Watter oortredings word in die Strafkode omskryf
Rekenaaroortreding kragtens artikel 138ab Sr
Die sentrale oortreding is rekenaarvredebreuk. Artikel 138ab Sr straf enigiemand wat opsetlik en onwettig 'n outomatiese stelsel binnedring, geheel of gedeeltelik, waar toegang verkry word deur 'n sekuriteitsmaatreël deur te breek, deur 'n tegniese ingryping, deur valse seine of 'n valse sleutel, of deur 'n valse identiteit aan te neem. Twee elemente doen die werk in die praktyk. Die daad moet opsetlik wees, en dit moet onwettig wees, wat beteken sonder 'n reg afgelei van toestemming, kontrak of wet. Skade word nie vereis nie: die oortreding is volledig met toegang, en die maksimum vonnis op daardie vlak is twee jaar gevangenisstraf. Die straf styg waar meer gebeur. Indien die indringer vervolgens data wat in die stelsel gehou word, kopieer of opneem, word die maksimum vier jaar. Dieselfde maksimum geld waar toegang verkry is deur 'n openbare telekommunikasienetwerk en die oortreder die verwerkingskapasiteit van die stelsel gebruik het of na 'n verdere stelsel oorgegaan het. Waar die oortreding gepleeg word ten bate van 'n vreemde moondheid, word die maksimum met 'n derde verhoog.Obstruksie van 'n stelsel kragtens artikel 138b Sr
Diensweieringsaanvalle word gedek deur artikel 138b Sr, wat die opsetlike en onwettige oordrag van data na 'n outomatiese stelsel straf waar dit toegang daartoe of die gebruik daarvan belemmer. Die basiese maksimum is twee jaar. Dit word drie jaar waar 'n aansienlike aantal stelsels betrokke is of waar die oortreder bedoel het om 'n onwettige voordeel te verkry, en vyf jaar waar die daad ernstige skade veroorsaak of gerig is op 'n stelsel wat noodsaaklike infrastruktuur bedien. Terroristiese voorneme verhoog die maksimum verder.Onderskepping kragtens artikels 139c tot 139e Sr
Artikel 139c Sr verbied die onderskepping of opname, deur tegniese middele, van data wat nie vir die betrokke persoon bedoel is nie en wat verwerk of oorgedra word deur middel van telekommunikasie of 'n outomatiese stelsel. Die maksimum is twee jaar. Die artikel bevat uitdruklike uitsonderings: ontvangs van radioseine sonder spesiale moeite, onderskepping deur die wettige houer van die verbinding tensy dit duidelik beledigend is, en onderskepping wat uitgevoer word vir die bedryf van 'n netwerk, vir kriminele ondersoek of kragtens die Wet op Intelligensie- en Sekuriteitsdienste 2017. Artikel 139d Sr spreek voorbereiding aan. Dit dek die plasing van opnametoerusting met die doel om onwettige onderskepping moontlik te maak, en dit dek ook die maak, verkryging, verspreiding of besit van 'n tegniese toestel wat hoofsaaklik ontwerp is vir die pleeg van 'n misdryf kragtens artikels 138ab, 138b of 139c Sr, of die besit van wagwoorde en toegangskodes met dieselfde doel. Die maksimum is twee jaar en styg tot vier waar die voorbereiding verband hou met die verswarende vorme van rekenaaroortreding. Artikel 139e Sr straf dan die hantering van die resultate: die besit van 'n datadraer met onwettig onderskepte data, die openbaarmaking van sodanige data of die deurgee daarvan, met 'n maksimum van ses maande.Skadelike data kragtens artikels 350a tot 350d Sr
Waar die aanval vernietig eerder as lees, is Titel XXVII van toepassing. Artikel 350a Sr straf die opsetlike en onwettige verandering, verwydering of ontoeganklike maak van data, met 'n maksimum van twee jaar, en verhoog die maksimum tot vier jaar vir die beskikbaarstelling of verspreiding van data wat bedoel is om skade in 'n outomatiese stelsel te veroorsaak, wat die bepaling is wat vir wanware en ransomware gebruik word. Die artikel bevat 'n uitdruklike uitsondering vir 'n persoon wat opgetree het om die skade wat sulke data sou veroorsaak, te beperk. Artikel 350b Sr is die nalatige variant, met 'n baie laer maksimum, en is van toepassing waar ernstige skade voortspruit uit sorgelose optrede. Artikel 350c Sr