisie slegs een van verskeie verpligtinge. 'n Persoonlike data-oortreding moet binne 72 uur aan die Nederlandse Databeskermingsowerheid gerapporteer word indien dit waarskynlik 'n risiko vir individue inhou. Organisasies wat onder die Kuberveiligheidswet (Cyberbeveiligingswet ) val , wat sedert 15 Augustus 2026 van krag is, het hul eie aanmeldingstermyne, wat begin met 'n vroeë waarskuwing binne 24 uur.

Wat is die verskil tussen rekenaarmisdaad en kubermisdaad?

In rekenaarmisdaad is die rekenaarstelsel of die data daarin die teiken van die oortreding. In kubermisdaad in die breër sin is die rekenaar of die internet die instrument wat gebruik word om 'n oortreding te pleeg wat ook vanlyn bestaan, soos bedrog of afpersing.

Die twee terme word dikwels uitruilbaar gebruik, en die Nederlandse reg definieer hulle nie. Die onderskeid is steeds nuttig, want dit help jou om te sien watter bepalings van toepassing is en wat bewys moet word.

Wanneer is die rekenaar die teiken?

Die rekenaar is die teiken wanneer die oortreding teen die stelsel self gerig is: om sonder toestemming in te gryp, dit te ontwrig of die data te beskadig. Spesifieke bepalings in die Strafwetboek is hierop van toepassing, soos rekenaaroortreding, ontwrigting van 'n stelsel en die beskadiging van data.

Tipiese voorbeelde is die inbraak in 'n maatskappynetwerk, 'n DDoS-aanval wat 'n webwerf onbereikbaar maak, die installering van wanware en die enkripsie van lêers met ransomware. Vir hierdie oortredings maak dit nie saak of die oortreder ook geld gekry het nie: die inbraak of ontwrigting self is strafbaar.

Wanneer is die rekenaar die enigste middel?

Die rekenaar is slegs die middel wanneer die oortreding ook sonder 'n rekenaar bestaan, maar die internet gebruik word om dit te pleeg. Voorbeelde is aanlyn aankoopbedrog, vals fakture wat per e-pos gestuur word, phishing-boodskappe, afpersing per e-pos en dreigemente op sosiale media.

Waarom maak die onderskeid saak?

Die onderskeid bepaal watter bepaling gehef word, wat die maksimum straf is en wat die aanklaer moet bewys. Dit beïnvloed ook die ondersoek.

Vir rekenaaroortredings moet die aanklaer byvoorbeeld bewys dat die inbraak opsetlik en onwettig was. Vir bedrog moet die aanklaer misleiding deur 'n vals naam, 'n valse hoedanigheid, slinkse truuks of 'n web van leuens bewys, en dat die slagoffer oorreed is om geld of goedere te oorhandig. In die praktyk lei een voorval dikwels tot verskeie aanklagte gelyktydig, byvoorbeeld rekenaaroortreding gekombineer met bedrog.

Ondersoeke na rekenaarmisdaad vereis digitale forensiese navorsing: ontleding van logs, netwerkverkeer en toestelle. In bedrogsake spoor die polisie ook betalings en kommunikasie op. Omdat oortreders dikwels vanuit die buiteland opereer, is internasionale samewerking gereeld nodig.

Watter vorme van kubermisdaad is algemeen in Nederland?

Drie vorme raak besighede en individue die meeste in die praktyk: ransomware, die diefstal van data en aanmeldbesonderhede, en phishing gekombineer met sosiale manipulasie. Hulle kom dikwels saam voor: 'n phishing-e-pos verskaf aanmeldbesonderhede, wat dan gebruik word om ransomware te installeer.

Hoe werk ransomware, en watter oortredings behels dit?

In 'n losprysware-aanval enkripteer die aanvaller 'n organisasie se data en eis betaling vir die sleutel. Toenemend kopieer die aanvaller ook eers die data en dreig om dit te publiseer as die slagoffer nie betaal nie.