dek die vernietiging, beskadiging of deaktivering van 'n outomatiese stelsel of telekommunikasietoerusting en sodoende die berging, verwerking of oordrag van data belemmer. Artikel 350d Sr weerspieël artikel 139d Sr aan die voorbereidende kant: die vervaardiging, verkryging, verkoop of hou van gereedskap of toegangskodes wat bedoel is om 'n oortreding kragtens artikels 350a of 350c Sr moontlik te maak. Ongemagtigde toegang is op sigself strafbaar kragtens artikel 138ab Sr, ongeag of enige data gekopieer word of nie en ongeag of skade daaruit voortvloei.Waar die lyn loop tussen sekuriteitsnavorsing en rekenaaroortreding
Nederlandse wetgewing bevat geen algemene vrystelling vir etiese hackers nie. Die toets van iemand anders se stelsels is wettig omdat dit gemagtig is, nie omdat dit goed bedoel is nie. Die beslissende vraag kragtens artikel 138ab Sr is of die toegang onwettig was, en toestemming verwyder daardie element slegs sover die toestemming strek. 'n Penetrasietoets benodig dus 'n skriftelike opdrag wat die stelsels en adresse in omvang identifiseer, die tydperk, die tegnieke wat toegelaat en uitgesluit word, wat gebeur met data wat teëgekom word, en wie ingelig moet word. Waar die stelsels deur 'n derde party aangebied word, moet daardie verskaffer ook instem, want die kliënt kan nie namens hom toestemming gee nie. Buite 'n opdragtoets is die raamwerk gekoördineerde kwesbaarheidsopenbaarmaking. Baie Nederlandse organisasies publiseer 'n beleid wat uiteensit hoe 'n kwesbaarheid aangemeld kan word en wat hulle in ruil daarvoor onderneem, en die nasionale kuberveiligheidsowerheid het riglyne oor sulke beleide gepubliseer. 'n Beleid van hierdie aard skep nie immuniteit nie: vervolging bly wettiglik moontlik, en die Openbare Vervolgingsdiens (Openbaar Ministerie) bepaal of vervolging opportunisties is. In daardie beoordeling is die faktore wat gewig dra of die vinder in die openbare belang opgetree het, of die inbreuk nie verder gegaan het as wat nodig is om die swakheid aan te toon nie, of data gekopieer, gepubliseer of behou is, en of die verslag stiptelik en direk aan die betrokke organisasie gemaak is. 'n Navorser wat verder gaan as daardie perke, of wat voorwaardes aan die verslag heg, beweeg van openbaarmaking na die oortredings wat hierbo beskryf word. Dieselfde redenasie geld vir werknemers en voormalige werknemers. Toegangsregte eindig wanneer die rol eindig, en om voort te gaan met die gebruik van 'n ou rekening of 'n kollega se wagwoord is toegang deur middel van 'n vals sleutel binne die betekenis van artikel 138ab Sr, selfs waar die stelsel eens wettiglik elke dag gebruik is.
Bedrog gepleeg deur digitale middele
Die meeste digitale sake wat die polisie bereik, is nie suiwer kuberkrakersake nie, maar bedrog wat met digitale middele uitgevoer word, en hulle word vervolg kragtens die gewone bedrogbepalings. Phishing, faktuurbedrog en vals webwinkels val onder artikel 326 Sr, wat die verkryging van eiendom, 'n diens of 'n skuld deur middel van 'n vals naam, 'n vals hoedanigheid, slinksheid of 'n web van onwaarhede straf. Waar identifiserende persoonlike data van 'n ander persoon gebruik word om te mislei, voeg artikel 231b Sr 'n aparte oortreding by. Die verskuiwing van die opbrengs deur rekeninge of kripto-bates bring die geldwasserybepalings van artikels 420bis tot 420quater Sr in, en daarom word mense wat 'n bankrekening uitleen, sowel as diegene wat die skema georganiseer het, vervolg. Die publisering van 'n ander persoon se persoonlike data om te intimideer, is 'n afsonderlike oortreding kragtens artikel 285d Sr, wat aan die begin van 2024 ingestel is. Die bewys van hierdie sake is grootliks 'n kwessie van digitale bewyse: opskrifte, logboeke, IP-data, betalingsspore en die tydlyn waarin hulle lê. Wat dit in die praktyk beteken vir 'n slagoffer wat geglo wil word, word uiteengesit in ons artikel oor aanlyn bedrog en phishing.
Wat die Wet op Kuberveiligheid van organisasies vereis
Die Nederlandse Kuberveiligheidswet (Cyberbeveiligingswet) is sedert 15 Augustus 2026 van toepassing en implementeer die Europese NIS2-richtlijn. Dit werk anders as die Strafwetboek: dit straf nie aanvallers nie, maar plaas pligte op die organisasies wat aangeval word. Entiteite wat binne die bestek daarvan val, moet by die nasionale kuberveiligheidsowerheid registreer, toepaslike tegniese en organisatoriese maatreëls tref om die risiko's vir hul netwerk- en inligtingstelsels te bestuur, en beduidende voorvalle aanmeld, met 'n eerste kennisgewing binne 24 uur en 'n vollediger verslag binne 72 uur. Verantwoordelikheid vir die maatreëls berus by die bestuur van die entiteit, wat ook verwag word om sy kennis op datum te hou. Watter organisasies gedek word, en wat die sorgplig konkreet beteken, word in ons artikel oor ... uiteengesit. NIS2 en die Nederlandse Wet op KuberveiligheidHierdie pligte loop langs, en nie in plaas van, die verpligtinge kragtens die Algemene Verordening oor Databeskerming nie. 'n Kuberinsident wat persoonlike data behels, is 'n persoonlike data-oortreding, wat binne 72 uur aan die Nederlandse Databeskermingsowerheid gerapporteer moet word, tensy dit onwaarskynlik is dat dit 'n risiko inhou, en aan die betrokke individue gekommunikeer moet word waar die risiko vir hulle hoog is. Die twee rapporteringsregimes het verskillende snellers, verskillende geadresseerdes en verskillende sperdatums, en 'n insident kan maklik albei gelyktydig veroorsaak. Die siviele kant, insluitend wie die verlies dra wanneer 'n verskaffer of 'n diensverskaffer die swak skakel is, word bespreek in ons artikel oor aanspreeklikheid na 'n databreuk.
Ondersoekbevoegdhede en hoe 'n saak verloop
Sedert die derde Wet op Rekenaarmisdaad in 2019 in werking getree het, het die polisie verreikende digitale ondersoekbevoegdhede. Ondersoekers kan, in die geval van ernstige oortredings, afstandtoegang verkry tot 'n outomatiese stelsel wat deur 'n verdagte gebruik word en, sodra dit binne is, data opneem of dit ontoeganklik maak. Daardie mag word slegs deur die staatsaanklaer uitgeoefen na magtiging deur die ondersoekende regter (rechter-commissaris), en die gebruik daarvan moet aangeteken word sodat die verdediging en die hof dit daarna kan hersien. 'n Verdagte kan ook gelas word om toegang tot geïnkripteerde materiaal in bepaalde omstandighede te gee, en toestelle kan in beslag geneem en ondersoek word. Omdat die gedrag en die effek dikwels in verskillende lande is, maak jurisdiksie en samewerking net soveel saak as die substantiewe oortreding. Nederland is 'n party by die Boedapest-konvensie van die Raad van Europa oor Kubermisdaad, gebruik die Europese ondersoekbevel vir bewysstukke binne die Europese Unie, en werk deur Europol en sy Europese Sentrum vir Kubermisdaad en deur Eurojust wanneer verrigtinge in verskeie lidstate gelyktydig aan die gang is, tesame met samewerking met Interpol buite die Europese Unie. Vir die persoon wat ondersoek word, is die praktiese gevolge bekende: die reg om stil te bly, die reg om 'n prokureur te raadpleeg en deur hom bygestaan te word voor en tydens ondervraging, en 'n saaklêer wat hoofsaaklik uit tegniese materiaal bestaan wat getoets eerder as aanvaar moet word.Wat 'n slagoffer kan doen