Losprysware raak multinasionale maatskappye, klein en mediumgrootte besighede en openbare liggame. Aanvallers verkry dikwels toegang deur 'n phishing-e-pos, gesteelde aanmeldbesonderhede of 'n kwesbaarheid in sagteware wat nie opgedateer is nie.

Wetlik behels ransomware gewoonlik verskeie oortredings gelyktydig: rekenaaroortreding (Artikel 138ab Sr), beskadiging van data deur dit te enkripteer (Artikel 350a Sr) en afpersing (Artikel 317 Sr). Indien persoonlike data gekopieer of ontoeganklik gemaak is, is dit ook 'n data-oortreding, met die kennisgewingsverpligtinge wat hieronder bespreek word.

Of jy moet betaal, is 'n sakebesluit met wetlike aspekte. Betaling waarborg nie dat die data terugbesorg of verwyder sal word nie, en betaling aan 'n goedgekeurde party kan op sigself verbied word. Bespreek dit met jou prokureur en die polisie voordat jy besluit.

Wat gebeur met gesteelde data en aanmeldbesonderhede?

Misdadigers teiken databasisse en aanmeldbesonderhede omdat hulle dit kan herverkoop of vir bedrog kan gebruik. Gesteelde aanmeldbesonderhede word aanlyn verhandel en gebruik om by e-posrekeninge, maatskappystelsels of bankrekeninge aan te meld.

Sodra misdadigers aanmeldbesonderhede het, kan hulle vals betalingsversoeke vanaf 'n egte e-posrekening stuur, die bankbesonderhede op fakture verander of kliënterekeninge oorneem. Vir die slagofferorganisasie is dit dikwels beide 'n sekuriteitsvoorval en 'n datalek.

Die koop of hou van gesteelde data wetende dat dit deur 'n misdaad verkry is, is ook strafbaar. Sedert die Wet op Rekenaarmisdaad III ( Wet computercriminaliteit III ) bevat die Strafkode 'n aparte oortreding vir die hantering van gesteelde data ( heling van gegevens ).

Hoe werk phishing en sosiale manipulasie?

Phishing is die poging om aanmeldbesonderhede, betalingsbesonderhede of toegang te bekom deur voor te gee dat jy 'n vertroude party is. Boodskappe kom toenemend nie net per e-pos nie, maar ook per teksboodskap, WhatsApp, telefoon en sosiale media.

Misdadigers boots banke, pakkiedienste, regeringsliggame en platforms soos LinkedIn na. In sogenaamde uitvoerende hoofbedrog ontvang 'n werknemer 'n dringende versoek, blykbaar van 'n direkteur, om 'n betaling te maak. In bankhulptoonbankbedrog gee 'n oproeper voor dat hy van die bank is en oorreed die slagoffer om geld na 'n "veilige rekening" oor te plaas.

Sosiale manipulasie maak gebruik van vertroue, tydsdruk en gesag. Daarom is opleiding en duidelike interne prosedures net so belangrik soos tegniese maatreëls.

Watter Nederlandse wette is van toepassing, en wat is die strawwe?

Die Strafkode bevat spesifieke rekenaarmisdrywe en die gewone misdrywe wat ook aanlyn van toepassing is. Die maksimum straf hang af van die oortreding en van verswarende omstandighede, soos die kopiëring van data of die veroorsaking van ernstige skade.

Watter bepalings van die Strafwetboek is van toepassing?

• Artikel 138ab Sr: rekenaaroortreding, die opsetlike en onwettige verkryging van toegang tot 'n rekenaarstelsel of 'n deel daarvan.
• Artikel 138b Sr: opsetlike en onwettige belemmering van toegang tot of die gebruik van 'n rekenaarstelsel deur data daaraan te stuur, soos in 'n DDoS-aanval.
• Artikels 139c en 139d Sr: die onderskep of opneem van data en kommunikasie, en die plasing van toerusting of verspreiding van gereedskap vir daardie doel.
• Artikels 350a en 350b Sr: opsetlik (350a) of skuldig (350b) om data te verander, te verwyder, onbruikbaar te maak of ontoeganklik te maak, en om wanware te versprei.
• Artikel 231b Sr: identiteitsbedrog, die opsetlike en onwettige gebruik van iemand anders se identifiserende persoonlike data waar dit skade kan veroorsaak.
• Artikel 326 Sr: bedrog, iemand deur middel van misleiding oorreed om geld of goedere te oorhandig.
• Artikel 317 Sr: afpersing, byvoorbeeld die lospryseis in 'n losprysware-aanval.

Rekenaaroortreding vereis nie dat die oortreder 'n sekuriteitsmaatreël omseil het nie. Dit is voldoende om sonder toestemming in te kom, byvoorbeeld deur iemand anders se wagwoord te gebruik.

Watter strawwe is van toepassing?

Die maksimum strawwe verskil per oortreding. Basiese rekenaaroortreding dra 'n maksimum van twee jaar gevangenisstraf of 'n boete van die vierde kategorie; indien die oortreder dan data kopieer of opneem, is die maksimum vier jaar.

Ander maksimum strawwe word in die bepaling self uiteengesit. 'n Paar voorbeelde:

• DDoS-aanvalle en die beskadiging van data (Artikels 138b en 350a Sr) het 'n maksimum van twee jaar in die basiese vorm, met hoër maksimums waar ernstige skade veroorsaak word of noodsaaklike infrastruktuur getref word.
• Die verspreiding van wanware (Artikel 350a(3) Sr) dra 'n maksimum van vier jaar gevangenisstraf of 'n boete van die vyfde kategorie.
• Bedrog (Artikel 326 Sr) dra 'n maksimum van vier jaar gevangenisstraf.

Die werklike vonnis wat opgelê word, is gewoonlik heelwat laer as die maksimum. Die hof neem die omvang van die aanval, die skade wat veroorsaak is, die metode wat gebruik is, of noodsaaklike infrastruktuur getref is, die oortreder se rol en sy persoonlike omstandighede in ag. Vir jong eerste oortreders word alternatiewe sanksies soms opgelê.

Benewens 'n tronkstraf, boete of gemeenskapsdiens, kan die hof die konfiskering van kriminele opbrengste, soos kriptogeld wat deur afpersing verkry is, gelas. Slagoffers kan by die strafsaak aansluit as 'n benadeelde party om vergoeding te eis.

Wat as die aanvaller in die buiteland is?

Nederlandse strafreg is van toepassing op 'n aanval op 'n stelsel in Nederland, selfs al is die aanvaller in die buiteland. Vervolging is dan moontlik, maar vereis internasionale samewerking, wat tyd kan neem.

Nederland is 'n party by die Konvensie van die Raad van Europa oor Kubermisdaad (die Boedapest-konvensie), wat voorsiening maak vir samewerking in ondersoeke en die uitruil van bewyse. Binne die EU werk die polisie saam deur Europol en die aanklaers deur Eurojust. Die Nederlandse polisie het gespesialiseerde kubermisdaadspanne vir komplekse ondersoeke.

In die praktyk wissel die kans om 'n aanvaller in die buiteland op te spoor en te vervolg baie. Vir slagoffers is dit dus belangrik om nie net op die strafsaak staat te maak nie, maar ook om hul eie stappe te doen om die skade te beperk en te verhaal.

Wat moet jy doen na 'n kuberinsident?

Beperk eers die skade, beveilig die bewyse en kontroleer jou kennisgewingsverpligtinge. Rapporteer dan by die polisie en oorweeg hoe om jou verlies te verhaal.

Hoe rapporteer jy aan die polisie?

Jy kan rekenaarmisdaad en aanlynbedrog by die polisie aanmeld. Vir sommige vorme van aanlynbedrog, soos bedrog wanneer jy aanlyn koop of verkoop, kan jy dit aanlyn aanmeld; vir meer ernstige voorvalle is dit beter om 'n afspraak te maak.

Bring soveel inligting as moontlik: datums en tye, skermkiekies, e-posopskrifte, loglêers, transaksiebesonderhede en die bedrag van die skade. Moenie enigiets uitvee nie en moenie stelsels herstel voordat die bewyse beveilig is nie, indien moontlik met die hulp van 'n IT-forensiese spesialis.