Rapporteer die voorval. 'n Polisieverslag (aangifte) is die basis waarop 'n ondersoek geopen kan word, en ons gids vir die indien van 'n polisieverslag verduidelik hoe dit gedoen word. Bewaar die bewyse voordat enigiets herinstalleer word: loglêers, die betrokke stelsels, e-posopskrifte, betalingsverwysings en 'n tydlyn van wat opgemerk is en wanneer. Stel die bank onmiddellik in kennis waar betalings herlei is, want 'n vinnige terugroepversoek is dikwels die enigste kans om geld te verhaal, en stel die Databeskermingsowerheid in kennis indien persoonlike data betrokke was. Strafregtelike verrigtinge en vergoeding is afsonderlike spore wat gekombineer kan word. 'n Slagoffer kan by die strafregtelike verrigtinge aansluit as 'n benadeelde party en daar skadevergoeding eis, wat doeltreffend is, maar slegs werk vir eise wat die strafsaak nie onnodig belas nie. Groter of betwiste eise word in die siviele howe aanhangig gemaak op grond van 'n onwettige daad kragtens artikel 6:162 van die Burgerlike Wetboek, en tussentydse verligtingsprosedures is beskikbaar waar materiaal vinnig vanlyn geneem moet word. Die stappe wat saak maak in die eerste dae na 'n aanval word uiteengesit in ons artikel vir slagoffers van kuberaanvalle.Hoe Law & More kan help
Law & More adviseer en verteenwoordig kliënte aan beide kante van hierdie sake: organisasies wat aangeval is en bewyse moet bekom, hul rapporteringspligte moet nakom en hul verlies moet verhaal, en individue of maatskappye wat verdagtes is in 'n kriminele ondersoek na rekenaaroortreding, dataskade of aanlynbedrog. Ons hersien ook penetrasietoetsopdragte en kwesbaarheidsopenbaarmakingsbeleide voordat die werk begin, wat die punt is waar die meeste van die regsrisiko steeds verwyder kan word. kubermisdaadprokureurs kan bereik word deur die kontakbesonderhede op hierdie webwerf.Kubermisdaad- en hackingwette
Wat tel as kubermisdaad onder Nederlandse wetgewing?
Kubermisdaad beteken enige kriminele aktiwiteit wat deur rekenaars, netwerke of die internet uitgevoer word, insluitend die inbraak in rekenaarstelsels, die steel van data, die loods van DDoS-aanvalle, die ontplooiing van losprysware en die pleeg van aanlynbedrog, alles uiteengesit in die Strafwetboek.
Wat verbied die Nederlandse hackingwet eintlik?
Ingevolge Artikel 138ab van die Strafwetboek is dit onwettig om doelbewus in rekenaarstelsels in te breek, hetsy deur sekuriteitsmaatreëls te omseil, vals geloofsbriewe te gebruik of sagtewarefoute te benut.
Wat is die gevolge vir die besigheid van 'n datalek in Nederland?
Benewens onmiddellike finansiële verliese, staar besighede dikwels ekstra koste in die gesig vir die oplos van probleme, die kennisgewing van kliënte en die hantering van regsrisiko's, tesame met verminderde kliëntevertroue, potensiële reputasieskade en moontlike boetes ingevolge wette soos die GDPR.
Word kubermisdaad-oortredings as geringe kwessies onder Nederlandse wetgewing behandel?
Nee, hierdie oortredings word baie ernstig opgeneem en word as werklike kriminele aktiwiteite met ernstige regsgevolge behandel, nie net geringe tegniese oortredings nie.
Hoe Law & More kan jou hiermee help, word op ons verduidelik kriminele prokureur bladsy.