Watter kennisgewingsverpligtinge is van toepassing?

Indien persoonlike data betrokke is, moet u moontlik die Nederlandse Databeskermingsowerheid ( Autoriteit Persoonsgegevens ) binne 72 uur nadat u van die oortreding bewus geword het, in kennis stel, kragtens Artikel 33 van die Algemene Verordening oor Databeskerming (AVG). Indien die oortreding waarskynlik 'n hoë risiko vir die betrokke persone tot gevolg sal hê, moet u hulle ook sonder onnodige vertraging in kennis stel.

Organisasies wat onder die Wet op Kuberveiligheid val, moet beduidende voorvalle in fases aanmeld deur die Nasionale Kuberveiligheidsentrum se aanmeldingspunt: 'n vroeë waarskuwing binne 24 uur, 'n voorvalkennisgewing binne 72 uur en 'n finale verslag binne een maand. Die een verslag bereik beide die betrokke CSIRT en die toesighouer. Ander sektore, soos finansiële instellings, mag hul eie reëls hê.

Hoe herstel jy jou verlies?

Daar is verskeie siviele roetes. Jy kan skadevergoeding van die dader eis op grond van onregmatige daad (Artikel 6:162 van die Nederlandse Burgerlike Wetboek), óf in die strafsaak as 'n benadeelde party óf in afsonderlike siviele verrigtinge.

Indien geld sonder u toestemming uit u rekening geneem is, moet die bank in beginsel 'n ongemagtigde betalingstransaksie terugbetaal kragtens Artikel 7:528 van die Nederlandse Burgerlike Wetboek, tensy u bedrieglik of met opset of growwe nalatigheid opgetree het. Indien u die geld self oorgeplaas het, byvoorbeeld in bankhulptoonbankbedrog, is die reëls anders en hang die uitkoms van die omstandighede af. Klagtes oor 'n bank kan by die Klagte-instituut vir Finansiële Dienste ( Kifid ) ingedien word.

Gaan ook jou versekering na. Sommige besighede het 'n kuberversekeringspolis wat die koste van herstel en forensiese navorsing dek, en soms ook verlies aan inkomste. Versekeraars stel gewoonlik streng kennisgewingstydperke in.

Indien 'n verskaffer, soos 'n IT-diensverskaffer, versuim het om aan die sekuriteitsooreenkomste in die kontrak te voldoen, kan u daardie verskaffer moontlik aanspreeklik hou vir kontrakbreuk. Baie hang af van die kontrak en van enige beperking van aanspreeklikheid.

Hoe kan individue en besighede kubermisdaad voorkom?

Kombineer tegniese maatreëls met opleiding en 'n duidelike voorvalreaksieplan. Mees suksesvolle aanvalle maak gebruik van 'n bekende swakheid of 'n menslike fout.

Voorkoming is nie net sinvol nie; vir sommige organisasies is dit ook 'n wetlike verpligting. Ingevolge die AVG moet elke organisasie wat persoonlike data verwerk, toepaslike tegniese en organisatoriese sekuriteitsmaatreëls tref. Organisasies wat onder die Wet op Kuberveiligheid val, het 'n sorgplig om hul kuberrisiko's te bestuur, en hul direkteure is hiervoor verantwoordelik.

Watter tegniese maatreëls help?

Bou verskeie lae van verdediging. Die basiese maatreëls is:

• installeer sagteware-opdaterings en sekuriteitsopdaterings vinnig;
• gebruik multifaktor-verifikasie vir e-pos, afstandtoegang en finansiële stelsels;
• gebruik opgedateerde sekuriteitsagteware op skootrekenaars, fone en bedieners, en 'n behoorlik gekonfigureerde firewall;
• maak gereelde rugsteun en hou ten minste een kopie vanlyn, sodat ransomware dit nie kan bereik nie;
• beperk toegangsregte tot wat werknemers werklik nodig het;
• monitor jou netwerk vir ongewone aktiwiteit.

Hoe lei jy werknemers op?

Baie aanvalle begin met 'n menslike aksie: om op 'n skakel te klik, 'n aanhangsel oop te maak of 'n betaling met 'n vals instruksie te maak. Opleiding help werknemers om hierdie situasies te herken.

Kom ook ooreen oor vaste prosedures. Byvoorbeeld: 'n verandering van bankbesonderhede of 'n dringende betalingsversoek word altyd telefonies geverifieer deur 'n bekende nommer te gebruik, nooit deur die nommer in die e-pos te gebruik nie.

Wat moet jy as 'n organisasie wat aangeval is, nagaan?

Die eerste 72 uur bepaal beide die skade en jou regsposisie. Gaan hierdie punte in daardie tydperk na.

• Stelsels word geïsoleer, maar logs en toestelle word nie uitgevee voordat 'n IT-forensiese spesialis die bewyse beveilig het nie.
• U het bepaal of persoonlike data betrokke is en, indien wel, die Nederlandse Databeskermingsowerheid binne 72 uur in kennis gestel (Artikel 33 AVG).
• Indien die Wet op Kuberveiligheid van toepassing is, het die vroeë waarskuwing binne 24 uur na die NCSC-rapporteringspunt gegaan.
• Jou kuberversekeraar is binne die tydperk in die polis in kennis gestel.
• 'n Polisieverslag is opgestel, met datums, skermkiekies, e-posopskrifte, logboeke en die bedrag van die verlies.
• Kontrakte met u IT-verskaffer is nagegaan vir sekuriteitsverpligtinge en beperkings van aanspreeklikheid.

Wat moet jy nagaan as jy 'n verdagte is?

'n Verdagte in 'n kubermisdaadondersoek word dikwels op kort kennisgewing deursoek en 'n onderhoud ondergaan. Hierdie toetse beskerm jou posisie.

• Jy weet dat jy nie verplig is om vrae van die polisie te beantwoord nie.
• Jy het 'n prokureur geraadpleeg voor die eerste polisie-onderhoud.
• Jy weet watter bepaling jy daarvan verdink word dat jy oortree, byvoorbeeld Artikel 138ab of 326 Sr, want dit bepaal wat bewys moet word.
• Jy hou 'n lys van die toestelle en datadraers wat gekonfiskeer is.
• Jy vee nie data of rekeninge uit nadat jy van die ondersoek te hore gekom het nie.

Wat kan ons vir jou doen met rekenaarmisdaad en kubermisdaad?

Ons span strafregprokureurs bystaan ​​organisasies en individue wat slagoffers van 'n kuberinsident is, en verdagtes in 'n kubermisdaadondersoek.

• Ons berei u polisieverslag voor, met die feite en die relevante artikels van die Strafwetboek.
• Ons assesseer u kennisgewingsverpligtinge kragtens die GDPR en die Wet op Kuberveiligheid en stel die kennisgewings op.
• Ons dien u eis in as 'n benadeelde party in die strafsaak, of 'n siviele eis ingevolge Artikel 6:162 van die Burgerlike Wetboek.
• Ons bepaal of u bank, versekeraar of IT-verskaffer die verlies moet dek en dien die eis of klagte by Kifid in.
• Ons help verdagtes tydens polisie-onderhoude en in die hof.

Opsomming

• Nederlandse wetgewing onderskei tussen rekenaarmisdrywe, waar die stelsel die teiken is, en gewone misdrywe wat aanlyn gepleeg word, soos bedrog en identiteitsbedrog.
• Basiese rekenaaroortreding dra 'n maksimum van twee jaar gevangenisstraf, wat styg tot vier jaar indien data gekopieer word; bedrog dra vier jaar.
• Na 'n voorval: beveilig die bewyse, rapporteer dit aan die polisie en kontroleer die 72-uur GDPR-kennisgewingsverpligting en, waar van toepassing, die sperdatums van die Wet op Kuberveiligheid.
• Verlies kan verhaal word van die oortreder, in sommige gevalle van die bank, deur versekering of van 'n verskaffer wat nie sy verpligtinge nagekom het nie.
• Voorkoming kombineer tegniese maatreëls, opleiding en 'n getoetste voorvalreaksieplan.

Algemene vrae